Jahrelang wurden Identitäts- und Sicherheitsmanagement oft als getrennte Disziplinen behandelt, und Identitätsteams konzentrierten sich auf eine altbekannte Frage: Wer sollte Zugriff auf was haben? Das SOC konzentrierte sich auf eine andere Frage: Was geschieht in unserer Umgebung, und ist diese Aktivität böswillig?
In einer Welt, die von Cloud, SaaS, Fernzugriff, privilegierten Konten, APIs, Maschinenidentitäten und KI-Identitäten geprägt ist, müssen Angreifer nicht immer im herkömmlichen Sinne „eindringen“. Manchmal können sie sich einfach einloggen.
Meiner Ansicht nach verändert dies die Rolle der Identität. Sie ist zu einer unverzichtbaren Quelle für Kontext, Kontrolle und Reaktionsfähigkeit für das moderne SOC geworden.
Eine erfolgreiche Anmeldung bestätigt, dass sich ein Konto authentifiziert hat. Sie gibt jedoch keinen Aufschluss darüber, ob die Person oder der Prozess, der das Konto nutzt, legitim ist, ob die Berechtigungen angemessen sind oder ob der darauf folgenden Aktivität vertraut werden sollte.
Sicherheitsteams sammeln Telemetriedaten von Endgeräten, Netzwerken, Cloud-Plattformen und Anwendungen. SIEM- (Security Information and Event Management) und XDR- (Extended Detection and Response) Plattformen helfen dabei, diese Signale zusammenzuführen.
Ein Ereignis ohne Identitätskontext kann jedoch nur einen Teil des Gesamtbildes wiedergeben.
Stellen Sie sich vor, ein privilegiertes Konto meldet sich erfolgreich an. Die Authentifizierung selbst mag legitim erscheinen, doch Sicherheitsteams müssen detailliertere Fragen stellen:
Die Antworten helfen Analysten dabei, sowohl die Wahrscheinlichkeit einer Kompromittierung als auch deren potenzielle Auswirkungen einzuschätzen. Eine ungewöhnliche Anmeldung bei einem Konto mit eingeschränktem Zugriff stellt ein anderes Risiko dar als eine Anmeldung durch einen Administrator, der Zugriff auf kritische Systeme hat.
Identitätsteams verfügen über Kenntnisse in den Bereichen Authentifizierung, Berechtigungen, Rollen, Privilegien und dem Zugriffslebenszyklus. SOC-Teams bringen Fachwissen in den Bereichen Erkennung, Untersuchung, Korrelation und Reaktion mit. Die Bündelung dieses Wissens macht beide Teams effektiver.
Der Identitätskontext hilft Analysten dabei, Aktivitäten mit den Berechtigungen eines Kontos, dem erwarteten Verhalten und dem potenziellen Zugriffsbereich in Verbindung zu bringen. Er bietet ihnen eine solidere Grundlage für die Entscheidung, was untersucht werden muss und wie dringend gehandelt werden muss.
Eine Anmeldung allein sagt möglicherweise wenig aus. Eine Anmeldung mit einer Identität mit weitreichenden Berechtigungen, gefolgt von ungewöhnlichem Zugriff auf sensible Daten und unerwartetem Verhalten, liefert jedoch einen viel eindeutigeren Grund für eine Untersuchung.
Analysten müssen verstehen, ob diese Aktivität für die betreffende Identität sinnvoll ist. Wurden ihre Berechtigungen kürzlich geändert? Greift sie auf Systeme zu, die außerhalb ihres üblichen Zuständigkeitsbereichs liegen? Könnte das Konto einen Zugang zu anderen Bereichen der Organisation bieten?
Die Kombination von Identitätsinformationen mit Telemetriedaten von Endgeräten, der Cloud, dem Netzwerk und Anwendungen hilft bei der Beantwortung dieser Fragen.
Das Ziel sollte ein besserer Kontext sein. Mehr Warnmeldungen haben nur begrenzten Wert, wenn Analysten immer noch nicht feststellen können, um welches Konto es sich handelt, worauf es Zugriff hat oder warum die Aktivität von Bedeutung ist.
