Jego zakres może obejmować konta ludzkie i obciążeń, poświadczenia, uwierzytelniki, sesje, tokeny, katalogi, dostawców tożsamości, federację, uprawnienia oraz polityki rządzące dostępem.
ITDR koreluje dowody specyficzne dla tożsamości z kontekstem punktów końcowych, aplikacji, chmury i sieci. Szuka zachowań takich jak password spraying, podejrzane tworzenie tokenów, nieoczekiwane przypisania ról, nielegalne zgody aplikacji, zmiany polityki uwierzytelniania, kradzież sesji i nienormalne użycie prawidłowych kont. Reakcja może unieważniać sesje lub poświadczenia, wyłączać tożsamość, usuwać nieautoryzowane uprawnienia, przywracać politykę, izolować system i zachowywać dowody dla szerszego dochodzenia incydentowego.
Najważniejsze punkty
Kluczowa telemetriaWyniki uwierzytelniania, zdarzenia tokenów i sesji, zmiany katalogowe, nadania uprawnień, rejestracje aplikacji, rejestracja urządzeń, administracja politykami i dostęp do zasobów.
Działania reakcyjnePoddawaj wyzwaniu lub blokuj dostęp, unieważniaj tokeny, rotuj poświadczenia, wyłączaj konta, usuwaj utrwalenie, odwracaj nieautoryzowane zmiany i eskaluj przez reagowanie na incydenty.
Wymagania programuUstal bazę oczekiwanego zachowania tożsamości, chroń i zachowuj logi, definiuj playbooki wysokiego ryzyka, testuj ścieżki ograniczania skutków i koordynuj tożsamość, operacje bezpieczeństwa oraz właścicieli aplikacji.
Istotne ograniczenieITDR nie jest ustandaryzowaną kategorią kontroli NIST, a pokrycie produktów jest różne. Brakujące logi, krótka retencja, podrobione tokeny lub aktywność poza zintegrowanymi systemami tożsamości mogą pozostawić poważne ślepe pola.