ITDR身份威脅檢測與響應白皮書 2023

一、身份基礎設施安全面臨挑戰(zhàn)1.1當今身份基礎設施現(xiàn)狀1.2企業(yè)存在身份風險痛點一、身份基礎設施安全面臨挑戰(zhàn)1.1當今身份基礎設施現(xiàn)狀1.2企業(yè)存在身份風險痛點1.2.1外部身份威脅1.2.2內(nèi)部身份威脅1.2.3身份設施割裂無法集中監(jiān)控21.2.4身份威脅監(jiān)控能力不足，安全團隊人員不足或1.3攻擊趨勢逐步轉(zhuǎn)變?yōu)獒槍ι矸莼A設施345556678三、中安網(wǎng)星ITDR解決方案的技術架構3.1概述3.2事前階段3.3事中階段4.1三大核心能力4.2六大應用場景5.1基于業(yè)務視角5.1.1身份基礎設施統(tǒng)一監(jiān)控5.1.2內(nèi)部風險控制5.2基于攻防視角5.2.1黑客入侵5.2.2護網(wǎng)演習5.3基于運管視角D1當下隨著整個IT基礎架構逐漸云化及復雜化，身份成為了企業(yè)防護的新邊界。過去的IT架構相對簡單，傳統(tǒng)的安全防護模型是以邊界設計為核心，安全信任級別跟位置是強關聯(lián)的。邊界設計的網(wǎng)絡安全方法是先連接，后信任，在網(wǎng)絡邊界驗證用過去的很長一段時間內(nèi)，企業(yè)通過對各類邊界層層防護擁有了強大的縱深防護能力，但如今IT架構的云化和復雜化，身份本身成為了企業(yè)新的邊界，傳統(tǒng)邊界類的防護方案開始捉襟見肘，無法防護新IT架構下新場景的威脅。承載企業(yè)身份相關的身份基礎設施通常具有保存密碼多、控制節(jié)點多、網(wǎng)絡權限廣的特點，對攻擊者而言企業(yè)復雜割裂身份體系，導致企業(yè)身份暴露面在爆炸式增長，例如一個員工有多身份是一個人在數(shù)字世界的映射，一旦內(nèi)部出現(xiàn)心懷惡意的內(nèi)鬼或疏忽大意的員工必然會出現(xiàn)失陷賬號與失陷主機導致的各種內(nèi)部威脅;身份憑據(jù)濫用，賬號管理松對于企業(yè)內(nèi)部而言，不同的供應商使用獨立的認證源，企業(yè)無法做到統(tǒng)一身份基礎設施，如企業(yè)的公有云、私有云、本地辦公設施等身份源存在必然的割裂；集團子企業(yè)使用不同的身份源；部分產(chǎn)品無法對接企業(yè)身份源，未來這一情況也無法得到根這造成企業(yè)內(nèi)部統(tǒng)一認證身份設施割裂，內(nèi)部多個身份源無法統(tǒng)一觀察與監(jiān)控，且存在大量獨立的認證源存在監(jiān)控死角，僅僅依靠身份設施自身的安全監(jiān)控能力是無2之中。傳統(tǒng)的安全威脅是以漏洞為基礎，漏洞總是由攻擊者掌握，而防守者掌握并加因此通過對攻擊者行為的預測就顯得格外重要，身份檢測就是這樣一個范式，可以預測攻擊者行為。但企業(yè)身份威脅安全監(jiān)控缺乏監(jiān)控維度與規(guī)則，企業(yè)被攻擊之后為了順應新的IT架構變革，更好地應對云時代的到來，近幾年來企業(yè)開始應用和身份驗證，確保合適的人可以訪問他們需要的文件和應用資源，但卻疏忽了身份威伴隨著身份認證管理方案的普及，越來越多的攻擊者將攻擊目標轉(zhuǎn)向具有高攻擊價值的身份基礎設施。攻擊者通過竊取身份設施中的合法身份進行利用，在內(nèi)網(wǎng)中橫向移動而不被發(fā)現(xiàn)，也能使用身份設施中訪問權限來竊取更有價值的數(shù)據(jù)，例如員工在大多數(shù)的攻擊案例中我們可以看出，攻擊者會針對企業(yè)內(nèi)重要身份基礎設施進行定向攻擊，因為其權限及網(wǎng)絡權限的特殊性，此類基礎設施一旦被利用，將會成為引發(fā)重大安全事故的核心節(jié)點，而其中的每一個身份都會成為擴展新攻擊路徑的重要34Gartner認為創(chuàng)建ITDR這個新類別將有助于企業(yè)集中精力并更好地保護其身份系統(tǒng)。