El surgimiento de la detección y respuesta a amenazas de identidad
La detección y respuesta a amenazas de identidad (ITDR) se ha convertido en una parte esencial para detectar y responder eficazmente a los ataques basados en la identidad. Los actores de amenazas han demostrado la capacidad de comprometer la infraestructura de identidad y moverse lateralmente a través de entornos IaaS, SaaS, PaaS y CI/CD. Las soluciones de detección y respuesta a amenazas de identidad ayudan a las organizaciones a detectar mejor actividades sospechosas o maliciosas en su entorno. Las soluciones ITDR brindan a los equipos de seguridad la capacidad de ayudarlos a responder la pregunta “¿Qué está sucediendo ahora mismo en mi entorno? ¿Qué están haciendo mis identidades en mis entornos?” »
Identidades humanas y no humanas
Como se indica en la Guía de soluciones ITDR, las soluciones ITDR integrales cubren identidades tanto humanas como no humanas. Las identidades humanas involucran mano de obra (empleados), invitados (contratistas) y proveedores. Las identidades no humanas incluyen tokens, claves, cuentas de servicio y bots. Las soluciones ITDR multientorno pueden detectar y responder a todos los riesgos de las entidades de identidad, por ejemplo, desde IdP hasta las capas IaaS y SaaS, en lugar de proteger las identidades en un nivel fragmentado y específico de cada capa.
Capacidades clave del ITDR
Las características esenciales de una solución ITDR incluyen:
- Desarrolle un perfil de identidad universal para todas las entidades, incluida la identidad humana y no humana, la actividad en las capas de servicios en la nube y las aplicaciones y servicios locales.
- Acoplar el análisis estático, la gestión de posturas y la configuración de estas identidades con la actividad de ejecutar estas identidades en el entorno.
- Seguimiento y seguimiento de rutas directas e indirectas y seguimiento de la actividad de todas las identidades en el entorno.
- Organice el seguimiento y las detecciones de identidad en múltiples entornos que abarquen proveedores de identidad, aplicaciones IaaS, PaaS, SaaS y CI/CD para rastrear la identidad en cualquier lugar del entorno.
- Detección y respuesta de alta fidelidad en múltiples entornos que permite a las organizaciones tomar medidas contra las amenazas de identidad a medida que se manifiestan en toda la superficie de ataque, en lugar de reaccionar a alertas atómicas de gran volumen basadas en eventos únicos.
Para obtener una lista completa de las funciones del ITDR, puede ir a Guía de soluciones de respuesta y detección de amenazas de identidad.
Casos de uso de amenazas a la identidad
Para protegerse eficazmente contra ataques de identidad, las organizaciones deben elegir una solución ITDR con funciones avanzadas para detectar y mitigar ataques. Estas características deben abordar una variedad de casos de uso para identidades humanas y no humanas, que incluyen, entre otros:
- Detección de apropiación de cuentas: Detecte una de las muchas variaciones que indican que una identidad ha sido comprometida.
- Detección de compromiso de credenciales: Identificar y alertar sobre el uso de credenciales robadas o comprometidas dentro del entorno.
- Detección de escalada de privilegios: Detecte intentos no autorizados de escalada de privilegios dentro de sistemas y aplicaciones.
- Detección de comportamiento anormal: Supervise las desviaciones del comportamiento normal del usuario que puedan indicar actividad maliciosa.
- Detección de amenazas internas: Identificar y responder ante acciones maliciosas o negligentes de los usuarios internos.
Para obtener una lista completa de casos de uso de amenazas a la identidad, puede acceder a la lista completa Guía de soluciones de respuesta y detección de amenazas de identidad.
Preguntas que debería responder una solución ITDR eficaz
1. INVENTARIO DE IDENTIDAD Y GESTIÓN DE ACCESO
¿Qué identidades de entidades están presentes en nuestro entorno?
- Inventario completo de identidades humanas y no humanas en todos los entornos.
¿Qué roles y permisos tienen estas identidades?
- Detalles sobre los roles, grupos y permisos específicos que tiene cada identidad en diferentes entornos locales y de nube.
¿Qué rol/grupo dio acceso a un recurso a un usuario en particular? ¿Cuál es el alcance de los permisos para este acceso?
- Detalles específicos sobre roles/grupos y permisos que otorgan acceso a los recursos.
2. EVALUACIÓN DE RIESGOS Y DETECCIÓN DE ANOMALÍAS
¿Cuáles son las 10 identidades más riesgosas en mi capa de servicios en la nube? ¿Cuál sería el rango de acción si una de estas identidades estuviera comprometida?
- Identificar las identidades en mayor riesgo y evaluar el impacto potencial de su compromiso.
¿Existen anomalías en el comportamiento identitario?
- Detección de desviaciones de los patrones de comportamiento normales para cada identidad, destacando posibles actividades maliciosas.
¿Se ha comprometido alguna credencial?
- Alertas sobre el uso de credenciales robadas o comprometidas dentro del entorno.
3. MODELOS DE AUTENTICACIÓN Y ACCESO
¿Cómo se autentican y se accede a las identidades?
- Seguimiento de métodos y rutas de autenticación para todas las identidades, incluidos puntos finales federados y no federados.
¿Cuáles son las fuentes y ubicaciones de los intentos de inicio de sesión?
- Registros detallados de intentos de conexión, incluidas direcciones IP, ubicaciones geográficas e información del dispositivo.
¿Cómo es accesible mi entorno actual para diferentes tipos de entidades (humanas y no humanas)?
- Monitorear patrones de acceso para diferentes tipos de entidades en el entorno.
¿Qué tan bien se aplica la autenticación multifactor en todas las capas de aplicaciones y servicios en la nube en mi entorno?
- Evaluar la implementación y aplicación de la autenticación multifactor (MFA) en el entorno.
4. SEGUIMIENTO DE ACTIVIDADES Y SEGUIMIENTO DE CAMBIOS
¿Qué cambios se acaban de realizar en mi entorno, quién es responsable de estos cambios y se han realizado cambios similares en otras capas de servicios en la nube?
- Seguimiento e informes de cambios recientes, usuarios responsables y coherencia entre capas.
¿Qué identidades accedieron a datos confidenciales o sistemas críticos?
- Monitoreo e informes sobre el acceso de identidad a repositorios de datos confidenciales, sistemas críticos y aplicaciones de alto riesgo.
5. CORRELACIÓN DE INCIDENTES Y RESPUESTA
¿Cómo se correlacionan los incidentes de identidad en diferentes entornos?
- Correlacione actividades de identidad e incidentes en IdP, IaaS, PaaS, SaaS, CI/CD y entornos locales para proporcionar una vista unificada.
¿Qué medidas se deben tomar para mitigar las amenazas identificadas?
- Recomendaciones procesables y opciones de respuesta automatizadas para mitigar las amenazas de identidad detectadas y prevenir incidentes futuros.
Para obtener una lista completa de preguntas y casos de uso empresarial, puede ir a Guía de soluciones de respuesta y detección de amenazas de identidad.