Fondamentalement, l'analyse d'identité utilise l'apprentissage automatique pour corréler les signaux de menace entre les réseaux, cloud, les SaaS et les systèmes d'identité afin de hiérarchiser les identités en fonction des risques observés.
Dans les opérations de sécurité, l'activité liée à l'identité est répartie sur de nombreux systèmes, tandis que les enregistrements d'identité statiques montrent rarement comment les privilèges sont exercés en temps réel. Plutôt que de se fier uniquement aux rôles attribués, cette approche met l'accent sur les privilèges observés et la corrélation entre les environnements.
L'analyse des identités évalue les risques liés à l'identité en se basant sur les comportements observés plutôt que sur des attributs statiques tels que les rôles attribués ou les entrées de répertoire. Cette distinction est importante car, lors d'attaques réelles, la manière dont l'accès est réellement utilisé diffère souvent de ce qui est prévu sur le papier. En traitant les identités comme des entités actives, l'analyse des identités évalue les risques à travers cloud, le réseau, le SaaS et les systèmes d'identité plutôt que dans des silos isolés.
Il est également important de définir des limites claires. Lorsque l'analyse d'identité est confondue avec des pratiques d'identité adjacentes, les équipes peuvent s'appuyer sur des signaux incomplets ou mal interpréter l'activité d'identité.
L'analyse d'identité est souvent confondue avec :
Lorsque le risque lié à l'identité est évalué principalement à partir des droits d'accès, des examens ou des résultats de connexion, des signaux comportementaux critiques peuvent être négligés.
Découvrez pourquoi la gestion des identités et des accès ne suffit pas à elle seule à contrer les attaques modernes.
Les rôles attribués et l'appartenance à un groupe décrivent l'accès prévu, et non le comportement réel. Cet écart est important, car les pirates peuvent abuser d'identifiants légitimes sans déclencher de modifications dans les données du répertoire. C'est pourquoi il est important d'orienter l'évaluation des risques vers les privilèges observés et les activités corrélées plutôt que vers des enregistrements statiques.
Les enregistrements statiques, les événements isolés et l'évaluation d'identité basée sur des répertoires échouent généralement de la manière suivante :
La combinaison des privilèges observés, de la corrélation interdomaines et de la notation d'urgence permet d'obtenir une vision du risque centrée sur l'identité. Cette structure est importante, car la compromission d'identité s'étend souvent aux fournisseurs d'identité, cloud , aux applications SaaS et aux réseaux. Traiter ces environnements séparément fragmente le contexte et obscurcit la progression.
Pour unifier la télémétrie et améliorer la hiérarchisation des priorités, l'analyse des identités s'appuie sur un ensemble défini de couches analytiques. Chaque couche traite une limitation spécifique de la surveillance traditionnelle des identités, et la suppression de l'une d'entre elles affaiblit l'interprétation des risques.
L'analyse d'identité repose sur les couches suivantes :
Le comportement en temps réel offre une vision plus précise du risque lié à l'identité que les définitions de rôles statiques. Cela est important, car les attributs du répertoire peuvent rester inchangés même lorsque les privilèges font l'objet d'abus. Le suivi des privilèges observés favorise une perspective dynamique, Zero Trust.
Pour mettre en évidence les écarts significatifs, l'analyse d'identité se concentre sur des indicateurs spécifiques basés sur le comportement. Ces indicateurs sont importants car des changements subtils dans l'accès précèdent souvent des actions plus urgentes de la part des attaquants. Ils comprennent :
Les signaux dispersés à travers les systèmes sont rarement concluants à eux seuls. Le fait de relier l'activité entre les systèmes réseau, cloud, SaaS et d'identité réduit l'ambiguïté quant aux actions d'une identité, transformant ainsi des indicateurs partiels en modèles de comportement cohérents.
Pour ce faire, les solutions d'analyse d'identité relient systématiquement les activités entre plusieurs domaines, tels que :
Considérer la compromission d'identité comme une progression peut clarifier les décisions à prendre en matière de réponse. L'utilisation abusive à un stade précoce diffère de l'exploitation à un stade avancé, et la corrélation des comportements aide à différencier les deux. Cela permet de réduire l'incertitude quant à la gravité et au moment opportun.
