Spiegazione dell'analisi dell'identità

Fondamentalmente, l'analisi dell'identità utilizza l'apprendimento automatico per correlare i segnali di minaccia tra rete, cloud, SaaS e sistemi di identità al fine di stabilire le priorità delle identità in base al rischio osservato.

Nelle operazioni di sicurezza, l'attività relativa alle identità è distribuita su molti sistemi, mentre i record statici delle identità raramente mostrano come vengono esercitati i privilegi in tempo reale. Anziché basarsi esclusivamente sui ruoli assegnati, questo approccio pone l'accento sui privilegi osservati e sulla correlazione tra i diversi ambienti.

Che cos'è l'analisi dell'identità?

L'analisi delle identità valuta il rischio legato alle identità sulla base dei comportamenti osservati piuttosto che su attributi statici come i ruoli assegnati o le voci di directory. Questa distinzione è importante perché, durante gli attacchi reali, il modo in cui l'accesso viene effettivamente utilizzato spesso differisce da come appare sulla carta. Trattando le identità come entità attive, l'analisi delle identità valuta il rischio su cloud, rete, SaaS e sistemi di identità invece che all'interno di silos isolati.

Anche i confini chiari sono importanti. Quando l'analisi dell'identità viene confusa con pratiche di identità adiacenti, i team possono basarsi su segnali incompleti o interpretare erroneamente l'attività dell'identità. 

L'analisi dell'identità viene spesso confusa con:

• Revisioni della governance delle identità e degli accessi, incentrate sull'assegnazione dei diritti piuttosto che sul comportamento in tempo reale
  
• Monitoraggio dell'autenticazione, che pone l'accento sul successo o sul fallimento dell'accesso senza un contesto di attività più ampio.
  
• Analisi statica delle directory, che riflette i privilegi assegnati piuttosto che quelli osservati
  
• Ricerca manuale delle minacce, che in genere non può essere estesa all'analisi continua di migliaia di identità
  

Quando il rischio legato all'identità viene valutato principalmente attraverso autorizzazioni, revisioni o risultati di accesso, è possibile che alcuni segnali comportamentali critici vengano trascurati. 

Scopri perché la gestione delle identità e degli accessi da sola non è in grado di fermare gli attacchi moderni.

Perché le visualizzazioni dell'identità basate su directory non riescono a rappresentare i privilegi osservati

I ruoli assegnati e l'appartenenza al gruppo descrivono l'accesso previsto, non il comportamento effettivo. Questa discrepanza è importante perché gli aggressori possono abusare delle credenziali legittime senza provocare modifiche nei dati della directory. Ecco perché è importante spostare la valutazione del rischio verso i privilegi osservati e le attività correlate invece che verso i record statici.

I record statici, gli eventi isolati e la valutazione dell'identità basata su directory spesso falliscono nei seguenti modi:

• Trattare i privilegi assegnati come equivalenti ai privilegi effettivi, anche quando il comportamento indica un accesso più ampio
  
• Valutare gli eventi relativi all'identità in modo isolato invece di correlare i segnali in una narrazione incentrata sull'identità
  
• Utilizzo del volume degli eventi come indicatore della gravità, aumento della stanchezza da allarmi e errata definizione delle priorità
  
• Costringere gli analisti a passare da uno strumento all'altro e da una query all'altra per ricostruire manualmente il contesto dell'identità
  

I livelli analitici chiave alla base della prioritizzazione dei rischi legati all'identità

La combinazione di privilegi osservati, correlazioni tra domini e punteggi di urgenza produce una visione del rischio incentrata sull'identità. Questa struttura è importante perché la compromissione dell'identità spesso coinvolge provider di identità, cloud , applicazioni SaaS e reti. Trattare questi ambienti separatamente frammenta il contesto e oscura la progressione.

Per unificare la telemetria e migliorare la definizione delle priorità, l'analisi delle identità si basa su una serie definita di livelli analitici. Ciascun livello affronta una limitazione specifica del monitoraggio tradizionale delle identità e la rimozione di uno qualsiasi di essi indebolisce l'interpretazione del rischio.

L'analisi dell'identità si basa sui seguenti livelli:

• Privilegio osservato, che tiene traccia del comportamento in tempo reale e dei modelli di accesso piuttosto che dei ruoli assegnati.
  
• Correlazione tra domini, che collega le attività relative alle identità su rete, cloud, SaaS e sistemi di identità
  
• Punteggio di urgenza, che combina l'importanza aziendale con la velocità e la sofisticatezza delle tattiche di attacco osservate
  
• Contesto di indagine incentrato sull'entità, che mantiene l'analisi focalizzata sulle identità e sulle risorse con cui queste interagiscono.
  

Sostituire il presupposto statico della fiducia con il privilegio osservato

Il comportamento in tempo reale fornisce una visione più accurata del rischio legato all'identità rispetto alle definizioni statiche dei ruoli. Questo è importante perché gli attributi della directory possono rimanere invariati anche quando i privilegi vengono attivamente abusati. Il monitoraggio dei privilegi osservati supporta una prospettiva dinamica e Zero Trust.

