ITDR身份威脅檢測與響應(yīng)白皮書-2023.09

身份基礎(chǔ)設(shè)施安全面臨挑戰(zhàn)AITDR

白皮書一、身份基礎(chǔ)設(shè)施安全面臨挑戰(zhàn)

1

四、中安網(wǎng)星ITDR1.1當今身份基礎(chǔ)設(shè)施現(xiàn)狀24.1三大核心能力1.2企業(yè)存在身份風險痛1.2.1外部身份威脅1.2.2內(nèi)部身份威脅點2222234.2六大應(yīng)用場景4.3

ITDR與企業(yè)原1.2.3身份設(shè)施割裂無法集中監(jiān)控1.2.4身份威脅監(jiān)控能力不足，安全團隊人員不足或能力有限1.3攻擊趨勢逐步轉(zhuǎn)變?yōu)獒槍ι矸莼A(chǔ)設(shè)施目錄二、ITDR技術(shù)應(yīng)運而生4五、中安網(wǎng)星ITDRCONTENTS2.2

ITDR發(fā)展的雙輪驅(qū)動55.1基于業(yè)務(wù)視角2.2.1驅(qū)動一：身份是5.1.1身份基礎(chǔ)設(shè)企業(yè)防護新邊界52.2.2驅(qū)動二：攻擊鏈路中身份是核心要素56675.1.2內(nèi)部風險控5.2基于攻防視角5.2.1黑客入侵5.2.2護網(wǎng)演習2.3

ITDR的市場認可及趨勢2.3.1

Gartner眼中的ITDR：身份優(yōu)先安全2.3.2權(quán)威機構(gòu)對Gartner提出ITDR的認可內(nèi)外的發(fā)展趨勢2.3.3

ITDR在國85.3基于運管視角5.3.1

當前運管存5.3.2滿足合規(guī)的5.3.3檢測濫用的三、中安網(wǎng)星ITDR解決方案的技術(shù)架構(gòu)

9六、結(jié)語3.1概述1010113.2事前階段3.3事中階段3.4事后階段11BITDR

白皮書身份基礎(chǔ)設(shè)施安全面0DITDR

白皮書身份基礎(chǔ)之中。傳統(tǒng)的安全威脅是以漏洞為基礎(chǔ)，漏洞總是由攻擊者掌握，而防守者掌握并加一、身份基礎(chǔ)設(shè)施安全面臨挑戰(zhàn)入到企業(yè)防因此通過對攻擊者行為的預測就顯得格外重

，身份檢測就是這樣一個范式，可以預測攻擊者行為。但企業(yè)身份威脅安全監(jiān)控缺乏監(jiān)控維度與規(guī)則，企業(yè)被攻擊之后無法快速溯源，無法回答身份的調(diào)用過程是如何扭轉(zhuǎn)的。當下隨著整個IT基礎(chǔ)架構(gòu)逐漸云化及復雜化，身份成為了企業(yè)防護體系中的周

期往往是以月記的，這常常會陷入到攻防不對稱的狀態(tài)中。要1.1當今身份基礎(chǔ)設(shè)施現(xiàn)狀護的新邊界。過去的IT

架構(gòu)相對簡

單，傳統(tǒng)的安全防護模型是以邊界設(shè)計為核心，安全信任級別先連接，后信任，在網(wǎng)絡(luò)邊界驗證用1.3攻擊趨勢逐步轉(zhuǎn)變?yōu)獒槍ι矸莼A(chǔ)設(shè)施跟位置是強關(guān)聯(lián)的。邊界設(shè)計的網(wǎng)絡(luò)安全方法是為了順應(yīng)新的IT

架構(gòu)變革，更好地應(yīng)對云時代的到來，近幾年來企業(yè)開始應(yīng)用戶身份，如果用戶被認定為是可信任的，就能訪問該網(wǎng)絡(luò)內(nèi)的數(shù)據(jù)和資源。身份認證和管理類方案，如

IAM、IGA、IDaaS

和

PAM

等，此類方案主要側(cè)重

于授權(quán)過去的很長一段時間內(nèi)，企業(yè)通過對各類邊界層層防護擁有了強大的縱深防護能和身份驗證，確保合適的人可以訪問他們需要的文件和應(yīng)用資源，但卻疏忽了身份威力，但如今

