Per anni, le operazioni relative all’identità e alla sicurezza sono state spesso considerate discipline separate e i team dedicati all’identità si concentravano su una domanda familiare: chi dovrebbe avere accesso a cosa? Il SOC si concentrava invece su un’altra domanda: cosa sta succedendo nel nostro ambiente e quell’attività è dannosa?

In un mondo dominato dal cloud, dal SaaS, dall’accesso remoto, dagli account privilegiati, dalle API, dalle identità delle macchine e dalle identità basate sull’intelligenza artificiale, gli aggressori non hanno sempre bisogno di “introdursi” nel senso tradizionale del termine. A volte, possono semplicemente effettuare l’accesso.

A mio avviso, questo cambia il ruolo dell’identità. È diventata una fonte essenziale di contesto, controllo e capacità di risposta per il SOC moderno.

Perché il SOC ha bisogno dell’identità per il contesto?

Un accesso riuscito conferma che un account è stato autenticato. Non stabilisce se la persona o il processo che lo utilizza sia legittimo, se le sue autorizzazioni siano appropriate o se l’attività che ne consegue sia affidabile.

I team delle operazioni di sicurezza raccolgono dati telemetrici da endpoint, reti, piattaforme cloud e applicazioni. Le piattaforme SIEM (Security Information and Event Management) e XDR (Extended Detection and Response) aiutano a riunire tali segnali.

Ma un evento privo del contesto dell’identità può raccontare solo una parte della storia.

Si consideri un account privilegiato che effettua l’accesso con successo. L’autenticazione in sé può sembrare legittima, ma i team di sicurezza devono porsi domande più dettagliate:

• Si tratta di un’identità umana, di un account di servizio, di un carico di lavoro, di una macchina o di un agente di intelligenza artificiale?
• A quali applicazioni e dati può accedere?
• Quanto è privilegiato l’account e tali privilegi sono stati concessi di recente?
• L'accesso proviene da una posizione prevista?
• Ove richiesto, esiste un ticket o una richiesta approvata che giustifichi l’accesso privilegiato?
• Questo comportamento è normale per quell’identità?
• Cosa dovrebbe accadere se l’account fosse stato compromesso?

Le risposte aiutano gli analisti a valutare sia la probabilità di compromissione sia il suo potenziale impatto. Un accesso insolito che coinvolge un account con accesso limitato presenta un rischio diverso rispetto a uno che coinvolge un amministratore in grado di raggiungere sistemi critici.

I team che si occupano delle identità conoscono bene l’autenticazione, le autorizzazioni, i ruoli, i privilegi e il ciclo di vita degli accessi. I team SOC apportano competenze in materia di rilevamento, indagine, correlazione e risposta. Unire queste conoscenze rende entrambi i team più efficaci.

In che modo la gestione delle identità migliora le indagini del SOC?

Il contesto relativo all’identità aiuta gli analisti a collegare l’attività alle autorizzazioni di un account, al comportamento previsto e alla portata potenziale. Fornisce loro una base più solida per decidere cosa indagare e con quale urgenza agire.

Un semplice accesso potrebbe rivelare ben poco. Un accesso che coinvolge un’identità con privilegi elevati, seguito da un accesso insolito a dati sensibili e da un comportamento inaspettato, costituisce un motivo molto più chiaro per avviare un’indagine.

Gli analisti devono capire se tale attività sia coerente con l’identità coinvolta. Le sue autorizzazioni sono state modificate di recente? Sta accedendo a sistemi al di fuori delle sue normali responsabilità? L’account potrebbe fungere da via d’accesso ad altre parti dell’organizzazione?

La combinazione delle informazioni sull’identità con la telemetria relativa a endpoint, cloud, rete e applicazioni aiuta a rispondere a queste domande.

L’obiettivo dovrebbe essere un contesto migliore. Un numero maggiore di avvisi ha un valore limitato se gli analisti non riescono comunque a stabilire di chi sia l’account coinvolto, a cosa possa accedere o perché l’attività sia rilevante.

In che modo il contesto dell’identità può supportare la risposta agli incidenti?

Comprendere l’accesso e il ruolo aziendale di un’identità aiuta il SOC a scegliere una risposta proporzionata a una sospetta compromissione.

A seconda dell’ambiente e dei controlli disponibili, tale risposta potrebbe includere la revoca delle sessioni attive, la richiesta di un’autenticazione aggiuntiva, la rimozione dei privilegi, la limitazione dell’accesso o la disattivazione di un account.

Queste decisioni richiedono attenzione. Disabilitare l’account di un dipendente e disabilitare un account di servizio che supporta un’applicazione critica possono avere conseguenze operative molto diverse.

I team dedicati alle identità possono aiutare il SOC a comprendere tali dipendenze. I team delle operazioni di sicurezza possono spiegare il comportamento osservato, le prove della compromissione e l’urgenza del contenimento.

Una chiara attribuzione delle responsabilità e procedure di risposta concordate consentono ai team di agire con maggiore sicurezza quando si verifica un incidente.

In che modo il SOC può migliorare la gestione delle identità?

Il vantaggio è reciproco. Le informazioni relative alle identità rafforzano le indagini di sicurezza, mentre i risultati del SOC possono rivelare rischi di accesso che i soli processi di governance potrebbero trascurare.

Storicamente, molti programmi di gestione delle identità si sono concentrati sulle politiche e sulla governance: questa persona dovrebbe avere accesso a questo sistema?

Le operazioni di sicurezza introducono un’altra domanda importante: cosa sta effettivamente facendo con quell’accesso?

Un'autorizzazione può essere approvata e tecnicamente valida, mentre il comportamento ad essa associato giustifica un'indagine. Un account potrebbe iniziare ad accedere ad applicazioni sconosciute, recuperare volumi insoliti di dati o utilizzare i privilegi in modi che non corrispondono al suo scopo.

Reintegrare questi risultati nei processi di gestione delle identità può fornire informazioni utili per le revisioni degli accessi, le modifiche dei privilegi e ulteriori indagini. Aiuta inoltre le organizzazioni a valutare il rischio legato alle identità tra una revisione programmata e l’altra.

Questo aspetto è rilevante per le identità umane, delle macchine e dell’intelligenza artificiale. Comprendere cosa è consentito fare a un’identità è essenziale. Capire come essa utilizza tali autorizzazioni aggiunge un ulteriore livello di comprensione.

Integrare le operazioni relative alle identità e alla sicurezza

Una collaborazione più stretta richiede ben più che l’invio dei log relativi alle identità a un SIEM. I team devono condividere una visione comune riguardo alla titolarità delle identità, ai diritti di accesso, al comportamento atteso e all’impatto aziendale delle azioni di risposta.

Un punto di partenza pratico consiste nel rendere disponibili le informazioni relative all’autenticazione, alle autorizzazioni e ai privilegi durante le indagini del SOC. I team dovrebbero inoltre concordare le modalità di gestione dei casi di sospetta compromissione degli account e il modo in cui i risultati delle indagini influenzeranno le decisioni relative agli accessi.

I team dedicati alle identità contribuiscono a definire quali siano gli accessi appropriati. I team SOC aiutano a identificare quando il comportamento effettivo mette in discussione tali presupposti.

Per me, questo è il cambiamento fondamentale: l’identità indica al SOC cosa un’identità è autorizzata a fare. Il SOC mostra ai team di gestione delle identità cosa sta effettivamente facendo.

Insieme, queste prospettive aiutano le organizzazioni a prendere decisioni migliori in materia di accesso, indagini e risposta.

Contatta Integrity360 per sapere come avvicinare i tuoi team di gestione delle identità e delle operazioni di sicurezza.