Detekcia a reakcia (ITDR)
Rozpoznanie krádeže prihlasovacích údajov, eskalácie oprávnení a laterálneho pohybu vrátane automatizovanej reakcie.
Kde modul pomáha počas útoku
Ochrana identít má hlavnú rolu pri prieskume prostredia a pri eskalácii oprávnení; samotné spustenie škodlivého kódu rieši najmä endpoint.
| Oblasť | Úroveň |
|---|---|
| Prieskum | hlavná úloha |
| Počiatočný prístup | doplnková ochrana |
| Spustenie a perzistencia | kontext |
| Eskalácia a šírenie | hlavná úloha |
| Dopad | kontext |
| Vyšetrovanie a obnova | doplnková ochrana |
Ochrana účtov, ktoré útočník potrebuje na ďalší postup
Útočník, ktorý získa prístup k jednej stanici, zvyčajne potrebuje ďalšie účty a vyššie oprávnenia. Singularity Identity sa zameriava práve na túto fázu: na krádež prihlasovacích údajov, prieskum domény, eskaláciu oprávnení a pohyb medzi systémami.
Modul pracuje s Active Directory aj s cloudovými poskytovateľmi identít. Výrobca uvádza okrem iného Microsoft Entra ID, Okta, Ping, SecureAuth a Duo. Na koncových zariadeniach využíva rovnakého agenta a rovnakú konzolu ako Singularity Endpoint.
Stav identít (ISPM)
Priebežné posúdenie nastavení AD a cloudových identít, hľadanie chybných konfigurácií a rizikových expozícií.
Klamlivé prvky
Návnady a falošné prihlasovacie údaje, ktoré útočníka prezradia už počas prieskumu.
Kompromitované údaje
Upozornenie na prihlasovacie údaje, ktoré sa objavili v únikoch na dark webe.
Ako modul funguje v praxi
Keď sa útočník na stanici pokúsi nájsť uložené heslá alebo zistiť z domény privilegované skupiny a servisné účty, modul mu podľa výrobcu skutočné údaje skryje, podstrčí klamlivé dáta a vytvorí výstrahu v konzole. Útočník tak prezradí svoj zámer skôr, než získa, čo hľadá.
Reakcia môže byť automatizovaná. Výrobca uvádza zablokovanie kompromitovaného účtu, vynútenie zmeny hesla, ukončenie relácie alebo nové overenie MFA podľa politík podmieneného prístupu. Konkrétne kroky závisia od licencie, napojenia poskytovateľa identít a schválených pravidiel.
Výhodou je prepojenie s endpointom. Výstraha z identít a výstraha zo stanice sa zobrazia v jednej konzole a používateľa aj zariadenie možno izolovať bez prepínania medzi nástrojmi.
Na ochranu Active Directory môže byť súčasťou nasadenia komponent priamo na radičoch domény. Architektúru preto overíme podľa aktuálnej dokumentácie výrobcu ešte pred pilotom.
Čo modul rieši a pre koho je
Modul sa hodí organizáciám s hybridnou správou identít a menším bezpečnostným tímom, ktorý potrebuje vidieť súvislosť medzi výstrahou na stanici a správaním účtu v doméne.
- Krádež hesiel a tokenov z koncových zariadení a ich zneužitie.
- Prieskum Active Directory, napríklad hľadanie privilegovaných skupín a servisných účtov.
- Eskaláciu oprávnení a laterálny pohyb medzi stanicami a doménou.
- Chybné nastavenia AD a cloudových identít, ktoré sa hromadia roky.
- Prihlasovacie údaje zamestnancov, ktoré unikli mimo organizácie.
Nasadenie a prevádzka s APPSEC
Mapa identít
Domény, radiče, cloudoví poskytovatelia identít, privilegované a servisné účty a ich vlastníci.
Posúdenie
Prvé posúdenie stavu identít ukáže slabé miesta a priority opráv.
Pilot
Na vybranej časti prostredia overíme detekcie, klamlivé prvky a reakcie tak, aby neobmedzili bežnú prevádzku.
Prevádzka
Pravidlá reakcie, eskalácie a odovzdanie správcom identít. Podpora v rozsahu ponuky.
Čo overiť pred nákupom
- Ktoré časti obsahuje zvolená licencia: detekciu a reakciu, posúdenie stavu identít, klamlivé prvky, ochranu kompromitovaných údajov.
- Podporované verzie Active Directory, poskytovateľa identít a spôsob ich napojenia.
- Ako sa modul prepojí s vaším MFA a podmieneným prístupom.
- Kto bude výstrahy z identít vyhodnocovať a kto smie zasiahnuť do účtov.
- Ako sa výstrahy z identít dostanú do vášho SIEM alebo do Singularity AI SIEM.
