ITDR Сравнение с IAM: ключевые различия и почему вам нужны оба инструмента.

Идентификационные данные стали основной поверхностью для атак, и ITDR Вопрос о том, что лучше: IAM или IAM, — определяет подход команд безопасности к проектированию средств защиты. В этой статье сравниваются обнаружение угроз и реагирование на них с управлением идентификацией и доступом, объясняется, где заканчивается действие каждого из этих механизмов контроля, и показывается, почему целесообразно использовать IAM в сочетании с другими методами. ITDR обеспечивает более надежную защиту личных данных.

  • Основные выводы
  • Ответ на вопрос, что такое IAM, начинается с предотвращения: управление идентификацией и доступом аутентифицирует пользователей с помощью паролей, многофакторной аутентификации, ключей доступа или сертификатов, назначает права доступа, управляет жизненным циклом учетной записи и обеспечивает соблюдение принципов управления, при каждом запросе на доступ решая, разрешено ли дальнейшее использование учетной записи.
  • Ответ на вопрос, что это такое ITDR Смещает акцент на операционную деятельность: обнаружение угроз идентификационным данным и реагирование на них; отслеживает поведение после предоставления доступа, используя журналы аутентификации, изменения в каталогах и телеметрию сессий для выявления злоупотреблений, удовлетворяющих всем проверкам политики.
  • Одного лишь управления идентификацией и доступом (IAM) недостаточно для устранения таких уязвимостей, как кража учетных данных, усталость от многофакторной аутентификации (MFA), обход защиты злоумышленниками, кража токенов сессии, изменение привилегий, злоупотребление со стороны инсайдеров и социальная инженерия в службе поддержки, поскольку каждая из этих проблем порождает действия, которые выглядят совершенно законными для правоохранительных органов.
  • ITDR Эти инструменты обеспечивают видимость поверхности атаки на идентификационные данные, позволяют определять базовые показатели поведения, обнаруживать атаки на каталоги, проводить междоменную корреляцию и предпринимать ответные действия, такие как аннулирование сеансов. Такие платформы, как Stellar Cyber, сопоставляют сигналы идентификации с данными конечных точек, сети и облака в рамках единого случая.
  • Рост числа нечеловеческих идентификаторов меняет ситуацию, поскольку у нечеловеческой идентичности нет пути многофакторной аутентификации, часто нет владельца, и она хранит секреты в течение длительного времени. Агентам искусственного интеллекта и автономным агентам необходимы отдельные идентификаторы, токены с узкой областью действия и регистрация каждого вызова инструмента для установления авторства.
#image_title

Как искусственный интеллект и машинное обучение повышают кибербезопасность предприятия

Соединение всех точек в сложном ландшафте угроз

Подробнее
#image_title

Испытайте безопасность на основе искусственного интеллекта в действии!

Откройте для себя передовой искусственный интеллект Stellar Cyber ​​для мгновенного обнаружения угроз и реагирования на них. Запланируйте демонстрацию сегодня!

Заказать визит

Состояние безопасности личных данных в 2026 году

Злоумышленники все чаще используют не взлом, а авторизацию. Кража учетных данных, кража токенов сеансов, фишинг с целью получения согласия и социальная инженерия в службах поддержки — все это создает видимость аутентификации и авторизации. Этот сдвиг переместил вопросы идентификации из сферы ИТ-администрирования в центр операций по обеспечению безопасности.

Что такое ИАМ?

Управление идентификацией и доступом — это дисциплина, определяющая, кто или что представляет собой идентифицируемая личность и какие действия ей разрешены. Платформы IAM управляют жизненным циклом учетных записей и прав доступа, а также обеспечивают соблюдение политик в момент доступа.

  • Аутентификация: Подтверждение личности с помощью паролей, многофакторной аутентификации, ключей доступа или сертификатов.
  • Авторизация: сопоставление идентичностей с ролями, группами и правами.
  • Управление жизненным циклом: Обеспечение ресурсами при приеме на работу, корректировка при изменении должности, сокращение ресурсов при увольнении.
  • Федерация и SSO: Расширение возможностей единой идентификации для приложений SaaS, облачных и локальных приложений.
  • управление: Проведение проверок доступа, сертификационных кампаний и обеспечение соблюдения принципа разделения обязанностей.

