Che cos’è il rilevamento e la risposta alle minacce all’identità (ITDR)?

Con la crescita del cloud computing, dell’IA e del lavoro remoto, i confini tradizionali si stanno rapidamente dissolvendo. Il rilevamento e la risposta alle minacce all’identità (IDTR) affrontano questi problemi identificando le minacce comuni legate all’identità, come le credenziali rubate e gli attacchi di takeover dell’account (ATO).

Sebbene molte organizzazioni abbiano soluzioni di sicurezza per l’identità, le soluzioni tradizionali di gestione dell’identità e degli accessi (IAM) e di autenticazione a più fattori (MFA) non sono più sufficienti per la sicurezza. Con l’aumento degli attacchi ATO e delle identità non umane (NHI), le imprese necessitano della capacità di rilevare e rispondere rapidamente alle violazioni legate all’identità.

Perché le minacce all’identità sono importanti

Le violazioni legate all’identità rappresentano una delle principali minacce alla sicurezza delle imprese, con quasi un quarto degli attacchi (22%) che inizia con credenziali rubate, rendendola la principale causa delle violazioni. Le credenziali possono essere rubate in vari modi (phishing, malware, ecc.) e concedere a un attaccante l’accesso a un account di un dipendente legittimo sulla rete aziendale. Una volta all’interno, possono rubare dati sensibili, piantare malware o compiere altre azioni per danneggiare l’azienda.

Tecniche comuni di attacco all’identità

Gli attacchi legati all’identità possono utilizzare una varietà di meccanismi diversi. Al alcune delle principali vulnerabilità che gli attaccanti sfruttano includono:

• Password deboli: Il credential stuffing, il brute force per indovinare le password e gli attacchi di password spraying sfruttano tutte password deboli e riutilizzate per concedere accesso agli account.
• Ingegneria sociale: Il phishing e altri attacchi di ingegneria sociale ingannano gli utenti per fargli consegnare le password o installare malware che le ruba.
• Politiche IAM insicure: Politiche IAM deboli o mal configurate possono consentire a un utente non autorizzato di accedere a funzionalità privilegiate e dati sensibili.
• Takeover della sessione: Gli attaccanti possono rubare token di sessione o altri identificatori che consentono loro di dirottare una sessione utente attiva e autenticata.
• Minacce interne: Gli insider fidati all’interno di un’azienda possono essere costretti, corrotti o ingannati a compiere azioni che favoriscono un attacco informatico.

Conseguenze della compromissione dell’identità

La compromissione dell’identità consente a un attaccante di abusare dell’accesso e dei privilegi concessi a un utente legittimo. Alcune delle potenziali ripercussioni per l’azienda includono:

• Violazioni dei dati: Gli attaccanti possono utilizzare un account compromesso per sfruttare l’accesso legittimo di un utente a dati sensibili.

• Infezioni da malware: Il ransomware e altri malware possono essere diffusi da attaccanti che utilizzano account compromessi per accedere ai sistemi target tramite VPN, RDP e altri strumenti di accesso remoto.
• Penalità normative: Le normative sulla protezione dei dati, come il GDPR, il PCI DSS e l’HIPAA, impongono di controllare l’accesso ai dati protetti, quindi l’accesso non autorizzato potrebbe comportare multe o altre penalità normative.
• Interruzione dell’attività: Gli attaccanti possono utilizzare l’accesso non autorizzato per eseguire attacchi di Denial of Service (DoS), e la risposta agli incidenti dopo un evento può influenzare le normali operazioni aziendali.
• Rischio reputazionale. Le violazioni dei dati e altri incidenti causati da identità compromesse possono danneggiare la reputazione di un’organizzazione presso clienti, partner, regolatori e altri stakeholder.
• Aumento dei costi: La risoluzione degli incidenti, l’interruzione dell’attività e le multe possono comportare costi per l’azienda.

Le funzionalità principali di SASE:

L’ITDR estende la gestione tradizionale delle identità per incorporare capacità focalizzate su monitoraggio, rilevamento e risposta. Identificando e affrontando proattivamente gli attacchi imminenti piuttosto che rispondere dopo il fatto, un’organizzazione può ridurre i costi e l’impatto associati a un incidente. L’ITDR consente anche a un’organizzazione di rafforzare la propria postura di sicurezza Zero Trust risolvendo gli incidenti e applicando controlli di accesso a privilegi minimi attraverso i sistemi di identità, come Windows AD, Entra ID e Okta.

