Detekce a reakce (ITDR)
Rozpoznání krádeže přihlašovacích údajů, eskalace oprávnění a laterálního pohybu včetně automatizované reakce.
Kde modul pomáhá během útoku
Ochrana identit má hlavní roli při průzkumu prostředí a při eskalaci oprávnění; samotné spuštění škodlivého kódu řeší hlavně endpoint.
| Oblast | Úroveň |
|---|---|
| Průzkum | hlavní role |
| Počáteční přístup | doplňková ochrana |
| Spuštění a persistence | kontext |
| Eskalace a šíření | hlavní role |
| Dopad | kontext |
| Vyšetřování a obnova | doplňková ochrana |
Ochrana účtů, které útočník potřebuje k dalšímu postupu
Útočník, který získá přístup k jedné stanici, obvykle potřebuje další účty a vyšší oprávnění. Singularity Identity se zaměřuje právě na tuto fázi: na krádež přihlašovacích údajů, průzkum domény, eskalaci oprávnění a pohyb mezi systémy.
Modul pracuje s Active Directory i s cloudovými poskytovateli identit. Výrobce uvádí mimo jiné Microsoft Entra ID, Okta, Ping, SecureAuth a Duo. Na koncových zařízeních využívá stejného agenta a stejnou konzoli jako Singularity Endpoint.
Postoj identit (ISPM)
Průběžné posouzení nastavení AD a cloudových identit, hledání chybných konfigurací a rizikových expozic.
Klamné prvky
Návnady a falešné přihlašovací údaje, které útočníka prozradí už během průzkumu.
Kompromitované údaje
Upozornění na přihlašovací údaje, které se objevily v únicích na dark webu.
Jak modul funguje v praxi
Když se útočník na stanici pokusí najít uložená hesla nebo zjistit z domény privilegované skupiny a servisní účty, modul mu podle výrobce skutečné údaje skryje, podstrčí klamná data a vytvoří výstrahu v konzoli. Útočník tak prozradí svůj záměr dřív, než získá, co hledá.
Reakce může být automatizovaná. Výrobce uvádí zablokování kompromitovaného účtu, vynucení změny hesla, ukončení relace nebo nové ověření MFA podle politik podmíněného přístupu. Konkrétní kroky závisí na licenci, napojení poskytovatele identit a schválených pravidlech.
Výhodou je propojení s endpointem. Výstraha z identit a výstraha ze stanice se zobrazí v jedné konzoli a uživatele i zařízení lze izolovat bez přepínání mezi nástroji.
Pro ochranu Active Directory může být součástí nasazení komponenta přímo na řadičích domény. Architekturu proto ověříme podle aktuální dokumentace výrobce ještě před pilotem.
Co modul řeší a pro koho je
Modul se hodí organizacím s hybridní správou identit a menším bezpečnostním týmem, který potřebuje vidět souvislost mezi výstrahou na stanici a chováním účtu v doméně.
- Krádež hesel a tokenů z koncových zařízení a jejich zneužití.
- Průzkum Active Directory, například hledání privilegovaných skupin a servisních účtů.
- Eskalaci oprávnění a laterální pohyb mezi stanicemi a doménou.
- Chybná nastavení AD a cloudových identit, která se hromadí roky.
- Přihlašovací údaje zaměstnanců, které unikly mimo organizaci.
Nasazení a provoz s APPSEC
Mapa identit
Domény, řadiče, cloudoví poskytovatelé identit, privilegované a servisní účty a jejich vlastníci.
Posouzení
První posouzení postoje identit ukáže slabá místa a priority oprav.
Pilot
Na vybrané části prostředí ověříme detekce, klamné prvky a reakce tak, aby neomezily běžný provoz.
Provoz
Pravidla reakce, eskalace a předání správcům identit. Podpora v rozsahu nabídky.
Co ověřit před nákupem
- Které části obsahuje zvolená licence: detekci a reakci, posouzení postoje, klamné prvky, ochranu kompromitovaných údajů.
- Podporované verze Active Directory, poskytovatele identit a způsob jejich napojení.
- Jak se modul propojí s vaším MFA a podmíněným přístupem.
- Kdo bude výstrahy z identit vyhodnocovat a kdo smí zasáhnout do účtů.
- Jak se výstrahy z identit dostanou do vašeho SIEM nebo do Singularity AI SIEM.