IT

架構(gòu)的云化和復雜化，身份本身成為了企業(yè)新的邊界，傳統(tǒng)邊界類的護方案開始捉襟見肘，無法防護新IT

架構(gòu)下新場景的威脅。承載企業(yè)身份相關(guān)的的攻擊對象

,

如

IAM、AD、PAM、4A、vSphere

等。這些脅檢測和響應(yīng)的能力，同時這些設(shè)施本身也帶來了巨大的攻擊風險。防伴隨著身份認證管理方案的普及，越來越多的攻擊者將攻擊目標轉(zhuǎn)向具有高攻擊身份基礎(chǔ)設(shè)施逐漸成為主要價值的身份基礎(chǔ)設(shè)施。攻擊者通過竊取身份設(shè)施中的合法身份進行利用，在內(nèi)網(wǎng)中橫身份基礎(chǔ)設(shè)施通常具有保存密碼多、控制節(jié)點多、網(wǎng)絡(luò)權(quán)限廣的特點，對攻擊者而言向移動而不被發(fā)現(xiàn)，也能使用身份設(shè)施中訪問權(quán)限來竊取更有價值的數(shù)據(jù)，例如員工是核心的攻擊對象，對企業(yè)而言則需要點防重護。和客戶的敏感個人信息或財務(wù)信息等。在大多數(shù)的攻擊案例中我們可以看行定向攻擊，因為其權(quán)限及網(wǎng)絡(luò)權(quán)限的特殊性，此類基礎(chǔ)設(shè)施一旦被利用，將會成為引發(fā)重

大安全事故的核心節(jié)點，而其中的每一個身份都會成為擴展新攻擊路徑的重媒介。出，攻擊者會針對企業(yè)內(nèi)重要身份基礎(chǔ)設(shè)施進要1.2企業(yè)存在身份風險痛

點1.2.1外部身份威脅企業(yè)復雜割裂身份體系，導致企業(yè)身份暴個身份賬戶等。暴漏在企業(yè)外部的身份連接信息成為攻擊者打開企業(yè)網(wǎng)絡(luò)邊界金鑰匙，常常采集企業(yè)對外暴露的身份信息分析后針對其進行攻擊。露面在爆炸式增長，例如一個員工有多1.2.2內(nèi)部身份威脅身份是一個人在數(shù)字世界的映射，一旦內(nèi)部出現(xiàn)心懷惡意的內(nèi)鬼或疏忽大意的員工必然會出現(xiàn)失陷賬號與失陷主機導致的各種內(nèi)部威脅

;

身份憑據(jù)濫用，賬號管理松散，密鑰管理混亂極易引發(fā)安全問題。1.2.3身份設(shè)施割裂無法集中監(jiān)控對于企業(yè)內(nèi)部而言，不同礎(chǔ)設(shè)施，如企業(yè)的公有云、私有云、本地辦公設(shè)施等身份源存在必然的割裂；集團子企業(yè)使用不同的身份源；部分產(chǎn)品無法對接企業(yè)身份源，未來這一情況也無法得到根本的改善這造成企業(yè)內(nèi)部統(tǒng)一認證身份設(shè)施割裂，內(nèi)部多個身份源無法統(tǒng)一觀察與監(jiān)控，且存在大量獨立的認證源存在監(jiān)控死角，僅僅依靠身份設(shè)施自身的安全監(jiān)控能力是法滿足企業(yè)管控需要的，企業(yè)如果要進行安全分析與身份溯源往往力不從心。的供應(yīng)商使用獨立的認證源，企業(yè)無法做到統(tǒng)一身份基。無1.2.4身份威脅監(jiān)控能力不足，安全團隊人員不足或能力有限身份威脅監(jiān)控能力不足，安全團隊人員不足或能力有限，深陷不對稱的“安全戰(zhàn)爭”2ITDR

