Op identiteit gebaseerde aanvallen nemen toe. Aanvallers richten zich op identiteiten met gecompromitteerde referenties, gekaapte authenticatiemethoden en misbruikte privileges. Hoewel veel oplossingen voor het detecteren van bedreigingen zich richten op cloud-, eindpunt- en netwerkdreigingen, zien ze de unieke risico’s van SaaS -identiteitsecosystemen over het hoofd. Deze blinde vlek veroorzaakt grote schade aan zwaar SaaS-Reliant-organisaties groot en klein.
De vraag is, wat kunnen beveiligingsteams eraan doen?
Heb geen angst, omdat de detectie en reactie van identiteitsdreiging (ITDR) hier is om de dag te redden. Het is essentieel om de zichtbaarheids- en responsmechanismen te hebben om aanvallen te stoppen voordat ze inbreuken worden.
Hier is de super line -up die elk team nodig heeft om SaaS -identiteitsdreigingen te stoppen.
#1 Volledige dekking: bedek elke hoek
Net als het schild van Cap, moet deze verdediging elke hoek bedekken. Traditionele tools voor dreigingsdetectie zoals XDR’s en EDR’s kunnen geen SaaS -applicaties dekken en organisaties kwetsbaar maken. SaaS Identity Threat Detection and Response (ITDR) dekking moet omvatten:
- ITDR zou verder moeten gaan dan de traditionele cloud-, netwerk-, IoT- en eindpuntbeveiliging met SaaS -applicaties zoals Microsoft 365, Salesforce, Jira en GitHub.
- Naadloze integraties met IDP’s zoals Okta, Azure AD en Google Workspace om ervoor te zorgen dat er geen aanmeldingen door de scheuren glijden.
- Diep forensisch onderzoek van gebeurtenissen en auditlogboeken voor een gedetailleerd rapport van logging en historische analyse van alle identiteitsgerelateerde incidenten.
#2 identiteitsgerichte: laat niemand door de draden glippen
Spidey’s web versleten vijanden voordat ze toeslaan, en niemand glijdt door de draden. Wanneer beveiligingsgebeurtenissen alleen in chronologische volgorde worden vermeld, kan abnormale activiteit door een enkele identiteit onopgemerkt blijven. Het is cruciaal om ervoor te zorgen dat uw ITDR bedreigingen detecteert en correleert in een identiteitsgerichte tijdlijn.
Wat identiteitsgericht in ITDR betekent:
- Je kunt het complete aanvalsverhaal zien door één identiteit in je hele SaaS -omgeving, waardoor laterale bewegingen van infiltratie naar exfiltratie in kaart worden gebracht.
- Authenticatie -gebeurtenissen, voorrechtwijzigingen en toegangsafwijkingen zijn gestructureerd in aanvalsketens.
- Gebruikers- en entiteitsgedraganalyses (UEBA) worden gebruikt om afwijkingen van normale identiteitsactiviteit te identificeren, zodat u niet door gebeurtenissen hoeft te jagen om de verdachte te vinden.
- Zowel menselijke als niet-menselijke identiteiten zoals servicerekeningen, API-toetsen en oAuth-tokens worden continu gecontroleerd en gemarkeerd op abnormale activiteit.
- Ongewone privilege -escalaties of laterale bewegingspogingen in uw SaaS -omgevingen worden gedetecteerd, zodat u snel kunt onderzoeken en reageert.
#3 Bedreigingsinformatie: detecteer het niet -detecteerbare
Professor X kan alles met cerebro zien, en complete ITDR zou het niet -detecteerbare moeten kunnen detecteren. ITDR -dreigingsinformatie zou moeten:
- Classificeer elke DarkNet -activiteit voor eenvoudig onderzoek door beveiligingsteams.
- Neem IP -geolocatie en IP -privacy (VPN’s) op voor context.
- Verrijk dreigingsdetectie met indicatoren van compromis (IOC’s) zoals gecompromitteerde referenties, kwaadaardige IP’s en andere verdachte markers.
- Kaart aanvalsfasen met behulp van frameworks zoals MITER ATT & CK om een identiteitscompromis en laterale beweging te identificeren.
#4 Prioritisering: focus op de echte bedreigingen
Alert vermoeidheid is echt. De verhoogde zintuigen van Daredevil stellen hem in staat om door overweldigende ruis te filteren, verborgen gevaren te detecteren en zich te concentreren op de echte bedreigingen – net zoals ITDR -prioritering door mate vermoeidheid en benadrukt kritieke risico’s. SaaS ITDR -dreiging prioritering moet zijn:
- Dynamisch risico-scoren in realtime om valse positieven te verminderen en de meest kritische bedreigingen te benadrukken.
- Een complete incidentige tijdlijn die identiteitsgebeurtenissen verbindt met een samenhangend aanvalsverhaal, waardoor verspreide signalen worden omgezet in high-fidelity, bruikbare waarschuwingen.
- Duidelijke waarschuwingscontext met getroffen identiteiten, getroffen toepassingen, aanvalsfase in het MITER ATT & CK -framework en belangrijke gebeurtenisdetails zoals mislukte aanmeldingen, escalatie van privileges en gedragsafwijkingen.
#5 integraties: wees niet te stoppen
Net zoals de Avengers hun krachten combineren om niet te stoppen te zijn, zou een effectieve SaaS ITDR integraties moeten hebben voor geautomatiseerde workflows, waardoor het team efficiënter wordt en zwaar tillen verminderen. ITDR -integraties moeten omvatten:
- Siem & Soar voor geautomatiseerde workflows.
- Staps-voor-stap mitigatie Playbooks en beleidshandhavingsgidsen voor elke aanvraag en elke fase van het Mitre Att & CK-framework
#6 Posture Management: gebruik van het dynamische duo (bonustip!)
Black Widow en Hawkeye zijn een dynamisch duo en een uitgebreide ITDR is afhankelijk van SaaS Security Posture Management (SSPM) om het aanvalsoppervlak als de eerste beschermingslaag te minimaliseren. Een gratis SSPM moet zijn:
- Diepe zichtbaarheid in alle SaaS-applicaties, inclusief Shadow IT, App-to-App-integraties, gebruikersrechten, rollen en toegangsniveaus.
- Misconfiguratie- en beleidsdriftdetectie, uitgelijnd met het SCUBA-raamwerk door CISA, om verkeerd geconfigureerd authenticatiebeleid te identificeren, zoals gebrek aan MFA, zwak wachtwoordbeleid en overmatige rolgebaseerde machtigingen om te zorgen dat het beleid consistent wordt gehandhaafd.
- Slapende en weesrekeningsdetectie om inactieve, ongebruikte of weesrekeningen te markeren die een risico vormen.
- Tracking van gebruikerslevenscyclusgebeurtenissen om ongeautoriseerde toegang te voorkomen.
Met grote kracht komt grote verantwoordelijkheid
Deze line-up van must-haves rust organisaties volledig uit om elke SaaS-identiteitsgebaseerde dreiging onder ogen te zien die op hun pad komt. Niet alle helden dragen capes … sommige hebben gewoon niet te stoppen ITDR.
Meer informatie over de SaaS -detectie en reactie van Wing Security’s SaaS Identity Threat hier.
