Im Kern nutzt die Identitätsanalyse maschinelles Lernen, um Bedrohungssignale über Netzwerk-, cloud, SaaS- und Identitätssysteme hinweg zu korrelieren und Identitäten auf der Grundlage des beobachteten Risikos zu priorisieren.
In Sicherheitsvorgängen sind Identitätsaktivitäten auf viele Systeme verteilt, während statische Identitätsdatensätze selten zeigen, wie Berechtigungen in Echtzeit ausgeübt werden. Anstatt sich allein auf zugewiesene Rollen zu verlassen, legt dieser Ansatz den Schwerpunkt auf beobachtete Berechtigungen und umgebungsübergreifende Korrelationen.
Die Identitätsanalyse bewertet das Identitätsrisiko auf der Grundlage des beobachteten Verhaltens und nicht anhand statischer Attribute wie zugewiesener Rollen oder Verzeichniseinträgen. Diese Unterscheidung ist wichtig, da sich bei tatsächlichen Angriffen die tatsächliche Nutzung des Zugriffs oft von der auf dem Papier unterscheidet. Durch die Behandlung von Identitäten als aktive Einheiten bewertet die Identitätsanalyse das Risiko über cloud, Netzwerk-, SaaS- und Identitätssysteme hinweg und nicht innerhalb isolierter Silos.
Klare Grenzen sind ebenfalls wichtig. Wenn Identitätsanalysen mit benachbarten Identitätspraktiken verwechselt werden, können Teams sich auf unvollständige Signale verlassen oder Identitätsaktivitäten falsch interpretieren.
Identitätsanalyse wird oft verwechselt mit:
Wenn das Identitätsrisiko in erster Linie anhand von Berechtigungen, Überprüfungen oder Anmeldergebnissen bewertet wird, können wichtige Verhaltenssignale übersehen werden.
Erfahren Sie, warum Identitäts- und Zugriffsmanagement allein moderne Angriffe nicht verhindern kann.
Zugewiesene Rollen und Gruppenmitgliedschaften beschreiben den beabsichtigten Zugriff, nicht das tatsächliche Verhalten. Diese Diskrepanz ist von Bedeutung, da Angreifer legitime Anmeldedaten missbrauchen können, ohne Änderungen an den Verzeichnisdaten auszulösen. Aus diesem Grund ist es wichtig, die Risikobewertung auf beobachtete Berechtigungen und korrelierte Aktivitäten statt auf statische Datensätze auszurichten.
Statische Datensätze, isolierte Ereignisse und verzeichnisgesteuerte Identitätsbewertungen scheitern häufig auf folgende Weise:
Die Kombination aus beobachteten Privilegien, domänenübergreifender Korrelation und Dringlichkeitsbewertung ergibt eine identitätszentrierte Risikobetrachtung. Diese Struktur ist wichtig, da Identitätskompromittierungen häufig Identitätsanbieter, cloud , SaaS-Anwendungen und Netzwerke betreffen. Eine getrennte Behandlung dieser Umgebungen fragmentiert den Kontext und verschleiert den Fortschritt.
Um die Telemetrie zu vereinheitlichen und die Priorisierung zu verbessern, stützt sich die Identitätsanalyse auf eine definierte Reihe von Analyseebenen. Jede Ebene befasst sich mit einer bestimmten Einschränkung der herkömmlichen Identitätsüberwachung, und das Entfernen einer dieser Ebenen schwächt die Risikobewertung.
Die Identitätsanalyse basiert auf den folgenden Ebenen:
Das Echtzeitverhalten liefert einen genaueren Überblick über Identitätsrisiken als statische Rollendefinitionen. Dies ist wichtig, da Verzeichnisattribute unverändert bleiben können, selbst wenn Berechtigungen aktiv missbraucht werden. Die Verfolgung beobachteter Berechtigungen unterstützt eine dynamische, Zero Trust Perspektive.
Um aussagekräftige Abweichungen aufzudecken, konzentriert sich die Identitätsanalyse auf bestimmte verhaltensbasierte Indikatoren. Diese Indikatoren sind wichtig, da subtile Veränderungen beim Zugriff oft Vorboten für dringlichere Angriffe sind. Dazu gehören:
Über verschiedene Systeme verstreute Signale sind für sich genommen selten aussagekräftig. Durch die Verknüpfung von Aktivitäten über Netzwerk-, cloud, SaaS- und Identitätssysteme hinweg lassen sich Unklarheiten hinsichtlich der Aktivitäten einer Identität reduzieren und Teilindikatoren in kohärente Verhaltensmuster umwandeln.
Zu diesem Zweck verknüpfen Identitätsanalyselösungen Aktivitäten über mehrere Bereiche hinweg, wie zum Beispiel:
Die Betrachtung von Identitätsmissbrauch als fortlaufender Prozess kann die Entscheidungsfindung hinsichtlich der Reaktion erleichtern. Missbrauch im Frühstadium unterscheidet sich von Ausnutzung im Spätstadium, und die Korrelation von Verhaltensweisen hilft dabei, beide voneinander zu unterscheiden. Dies trägt dazu bei, Unsicherheiten hinsichtlich Schweregrad und Zeitpunkt zu verringern.