白皮書ITDR

技術(shù)應(yīng)運而生二、ITDR技術(shù)應(yīng)運而生2.1ITDR是什么？Gartner

于《2022

安全運營技術(shù)成熟度曲線》報告中正式提出

ITDR

技術(shù)概念，Gartner

認為創(chuàng)建ITDR

這個新類別將有助于企業(yè)集中精力并更好地保護其身份系統(tǒng)。換而言之，基種專門的、針對性的方法來對抗身份攻擊威脅。ITDR

即身份威脅檢測和響應(yīng)（Identity

Threat

Detection

and

Response），ITDR是一個新的安全類別，是指保護身份基礎(chǔ)設(shè)施免受惡意攻擊的工具和流程，監(jiān)測針對身份基礎(chǔ)設(shè)施的攻擊

,

通過結(jié)合異常身份請求、UEBA、身份欺騙等方式，于身份的攻擊已經(jīng)成為一種常見的網(wǎng)絡(luò)安全威脅，以至于需要一可以發(fā)現(xiàn)憑據(jù)竊取、特權(quán)濫用以及其他與身份相關(guān)的攻擊威脅和潛在風險。ITDR

技術(shù)應(yīng)運而生022.2ITDR發(fā)展的雙輪驅(qū)動2.2.1驅(qū)動一：身份是云原生時代、企業(yè)邊界越發(fā)模糊和復雜，原有安全防御體系失靈，身份成為企業(yè)新邊界，也是企業(yè)的唯一控制點。過去

IT

架構(gòu)簡

單的時候，網(wǎng)絡(luò)邊界防火墻是剛需，發(fā)展到

Web2.0

時代用戶開始和大量的互聯(lián)網(wǎng)應(yīng)用進行交互，此時

web

應(yīng)用防護墻（WAF)

開始成為標配。如今萬物互聯(lián)，身份成為企業(yè)的新邊界新的控制點，那身份威脅檢測一定是這個階段的必然產(chǎn)物。身份如今變得越來越重使用堡壘機、辦公網(wǎng)使用

AD、隔離網(wǎng)用云桌面用

IDaas

等。攻擊者越來越多地將目標對準身份基礎(chǔ)設(shè)施本身，組織必須更加專注于保護其身份基礎(chǔ)設(shè)施。ITDR

技術(shù)將為身份基礎(chǔ)設(shè)施部署增加額外的安全層。云原生時代催生出很多新的業(yè)務(wù)及辦公場景，對應(yīng)被攻擊的場景也將更加豐富。比如遠程辦公場景，現(xiàn)在可能一個企業(yè)辦公軟件賬戶泄露，可能就會導致這個企業(yè)的大量業(yè)務(wù)數(shù)據(jù)丟失，一個業(yè)務(wù)應(yīng)用設(shè)計有邏輯問題，可能就會導致被薅羊毛，這樣的案例再這幾年有很多，新業(yè)務(wù)場景下其實產(chǎn)生非常多種的風險攻擊面企業(yè)的安全需要，從防火墻、入侵檢測和殺毒軟件的傳統(tǒng)老三樣“標配”，逐漸向數(shù)據(jù)是新中心、情報是新服務(wù)、身份新邊界的新時代“立體化”網(wǎng)絡(luò)安全需求演進。企業(yè)防護新邊界要，企業(yè)的身份基礎(chǔ)設(shè)施也開始多元化，例如生成網(wǎng)絡(luò)、服務(wù)器用

vCenter、云上應(yīng)用使。45ITDR

白皮書ITDR

技術(shù)應(yīng)運而生表一?典型的身份基礎(chǔ)設(shè)施分類

所有攻擊環(huán)節(jié)都能看到攻擊者使用身份類攻擊，攻擊者在不同的場景不同的過程都會使用不同的身份類攻擊身份設(shè)施對象設(shè)施應(yīng)用場景設(shè)施屬性特點設(shè)施主要功能

ITDR

能否保護手法。身份認證和管理、多用于企業(yè)應(yīng)用資源IAM認證管理提供給企業(yè)的應(yīng)用統(tǒng)一的身份認證能網(wǎng)絡(luò)權(quán)限廣泛身份認證和管理、POD

集中

對辦公網(wǎng)

/

服務(wù)器的終端提供認證AD多用于辦公網(wǎng)區(qū)域認證管理能控制、網(wǎng)絡(luò)權(quán)限廣泛和管控功能身份認證和管理、POD