Core ITDR Functions

Funzione	Descrizione	Esempio di Caso d’Uso	Valore Aziendale
Monitoraggio	Raccogliere i log e monitorare il comportamento degli utenti/sessioni	Rilevare anomalie nei login di Active Directory	Visibilità anticipata su abusi prima dell’escalation
Rilevamento	Identificare schemi di accesso sospetti o anomali	Individuare tentativi di escalation dei privilegi	Ferma l’abuso interno o esterno in azione
agli incidenti	Automatizzare la remediation degli account compromessi	Bloccare l’account e imporre la ri-autenticazione MFA	Riduce il tempo di permanenza e i costi di recupero da violazioni
Integrazione soc	Collegarsi con strumenti IAM, PAM, SIEM e SOAR	Inviare avvisi nei flussi di lavoro del SOC	Rafforza l’attuale stack di sicurezza identitaria
Analisi	Applicare baseline comportamentali e modelli di ML	Individuare login SaaS insoliti in orari strani	Aumenta l’accuratezza, riduce i falsi positivi

Monitoraggio dei Sistemi Identitari

IDTR raccoglie e aggrega dati identificativi da varie fonti, come servizi di directory, IAM e fornitori di SSO. Queste informazioni consentono al sistema di eseguire un monitoraggio continuo dell’attività degli utenti e dei dispositivi. Dopo aver stabilito le linee di base per l’attività normale, i modelli di accesso anomali e anormali possono essere utilizzati per identificare potenziali attacchi.

Questo monitoraggio consente anche a un’organizzazione di allineare il proprio monitoraggio dell’identità con i requisiti interni ed esterni. Regolamenti, come HIPAA, PCI DSS e GDPR, richiedono il monitoraggio degli accessi ai dati protetti.

Rilevamento di comportamenti identitari sospetti

Il monitoraggio continuo dell’attività degli utenti all’interno dell’impresa consente di rilevare comportamenti sospetti o anomali che potrebbero indicare un attacco. Alcuni comportamenti che IDTR può rilevare includono:

• Viaggi impossibili e orari di accesso insoliti.
• Modelli comuni di escalation dei privilegi.
• Tentativi di movimento laterale utilizzando credenziali rubate.
• Eccessivi tentativi di accesso non riusciti.

Risposta automatizzata e rimedio

ITDR è definito dalla capacità di rispondere rapidamente a un attacco sospetto, contenere l’attaccante e mitigare i danni potenziali. Alcune delle azioni che una soluzione ITDR può intraprendere includono:

• Blocco o sospensione di account compromessi.
• Attivazione della ri-autenticazione MFA.
• Isolamento di dispositivi o sessioni sulla rete.
• Invio di avvisi ai team SOC/SIEM.
• Integrazione con SOAR per una risposta orchestrata.

ITDR contro. IAM, PAM e MFA

ITDR è un componente di una suite completa di gestione e sicurezza delle identità, aggiungendo capacità di rilevamento e risposta alle minacce insieme a misure preventive, come IAM, PAM e MFA. Queste soluzioni sono complementari, con diverse aree di focus, tra cui:

• IAM: Gestione delle identità
• PAM: Gestione dell’accesso privilegiato
• MFA: Protezione contro gli attacchi ATO
• ITDR: Identificazione e risoluzione di incidenti legati alle identità

Confronto degli approcci alla sicurezza delle identità

Approccio	Scopo principale	Punti di forza:	Limitazioni	Dove si inserisce nel Zero Trust
IAM	Gestire le identità e l’accesso degli utenti	Controllo centralizzato, auditabilità	Non rileva l’uso improprio in tempo reale	Stabilisce una baseline dell’identità
PAM	Governare l’accesso agli account privilegiati	Limita l’abuso degli account ad alto rischio	Distribuzione complessa, ambito ristretto	Protegge gli account “crown jewel”
MFA	Rafforza il processo di autenticazione	Blocca molti attacchi alle credenziali	Può essere bypassato con token rubati	Applica una forte verifica del login
ITDR	Rileva e risponde all’uso improprio dell’identità	Rilevamento proattivo, rapida rimedio	Richiede integrazione con IAM/PAM	Verifica continua + risposta adattiva
ZTNA	Applica l’identità nell’accesso alla rete	Controllo consapevole del contesto, sessione per sessione	Necessita di integrazione con la fonte di identità	Esegue politiche di zero trust in tempo reale

Come Cato Networks supporta la rilevazione delle minacce all’identità

La Cato SASE Cloud Platform supporta ITDR come parte delle sue funzioni integrate di Zero Trust Network Access (ZTNA). ZTNA monitora continuamente il traffico di rete, applicando politiche aziendali, autenticazione, controlli di accesso con il minimo privilegio e validazione delle sessioni. Con ZTNA e ITDR integrati nella piattaforma Cato SASE Cloud, queste capacità beneficiano anche della rete privata globale di Cato e delle funzioni integrate di Security Service Edge (SSE).