換而言之，基于身份的攻擊已經(jīng)成為一種常見的網(wǎng)絡安全威脅，以至于需要一ITDR是一個新的安全類別，是指保護身份基礎設施免受惡意攻擊的工具和流程，云原生時代、企業(yè)邊界越發(fā)模糊和復雜，原有安全防御體系失靈，身份成為企今萬物互聯(lián)，身份成為企業(yè)的新邊界新的控制點，那身份威脅檢測一定是這個階段身份如今變得越來越重要，企業(yè)的身份基礎設施也開始多元化，例如生成網(wǎng)絡使用堡壘機、辦公網(wǎng)使用AD、隔離網(wǎng)用云桌面、服務器用vCenter、云上應用使用IDaas等。攻擊者越來越多地將目標對準身份基礎設施本身，組織必須更加專注比如遠程辦公場景，現(xiàn)在可能一個企業(yè)辦公軟件賬戶泄露，可能就會導致這個企業(yè)的大量業(yè)務數(shù)據(jù)丟失，一個業(yè)務應用設計有邏輯問題，可能就會導致被薅羊毛，這企業(yè)的安全需要，從防火墻、入侵檢測和殺毒軟件的傳統(tǒng)老三樣“標配”，逐漸向數(shù)據(jù)是新中心、情報是新服務、身份新邊界的新時代“立體化”網(wǎng)絡安全需求5能能能能能能能能第二個要素是要拿到一個身份信息，比如是一個密碼，是一個私同時能夠發(fā)現(xiàn)在現(xiàn)代化的攻擊過程中，攻擊者也更喜歡拿身份基礎設施作為鏈路中的關鍵攻擊對象，此類身過去我們已經(jīng)看到國內(nèi)大量攻擊案例中都會去攻擊AD、堡壘機、云平臺、vCenter、4a等身份基礎設施，甚至攻擊者會攻擊利用一些安全廠商的系統(tǒng)，隨著零信任在國內(nèi)的逐步落地，針對零信任組件的攻擊在未來也會所有攻擊環(huán)節(jié)都能看到攻擊者使用身份類攻擊，攻擊者在不同的場景不同的過程都會使用不同的身份類攻擊Gartner今年發(fā)布的數(shù)份安全趨勢報告中曾提及身份優(yōu)先安全，將其解讀為安全管理者在未來必須解決的重要趨勢之一。ITDR在Gartner《2022安全運營技術成熟度曲線》報告中被列為新興技術，其且在今年3月Gartner發(fā)布的2022年的七大安全與風險趨勢中，Gartner表示：攻擊者和訪問管理（IAM）基礎設施，通過憑證濫用發(fā)起攻擊。Gartner提出了“身份威脅檢測和響應ITDR（IdentityGartner預估，到2023年，“75%的安全故障將是由于對身份、訪問和特權的監(jiān)控與管理不足”，而在2020經(jīng)歷過與身份相關的攻擊。和其他許多攻擊一樣，最近的SolarWinds數(shù)字供應鏈攻擊同樣涉及了身份盜竊和特權訪問操縱。而在國內(nèi)的護網(wǎng)行動場上甚至有超過50%的攻擊和弱口令相關，憑據(jù)竊取攻擊更是數(shù)不勝數(shù)，面ITDR技術在國外發(fā)展還是比較迅速的，涌現(xiàn)了一波獨角獸公司，國內(nèi)ITDR發(fā)展還屬于起步階段；我們在提出ITDR解決方案的同時需要盡快實現(xiàn)在企業(yè)中的身份安全落地，要去結(jié)合國內(nèi)企業(yè)安全現(xiàn)狀去思考實際解決方案，過去企業(yè)側(cè)已有的身份基礎設施，包括生產(chǎn)網(wǎng)用堡壘機，辦公網(wǎng)用AD，隔離網(wǎng)用云桌面，內(nèi)部虛擬化用vCenter等，這些土壤足夠支撐ITDR方向企業(yè)現(xiàn)階段的發(fā)展；隨著零信任的落地浪潮，身份廠商的快速發(fā)展，從市場來看，身份設施是客戶側(cè)最基礎的管理工具，幾乎不存在沒有身份管理設施的企業(yè)，現(xiàn)在網(wǎng)絡安全覆終端、流量、身份形成了貫穿公司內(nèi)行為的三層，終端檢測相應形成了EDR，流量檢測響應形成了NDR，9從運營視角來看，大多數(shù)情況下的應急響應或溯源分析過程中僅能碎片式地回答但這恰恰是企業(yè)安全人員所關注的核心。