Rilevare e prevenire gli attacchi basati sull'identità

Lightning IRP combina la profonda esperienza del nostro team nella creazione di modelli di apprendimento automatico per l'intelligence delle minacce e la nostra esperienza di risposta agli incidenti nel mondo reale per rilevare i modelli di attacco all'identità più diffusi e problematici. Lightning IRP concentra i difensori sugli avvisi di attacco all'identità più critici e riduce il rumore stratificando un tessuto di rischio dell'identità che trae spunti da più fonti:

1. Dati di tracciamento delle modifiche alla directory in ambienti ibridi Active Directory ed Entra ID
2. Centinaia di indicatori di sicurezza di esposizione e compromissione, regolarmente aggiornati dal team di ricerca sulle minacce all'identità di Semperis
3. Analisi dei percorsi di attacco di livello 0 per mappare le relazioni rischiose con gruppi privilegiati con accesso a dati sensibili.

Lightning Identity Runtime Protection (IRP) si concentra su alcuni degli attacchi più diffusi e problematici, tra cui:

• Attacchi spray con password: Monitora i tentativi di accesso per rilevare gli schemi indicativi di un attacco con password spray.
• Attacchi di forza bruta: Monitora i tentativi di accesso ripetuti e rapidi contro un singolo utente per rilevare potenziali attacchi di forza bruta.
• Accesso anomalo: Cerca le anomalie di accesso degli utenti che indicano un accesso anomalo all'AD.
• Accesso anomalo alle risorse: Monitora l'attività di un utente e qualsiasi interazione con i servizi che indichi un attacco ai servizi AD.
• Anomalie dei ticket di servizio: Cerca requisiti di ticket di servizio sospetti che indicano un attacco Kerberoasting su AD.

Le tecniche di attacco collaudate, come gli attacchi spray alle password e gli attacchi di forza bruta, funzionano ancora perché la mole di rumore che generano li rende difficili da rilevare. Circa il 31% dei vettori di attacco iniziali è costituito da attacchi brute force e quasi un terzo di tutte le compromissioni di account è costituito da attacchi password spray. 

In un attacco di tipo password spray, un avversario tenta ripetutamente di accedere a un gran numero di account di destinazione utilizzando un insieme limitato di password fino a violare il sistema di autenticazione di destinazione per ottenere l'accesso all'account e al sistema. In un attacco brute-force, un aggressore tenta ripetutamente di accedere utilizzando password diverse fino a violare il sistema di autenticazione dell'obiettivo per ottenere l'accesso all'account e al sistema.

In entrambi i casi, queste tecniche generano un elevato volume di dati, rendendo l'analisi lunga e noiosa.

Un comportamento anomalo potrebbe segnalare un attacco imminente. Ad esempio, un accesso anomalo potrebbe segnalare un accesso non autorizzato al sistema di identità. Le anomalie dei ticket di servizio segnalano le richieste di ticket di servizio sospette che potrebbero indicare un tentativo di abuso del meccanismo di ticketing di Active Directory come parte di un attacco informatico, ad esempio Kerberoasting. Tali richieste anomale includono la richiesta di un ticket per servizi usati raramente o la richiesta di un ticket con un algoritmo crittografico declassato.