Takeaways de llave de ZDNET:

• El complemento LastPass ahora puede evitar el acceso a aplicaciones SaaS no aprobadas.
• La función extiende el monitoreo del complemento de los intentos de acceso SaaS.
• La autenticación de PassKey llegó para el final del mes, aún no es compatible.

A principios de este año, LastPass anunció que estaba agregando la capacidad de los administradores de su solución de administración de contraseñas para monitorear el uso de los empleados de SAA o aplicaciones basadas en la web. Hoy, en la Conferencia de Seguridad Black Hat en Las Vegas, la compañía anunció que ha extendido esas capacidades de monitoreo para que los administradores puedan establecer políticas que adviertan u obstruyen a los usuarios durante los intentos de autenticarse con aplicaciones SAA no aprobadas.

Las nuevas capacidades de SaaS Identity and Access Management (SaaS IAM) estarán disponibles para fin de mes a los clientes del nivel Business Max de LastPass (actualmente $ 9 por usuario por mes) sin costo adicional. El nivel Business Max ya incluye las capacidades de monitoreo.

Según el director de productos de LastPass, Don MacLennan, la nueva capacidad de gestión de acceso a la aplicación SaaS hace posible que los administradores de LastPass permitan, adviertan o bloqueen a los usuarios para acceder a ciertas aplicaciones SaaS. Las detecciones precisas de los intentos de acceso a la aplicación SaaS se basan en la presencia del complemento del navegador de administración de contraseñas LastPass, independientemente del navegador web que esté utilizando el usuario final.

Los complementos de administración de contraseñas (de LastPass y otros proveedores de soluciones de administración de contraseñas) generalmente se les otorga algunos de los permisos de mayor alcance una vez que están instalados en un navegador. No solo pueden inspeccionar el contenido de cualquier página web que los usuarios visiten en sus navegadores; Los complementos también pueden alterar la apariencia de páginas web y esencialmente hacerse cargo de toda la experiencia del usuario.

MacLennan le dijo a ZDNet que cuando los usuarios deben ser advertidos o bloqueados de usar una aplicación SaaS, el complemento puede presentar un diálogo modal personalizable que ofrece al usuario más detalles sobre el estado de su intento. Hoy ese diálogo se puede programar con texto básico (los enlaces web deben representarse como URL regulares), pero la compañía puede considerar las opciones de formato HTML en el futuro.

«Es una versión 1.0 de un conjunto de capacidades que se profundizará con el tiempo», dijo MacLennan a ZDNET, respondiendo a una pregunta sobre la posibilidad de utilizar blancas para permitir el acceso a la aplicación.

Hoy, la solución de «SaaS Protect» de LastPass realiza un seguimiento de las aplicaciones que descubre a medida que los empleados intentan autenticarse con esas aplicaciones, y los administradores pueden establecer una política avanzando para permitir, advertir o bloquear durante futuros intentos por empleado. En el futuro, MacLennan anticipa que la articulación de las políticas por parte del grupo de trabajo basada en el uso de servicios de directorio de la organización, como Microsoft Entra ID, OKTA, Google Workspace y otros, será posible.

«Con el tiempo, tendremos más capacidades», dijo MacLennan a ZDNet. «Los administradores podrán refinar los criterios que definen lo que está permitido. Tal vez a un grupo de la compañía se le debería permitir iniciar sesión en una aplicación SaaS, pero no a otra. Seguiremos refinando la precisión por la cual estos bloqueos y permiten que las políticas se manifiesten».

Es importante tener en cuenta que la función SaaS Protect desencadena el intento de autenticación de un usuario final, y no solo un intento de acceder a un sitio web en particular. El complemento de LastPass actualmente monitorea cuatro tipos de autenticación: inicio de sesión único (SSO), «abovedado», «no salto» y las autenticaciones basadas en PassKey.

Si bien se pueden detectar autenticaciones basadas en Passkey (por ejemplo, si el usuario final se autentica con una PassKey administrada por el navegador), el complemento LastPass en sí aún no es compatible con la autenticación basada en PassKey. Esa capacidad se encuentra actualmente en beta y se espera que se lance para fin de mes.

Una autenticación abovedada ocurre cuando el usuario intenta autenticarse con credenciales que se mantienen en el contenedor de credenciales seguros de LastPass, denominado «bóveda». Una autenticación no salto ocurre cuando el usuario se autentica en algún sitio web utilizando credenciales que no se administran con el complemento del Administrador de contraseñas LastPass.

Dado que el complemento de Browser LastPass tiene un conocimiento que todo lo que todo lo sabe todo se encuentra en los sitios en los que un usuario está iniciando sesión, también sabe cuándo las credenciales provienen de su bóveda y cuándo no lo están.

Pero MacLennan también señaló la necesidad de que las organizaciones practiquen la gestión de dispositivos herméticos. Por ejemplo, los usuarios no deberían poder instalar su propia selección de navegador de una manera que pueda evitar el ojo vigilante del complemento de administración de contraseñas de LastPass.

Manténgase por delante de las noticias de seguridad con Tecnología hoyentregado a su bandeja de entrada todas las mañanas.