En esencia, el análisis de identidades utiliza el aprendizaje automático para correlacionar las señales de amenaza en la red, cloud, el SaaS y los sistemas de identidad con el fin de priorizar las identidades en función del riesgo observado.
En las operaciones de seguridad, la actividad de identidad se distribuye entre muchos sistemas, mientras que los registros de identidad estáticos rara vez muestran cómo se ejercen los privilegios en tiempo real. En lugar de basarse únicamente en las funciones asignadas, este enfoque hace hincapié en los privilegios observados y la correlación entre entornos.
El análisis de identidades evalúa el riesgo de identidad basándose en el comportamiento observado, en lugar de en atributos estáticos como los roles asignados o las entradas del directorio. Esta distinción es importante porque, durante los ataques reales, la forma en que se utiliza realmente el acceso suele diferir de cómo aparece en teoría. Al tratar las identidades como entidades activas, el análisis de identidades evalúa el riesgo en cloud, la red, el SaaS y los sistemas de identidad, en lugar de hacerlo dentro de silos aislados.
También es importante establecer límites claros. Cuando el análisis de identidad se confunde con prácticas de identidad adyacentes, los equipos pueden basarse en señales incompletas o malinterpretar la actividad de identidad.
El análisis de identidad se confunde a menudo con:
Cuando el riesgo de identidad se evalúa principalmente a través de derechos, revisiones o resultados de inicio de sesión, se pueden pasar por alto señales de comportamiento críticas.
Descubra por qué la gestión de identidades y accesos por sí sola no puede detener los ataques modernos.
Las funciones asignadas y la pertenencia a grupos describen el acceso previsto, no el comportamiento real. Esta diferencia es importante porque los atacantes pueden hacer un uso indebido de credenciales legítimas sin provocar cambios en los datos del directorio. Por eso es importante orientar la evaluación de riesgos hacia los privilegios observados y la actividad correlacionada, en lugar de hacia registros estáticos.
Los registros estáticos, los eventos aislados y la evaluación de identidad basada en directorios suelen fallar de las siguientes maneras:
La combinación de privilegios observados, correlación entre dominios y puntuación de urgencia produce una visión del riesgo centrada en la identidad. Esta estructura es importante porque el compromiso de la identidad a menudo abarca proveedores de identidad, cloud , aplicaciones SaaS y redes. Tratar estos entornos por separado fragmenta el contexto y oscurece la progresión.
Para unificar la telemetría y mejorar la priorización, el análisis de identidades se basa en un conjunto definido de capas analíticas. Cada capa aborda una limitación específica de la supervisión tradicional de identidades, y la eliminación de cualquiera de ellas debilita la interpretación del riesgo.
El análisis de identidad se basa en las siguientes capas:
El comportamiento en tiempo real proporciona una visión más precisa del riesgo de identidad que las definiciones de roles estáticas. Esto es importante porque los atributos del directorio pueden permanecer sin cambios incluso cuando se abusa activamente de los privilegios. El seguimiento de los privilegios observados respalda una perspectiva dinámica y Zero Trust.
Para detectar desviaciones significativas, el análisis de identidad se centra en indicadores específicos basados en el comportamiento. Estos indicadores son importantes porque los cambios sutiles en el acceso suelen preceder a acciones de atacantes de mayor urgencia, e incluyen:
Las señales dispersas por los distintos sistemas rara vez parecen concluyentes por sí solas. Vincular la actividad entre los sistemas de red, cloud, SaaS e identidad reduce la ambigüedad sobre lo que está haciendo una identidad, transformando los indicadores parciales en patrones de comportamiento coherentes.
Para ello, las soluciones de análisis de identidad vinculan de forma coherente la actividad en varios ámbitos, como:
Considerar el compromiso de la identidad como una progresión puede aclarar las decisiones de respuesta. El uso indebido en una etapa temprana se diferencia del abuso en una etapa tardía, y correlacionar el comportamiento ayuda a diferenciar ambos. Esto ayuda a reducir la incertidumbre sobre la gravedad y el momento.
