Le credenziali persistenti sono materiale di autenticazione, come password, chiavi API, segreti OAuth, certificati o token di accesso, che un attaccante aggiunge o conserva per poter ripristinare l’accesso dopo una compromissione iniziale. A differenza di un accesso una tantum, queste credenziali possono mantenere l’accesso anche se il punto d’appoggio originale viene rimosso.
Gli attaccanti possono creare un nuovo segreto applicativo, aggiungere una chiave a un’entità servizio o sottrarre credenziali usate da un’integrazione attendibile. Negli ambienti cloud, questo può consentire loro di autenticarsi come applicazione e usare le autorizzazioni di cui questa già dispone, potenzialmente in più tenant. I difensori dovrebbero esaminare i log di identità e di controllo per individuare aggiunte inattese di credenziali, modifiche alle autorizzazioni delle app e attività insolite delle entità servizio. Rimuovere il materiale dannoso e verificare la presenza di altri metodi di persistenza aiuta a impedire nuovi accessi.