Pour évaluer la progression, les analystes examinent les comportements récurrents qui indiquent une avancée, de l'accès au contrôle, dans différents environnements :
Pour combler cette lacune, il faut recourir à des analyses axées sur l'identité qui permettent de détecter rapidement les comportements d'attaque réels et de réduire la charge de travail liée aux enquêtes pour des équipes déjà soumises à des contraintes.
L'évaluation dépend de la capacité d'une approche à réduire réellement l'incertitude et à améliorer la hiérarchisation des priorités. Les enregistrements statiques et les alertes isolées ne répondent pas à cette exigence. Une analyse efficace des identités se concentre donc sur le comportement, la corrélation et l'urgence.
Une évaluation efficace doit se concentrer sur la capacité d'une approche à réduire réellement l'incertitude et à améliorer la hiérarchisation des priorités. Les enregistrements statiques et les alertes isolées ne permettent pas d'atteindre cet objectif. Une analyse d'identité efficace se concentre sur les comportements observés, les corrélations entre les environnements et l'urgence.
Des critères d'évaluation clairs permettent d'éviter les erreurs de classification et les frictions opérationnelles. Ils déterminent également si l'analyse d'identité peut remplacer l'assemblage manuel des événements par des informations cohérentes et centrées sur l'identité.
Les approches d'analyse d'identité peuvent être évaluées à l'aide des critères suivants :
Vectra AI applique l'analyse des identités en corrélant les signaux de menace d'identité dans tous les environnements afin de hiérarchiser les identités les plus urgentes. Cela est important car la compromission d'identité peut s'étendre au réseau, cloud, au SaaS et aux systèmes d'identité, et les alertes isolées ne fournissent pas une vue unifiée des privilèges observés et de la progression des risques.
En substance, la Vectra AI considère le problème comme une question de priorisation centrée sur l'identité plutôt que comme une surveillance centrée sur les événements.
Grâce à l'analyse d'identité, la Vectra AI offre une visibilité sur :
Les données du répertoire reflètent les accès attribués à une identité, tandis que l'analyse des identités évalue la manière dont ces accès sont réellement utilisés sur le réseau, dans cloud, dans les systèmes SaaS et dans les systèmes d'identité. En se concentrant sur les comportements observés et les signaux corrélés, l'analyse des identités identifie les risques qui n'apparaissent pas dans les rôles statiques ou l'appartenance à un groupe. Cette distinction est importante, car les attaquants abusent fréquemment des identifiants légitimes sans modifier les attributs du répertoire, ce qui rend les vues purement basées sur le répertoire aveugles aux utilisations abusives actives.
Non. Les contrôles préventifs tels que l'authentification multifactorielle (MFA) sont conçus pour bloquer ou limiter l'accès au moment de l'authentification, tandis que l'analyse d'identité se concentre sur la détection et la hiérarchisation des comportements malveillants après l'octroi de l'accès. L'analyse d'identité s'intéresse au comportement des identités une fois qu'elles sont actives, y compris l'utilisation abusive de sessions ou d'identifiants valides. Comme ces approches traitent différentes phases d'une attaque, l'analyse d'identité complète les contrôles préventifs plutôt que de les remplacer.
Le score d'urgence est déterminé en corrélant le comportement observé de l'attaquant avec l'importance commerciale d'une identité. Cela comprend l'évaluation de la rapidité et de la sophistication des techniques d'attaque, ainsi que l'importance qui peut être définie directement ou déduite des privilèges observés. L'objectif du score d'urgence est de classer les identités par ordre de priorité en fonction de la progression du risque, et non de résumer des événements isolés liés à l'identité.
Les identités non humaines sont évaluées à l'aide du même cadre comportemental observé que celui appliqué aux identités humaines, car les identités non humaines peuvent jouer un rôle actif dans la progression des attaques inter-environnements.
Les signaux les plus pertinents sont les indicateurs basés sur le comportement qui prennent tout leur sens lorsqu'ils sont corrélés entre différents environnements. Il s'agit notamment des tentatives de connexion répétées infructueuses, de l'utilisation d'identifiants faibles ou obsolètes, des changements soudains dans l'exercice des privilèges, des mouvements latéraux rapides entre les systèmes, de l'accès non autorisé aux fichiers et des activités suspectes dans les couches cloud . Pris individuellement, ces signaux peuvent sembler inoffensifs, mais considérés dans leur ensemble, ils peuvent indiquer une compromission liée à l'identité.