Zero Trust Network Access (ZTNA)

Cato implementa ITDR tramite ZTNA, offrendo sicurezza dell’identità a zero trust attraverso la WAN aziendale. ZTNA si integra con fornitori di identità, come Okta, AD e Ping, e applica politiche di accesso consapevoli del contesto basate su utente, dispositivo e posizione. L’applicazione viene eseguita su base sessione per sessione, e i controlli richiesti vengono aggiornati dinamicamente in base al livello di rischio.

Monitoraggio continuo delle sessioni

Il monitoraggio continuo delle sessioni fornisce informazioni sul furto di sessioni e sull’uso malevolo di una sessione autenticata. Le capacità chiave includono:

• Rilevamento di comportamenti anomali delle sessioni.
• Blocco dei tentativi di movimento laterale.
• Imposizione di una nuova autenticazione quando il rischio aumenta.
• Riduzione del tempo di permanenza per gli account compromessi.

Sicurezza unificata

La piattaforma Cato SASE Cloud implementa uno stack SSE convergente, combinando ITDR con FWaaS, SWG, CASB e DLP. Questa combinazione consente alla piattaforma di gestire i potenziali impatti delle identità compromesse e di implementare l’applicazione della sicurezza nativa del cloud in una forza lavoro distribuita. Inoltre, il motore di policy unico riduce la complessità operativa offrendo una gestione centralizzata attraverso diverse funzioni di sicurezza.

Rilevamento delle minacce all’identità in pratica

Gli aggressori apprezzano le credenziali compromesse perché concedono accesso legittimo ai sistemi aziendali. Alcuni scenari comuni includono:

• Le credenziali di un dipendente vengono compromesse dall’aggressore tramite un attacco di phishing. ITDR identifica schemi di accesso insoliti e blocca l’account per una revisione.
• Un’app SaaS registra un alto numero di tentativi di accesso falliti per gli account dei dipendenti. ITDR identifica un tentativo di attacco di credential stuffing e blocca le richieste future da indirizzi malevoli noti.
• Un insider sta utilizzando un account privilegiato per raccogliere ed esfiltrare dati sensibili dall’azienda. ITDR segnala il tentativo di abuso di privilegi, blocca l’account e impedisce ai dati sensibili di lasciare la rete.

FAQ

In che modo ITDR si differenzia da IAM e PAM?

IAM e PAM sono soluzioni preventive progettate per bloccare attacchi controllando l’accesso alle risorse aziendali. ITDR si concentra sulla rilevazione e risposta, cercando segni di un attacco in corso e rimediando ad esso. Le soluzioni sono complementari poiché ITDR può fermare attacchi che IAM e PAM non riescono a prevenire.

Perché ITDR è essenziale per il zero trust?

Il zero trust previene l’accesso non autorizzato alle risorse aziendali, ma non fa nulla contro attacchi che utilizzano privilegi legittimi. ITDR completa il zero trust cercando segni di attacchi legati all’identità. Ad esempio, un attaccante può utilizzare credenziali compromesse per accedere legittimamente a un’app aziendale. Il zero trust potrebbe consentire questo, ma ITDR può identificare i segni di un attacco e bloccarlo.

ITDR può mitigare le minacce interne?

Le minacce interne sono una delle principali minacce che ITDR è progettato per affrontare. Utilizzando l’analisi comportamentale, ITDR può identificare segni di attività anomala o potenzialmente malevola da parte di un utente fidato. Identificando questi comportamenti anomali e impedendo il movimento laterale, ITDR cattura le minacce interne più rapidamente e previene la loro diffusione attraverso la rete di un’organizzazione.

Quale ruolo gioca ZTNA in ITDR?

ITDR identifica segni di attacchi legati all’identità, mentre ZTNA applica le sue decisioni tramite controlli di accesso o altre restrizioni. Ad esempio, se ITDR ritiene che un account sia stato compromesso, ZTNA potrebbe richiedere una nuova autenticazione. Quando implementato come parte di una piattaforma SASE come Cato SASE Cloud, questo rende l’applicazione dell’identità coerente attraverso accessi a cloud, data center e filiali.

ITDR sostituisce MFA?

ITDR è una tecnologia complementare a MFA. MFA riduce il rischio di un account compromesso rafforzando l’autenticazione, mentre ITDR lavora per identificare attacchi che utilizzano account compromessi.

Rilevazione e Risposta alle Minacce Identitarie con Cato Networks

Poiché l’identità diventa il “nuovo perimetro”, l’ITDR è sempre più vitale per la sicurezza aziendale. La piattaforma Cato SASE Cloud implementa l’ITDR con ZTNA come parte di una piattaforma SASE convergente, offrendo una sicurezza dell’identità semplificata e più coerente in tutta l’azienda.

Scopri come Cato Networks rafforza la sicurezza dell’identità con ZTNA e SASE. Richiedi una demo per esplorare come riduciamo il rischio guidato dall’identità.