Para evaluar la progresión, los analistas examinan comportamientos recurrentes que indican avance, desde el acceso hasta el control, en todos los entornos:
Para salvar esa brecha se necesitan análisis centrados en la identidad que detecten rápidamente el comportamiento real de los ataques y reduzcan la carga de investigación que recae sobre equipos que ya de por sí cuentan con recursos limitados.
La evaluación depende de si un enfoque realmente reduce la incertidumbre y mejora la priorización. Los registros estáticos y las alertas aisladas no cumplen este requisito. Por lo tanto, el análisis eficaz de identidades se centra en el comportamiento, la correlación y la urgencia.
Una evaluación eficaz debe centrarse en si un enfoque reduce realmente la incertidumbre y mejora la priorización. Los registros estáticos y las alertas aisladas no alcanzan este objetivo. Un análisis de identidad sólido se centra en el comportamiento observado, la correlación entre entornos y la urgencia.
Unos criterios de evaluación claros ayudan a evitar errores de clasificación y fricciones operativas. También determinan si el análisis de identidades puede sustituir la unión manual de eventos por una visión coherente y centrada en la identidad.
Los enfoques de análisis de identidad pueden evaluarse utilizando los siguientes criterios:
Vectra AI aplica análisis de identidad correlacionando señales de amenazas a la identidad en distintos entornos para priorizar las identidades más urgentes. Esto es importante porque el compromiso de la identidad puede abarcar redes, cloud, SaaS y sistemas de identidad, y las alertas aisladas no proporcionan una visión unificada de los privilegios observados y la progresión del riesgo.
En esencia, la Vectra AI plantea el problema como una priorización centrada en la identidad, en lugar de una supervisión centrada en los eventos.
Mediante el análisis de identidades, la Vectra AI proporciona visibilidad sobre:
Descubra cómo la Vectra AI prioriza el riesgo de identidad en la red, cloud y el SaaS →
Los datos del directorio reflejan qué acceso se asigna a una identidad, mientras que el análisis de identidades evalúa cómo se ejerce realmente ese acceso en la red, cloud, el SaaS y los sistemas de identidades. Al centrarse en el comportamiento observado y las señales correlacionadas, el análisis de identidades identifica riesgos que no aparecen en los roles estáticos ni en la pertenencia a grupos. Esta distinción es importante porque los atacantes suelen hacer un uso indebido de credenciales legítimas sin modificar los atributos del directorio, lo que hace que las vistas basadas exclusivamente en el directorio no detecten el uso indebido activo.
No. Los controles preventivos, como la autenticación multifactorial (MFA), están diseñados para bloquear o limitar el acceso en el momento de la autenticación, mientras que el análisis de identidades se centra en detectar y priorizar los comportamientos maliciosos una vez que se ha concedido el acceso. El análisis de identidades se ocupa del comportamiento de las identidades una vez activadas, incluido el uso indebido de sesiones o credenciales válidas. Dado que estos enfoques abordan diferentes fases de un ataque, el análisis de identidades complementa los controles preventivos en lugar de sustituirlos.
La puntuación de urgencia se determina correlacionando el comportamiento observado del atacante con la importancia comercial de una identidad. Esto incluye evaluar la velocidad y sofisticación de las técnicas de ataque junto con la importancia que puede definirse directamente o inferirse a partir de los privilegios observados. El objetivo de la puntuación de urgencia es priorizar las identidades en función de la progresión del riesgo, no resumir eventos de identidad aislados.
Las identidades no humanas se evalúan utilizando el mismo marco de comportamiento observado que se aplica a las identidades humanas, ya que las identidades no humanas pueden desempeñar un papel activo en la progresión de los ataques entre entornos.
Las señales más relevantes son los indicadores basados en el comportamiento que cobran sentido cuando se correlacionan entre distintos entornos. Entre ellos se incluyen los intentos fallidos repetidos de inicio de sesión, el uso de credenciales débiles o obsoletas, los cambios repentinos en el ejercicio de los privilegios, los movimientos laterales rápidos entre sistemas, el acceso no autorizado a archivos y la actividad sospechosa en las capas cloud . Individualmente, estas señales pueden parecer inofensivas, pero cuando se analizan en conjunto, pueden indicar un compromiso basado en la identidad.