Атаки на основе уязвимостей идентификации становятся все более распространенными. Злоумышленники используют скомпрометированные учетные данные, перехваченные методы аутентификации и злоупотребление привилегиями. Хотя многие решения для обнаружения угроз сосредоточены на облачных, конечных точках и сетевых угрозах, они упускают из виду уникальные риски, связанные с экосистемами идентификации SaaS. Эта слепая зона наносит ущерб как крупным, так и небольшим организациям, которые сильно зависят от SaaS.
Вопрос в том, что могут сделать команды безопасности?
Не бойтесь, потому что Identity Threat Detection and Response (ITDR) здесь, чтобы спасти положение. Необходимо иметь видимость и механизмы реагирования, чтобы остановить атаки до того, как они станут утечками данных.
Вот ключевые элементы, которые необходимы каждой команде для защиты от угроз, связанных с идентификацией в SaaS.
1. Полное покрытие: охватывайте каждый угол!
Как щит Капитана Америки, защита должна охватывать все аспекты. Традиционные инструменты обнаружения угроз, такие как XDR и EDR, не охватывают SaaS-приложения, оставляя организации уязвимыми. Покрытие ITDR для SaaS должно включать:
- Расширение за пределы традиционной облачной, сетевой, IoT и endpoint-безопасности, включая SaaS-приложения, такие как Microsoft 365, Salesforce, Jira и GitHub.
- Бесшовная интеграция с провайдерами идентификации (IdP), такими как Okta, Azure AD и Google Workspace, чтобы ни один вход в систему не остался незамеченным.
- Глубокий анализ событий и журналов аудита для детального отчета о всех инцидентах, связанных с идентификацией.
2. Ориентация на идентификацию: ничто не должно ускользнуть
Как паутина Человека-паука, ITDR должна захватывать угрозы до того, как они нанесут удар. Когда события безопасности перечислены только в хронологическом порядке, аномальная активность одной учетной записи может остаться незамеченной. Важно, чтобы ITDR обнаруживала и коррелировала угрозы в рамках временной шкалы, ориентированной на идентификацию.
Что это означает:
- Возможность видеть полную историю атаки одной учетной записи во всей SaaS-среде, отслеживая перемещения от проникновения до утечки данных.
- Структурирование событий аутентификации, изменений привилегий и аномалий доступа в цепочки атак.
- Использование аналитики поведения пользователей и сущностей (UEBA) для выявления отклонений от нормальной активности.
- Непрерывный мониторинг как человеческих, так и нечеловеческих идентификаторов (сервисные учетные записи, API-ключи, OAuth-токены) и флагирование аномальной активности.
- Обнаружение необычных повышений привилегий или попыток перемещения внутри SaaS-среды для быстрого реагирования.
3. Угрозы и аналитика: обнаружение не обнаружимого
Как Профессор X видит все с помощью Церебро, ITDR должна обнаруживать даже скрытые угрозы. Аналитика угроз в ITDR должна:
- Классифицировать активность в даркнете для удобного расследования командами безопасности.
- Включать геолокацию IP-адресов и данные о приватности (VPN) для контекста.
- Улучшать обнаружение угроз с помощью индикаторов компрометации (IoCs), таких как скомпрометированные учетные данные, вредоносные IP-адреса и другие подозрительные маркеры.
- Использовать фреймворки, такие как MITRE ATT&CK, для определения этапов атаки и перемещения злоумышленников.
4. Приоритизация: фокусировка на реальных угрозах
Усталость от предупреждений — это реальность. Как у Сорвиголовы, у ITDR должны быть "сверхчувства", чтобы фильтровать шум и выделять критические угрозы. Приоритизация угроз в SaaS ITDR должна включать:
- Динамическую оценку рисков в реальном времени для снижения ложных срабатываний и выделения наиболее критичных угроз.
- Полную временную шкалу инцидентов, объединяющую события в единую историю атаки.
- Четкий контекст предупреждений с указанием затронутых идентификаторов, приложений, этапа атаки в MITRE ATT&CK и ключевых деталей, таких как неудачные входы, повышение привилегий и аномалии поведения.
5. Интеграции: будьте неуязвимы!
Как Мстители объединяют свои силы, эффективный SaaS ITDR должен иметь интеграции для автоматизации рабочих процессов, повышая эффективность команды. Интеграции ITDR должны включать:
- SIEM и SOAR для автоматизации рабочих процессов.
- Пошаговые руководства по устранению угроз и применению политик для каждого приложения и этапа MITRE ATT&CK.
6. Управление безопасностью: используйте динамический дуэт
Как Черная Вдова и Соколиный Глаз, ITDR и SaaS Security Posture Management (SSPM) — это динамический дуэт. SSPM минимизирует поверхность атаки как первый уровень защиты. SSPM должен включать:
- Глубокую видимость всех SaaS-приложений, включая Shadow IT, интеграции между приложениями, разрешения пользователей и уровни доступа.
- Обнаружение неправильных конфигураций и отклонений от политик, соответствующих фреймворку SCuBA от CISA.
- Выявление неактивных и "осиротевших" учетных записей, которые представляют риск.
- Отслеживание событий жизненного цикла пользователей для предотвращения несанкционированного доступа.