La nouvelle défense axée sur l'identité et la détection ITDR et la réponse aux lettres de créances engagées

Au cours des dernières années, la forme d'attaque a changé : il ne s'agit plus tant de « forcer les portes » sur les serveurs que de tirer parti des identifiants valides pour entrer et se déplacer avec la normale apparente. Les comptes engagés et les menaces internes sont aujourd'hui le vecteur le plus fréquent et le plus efficace, parce qu'ils permettent aux attaquants d'opérer dans l'apparence d'utilisateurs légitimes. Les organisations qui ne dépendent que de mesures préventives commencent à comprendre qu'elles ont besoin d'une visibilité beaucoup plus grande des événements informatiques pour détecter une activité malveillante avant qu'elle ne cause des dommages irréparables.

Des techniques simples mais efficaces - hameçonnage, réutilisation de mots de passe, pulvérisation de mots de passe ou ingénierie sociale - peuvent être automatisées et exécutées à grande échelle, ce qui génère un flux constant de tentatives qui peuvent effondrer les meilleurs filtres. Rapports tels que DBIR de Verizon montrer que le vol de lettres de créances demeure une cause récurrente de lacunes. Donc, au-delà du blocage des courriels malveillants et exigeant l'authentification de plusieurs facteurs, les organisations doivent savoir ce qui se passe dans leurs environnements en temps réel.

C'est là qu'entre en jeu le concept de détection et de réponse centrées sur l'identité, connu sous le nom de détection et de réponse de la menace d'identité. L'ITDR ne remplace pas les mesures préventives; il les complète fournir le contexte nécessaire pour détecter les mouvements suspects et activer une réponse rapide. En enregistrant et en analysant les événements de connexion, en modifiant les permis, en créant des comptes et en modifiant les politiques, un système ITDR aide à discerner entre activités légitimes et signaux d'alarme.

De nombreux cadres de référence en matière de sécurité, y compris l ' approche du < < Zero Trust > > promue par des organismes tels que NISTES ils recommandent de supposer que toute identité peut être un point d'engagement et d'appliquer des contrôles continus. Dans ce paradigme, La gouvernance de l'identité et l'enregistrement complet des événements sont des éléments clés réduire le temps entre l'engagement et la détection, ce qui limite les dommages qu'un attaquant peut causer.

Détecter les anomalies signifie d'abord connaître la "normale" de chaque utilisateur : heures de travail régulières, applications et ressources que vous consultez habituellement, volumes d'accès raisonnables. Ce modèle de référence permet d'identifier des modèles atypiques, comme l'accès dans des temps inhabituels, les pics de tentatives d'authentification échouées, la connexion à partir d'emplacements inattendus ou l'apparition de comptes administratifs en dehors des processus de décharge établis. La technique d'utilisation de comptes valides pour se déplacer latéralement est documentée dans le cadre MITRE ATT & CK comme "Comptes de valeur" et souligne pourquoi la télémétrie d'identité est cruciale.

La réponse efficace exige non seulement des alertes, mais aussi une interface pour enquêter et agir : être en mesure de filtrer les événements par système, type d'événement ou utilisateur; des traces montrant quelles ressources ont été consultées; et un accès facile à l'information contextuelle pour décider s'il faut déconnecter une session, réinitialiser les identifiants ou bloquer temporairement les privilèges. Avoir des dossiers consolidés et des outils d'analyse accélère la recherche et réduit le temps d'exposition.

Les mesures classiques telles que les filtres de courrier, l'authentification multifactorielle et le contrôle d'accès par le principe du privilège minimum (PLP) demeurent essentielles et doivent constituer la base de toute stratégie. Cependant, aucun de ces facteurs n'est infaillible. Les organisations matures combinent la prévention avec la détection fondée sur l'identité et la gouvernance continue, de sorte qu'elles ne dépendent pas seulement d'un mécanisme qui évite les intrusions, mais peuvent rapidement identifier les défaillances éventuelles.

Pour les équipements informatiques et de sécurité, cela signifie investir dans des plateformes qui intègrent la gouvernance d'identité (gestion des rôles, automatisation élevée et faible, revues d'accès) avec des capacités d'audit et d'analyse d'événements sans coût supplémentaire par module ou fonctionnalité. Une solution unifiée réduit les frictions opérationnelles et facilite la conclusion rapide des responsables de la sécurité sur la santé de l'environnement identitaire.

L'adoption de telles solutions a également un avantage culturel : elle oblige les organisations à documenter les processus, à normaliser les processus et à permettre des changements, et à créer des flux de travail clairs pour réagir lorsque quelque chose est jugé suspect. Il fournit également des vérifications et des vérifications de conformité en conservant un historique de consultation de qui a fait quoi, quand et d'où.

Si vous voulez approfondir la façon d'articuler une défense identitaire, il y a des ressources utiles développées par l'industrie qui peuvent aider à concevoir la feuille de route: les guides sur l'authentification multi-facteurs CISA, articles et conseils de sécurité sur l'identité dans le blog Sécurité de Microsoft, et l'analyse des CTPC sur MITRE ATT & CK.

Si vous cherchez une option pratique pour commencer à rassembler la gouvernance d'identité et l'audit d'événements sur une seule plateforme, il y a des fournisseurs qui offrent des démos et des visites personnalisées pour montrer comment ces concepts sont traduits en opérations quotidiennes. La clé est d'arrêter de réagir et de commencer à voir, à corréler et à réagir avant que l'agresseur ne termine son objectif.. Si vous êtes intéressé à voir un exemple de plateforme qui intègre ces capacités, vous pouvez consulter Dixold et demander une démonstration personnalisée sur difold.software.

Article parrainé et préparé par Tenfolk Software.