集中

能夠基多用于企業(yè)虛擬化資源控制、網(wǎng)絡(luò)權(quán)限廣泛

擬化辦公平臺，支持多操作系統(tǒng)于用戶硬件資源快速構(gòu)建虛vCenter管理能PAM身份認證和管理、POD

集中

多用于企業(yè)生產(chǎn)網(wǎng)絡(luò)，能夠統(tǒng)一管多用于企業(yè)生產(chǎn)網(wǎng)資源認證管理能(4A/

堡壘機

)控制、網(wǎng)絡(luò)權(quán)限廣泛理和登錄審計生產(chǎn)網(wǎng)的服務(wù)器企業(yè)的容器化管理方案，用于構(gòu)建企業(yè)的私有云方案，具備彈性伸縮的特點身份認證和管理、POD

集中控制、網(wǎng)絡(luò)權(quán)限廣泛K8S多用于企業(yè)容器化資源能的認證管理多用于企業(yè)的服務(wù)器運維機器管理多用于企業(yè)云上應(yīng)用的身份認證和管理身份認證和管理、POD

集中

企業(yè)常用的服務(wù)器監(jiān)控方案，管理zabbix能控制、網(wǎng)絡(luò)權(quán)限廣泛企業(yè)的大多數(shù)生服務(wù)器有云方案，用于業(yè)務(wù)應(yīng)用的對外部CLOUD（IDAAS）/IDAAS身份認證和管理、POD

集中控制、網(wǎng)絡(luò)權(quán)限廣泛署，提供對外訪問等，基于

IDASS

能2.3ITDR的市場認可及趨勢的功能，實現(xiàn)內(nèi)外訪問的身份統(tǒng)一2.3.1Gartner眼中的ITDR：身份優(yōu)先安全身份認證和管理、POD

集中控制、網(wǎng)絡(luò)權(quán)限廣泛基于虛擬化技術(shù)，提供給用戶在辦云桌面多用于企業(yè)辦公隔離網(wǎng)的虛擬辦公平臺能Gartner

今年發(fā)布的數(shù)份安全趨勢報告中曾提及身份優(yōu)先安全，將其解讀為安全管理者在未來必須解決的重趨勢之一。ITDR

在

Gartner《2022

安全運營技術(shù)成熟度曲線》報告中被列為新興技術(shù)，其效益等級為高，目標受眾有著5%

至

20%

的市場滲透率，這代表著Gartner

對這項技術(shù)應(yīng)用價值的潛在認可。從技術(shù)成熟度上來看2.2.2驅(qū)動二：攻擊鏈路中身份是核心要ITDR

技術(shù)本身成熟度較高，Gartner

預期未來

2-5

年即可達到主流應(yīng)用。頻繁的攻防演練、以

APT

為代表的新一代攻擊模式中身份攻擊利用已成為攻擊全鏈路中被高頻使用的技術(shù)手段。大量的攻防案例分析，無論多復雜的攻擊鏈路都離不開最核心的三個攻擊要素：第一個要素是知道攻擊對象是誰，比如是一個

IP

地址，是一個應(yīng)用系統(tǒng)，是一個賬戶等；第二個要素是到一個身份信息，比如是一個密碼，是一個私鑰，是一個憑據(jù)或證書等第三個要素是進行身份的登錄驗證，驗證登錄這個對象。三個要素不斷的循環(huán)其實就可以形成一個復雜攻擊鏈路。公外網(wǎng)的虛擬辦公平臺要，素要要拿同身份基礎(chǔ)設(shè)施作為鏈路中的關(guān)鍵攻擊對象，此類身時能夠發(fā)現(xiàn)在現(xiàn)代化的攻擊過程中，攻擊者也更喜歡拿份基礎(chǔ)對象都滿足三個特點：第一保存的身份憑據(jù)多，攻破之后能夠拿到大量的身份密碼或憑據(jù)等；第二本身網(wǎng)絡(luò)權(quán)限廣，是攻擊很好的跳板；第三是控制機器多，能夠讓攻擊者以此快速拓展戰(zhàn)場。對攻擊者而言，這些對象有極高的攻擊價值，所以企業(yè)應(yīng)當聚焦精力來保護這些身份基礎(chǔ)設(shè)施。過去我們已經(jīng)看到國內(nèi)大量攻擊案例中都會去攻擊AD、堡壘機、云平臺、vCenter、4a