Что такое ITDR?

Выявление угроз и реагирование на них. IAM — это дисциплина обеспечения безопасности, ориентированная на выявление случаев неправомерного использования идентификационных данных и реагирование на них. В отличие от IAM, которая проверяет, соответствует ли запрос на доступ политике, ITDR спрашивается, не выглядит ли поведение, лежащее в основе этого запроса, как атака. ITDR инструменты Собирать журналы аутентификации, изменения каталогов, модификации привилегий и телеметрию сессий, а затем сопоставлять эти данные с сигналами конечных точек, сети, облака и SaaS для выявления атак на основе идентификации, находящихся в процессе выполнения.

Компания Gartner представила ITDR Для описания этой категории используется специальный термин, и с тех пор рынок расширился, включив в себя защиту Active Directory и Entra ID, обнаружение злоупотреблений правами доступа к облачным сервисам и анализ перехвата сессий. Такие платформы, как Stellar Cyber, интегрируют телеметрию идентификации в более широкий уровень обнаружения и реагирования, так что сигналы идентификации анализируются вместе с остальной поверхностью атаки, а не изолированно.

Почему одного лишь IAM уже недостаточно для обеспечения безопасности идентификационных данных

IAM — это превентивный механизм контроля. Он работает исключительно хорошо, когда лицо, предоставляющее учетные данные, является законным владельцем этих данных. Принцип работы прост: как только злоумышленник получает контроль над действительным удостоверением личности, IAM предоставляет доступ именно так, как и было задумано.

Типичные пробелы, которые IAM не может устранить самостоятельно.

  • Злоупотребление учетными данными: Украденные фишинговыми атаками или с помощью программ-похитителей информации учетные данные приводят к аутентификации, удовлетворяющей всем проверкам политики.
  • Усталость и обходной путь МФА: Использование push-бомбардировок, прокси-серверов типа "противник посередине" и повторного воспроизведения токенов может обойти многофакторную аутентификацию без нарушения правил.
  • Кража сессий и токенов: Украденный cookie-файл сессии полностью пропускает событие входа в систему, поэтому средства аутентификации никогда не активируются повторно.
  • Изменение структуры каталогов и привилегий: Неправильно настроенные доверительные отношения, устаревшие учетные записи администраторов, теневые права доступа и неограниченное делегирование накапливаются между проверками доступа.
  • Злоупотребление со стороны инсайдеров: Использование сотрудником утвержденного доступа в неутвержденных целях не приводит к генерации оповещения IAM.
  • Социальная инженерия в службе поддержки: Злоумышленники, убедившие службу поддержки сбросить регистрацию многофакторной аутентификации, получают на свой счет легитимные учетные данные.

Поза не является показателем.

Многие организации реагируют на эти пробелы, ужесточая политику управления идентификацией и доступом (IAM): сокращая время действия сессий, вводя условный доступ, усиливая факторы многофакторной аутентификации (MFA) и чаще проводя сертификацию. Эти меры снижают риск, но не обеспечивают обнаружение угроз. Защищенная дверь все равно нуждается в наблюдении за тем, что происходит после ее открытия. ITDR обеспечивает этот уровень мониторинга, непрерывно оценивая поведение, а не в одной точке проверки авторизации.

Ключевые различия: IAM против... ITDR

Наиболее понятный способ сформулировать мысль. ITDR В отличие от IAM, IAM регулирует доступ. ITDR Они исследуют использование этого доступа. Они обрабатывают пересекающиеся данные, но отвечают на разные вопросы и управляются разными командами.

