Under många år betraktades identitets- och säkerhetsverksamheten ofta som separata discipliner, och identitetsteamen fokuserade på den välbekanta frågan: Vem ska ha åtkomst till vad? SOC fokuserade på en annan fråga: Vad händer i vår miljö, och är den aktiviteten skadlig?
I en värld som domineras av molntjänster, SaaS, fjärråtkomst, privilegierade konton, API:er och maskinidentiteter samt AI-identiteter behöver angripare inte alltid ”bryta sig in” i traditionell mening. Ibland kan de helt enkelt logga in.
Enligt min mening förändrar detta identitetens roll. Den har blivit en viktig källa till sammanhang, kontroll och responsförmåga för det moderna SOC:et.
En lyckad inloggning bekräftar att ett konto har autentiserats. Den fastställer inte om personen eller processen som använder det är legitim, om behörigheterna är lämpliga eller om den efterföljande aktiviteten är tillförlitlig.
Säkerhetsteam samlar in telemetri från slutpunkter, nätverk, molnplattformar och applikationer. Plattformar för säkerhetsinformation och händelsehantering (SIEM) samt utökad detektering och respons (XDR) hjälper till att sammanföra dessa signaler.
Men en händelse utan identitetskontext kan bara berätta en del av historien.
Tänk dig ett privilegierat konto som loggar in framgångsrikt. Autentiseringen i sig kan verka legitim, men säkerhetsteamen måste ställa mer detaljerade frågor:
Svaren hjälper analytikerna att bedöma både sannolikheten för en kompromettering och dess potentiella konsekvenser. En ovanlig inloggning som rör ett konto med begränsad åtkomst innebär en annan risk än en inloggning som rör en administratör som har tillgång till kritiska system.
Identitetsteamen har kunskap om autentisering, behörigheter, roller, privilegier och åtkomstens livscykel. SOC-teamen bidrar med expertis inom upptäckt, utredning, korrelation och respons. Genom att sammanföra denna kunskap blir båda teamen mer effektiva.
Identitetskontexten hjälper analytikerna att koppla aktiviteten till ett kontos behörigheter, förväntat beteende och potentiell räckvidd. Det ger dem en starkare grund för att avgöra vad som ska utredas och hur brådskande åtgärder är.
En inloggning i sig avslöjar kanske inte mycket. En inloggning som involverar en identitet med omfattande behörigheter, följd av ovanlig åtkomst till känslig data och oväntat beteende, skapar en mycket tydligare anledning till utredning.
Analytikerna måste förstå om den aktuella aktiviteten är rimlig för den berörda identiteten. Har behörigheterna nyligen ändrats? Får den tillgång till system utanför sitt vanliga ansvarsområde? Kan kontot utgöra en ingång till andra delar av organisationen?
Genom att kombinera identitetsinformation med telemetri från slutpunkter, moln, nätverk och applikationer blir det lättare att besvara dessa frågor.
Målet bör vara bättre sammanhang. Fler varningar har begränsat värde om analytikerna fortfarande inte kan fastställa vems konto det gäller, vad det har åtkomst till eller varför aktiviteten är viktig.
Att förstå en identitets åtkomst och affärsroll hjälper SOC att välja en proportionerlig åtgärd vid misstänkt intrång.
Beroende på miljön och tillgängliga kontroller kan den åtgärden innefatta att återkalla aktiva sessioner, kräva ytterligare autentisering, ta bort behörigheter, begränsa åtkomst eller inaktivera ett konto.
Dessa beslut måste fattas med omsorg. Att inaktivera ett medarbetarkonto och att inaktivera ett servicekonto som stöder en kritisk applikation kan få mycket olika operativa konsekvenser.
Identitetsteam kan hjälpa SOC att förstå dessa beroendeförhållanden. Säkerhetsdriftsteamen kan förklara det observerade beteendet, bevisen på intrång och hur brådskande det är att begränsa skadan.
Tydligt ansvar och överenskomna åtgärdsrutiner gör det möjligt för teamen att agera med större självförtroende när en incident inträffar.
Fördelarna går åt båda hållen. Identitetsinformation stärker säkerhetsutredningarna, medan SOC:s iakttagelser kan avslöja åtkomstrisker som styrningsprocesserna på egen hand kanske missar.
Historiskt sett har många identitetsprogram fokuserat på policy och styrning: ska den här personen ha åtkomst till det här systemet?
Säkerhetsdriften väcker en annan viktig fråga: vad gör de egentligen med den åtkomsten?
En behörighet kan vara godkänd och tekniskt giltig, samtidigt som det beteende som är kopplat till den motiverar en utredning. Ett konto kan börja använda okända applikationer, hämta ovanligt stora datamängder eller använda behörigheter på sätt som inte stämmer överens med dess syfte.
Att återföra dessa resultat till identitetsprocesserna kan ligga till grund för åtkomstgranskningar, ändringar av behörigheter och vidare utredning. Det hjälper också organisationer att bedöma identitetsrisker mellan schemalagda granskningar.
Detta är viktigt för såväl mänskliga identiteter som maskin- och AI-identiteter. Det är avgörande att förstå vad en identitet har tillåtelse att göra. Att förstå hur den använder dessa behörigheter ger ytterligare en dimension av insikt.
Ett närmare samarbete kräver mer än att bara skicka identitetsloggar till ett SIEM-system. Teamen behöver en gemensam förståelse för vem som ansvarar för identiteterna, åtkomsträttigheter, förväntat beteende och de affärsmässiga konsekvenserna av åtgärderna.
En praktisk utgångspunkt är att göra information om autentisering, behörigheter och privilegier tillgänglig under SOC-utredningar. Teamen bör också komma överens om hur misstänkta kontointrång ska hanteras och hur utredningsresultaten ska återkopplas till åtkomstbesluten.
Identitetsteamen hjälper till att definiera vad lämplig åtkomst innebär. SOC-teamen hjälper till att identifiera när det faktiska beteendet utmanar dessa antaganden.
För mig är detta den centrala förändringen: identitetsteamet talar om för SOC vad en identitet får göra. SOC visar identitetsteamen vad den faktiskt gör.
Tillsammans hjälper dessa perspektiv organisationer att fatta bättre beslut om åtkomst, utredning och åtgärder.
Kontakta Integrity360 för att få dina identitets- och säkerhetsdriftsteam att samarbeta bättre.