等身份基礎(chǔ)設(shè)施，甚至攻擊者會攻擊利用一些安全廠商的系統(tǒng)，隨著零信任在國內(nèi)的逐步落地，針對零信任組件的攻擊在未來也會有增長的趨勢。67ITDR

白皮書且在今年

3

月

Gartner

發(fā)布的

2022

年的七大安全與風險趨勢中，Gartner表示：攻擊者正在瞄準針對身份和訪問管理（IAM）基礎(chǔ)設(shè)施，通過憑證濫用發(fā)起攻擊。Gartner

提出了“身份威脅檢測和響應(yīng)

ITDR（IdentityThreat

Detection

and

Response

）”這一術(shù)語來描述用于保護身份系統(tǒng)的工具和最佳實踐的集合。與此同時，Gartner

預估，到

2023

年，“75%

的安全故障將是由于對身份、訪問和特權(quán)的監(jiān)控與管理不足”，而在2020年這一比例為疑活動。2.3.2權(quán)威機構(gòu)對Gartner提出ITDR的認可新威脅領(lǐng)域的一些例子，包括云控制臺訪問、云授權(quán)濫用以及嵌入式

DevOps

和應(yīng)用程序密鑰帶來的極端危險。而攻擊者完全認識到了這個機會：國際身份安全聯(lián)盟

IDSA

的一項研究發(fā)現(xiàn)，在過去兩年中，79%

的企業(yè)都經(jīng)歷過與身份相關(guān)的攻擊。和其他許多攻擊一樣，最近的

SolarWinds

數(shù)字供應(yīng)鏈攻擊同樣涉及了身份盜竊和特權(quán)訪問操縱。而在國內(nèi)的護網(wǎng)行動場上甚至有超過

50%

的攻擊和弱口令相關(guān)，憑據(jù)竊取攻擊更是數(shù)不勝數(shù)，面對這些現(xiàn)代威脅，身份顯然已成為新的安全戰(zhàn)場。中安網(wǎng)星ITDR

解決方案的02.3.3ITDR在國ITDR

技術(shù)在國外發(fā)展還是比較迅速的，涌現(xiàn)了一波獨角獸公司，國內(nèi)ITDR

發(fā)展還屬于起步階段；我們在提出

ITDR

解決方案的同時需要盡快實現(xiàn)在企業(yè)中的身份安全落地，要去結(jié)合國內(nèi)企業(yè)安全現(xiàn)狀去思考實際解決方案，過去企業(yè)側(cè)已有的身份基礎(chǔ)設(shè)施，包括生產(chǎn)網(wǎng)用堡壘機，辦公網(wǎng)用

AD，隔離網(wǎng)用云桌面，內(nèi)部虛擬化用vCenter

等，這些土壤足夠支撐

ITDR

方向企業(yè)現(xiàn)階段的發(fā)展；隨著零信任的落地浪潮，身份廠商的快速發(fā)展，客戶的身份設(shè)施同樣會更加多樣化，會讓

ITDR

有可預期的第二次業(yè)務(wù)爆發(fā)增長機會。從市場來看，身份設(shè)施是客戶側(cè)最基礎(chǔ)的管理工具，幾乎不存在沒有身份管理設(shè)施的企業(yè)，現(xiàn)在網(wǎng)絡(luò)安全覆的萬余家企業(yè)一般都是已經(jīng)部署了

AD

域、堡壘機、4A

中的一種或幾種設(shè)施作為傳統(tǒng)的身份管理。現(xiàn)在更多的應(yīng)用對接產(chǎn)生了更多的身份場景，衍生出

IAM、IDAAS

這些新興的身份設(shè)施。終端、流量、身份形成了貫穿公司內(nèi)行為的三層，終端檢測相應(yīng)形成了

EDR，流量檢測響應(yīng)形成了

NDR，而基于身份檢測相應(yīng)的

ITDR

則會成為未來身份這一層最重

的安全產(chǎn)品。未來無論是零信任方案還是XDR

方案內(nèi)外的發(fā)展趨勢蓋要都繞不開

ITDR

的支持。8ITDR

白皮書中安網(wǎng)星ITDR

解3.3事中階段三、中安網(wǎng)星ITDR解決方案的技術(shù)架構(gòu)盡管前期的加固制就足以阻止網(wǎng)絡(luò)攻擊，針對身份的威脅要做到實時監(jiān)測與防護。威脅檢測能力參考MITRE