因此企業(yè)需要重視身份在分析與溯源過程中結(jié)合現(xiàn)有的身份認證體系構建統(tǒng)一ITDR平臺來進行落地應用，目標是集中分析ITDR數(shù)據(jù)集成階段通過主動或被動的方式采集各類身份數(shù)據(jù)，目前支持AD、我們認為企業(yè)需要構建覆蓋安全事件全生命周期的身份威脅檢測和響應能力，基）：弱口令檢測：檢查身份基礎設施內(nèi)的用戶密碼健盡管前期的加固工作我們已經(jīng)做的足夠好了，但絕不能認為僅靠基本的預防性控制就足以阻止網(wǎng)絡攻擊，針對身份的威脅要做到實時監(jiān)測與防護。威脅檢測能力參考MITREATT&CK和KillChain模型設計。身份的威脅遍布于殺傷鏈的各個階段，能否分辨攻擊所處的不同階段，是威脅檢測中重要的一環(huán)。精明的攻擊者往往可以隱藏自身繞過傳統(tǒng)的檢測機制，因此我們利用機器學習、欺騙防御、用戶和實體行為分析欺騙防御：通過在內(nèi)網(wǎng)構造高權限蜜罐賬戶的認證憑據(jù)，利用攻擊者希望隱藏自身位置的心理，攻擊者在通過主動信息收集發(fā)現(xiàn)高權限憑據(jù)后，一般情況都會進行嘗試登錄或其他手段的利用，此時攻擊者對身份認證系統(tǒng)請求蜜罐賬戶認證，隨即暴露所在位置，安全人員即可定位到失陷主機。還可通過流量轉(zhuǎn)發(fā)技術，將攻擊者對真實業(yè)務系統(tǒng)的認證流量轉(zhuǎn)發(fā)到提前準備好的蜜罐主機，造成認證成功的假象，拖延攻擊進度。以此為安全人員提供充足的時間溯源攻擊路徑和入口并開展封堵工作，將攻擊機器學習：設置一定的學習周期，收集大量的身份行為數(shù)據(jù)，對每個用戶進行行）：手動威脅阻斷：可添加阻斷策略，對指定用戶或IP進行阻斷指令，被阻斷的用自動威脅阻斷：可針對每一條檢測規(guī)則配置自動威脅阻斷策略，若規(guī)則配置內(nèi)自動威脅阻斷開關打開，則在當前規(guī)則告警時，將當前規(guī)則告警中的用戶和IP自動添身份威脅響應模塊同時支持對接第三方安全防護產(chǎn)品，實現(xiàn)聯(lián)動處置，快速支持·第一能看到See：最大限度地提高企業(yè)各個位（通過對多個企業(yè)多個身份源的數(shù)據(jù)進行收集分析，通過大數(shù)據(jù)處理及圖計算技術最大程度的將身份可視化，梳理每一個身份的扭轉(zhuǎn)情況，能夠發(fā)現(xiàn)其中的影子（對身份設施的主動式掃描進行加固保護，基于大數(shù)據(jù)處理和機器學習的分析能夠?qū)嵤└兄缴矸蓊惖墓粜袨?，同時聯(lián)動身份設施進行威脅誘捕，威脅誘捕一（通過提供自動化的技術和工具，減少需要企業(yè)安全人員手動操作的頻率和人為操作出錯的概率，提高安全運營效率，ITDR支持安全響應任務的編排能力，讓用戶對文件、權限、主機和網(wǎng)絡執(zhí)行經(jīng)過預先設計編排過的ITDR整體方案目標是垂直分析企業(yè)所有身份數(shù)據(jù)，集中企業(yè)所有身份數(shù)據(jù)達到統(tǒng)一審計、統(tǒng)一分析、統(tǒng)一第一部分ITDR數(shù)據(jù)集成階段通過主動或被動的方式采集各類身份數(shù)據(jù)，目前支第二部分會針對采集到的身份系統(tǒng)數(shù)據(jù)進行身份配置核查與攻擊面管理，通過國際規(guī)范與攻防經(jīng)驗判斷配置第三部分故事線引擎會通過規(guī)則與機器學習結(jié)合將身份的多個數(shù)據(jù)日志結(jié)合分析將單個身份日志聚合為一個第五部分標記分析可以自定義檢測規(guī)則并參與到機器學習標記工作中第六部分響應模塊支持第三方集成與自定義劇本執(zhí)行并能一鍵回滾，2022年10月Gartner發(fā)布ITDR詳細解讀，明確ITDR在整個網(wǎng)絡安全中的生態(tài)位。中安網(wǎng)星完全認可