РазмерыIAMITDR
Главная цельПредоставлять и ограничивать доступ в соответствии с политикой.Выявление, расследование и реагирование на случаи неправомерного использования личных данных.
Тип управленияПрофилактические и административныеДетектив и быстро реагирует на ситуации.
таймингПри предоставлении доступа, аутентификации и авторизацииНепрерывный, в том числе и после предоставления доступа.
Основной вопросИмеет ли эта личность право на это?Свидетельствует ли такое поведение о компромиссе?
Типичные данныеСправочники, кадровая документация, права и обязанности, определения политик.Журналы аутентификации, изменения каталогов, активность сеансов, коррелированные телеметрические данные конечных точек и облачных сервисов.
Типичный владелецИТ, разработка фирменной идентичности, GRCОперации по обеспечению безопасности, реагирование на инциденты, поиск угроз.
Представительские действияВнедрить многофакторную аутентификацию, назначать роли, отзывать доступ при увольнении.Отключить сессию, принудительно переаутентифицироваться, изолировать хост, передать проблему в службу реагирования на инциденты.

Там, где эти две категории пересекаются

Граница не является абсолютной. Современные платформы управления идентификацией и доступом (IAM) включают в себя условный доступ на основе оценки рисков, который оценивает входы в систему и может блокировать или усиливать аутентификацию. Продукты управления идентификацией выявляют избыточные права доступа, которые напоминают управление состоянием здоровья. ITDR В свою очередь, инструменты часто выявляют проблемы с гигиеной, такие как неактивные привилегированные учетные записи. Это совпадение полезно, но его не следует путать с эквивалентностью: оценка рисков внутри продукта IAM анализирует событие входа в систему, в то время как ITDR устанавливает взаимосвязь между этим событием и всем остальным, что происходит в окружающей среде.

Что ITDR инструменты обычно предоставляют

  1. Видимость поверхности атаки на идентификационные данные: Инвентаризация идентификационных данных людей и машин, их привилегий и путей аутентификации.
  2. Поведенческая аналитика: Определение базовых моделей доступа для каждой учетной записи и выявление отклонений, таких как невозможные поездки, необычное использование привилегий или нетипичный доступ к ресурсам.
  3. Обнаружение угроз в каталогах: Распознавание таких методов, как Kerberoasting, DCSync, использование «золотых билетов» и подозрительные изменения членства в группах.
  4. Корреляция между различными областями: Установление связи между аномалией идентификации и событиями на конечных устройствах, в сети, электронной почте и облаке для построения единого описания инцидента.
  5. Ответные действия: Отзыв сессий, сброс учетных данных, отключение учетных записей и интеграция с SOAR-плейбуками.

Почему для обеспечения безопасности идентификационных данных необходимы как IAM, так и ITDR

Рассмотрение этого как решения «или-или» приводит к предсказуемым недостаткам. IAM без ITDR Это означает обеспечение соблюдения политики без возможности выявления злоупотреблений. ITDR Без IAM приходится выявлять проблемы в среде, где доступ изначально не был должным образом ограничен, что приводит к генерации огромного количества оповещений, с которыми ни одна команда не может справиться.

Как элементы управления взаимно усиливают друг друга

  • IAM уменьшает радиус поражения взрывной волной. ITDR должен прикрыть. Принцип наименьших привилегий, надежная многофакторная аутентификация и своевременное лишение доступа к данным сокращают количество личных данных, которые можно украсть.
  • ITDR Проверяет, действительно ли работает политика IAM. Выявленные уязвимости обнаруживают обход условного доступа, исключенные учетные записи и устаревшие пути аутентификации, которые не отображаются в отчетах по управлению.
  • ITDR Полученные данные используются для совершенствования IAM. В ходе каждого расследования выявляется чрезмерно расширенная роль, неконтролируемый служебный аккаунт или слабый фактор, который следует исключить из эксплуатации.
  • IAM позволяет ITDR ответ. Для аннулирования сессии или принудительной повторной аутентификации необходимы действия со стороны управляющих плоскостей IAM, поэтому эти два процесса должны быть интегрированы на операционном, а не только концептуальном уровне.

