Kimlik Tehdidi Tespiti ve Yanıtı (ITDR) nedir?

Kimlik Tehdidi Tespiti ve Müdahale Tanımı

Kimlik Tehdit Tespiti ve Yanıtı (ITDR), kimlik ve erişim yönetimi (IAM) altyapısını hedefleyen siber suçlara ilişkin artan endişeyi vurgulamak için Gartner tarafından türetilen yeni bir güvenlik terimidir. ITDR, kimlik bilgisi ve ayrıcalık hesabının kötüye kullanılması ve kimlikle ilgili diğer tehditleri tespit etmeye ve önlemeye odaklanır.

ITDR neden önemlidir?

IAM çözümlerine yönelik siber saldırılar artıyor ve bu eğilimin devam edeceği görülüyor. Sonuçta, eğer bir rakip bir IAM çözümünü tehlikeye atabilirse, muhtemelen hedef ağa ayrıcalıklı erişime sahip olacak ve bu da potansiyel olarak çok fazla hasara yol açmasına neden olacaktır.

Saldırganlar genellikle ayrıcalıklı erişime sahip çalıntı kimlik bilgilerini kullanarak IAM sistemlerini atlamaya çalışır. Buradan diğer sistemlere geçerek hassas verileri çalmaya ve/veya fark edilmeden sistemleri bozmaya çalışacaklar. Kimlik bilgisi hırsızlığını önlemek başlı başına büyük bir zorluktur.

Verizon'un raporuna göre çalınan kimlik bilgileri veri ihlallerinin %61'inin nedeni. Bu sorun, giderek daha fazla kuruluşun bulut tabanlı hizmetleri kullanması gerçeğiyle daha da kötüleşiyor; bu, bir ağın güvenliğine yönelik geleneksel hendek/kale yaklaşımının eskisi kadar geçerli olmadığı anlamına geliyor.

Şirketlerin farklı bir yaklaşım benimsemesi gerekiyor; bu, ağa bağlanan cihazların aksine kimliklerin ve erişebildikleri verilerin güvenliğine daha fazla odaklanmaları gerektiği anlamına geliyor.

ITDR Çözümlerinin EDR Çözümlerinden Farkı Nedir?

ITDR ve Uç Nokta Tespit ve Yanıt (EDR) çözümleri, yetkisiz erişimi önlemek için gerçek zamanlı 7/24 izleme, kural tabanlı otomatik yanıtlar ve çeşitli analitik araçlar gibi benzer teknikler kullanır. Ancak EDR çözümleri, tahmin edebileceğiniz gibi, kimliklerin aksine uç noktaları izlemek üzere tasarlanmıştır. Bazı ITDR çözümleri, yöneticinin (ve/veya çözümün kendisinin) harekete geçebileceği sahte verilerle rakipleri cezbetmek için "bal küplerini" de kullanabilir.

Üç Tür Kimlik Zafiyeti

Kimlik açıklarının yer aldığı üç ana kategori vardır;

Yönetilmeyen Kimlikler: Bunlara Hizmet Hesapları, Yerel Yöneticiler ve Ayrıcalıklı Hesaplar dahildir.

Yanlış Yapılandırılmış Kimlikler: Bunlara Gölge Yöneticiler, Hizmet Hesapları, zayıf şifreler ve zayıf şifreleme uygulamaları dahildir.

Açık Kimlikler: Bunlar, saldırganların çeşitli bilgisayar korsanlığı araçlarını kullanarak erişebileceği, bellekte saklanan kimlik bilgilerini ve ayrıca bulut erişim belirteçlerini ve açık RDP oturumlarını içerir.

ITDR Çözümünde Nelere Bakılmalı?

Piyasada birçok ITDR çözümü bulunmaktadır. Seçtiğiniz çözüm şunları yapabilmelidir:

• Ayrıcalıklı hesaplara tüm erişimi izleyin ve bu ayrıcalıklı hesapların nasıl kullanıldığını izleyin. Bu, hassas verilere nasıl erişildiğine, taşındığına, değiştirildiğine, yok edildiğine ve paylaşıldığına odaklanmayı da içerir.
• Kimlikle ilgili yanlış yapılandırmaları tespit edin ve uyarın. Örneğin, saldırganların kimlik bilgilerini kaba kuvvetle tahmin etmek için kullanabileceği, savunmasız Kerberos biletlerine sahip yanlış yapılandırılmış Active Directory hesaplarının tanımlanması önemlidir.
• Normal kullanıcı davranışına ilişkin bir temel oluşturun ve anormal etkinlikleri belirlemek için bu temel çizgiye göre test yapın. Örneğin, bir kullanıcı ağda o kullanıcı için normal olmayan saatlerde oturum açarsa, durumu araştıracak olan yöneticiye uyarı gönderilebilir.
• Önceden tanımlanmış bir eşik koşuluyla eşleşen etkinlikleri algılayın ve bunlara yanıt verin. Örneğin bir saldırgan bir hesap parolasını kaba kuvvetle tahmin etmeye çalışırsa, bu süreçte kaçınılmaz olarak birçok kez başarısız olacaktır. Eşik uyarısı verebilen bir çözüm, anormal başarısız oturum açma girişimlerini tespit edecek ve hesabı devre dışı bırakabilecek, etkilenen sunucuyu kapatabilecek veya saldırının ilerlemesini önlemeye yardımcı olacak herhangi bir şeyi kapatabilecek özel bir komut dosyası çalıştıracaktır.
• Tüm BT ortamlarında hassas verileri keşfedin ve sınıflandırın. Bu, uygun erişim kontrollerinin atanmasını ve kimin hangi verilere erişimi olduğunu takip etmeyi kolaylaştıracaktır.

Çoğu ITDR çözümü, çok çeşitli platformlardan olay verilerini toplayacak ve ilişkilendirecek ve tek bir kontrol paneli aracılığıyla olayların bir özetini görüntüleyecektir. Yönetici buradan arama yapabilir ve ilgili veri gizliliği yasalarının gerekliliklerini karşılamak üzere özelleştirilebilecek raporlar oluşturabilir. Birçok ITDP çözümü aynı zamanda güvenlik bilgileri ve olay yönetimi (SIEM) ve güvenlik düzenleme otomasyonu ve yanıt (SOAR) çözümleri ve diğer ilgili BT güvenlik araçlarıyla da entegre olabilir.