Das Verständnis der Zugriffsrechte und der geschäftlichen Rolle einer Identität hilft dem SOC dabei, eine angemessene Reaktion auf einen vermuteten Sicherheitsverstoß zu wählen.
Je nach Umgebung und verfügbaren Kontrollmechanismen könnte diese Reaktion das Beenden aktiver Sitzungen, das Verlangen einer zusätzlichen Authentifizierung, das Entziehen von Berechtigungen, die Einschränkung des Zugriffs oder die Deaktivierung eines Kontos umfassen.
Diese Entscheidungen erfordern Sorgfalt. Die Deaktivierung eines Mitarbeiterkontos und die Deaktivierung eines Dienstkontos, das eine kritische Anwendung unterstützt, können sehr unterschiedliche betriebliche Folgen haben.
Identitätsteams können dem SOC helfen, diese Abhängigkeiten zu verstehen. Sicherheitsteams können das beobachtete Verhalten, die Anzeichen einer Kompromittierung und die Dringlichkeit der Eindämmung erläutern.
Klare Zuständigkeiten und vereinbarte Reaktionsverfahren ermöglichen es den Teams, bei einem Vorfall mit größerer Sicherheit zu handeln.
Der Nutzen wirkt in beide Richtungen. Identitätsinformationen stärken Sicherheitsuntersuchungen, während Erkenntnisse des SOC Zugangsrisiken aufdecken können, die Governance-Prozessen allein möglicherweise entgehen.
In der Vergangenheit haben sich viele Identitätsprogramme auf Richtlinien und Governance konzentriert: Sollte diese Person Zugriff auf dieses System haben?
Der Sicherheitsbetrieb wirft eine weitere wichtige Frage auf: Was macht die Person tatsächlich mit diesem Zugriff?
Eine Berechtigung kann genehmigt und technisch gültig sein, während das damit verbundene Verhalten eine Untersuchung rechtfertigt. Ein Konto könnte plötzlich auf unbekannte Anwendungen zugreifen, ungewöhnlich große Datenmengen abrufen oder Berechtigungen auf eine Weise nutzen, die nicht dem vorgesehenen Zweck entspricht.
Die Rückmeldung dieser Erkenntnisse in die Identitätsprozesse kann als Grundlage für Zugriffsüberprüfungen, Änderungen von Berechtigungen und weitere Untersuchungen dienen. Außerdem hilft sie Unternehmen dabei, Identitätsrisiken zwischen den planmäßigen Überprüfungen einzuschätzen.
Dies gilt gleichermaßen für menschliche, maschinelle und KI-Identitäten. Zu verstehen, was eine Identität tun darf, ist unerlässlich. Zu verstehen, wie sie diese Berechtigungen nutzt, liefert eine weitere Ebene an Erkenntnissen.
Eine engere Zusammenarbeit erfordert mehr als nur das Senden von Identitätsprotokollen an ein SIEM. Teams benötigen ein gemeinsames Verständnis hinsichtlich der Zuständigkeit für Identitäten, der Zugriffsrechte, des erwarteten Verhaltens und der geschäftlichen Auswirkungen von Reaktionsmaßnahmen.
Ein praktischer Ansatzpunkt besteht darin, Informationen zu Authentifizierung, Berechtigungen und Privilegien während SOC-Untersuchungen verfügbar zu machen. Die Teams sollten sich zudem darauf einigen, wie bei Verdacht auf eine Kompromittierung von Konten vorgegangen wird und wie die Ergebnisse der Untersuchungen in Zugriffsentscheidungen einfließen.
Identitätsteams helfen dabei, zu definieren, wie angemessener Zugriff aussieht. SOC-Teams helfen dabei, zu erkennen, wann das tatsächliche Verhalten diese Annahmen in Frage stellt.
Für mich ist dies der zentrale Wandel: Die Identitätsverwaltung teilt dem SOC mit, was eine Identität tun darf. Das SOC zeigt den Identitätsteams, was sie tatsächlich tut.
Gemeinsam helfen diese Perspektiven Unternehmen dabei, bessere Entscheidungen in Bezug auf Zugriff, Untersuchungen und Reaktionen zu treffen.
Sprechen Sie mit Integrity360 darüber, wie Sie Ihre Identitäts- und Sicherheitsteams enger zusammenbringen können.