Um den Fortschritt zu bewerten, untersuchen Analysten wiederkehrende Verhaltensweisen, die auf eine Weiterentwicklung hindeuten, vom Zugriff bis zur Kontrolle, über verschiedene Umgebungen hinweg:
Um diese Lücke zu schließen, sind identitätsorientierte Analysen erforderlich, die echtes Angriffsverhalten frühzeitig aufdecken und die Untersuchungslast für bereits stark beanspruchte Teams reduzieren.
Die Bewertung hängt davon ab, ob ein Ansatz tatsächlich Unsicherheiten reduziert und die Priorisierung verbessert. Statische Aufzeichnungen und isolierte Warnmeldungen erfüllen diese Anforderung nicht. Eine effektive Identitätsanalyse konzentriert sich daher auf Verhalten, Korrelation und Dringlichkeit.
Eine effektive Bewertung sollte sich darauf konzentrieren, ob ein Ansatz tatsächlich Unsicherheiten reduziert und die Priorisierung verbessert. Statische Aufzeichnungen und isolierte Warnmeldungen reichen für dieses Ziel nicht aus. Eine leistungsstarke Identitätsanalyse konzentriert sich auf beobachtetes Verhalten, umgebungsübergreifende Korrelationen und Dringlichkeit.
Klare Bewertungskriterien tragen dazu bei, Fehlklassifizierungen und operative Reibungsverluste zu vermeiden. Sie entscheiden auch darüber, ob Identitätsanalysen das manuelle Zusammenfügen von Ereignissen durch konsistente, identitätszentrierte Erkenntnisse ersetzen können.
Identitätsanalyseansätze können anhand der folgenden Kriterien bewertet werden:
Die Vectra AI wendet Identitätsanalysen an, indem sie Signale für Identitätsbedrohungen über verschiedene Umgebungen hinweg miteinander in Beziehung setzt, um zu priorisieren, welche Identitäten am dringendsten behandelt werden müssen. Dies ist wichtig, da Identitätskompromittierungen sich über Netzwerke, cloud, SaaS und Identitätssysteme erstrecken können und isolierte Warnmeldungen keinen einheitlichen Überblick über die beobachteten Berechtigungen und die Entwicklung der Risiken bieten.
Im Wesentlichen formuliert die Vectra AI das Problem als identitätszentrierte Priorisierung und nicht als ereigniszentrierte Überwachung.
Mithilfe von Identitätsanalysen bietet die Vectra AI Einblick in:
Sehen Sie, wie die Vectra AI Identitätsrisiken in Netzwerken, cloud und SaaS priorisiert →
Verzeichnisdaten spiegeln wider, welcher Zugriff einer Identität zugewiesen ist, während die Identitätsanalyse bewertet, wie dieser Zugriff tatsächlich in Netzwerk-, cloud, SaaS- und Identitätssystemen ausgeübt wird. Durch die Konzentration auf beobachtetes Verhalten und korrelierte Signale identifiziert die Identitätsanalyse Risiken, die in statischen Rollen oder Gruppenmitgliedschaften nicht erscheinen. Diese Unterscheidung ist wichtig, da Angreifer häufig legitime Anmeldedaten missbrauchen, ohne die Verzeichnisattribute zu ändern, sodass rein verzeichnisbasierte Ansichten keinen Einblick in aktiven Missbrauch geben.
Nein. Präventive Kontrollen wie MFA dienen dazu, den Zugriff beim Authentifizierungsvorgang zu blockieren oder einzuschränken, während sich die Identitätsanalyse darauf konzentriert, böswilliges Verhalten nach der Gewährung des Zugriffs zu erkennen und zu priorisieren. Die Identitätsanalyse befasst sich damit, wie sich Identitäten nach ihrer Aktivierung verhalten, einschließlich des Missbrauchs gültiger Sitzungen oder Anmeldedaten. Da diese Ansätze unterschiedliche Phasen eines Angriffs behandeln, ergänzt die Identitätsanalyse präventive Kontrollen, anstatt sie zu ersetzen.
Die Dringlichkeitsbewertung wird durch die Korrelation des beobachteten Angreiferverhaltens mit der geschäftlichen Bedeutung einer Identität ermittelt. Dazu gehört die Bewertung der Geschwindigkeit und Raffinesse der Angriffstechniken sowie der Bedeutung, die direkt definiert oder aus den beobachteten Berechtigungen abgeleitet werden kann. Der Zweck der Dringlichkeitsbewertung besteht darin, Identitäten auf der Grundlage der Risikoverläufe zu priorisieren und nicht isolierte Identitätsereignisse zusammenzufassen.
Nicht-menschliche Identitäten werden anhand desselben Rahmens für beobachtetes Verhalten bewertet, der auch für menschliche Identitäten gilt, da nicht-menschliche Identitäten eine aktive Rolle bei der Ausbreitung von Angriffen über verschiedene Umgebungen hinweg spielen können.
Die relevantesten Signale sind verhaltensbasierte Indikatoren, die erst dann aussagekräftig werden, wenn sie über verschiedene Umgebungen hinweg korreliert werden. Dazu gehören wiederholte fehlgeschlagene Anmeldeversuche, die Verwendung schwacher oder veralteter Anmeldedaten, plötzliche Änderungen in der Ausübung von Berechtigungen, schnelle laterale Bewegungen zwischen Systemen, unbefugter Dateizugriff und verdächtige Aktivitäten in cloud . Einzeln betrachtet mögen diese Signale harmlos erscheinen, aber in ihrer Gesamtheit können sie auf eine identitätsbasierte Kompromittierung hinweisen.