Jeho rozsah může zahrnovat lidské a účty úloh, přihlašovací údaje, autentikátory, relace, tokeny, adresáře, poskytovatele identity, federaci, oprávnění a politiky řídící přístup.
ITDR koreluje důkazy specifické pro identitu s kontextem koncových zařízení, aplikací, cloudu a sítě. Hledá chování jako password spraying, podezřelé vytváření tokenů, neočekávaná přiřazení rolí, neoprávněný souhlas aplikací, změny autentizační politiky, krádež relací a abnormální použití platných účtů. Reakce může zrušit relace či přihlašovací údaje, deaktivovat identitu, odebrat neoprávněná oprávnění, obnovit politiku, izolovat systém a zachovat důkazy pro širší vyšetřování incidentu.
Klíčové body
Klíčová telemetrieVýsledky autentizace, události tokenů a relací, změny adresáře, udělení oprávnění, registrace aplikací, registrace zařízení, správa politiky a přístup k prostředkům.
Akce reakceZpochybnit či zablokovat přístup, zrušit tokeny, rotovat přihlašovací údaje, deaktivovat účty, odstranit perzistenci, vrátit neautorizované změny a eskalovat skrze reakci na incidenty.
Požadavky programuVytvořte baseline očekávaného chování identity, chraňte a uchovávejte logy, definujte playbooky vysokého rizika, testujte cesty zadržení a koordinujte identitu, bezpečnostní operace a vlastníky aplikací.
Důležité omezeníITDR není standardizovaná kategorie kontrol NIST a pokrytí produktů se liší. Chybějící logy, krátká retence, padělané tokeny či aktivita mimo integrované systémy identity mohou ponechat vážné slepé skvrny.