Per individuare deviazioni significative, l'analisi dell'identità si concentra su specifici indicatori basati sul comportamento. Questi indicatori sono importanti perché spesso piccoli cambiamenti nell'accesso precedono azioni più urgenti da parte degli aggressori e includono:

• Sottili cambiamenti nell'uso dei privilegi che vanno oltre i limiti previsti
  
• Identità che operano con autorizzazioni eccessive rispetto alle aspettative di accesso definite
  
• Modelli di accesso in tempo reale che contraddicono i ruoli assegnati alla directory
  

Creazione di una narrazione unica attraverso la correlazione tra domini diversi

I segnali sparsi tra i vari sistemi raramente appaiono conclusivi di per sé. Collegare l'attività tra rete, cloud, SaaS e sistemi di identità riduce l'ambiguità su ciò che sta facendo un'identità, trasformando indicatori parziali in modelli di comportamento coerenti.

A tal fine, le soluzioni di analisi dell'identità collegano in modo coerente le attività su diversi domini, quali:

• Fornitori di identità e directory
  
• Livelli Cloud e gestione Cloud
  
• Servizi SaaS di collaborazione e produttività
  
• Ambienti di rete e host locali
  

Come l'analisi dell'identità mappa il comportamento dell'identità rispetto alla progressione dell'attacco

Considerare la compromissione dell'identità come un processo progressivo può chiarire le decisioni relative alla risposta. L'uso improprio nella fase iniziale appare diverso dallo sfruttamento nella fase avanzata e la correlazione dei comportamenti aiuta a differenziare i due casi. Ciò contribuisce a ridurre l'incertezza relativa alla gravità e alla tempistica.

Per valutare la progressione, gli analisti esaminano i comportamenti ricorrenti che segnalano un avanzamento, dall'accesso al controllo, in tutti gli ambienti:

• Motore di scripting utilizzato per accedere ai provider di identità e quindi passare agli cloud
  
• Furto di token, che consente il movimento laterale tra identità e risorse
  
• Kerberoasting credenziali locali per ottenere un accesso con privilegi più elevati
  
• Elevazione dei privilegi e manomissione delle politiche negli cloud
  

Per colmare questa lacuna sono necessarie analisi incentrate sull'identità che rivelino tempestivamente i comportamenti di attacco reali e riducano il carico di lavoro investigativo su team già sottoposti a vincoli.

Scopri come Vectra AI offre una visibilità sulle minacce 3 volte superiore con un carico di lavoro inferiore del 50% →

Come valutare gli approcci di analisi dell'identità 

La valutazione dipende dal fatto che un approccio riduca realmente l'incertezza e migliori la definizione delle priorità. I registri statici e gli avvisi isolati non soddisfano questo requisito. Un'analisi efficace dell'identità si concentra quindi sul comportamento, sulla correlazione e sull'urgenza.

Una valutazione efficace dovrebbe concentrarsi sul fatto che un approccio riduca effettivamente l'incertezza e migliori la definizione delle priorità. I registri statici e gli avvisi isolati non sono sufficienti per raggiungere questo obiettivo. Un'analisi approfondita dell'identità si concentra sul comportamento osservato, sulla correlazione tra ambienti diversi e sull'urgenza.

Criteri di valutazione chiari aiutano a prevenire errori di classificazione e attriti operativi. Inoltre, determinano se l'analisi dell'identità può sostituire l'assemblaggio manuale degli eventi con informazioni coerenti e incentrate sull'identità.

Gli approcci di analisi dell'identità possono essere valutati utilizzando i seguenti criteri:

• L'approccio si basa sui privilegi osservati, piuttosto che sui ruoli statici delle directory, come fondamento per la valutazione del rischio?
  
• Correlazione dei segnali di identità tra rete, cloud, SaaS e sistemi di identità, anziché analizzarli separatamente?
  
• La definizione delle priorità è determinata dall'urgenza e dal rischio piuttosto che dal numero di avvisi o eventi?
  

Come la Vectra AI applica l'analisi delle identità per dare priorità al rischio legato alle identità in tutti gli ambienti

Vectra AI applica l'analisi delle identità correlando i segnali di minaccia all'identità in tutti gli ambienti per stabilire quali identità sono più urgenti. Questo è importante perché la compromissione dell'identità può estendersi alla rete, cloud, al SaaS e ai sistemi di identità, e gli avvisi isolati non forniscono una visione unificata dei privilegi osservati e della progressione del rischio.

In sostanza, la Vectra AI inquadra il problema come una questione di prioritizzazione incentrata sull'identità piuttosto che di monitoraggio incentrato sugli eventi.

Grazie all'analisi dell'identità, la Vectra AI offre visibilità su:

• Quali identità mostrano un comportamento correlato tra rete, cloud, SaaS e sistemi di identità.
  
• Quali identità dimostrano cambiamenti nei privilegi osservati associati alla progressione del rischio.
  
• Quali identità sono coinvolte in comportamenti quali il movimento laterale o l'escalation dei privilegi.

Scopri come la Vectra AI assegna priorità ai rischi legati all'identità su rete, cloud e SaaS →