ATT&CK

和

Kill

Chain

模型設(shè)計。身份的威脅遍布于殺傷鏈的各個階段，能階段，是威脅檢測中重

的一環(huán)。精明的攻擊者往往可以隱藏工作我們已經(jīng)做的足夠好了，但絕不能認為僅靠基本的預防性控3.1概述否分辨攻擊所處的不同從運營視角來看，大多數(shù)情況下的應(yīng)急響應(yīng)或溯源自身繞過傳統(tǒng)的檢測機制，因此我們利用機器學習、欺騙防御、用戶和實體行為分析某個來源IP

攻擊某個目標

IP，無法確認每一個網(wǎng)絡(luò)連接、端點、漏洞、設(shè)備背（UEBA）技術(shù)進一步加強了檢測能力。但這恰恰是企業(yè)安全人員所關(guān)注的核心。因此企業(yè)需要視身份在分析與溯源欺騙防御：通過在內(nèi)網(wǎng)構(gòu)造高權(quán)限蜜罐賬戶的認證憑據(jù)，利用攻擊者希望隱藏自要分析過程中僅能碎片式地回答后的聯(lián)系，過程中重的串聯(lián)能力。身位置的心理，攻擊者在通過主動信息收集發(fā)現(xiàn)高權(quán)限憑據(jù)后，一般情況都會進行嘗于是試登錄或其他手段的利用，此時攻擊者對身份認證系統(tǒng)請求蜜罐賬戶認證，隨即暴我們?nèi)诤瞎襞c運營視角建立了一套身份威脅解決方案露所在位置，安全人員即可定位到失陷主機。還可通過流量轉(zhuǎn)發(fā)技術(shù)，將攻擊者對真實業(yè)務(wù)系統(tǒng)的認證流量轉(zhuǎn)發(fā)到提前準備好的蜜罐主機，造成認證成功的假象，拖延攻擊進度。以此為安全人員提供充足的時間溯源攻擊路徑和入口并開展封堵工作，將攻擊者重

新踢出邊界防護的大門之外。機器學習：設(shè)置一定的學習周

期，收集大量的身份行為數(shù)據(jù)，對每個用戶進行行為建模，學習結(jié)束后形成新的規(guī)則模型，當行為超出模型基線便會產(chǎn)生告警。用戶和實體行為分析（UEBA）：將用戶或?qū)嶓w行為、告警、風險等信息匯總后，通過算法得出用戶或?qū)嶓w的風險評級，發(fā)現(xiàn)與用戶或?qū)嶓w標準畫

像或異常行為的活動，有效幫助運維人員發(fā)掘潛藏的身份威脅。3.4事后階段結(jié)合現(xiàn)有的身份認證體系構(gòu)建統(tǒng)一

ITDR

平臺來進行落地應(yīng)用，目標是ITDR

解決方案中的響應(yīng)相比檢測顯得更為重

。事后我們對危險用戶可以禁用，時依托于完整的告警與原始數(shù)據(jù)存儲，我們能對威脅事件進行詳細的溯源分析展示。ITDR

通過對接身份認證基礎(chǔ)設(shè)施實現(xiàn)阻斷規(guī)則的配置下發(fā)，并且支持手動威脅阻集中分析要企業(yè)所有身份數(shù)據(jù)，以此達到統(tǒng)一審計、統(tǒng)一分析、統(tǒng)一運營的目的。ITDR

