Adam ListekMicrosofts red team beskriver en svaghed, det bliver ved med at udnytte: “for meget stående adgang, håndhævet for løst.” Det meste af det, teamet udnytter i identitet, tilføjer det, “har intet med AI at gøre.”
Microsoft Digital Defense Report 2026 dækker juli 2025 til og med juni 2026. På tværs af fundene bruger angribere gyldige konti og kendte administrationsværktøjer til at nå flere systemer. En kompromitteret identitet kan åbne en fjernsession, blotlægge endnu en legitimationsoplysning og give en vej til højere rettigheder.
Det er konkrete problemer for de teams, der styrer privilegeret adgang. En adgangskode kan stadig være brugbar, efter et vedligeholdelsesvindue er lukket. En konto kan beholde administrative rettigheder mellem opgaver. En fjernforbindelse kan efterlade for få spor til at forklare, hvad der skete.
De fem fund nedenfor knytter de problemer til konkrete kontroller. Hvert afsnit forklarer fundet, og hvor Devolutions passer ind i dag. Det sidste afsnit ser på det planlagte arbejde i 2027.1.
1. 52,2 % af indtrængen med en gyldig konto førte til mere tyveri af legitimationsoplysninger
I observationer fra Microsoft Defender Experts involverede 52,2 % af de indtrængen, der begyndte med en gyldig konto, efterfølgende tyveri af legitimationsoplysninger. Når angriberne først var inde, indsamlede de flere legitimationsoplysninger og brugte dem til at udvide adgangen. En konto, der kan hente en anden administrators adgangskode, giver en indtrænger endnu en vej gennem miljøet.
Checkout-politikker i Devolutions PAM kan kræve godkendelse, en begrundelse eller en sag og et afgrænset adgangsvindue. I Devolutions Cloud nulstiller check-in adgangskoden til den privilegerede konto, så den tidligere adgangskode ikke længere virker. Godkendelse begrænser, hvem der får adgang. Rotation begrænser, hvor længe en kopieret adgangskode er brugbar.
2. AiTM-URL-phishing udgjorde omkring 45 % af de identificerede phishingteknikker
Adversary-in-the-middle (AiTM) URL-phishing stod for omkring 45 % af de identificerede phishingteknikker i Microsofts diagram. Microsoft rapporterer også, at adgangskodeangreb faldt 26 % år over år, mens AiTM-phishing og tokentyveri vandt andel i første halvdel af 2026. Sessionstyveri betyder noget, fordi en angriber kan få adgang, efter den legitime bruger har gennemført logontjekkene.
I Cloud og Devolutions Server kan Devolutions PAM kræve multifaktorgodkendelse (MFA), når en privilegeret konto tjekkes ud. Det er en separat verifikation i forhold til MFA ved logon. En ekstern identitetsudbyders logonudfordring opfylder ikke automatisk checkout-kravet. Administratorer skal konfigurere checkout-MFA som sin egen kontrol.
3. Omkring 82 % af de udbudte adgangstilbud involverede legitimationsoplysninger eller fjernadgangsportaler
Intel 471 fulgte 2.591 udbudte adgangstilbud. Kompromitterede logonoplysninger udgjorde 45 %, og kompromitterede virksomhedsportaler til fjernadgang, herunder VPN-enheder, udgjorde yderligere 37 %. Tilsammen giver de afrundede andele omkring 82 % af tilbuddene. En fungerende konto eller fjernforbindelse er værdifuld nok til at sælge, før den næste angriber går i gang.
For Remote Desktop Protocol-sessioner (RDP) kan Devolutions Gateway formidle forbindelsen og injicere legitimationsoplysninger gennem en proxy, så adgangskoden ikke lander på brugerens maskine. Eksterne brugere kan få tilladelsen Execute uden tilladelsen View password. En leverandør kan derefter bruge den konfigurerede session uden at modtage målkontoens adgangskode.
4. En ikke-godkendt RMM-agent er et pålideligt signal midt i et indbrud
I sine endpointundersøgelser fandt Microsoft, at en ikke-godkendt agent til fjernovervågning og -administration (RMM) var et af de mest pålidelige tegn midt i et menneskestyret indbrud. Værktøjerne giver angribere fjernkommandoer og filoverførsel, som også findes i legitimt administrationsarbejde. Efterforskere har brug for en måde at fastslå, hvem der godkendte adgangen, og hvad der skete under sessionen.
