Domeniul său poate include conturi umane și de sarcini, credențiale, autentificatori, sesiuni, tokenuri, directoare, furnizori de identitate, federație, privilegii și politicile care guvernează accesul.
ITDR corelează dovezi specifice identităților cu context de endpoint, aplicație, cloud și rețea. Caută comportamente precum password spraying, crearea suspectă de tokenuri, atribuirea neașteptată de roluri, consimțământ ilicit de aplicații, modificări ale politicii de autentificare, furt de sesiune și utilizare anormală a conturilor valide. Răspunsul poate revoca sesiuni sau credențiale, dezactiva o identitate, elimina privilegii neautorizate, restaura politica, izola un sistem și păstra dovezi pentru investigația mai largă a incidentului.
Puncte esențiale
Telemetrie cheieRezultatele autentificării, evenimente de tokenuri și sesiuni, modificări de director, acordări de privilegii, înregistrări de aplicații, înrolarea dispozitivelor, administrarea politicilor și accesul la resurse.
Acțiuni de răspunsContestați sau blocați accesul, revocați tokenuri, rotiți credențiale, dezactivați conturi, eliminați persistența, inversați modificările neautorizate și escaladați prin răspunsul la incidente.
Cerințe de programStabiliți un baselin de comportament de identitate așteptat, protejați și păstrați jurnalele, definiți playbook-uri pentru risc mare, testați căile de izolare și coordonați proprietarii de identitate, operațiuni de securitate și aplicații.
Limitare importantăITDR nu este o categorie de control NIST standardizată, iar acoperirea produselor variază. Jurnalele lipsă, retenția scurtă, tokenurile falsificate sau activitatea în afara sistemelor de identitate integrate pot lăsa puncte oarbe serioase.