數(shù)據(jù)集成階段通過主動或被動的方式采集各類身份數(shù)據(jù)，目前支持AD、IAM、PAM、vCenter、Cloud

等多個場景的數(shù)據(jù)采集。同斷和自動威脅阻斷兩種方式。我們認為企業(yè)需要構(gòu)建覆蓋

安全事件全生命周

期的身份威脅檢測和響應(yīng)能力，基手動威脅阻斷：可添加阻斷策略，對指定用戶或IP

進行阻斷指令，被阻斷的用戶及

IP

將會被臨時封禁。于安全事件的事前、事中、事后三個階段全方位的解決身份威脅問題。自動威脅阻斷：可針對每一條檢測規(guī)則配置自動威脅阻斷策略，若規(guī)則配置內(nèi)自動威脅阻斷開關(guān)打開，則在當前規(guī)則告警時，將當前規(guī)則告警中的用戶和IP

自動添加到威脅阻斷頁面的阻斷策略中，并執(zhí)行阻斷命令對其進行臨時封禁。3.2事前階段身份威脅響應(yīng)模塊同時支持對接第三方安全防護產(chǎn)品，實現(xiàn)聯(lián)動處置，快速支持身份的威脅更側(cè)重

于規(guī)避、繞過或濫用身份系統(tǒng)，以實現(xiàn)網(wǎng)絡(luò)攻擊。想要降低身份安全事件應(yīng)急響應(yīng)工作。威脅的風險首先要做好預防措施，我們通過如下手段，開展前期的身份安全加固工作：攻擊面漏洞修復：修復身份基礎(chǔ)設(shè)施存在的漏洞線核查：核查身份基礎(chǔ)設(shè)施的基線配置弱口令檢測：檢查身份基礎(chǔ)設(shè)施內(nèi)的用戶密碼健壯性，設(shè)置密碼復雜度要管理（減少暴露面）：刪除非必要的或過多、過高的權(quán)限基求10ITDR

白皮書中安網(wǎng)星ITDR

解決方案的落地實踐四、中安網(wǎng)星ITDR解決方案的落地實踐4.1三大核心能力ITDR

平臺功能構(gòu)建圍·第一能看到See：最大限度地提高企業(yè)各個位置的身份可見性（通過對多個企業(yè)多個身份源的數(shù)據(jù)進行收集分析，通過大數(shù)據(jù)處理及圖計算技術(shù)最大程度的將身份可視化，梳理每一個身份的扭轉(zhuǎn)情況，能夠發(fā)現(xiàn)其中的影子賬號、賬號權(quán)限過高等隱藏威脅）繞著三大能力方向

/

向量進行構(gòu)建中安網(wǎng)星ITDR

解決方案的落地實踐04·第二能保護Protect：高效、高速、實時監(jiān)測身份攻擊行為（對身份設(shè)施的主動式掃描進行加固能夠?qū)嵤└兄缴矸蓊惖墓粜袨椋瑫r聯(lián)動身份設(shè)施進行威脅誘捕，威脅誘捕一定程度上彌補可能因為數(shù)據(jù)不全面、數(shù)據(jù)碎片化造成的檢測能力缺陷。保護，基于大數(shù)據(jù)處理和機器學習的分析1213ITDR

白皮書中安網(wǎng)星ITDR

解決方案的落地實踐·第三能阻斷恢復Resolve：·在整個安全生態(tài)系統(tǒng)中支持自動響應(yīng)（通過提供自動化的技術(shù)和工具，減少需要企業(yè)安全人員手動操作的頻率和人為操作出錯的概率，提高安全運營效率，ITDR

支持安全響應(yīng)任務(wù)的編排能力，讓用戶對文件、權(quán)限、主機和網(wǎng)絡(luò)執(zhí)行經(jīng)過預先設(shè)計編排過的

第三部分故事線引擎會通過規(guī)則與機器學習結(jié)合將身份的多個數(shù)據(jù)日志結(jié)合分析將單個身份日志聚合為一個手動和自動的補救措施，提高局部威脅發(fā)現(xiàn)、全局快速響應(yīng)的的能力）