Med Cloud kan Devolutions PAM og Gateway optage understøttede RDP-, ARD-, VNC- og SSH-sessioner. Checkout-politikker kan også afslutte sessioner ved check-in. Ved siden af checkout-historikken giver en optagelse dem, der gennemgår den, bevis for det udførte arbejde. Kontrollerne understøtter tilsyn med godkendt adgang. At opdage en uautoriseret RMM-agent kræver stadig overvågning af endpoints og sikkerhed.
5. Ransomware-detektioner i it-branchen steg fra 248 til 649
Microsofts tabel over virksomhedsransomware viser 248 detektioner for informationsteknologibranchen i 2025 og 649 i 2026, omkring 2,6 gange så mange. Tallene beskriver it-branchen, ikke angreb på it-systemer på tværs af alle brancher. Stigningen fastslår ikke, hvilke adgangskontroller der svigtede, men den understreger behovet for at begrænse den myndighed, en kompromitteret konto har.
Just-in-time elevation (JIT) i Devolutions PAM tilføjer gruppemedlemskab ved checkout og fjerner det ved check-in. Standardkonti beholder deres grundlæggende tilladelser, mens konti med zero standing privilege kun får de nødvendige rettigheder i checkout-vinduet. Administratorer kan udføre arbejde med udvidede rettigheder uden at lade rettighederne blive liggende mellem opgaver.
Hvad der kommer: privilegeret adgang i 2027.1
Det planlagte arbejde i 2027.1 bygger videre på checkout- og sessionskontroller med mere detaljerede adgangsbeslutninger. En regelmotor baseret på arbejdsgange vil definere logon- og checkout-trin ud fra ansøgeren, udbyderen, elevationsgruppen, adgangens varighed, begrundelsen og sagen. Den gren, der afgør anmodningen, bliver logget.
WebAuthn og Duo er planlagt som MFA-metoder ved checkout, og den præcise model for checkout-faktoren er stadig ved at blive fastlagt. Logonarbejdsgange er planlagt til at kræve MFA og begrænse de tilladte metoder, herunder adgangsnøgler. Devolutions Remote Desktop Manager (RDM) er også planlagt til at bruge adgangsnøgler, der er gemt i Workspace, når et websted åbnes i den indlejrede browser.
Retningen for udgivelsen handler også om, hvad der sker på en maskine, efter adgangen er givet. Luc Fauvel, produktchef hos Devolutions, beskriver den planlagte udvidelse til maskinadministration:
“I takt med at vi styrker vores allerede solide administration af privilegerede legitimationsoplysninger og sikre fjernforbindelser i 2027.1, hjælper vi også administratorer med at styre, hvad der sker på selve maskinerne, når forbindelserne er etableret. Næste udgave af PEDM indfører centraliseret maskinadministration og dermed kontrol over installation af programmer via UniGetUI. Fra ét sted kan administratorer administrere deres maskiner og fastlægge, hvilke programmer brugerne må installere på hver af dem.”
Luc Fauvel, produktchef hos Devolutions
PEDM står for Privilege Elevation and Delegation Management. De planlagte kontroller for maskinadministration udvider tilsynet til installation af programmer på administrerede maskiner. Punkterne i 2027.1, der er beskrevet her, er stadig planlagte funktioner.
Det korte af det
Den nyttige prøve er hele arbejdsgangen for privilegeret adgang. Godkendelse bør fastslå behovet for adgang. Sessionskontroller bør begrænse eksponeringen af legitimationsoplysninger og bevare bevis for arbejdet. Check-in bør pensionere legitimationsoplysningen eller de udvidede rettigheder i henhold til politikken.
Microsofts fund giver it-teams konkrete grunde til at gennemgå hvert trin. Den næste vurdering kan starte med én testkonto og følge den fra adgangsanmodningen og frem til check-in.
Hent Devolutions RDM for at vurdere checkout, JIT elevation og formidlede sessioner med en privilegeret testkonto.