Построение операционного цикла

Практическая модель работает последовательно: IAM определяет и обеспечивает желаемое состояние; ITDR Отслеживает фактическое состояние; расхождения приводят как к реагированию на инциденты, так и к изменению политики. Для замыкания этого цикла телеметрия идентификации должна достигать... SOC в пригодном для использования виде. Stellar Cyber's Open XDR В данном случае применяется подход, при котором данные поставщика идентификации, каталога, конечной точки и облака нормализуются в коррелированные случаи, так что аномальный вход в систему не является изолированным сигналом, а частью сценария атаки, на основе которого аналитик может принять меры.

Краткий контрольный список для внедрения

  1. Проведите инвентаризацию всех источников идентификации, включая каталоги, облачные поставщики идентификации, локальные учетные записи SaaS и субъекты служб.
  2. Внедрите, где это возможно, многофакторную аутентификацию, устойчивую к фишингу, и откажитесь от устаревших протоколов аутентификации.
  3. Передавайте журналы аутентификации и изменений каталогов в платформу обнаружения, а не оставляйте их в консоли IAM.
  4. Базовое нормальное поведение для каждого класса учетных записей, с разделением на руководителей, администраторов, подрядчиков и машинные учетные записи.
  5. Определите сценарии реагирования, которые указывают, кто может отключить учетную запись или аннулировать сессию, и с какой скоростью.
  6. Повторно направляйте сообщения о повторяющихся срабатываниях в группу по управлению идентификацией в качестве задач в списке задач по управлению.

Как NHI и агенты ИИ влияют на IAM и ITDR

В большинстве облачных сред количество нечеловеческих идентификаторов теперь превышает количество сотрудников. Сервисные учетные записи, ключи API, токены OAuth, учетные данные конвейеров CI/CD, идентификаторы рабочих нагрузок и боты — все они аутентифицируются и обладают правами доступа, однако лишь немногие из них соответствуют предположениям, на которых были построены программы управления идентификацией и доступом (IAM).

Почему NHI меняет расчеты

  • Нет пути MFA: Идентификация нечеловеческой личности обычно осуществляется с помощью секрета или сертификата, поэтому самый строгий контроль, осуществляемый непосредственно человеком, здесь не применяется.
  • Нет владельца: Сервисные учетные записи часто существуют дольше, чем сам проект и инженер, который их создал, в результате чего некому подтвердить доступ к ним.
  • Излишний объем работ: Для автоматизации часто предоставляются широкие права доступа, чтобы избежать сбоев в работе конвейеров.
  • Давние секреты: Ключи и токены, которые никогда не меняются, остаются действительными в течение многих лет.
  • Сложности с определением базового уровня: Поведение машины обычно предсказуемо, что облегчает обнаружение, но законные изменения в автоматизации могут выглядеть идентично злоупотреблениям без учета контекста.

Агенты искусственного интеллекта и автономные агенты

ИИ-агенты добавляют категорию, которая ведет себя не как человек и не как традиционный скрипт. Автономные агенты Вызовы инструментов цепочки, доступ к нескольким системам от имени пользователя и возможность воздействия на обрабатываемый контент посредством внедрения подсказок. С точки зрения управления идентификацией и доступом (IAM), вопросы заключаются в том, имеет ли агент собственную идентификацию или заимствует ее у человека, как определяется объем делегированных полномочий и как регулируется согласие на использование подключенных приложений. ITDR С этой точки зрения, вопросы заключаются в том, соответствует ли схема доступа агента его заявленной функции и можно ли отнести его действия к каким-либо конкретным событиям постфактум.

Практические шаги, применимые к обеим дисциплинам, включают в себя присвоение агентам отдельных идентификаторов вместо обмена учетными данными пользователей, узкое определение области действия токенов и сокращение срока их действия, регистрацию каждого вызова инструмента с указанием исходного идентификатора, а также рассмотрение внезапного расширения доступа агента к ресурсам как события, заслуживающего обнаружения. Поскольку активность агентов охватывает SaaS, облачную инфраструктуру и внутренние API, корреляция между этими источниками имеет большее значение, чем любой отдельный поток логов.