個故事講述給客戶，達到威脅發(fā)現(xiàn)的目的第四部分圖計算通過把身份描述為點，身份權(quán)限關(guān)系描述為邊構(gòu)建出一個網(wǎng)圖進行數(shù)據(jù)分析與攻擊路徑管理，第二部分會針對采集到的身份系統(tǒng)數(shù)據(jù)進行身份配置核查與攻擊面管理，通過國際規(guī)范與攻防經(jīng)驗判斷配置錯誤點并對其修復從而縮減身份攻擊面從而實現(xiàn)高級身份威脅狩獵與分析第五部分標記分析可以自定義檢測規(guī)則并參與到機器學習標記工作中持續(xù)運營提高威脅檢出率第六部分響應(yīng)模塊支持第三方集成與自定義劇本執(zhí)行并能一鍵回滾，快速支持安全事件應(yīng)急響應(yīng)4.2六大應(yīng)用場景ITDR

整體方案目標是垂直分析企業(yè)所有身份數(shù)據(jù)，集中企業(yè)所有身份數(shù)據(jù)達到統(tǒng)一審計、統(tǒng)一分析、統(tǒng)一運營等目標。通過對企業(yè)身份的可見性、保護和響應(yīng)超越終端與流量的局限視角。4.3ITDR與企業(yè)原有基礎(chǔ)設(shè)施完美配合2022

年

10

月

Gartner

發(fā)布

ITDR

詳細解讀，明確

ITDR

在整個網(wǎng)絡(luò)安全中的生態(tài)位。中安網(wǎng)星完全認可Gartner

的架構(gòu)分類。ITDR

與

XDR

以及零信任體系有交集，且作為底層支柱的身份亟需

ITDR

來增強安全性。ITDR模型架構(gòu)圖第一部分ITDR

數(shù)據(jù)集成階段通過主動或被動的方式采集各類身份數(shù)據(jù)，目前支持AD、IAM、云、SIEM

等多個場景的數(shù)據(jù)采集1415ITDR

白皮書中安網(wǎng)星ITDR

解決方案的落地實踐ITDR

方案會與現(xiàn)有的

IT

基深防御

”，重

點放在身份上。如果企業(yè)采用IAM

這樣的單一工具，而不是針對非中國市場中的ITDR

市場的企業(yè)我們做了如下的分類，基于

ITDR

發(fā)展出了XDR

趨向、CIEM

趨向、ADDR

趨向、整體

ITDR

方案四大類，可以觀察出當前

ITDR

在重

領(lǐng)域的應(yīng)用趨勢非常快速，應(yīng)對此趨勢我們應(yīng)當快速反應(yīng)與應(yīng)對。礎(chǔ)設(shè)施以及安全設(shè)備配合完成企業(yè)整體的安全防御任務(wù)。檢測和響應(yīng)（監(jiān)視攻擊并在攻擊進行時阻斷攻擊）的分離。通過了解這種分離，企業(yè)可以制定更好的計劃來實施“縱綜合防御方法，他們存在的風險是較高的。要圖一?ITDR如何與基礎(chǔ)設(shè)施安全協(xié)作同時，在身份層面ITDR

與已有的基礎(chǔ)設(shè)施互相協(xié)作，形成第二和第三層防御。圖三?具有ITDR能力的供應(yīng)商非詳盡列表身份是企業(yè)的基礎(chǔ)。企業(yè)依賴其身份基礎(chǔ)設(shè)施來實現(xiàn)協(xié)作、遠程辦公和客戶對服務(wù)的訪問，這已將身份系統(tǒng)轉(zhuǎn)變?yōu)楣粽叩闹饕繕?，而憑證濫用是近幾年最常見的安全漏洞途徑。圖二?ITDR作為預防后的第二層和第三層防御身份威脅可以繞過或破壞

IAM

預防性控制。因此，重要的是要了解預防（攻擊前進行身份安全態(tài)勢監(jiān)控）與1617ITDR

白皮書中安網(wǎng)星ITDR

解決方案為企業(yè)帶來的價值體現(xiàn)五、中安網(wǎng)星ITDR解決方案為企業(yè)帶來的價值體現(xiàn)5.1基于業(yè)務(wù)視角5.1.1身份基礎(chǔ)設(shè)施統(tǒng)一監(jiān)控統(tǒng)一認證身份設(shè)施割裂，內(nèi)部多個身份源5.1.2內(nèi)部風險控制大量企業(yè)在內(nèi)部威脅管控上常常頭疼，