Объединяя это

ITDR Сравнение IAM и других систем в конечном итоге сводится к разделению труда, а не к конкуренции. Управление идентификацией и доступом устанавливает правила и обеспечивает защиту прав доступа. Система обнаружения и реагирования на угрозы для идентификационных данных отслеживает, что происходит внутри этих правил, и предоставляет... SOC способ вмешательства. В качестве человеческих историй, нечеловеческие идентичностиБлагодаря тому, что агенты ИИ сливаются в единую непрерывную поверхность идентификации, организации, которые используют обе дисциплины совместно, с общей телеметрией и скоординированным реагированием, смогут выявлять злоупотребления учетными данными гораздо раньше, чем те, кто полагается только на политику доступа.

Часто задаваемые вопросы о ITDR против IAM

Часто задаваемые вопросы о том, как работает система обнаружения и реагирования на угрозы, связанные с идентификацией и доступом, в сочетании с управлением идентификацией и доступом.

Вопрос: Могу ли ITDR Как заменить существующую платформу IAM?

№ ITDR Он не имеет возможности создавать учетные записи, назначать роли или обеспечивать соблюдение политики доступа при входе в систему. Он наблюдает за поведением учетных записей и реагирует на него. Удаление IAM приведет к созданию среды без минимальных привилегий и возможности увольнения, что завалит любой инструмент обнаружения лишней информацией, которую он не сможет обработать.

Они частично совпадают, но не идентичны. Анализ поведения пользователей и сущностей — это один из методов. ITDR Используется для определения базовых показателей и обнаружения аномалий. ITDR Расширенные возможности включают в себя обеспечение видимости поверхности атаки на идентификационные данные, обнаружение угроз, специфичных для каталогов, таких как Kerberoasting или DCSync, а также действия по реагированию, такие как принудительная повторная аутентификация или блокировка учетной записи.

В сфере обеспечения безопасности обычно владеют ITDRПоскольку обнаружение, расследование и реагирование на инциденты являются его основной задачей, IAM обычно находится в ведении ИТ-отдела, отдела проектирования идентификации или GRC. Эти два направления нуждаются в эффективном взаимодействии, поскольку такие действия реагирования, как аннулирование сессии, зависят от плоскостей управления IAM. SOC не всегда осуществляет прямое введение.

Да. Многофакторная аутентификация, устойчивая к фишингу, — это значительное улучшение, но украденные сессионные cookie-файлы полностью обходят событие входа в систему, социальная инженерия в службе поддержки может привести к повторной регистрации факторов аутентификации для злоумышленника, а у инсайдеров уже есть действительные факторы аутентификации. Необходимо обнаружение того, что происходит после успешной аутентификации.

Начните с журналов аутентификации поставщика удостоверений, включая неудачные и успешные попытки, затем перейдите к событиям изменения каталога, изменениям привилегий и членства в группах, изменениям регистрации многофакторной аутентификации и предоставлению согласия OAuth. Добавление активности субъекта службы и токена API обеспечит прозрачность в отношении нечеловеческих идентификаторов, которые редко выявляются при проверке доступа.

Рассматривайте их как отдельный класс идентификации. Жестко ограничивайте права доступа, регулярно обновляйте секреты, назначайте конкретного ответственного за них человека и ограничивайте места использования каждой учетной записи. Затем сравните их поведение с базовыми показателями по отдельности, поскольку активность машин достаточно регулярна, и отклонения легко заметить.

Да. Передача учетных данных пользователя агенту уничтожает атрибуцию и передает агенту все, к чему имеет доступ человек. Выдача отдельных идентификаторов, узкое определение области действия токенов, сокращение срока их действия и регистрация каждого вызова инструмента с указанием исходного идентификатора делают действия агента управляемыми и поддающимися расследованию постфактум.

Звучит слишком хорошо, чтобы
будь настоящим?
Смотрите сами!

Запросить демо
Наверх