Über 80 % der Organisationen waren von einer Identitätsverletzung betroffen, bei der Anmeldeinformationen kompromittiert wurden. Kompromittierte Anmeldeinformationen sind für Angreifer eine der am häufigsten genutzten Schwachstellen, um Identitätsdiebstähle zu verursachen, beispielsweise durch laterale Bewegung oder die Verbreitung von Ransomware.
Um Schwächen und Risiken ihrer Identität zu ermitteln und zu beheben, müssen Unternehmen eine Identitätsrisikobewertung durchführen.
In diesem Artikel untersuchen wir die wichtigsten Komponenten einer effektiven Identitätsrisikobewertung und besprechen, wie Sie vollständige Transparenz und Einblicke in Ihre Identity-Security-Lücken Haltung mit Silverfort.
Identitätsrisiken beginnen mit Identitätsschwächen
Organisationen kämpfen mit Identitätsbedrohungen wie Kontoübernahmen, lateraler Bewegung ausnutzen und Ransomware. Laut einem aktuellen Bericht von Silverfort und Osterman Research, über 80 % der Organisationen waren von einem Identitätsdiebstahl betroffen bei denen es um kompromittierte Anmeldeinformationen ging; mehr als die Hälfte dieser Verstöße ereigneten sich allein im vergangenen Jahr.
Der anhaltende Erfolg dieser Angriffe deutet darauf hin, dass es Schwachstellen oder Sicherheitslücken gibt, die Angreifer ausnutzen, um Anmeldeinformationen zu kompromittieren, Berechtigungen zu erhöhen und sich seitlich zu bewegen. Der Zweck einer Identitätsrisikobewertung besteht darin, diese Lücken aufzudecken. Zum Beispiel: ein neuer Bericht Der Artikel mit dem Titel „The Identity Underground“ deckte die kritischsten und am weitesten verbreiteten dieser Schwachstellen auf und brachte einige alarmierende Erkenntnisse ans Licht, darunter:
- Eine unsichere Passwortsynchronisierung vor Ort trägt in 67 % der Organisationen zur Gefährdung von SaaS-Apps bei.
- 37 % der Administratoren verwenden NTLM zur Authentifizierung und weitere 7 % verwenden NTLMv1.
- 31 % aller Benutzer in einer Organisation sind Service Accounts.
- 7 % der normalen Benutzer verfügen über Zugriffsrechte auf Administratorebene, ohne einer Administratorgruppe anzugehören.
Die obigen Daten sind nur eine kleine Auswahl, die das Ausmaß veranschaulicht. Offenlegung von Identitätsbedrohungen Herausforderungen.
Schlüsselelemente der Identitätsrisikobewertung
Organisationen führen Sicherheitsrisikobewertungen durch, um Erkenntnisse über ihre Schwachstellen und Gefährdungen zu gewinnen. Der Prozess der Durchführung einer Risikobewertung umfasst die Erfassung und Analyse von Daten. Dieser Artikel konzentriert sich insbesondere auf identitätsbezogene Daten wie Konten, Authentifizierungen und Zugriffsrechte. Eine Identitätsrisikobewertung umfasst in der Regel die folgenden Komponenten:
Identitätsbezogene Daten
Inventarisierung von Benutzerkonten
Volle Transparenz über alle Benutzerkonten, Dienstkonten und Administratorkonten. Eine detaillierte Bestandsaufnahme enthält normalerweise Informationen wie Namen, Beschreibungen, Gruppenmitgliedschaften und Anwendungen, die mit jedem Element verknüpft sind.
Konfigurationen
Ein umfassender Überblick über sowohl lokale als auch Cloud-basierte Benutzer- und Verzeichniskonfigurationen.
Zugriffsmuster
Vollständige Transparenz über alle Authentifizierungen und Zugriffsmuster aktiver Benutzer und Ressourcen, sowohl vor Ort als auch in der Cloud, einschließlich Servicekonten und AD-Authentifizierung Protokolle.
Risikoanalyse
Zugang zu Anmeldeinformationen
Das MITRE ATT&CK-Framework definiert Zugang zu Anmeldeinformationen als die Techniken, die Angreifer verwenden, um Anmeldeinformationen wie Kontonamen und Passwörter zu stehlen. Zu den Techniken zum Zugriff auf Anmeldeinformationen gehören unter anderem Keylogging, Credential Dumping und Brute Force.
Neuere Authentifizierungsprotokolle sind darauf ausgelegt, derartige Angriffe zu verhindern, doch ältere Protokolle wie NTLMv1 verfügen über eine schwache Verschlüsselung, die sich leicht mit Brute Force erzwingen lässt. Die Identitätsrisikobewertung zielt darauf ab, diese Schwachstellen aufzudecken, die es Angreifern ermöglichen, Techniken zum Zugriff auf Anmeldeinformationen zu verwenden.
Privilegien Eskalation
Wie in MITRE ATT&CK beschrieben, Privilege-Escalation-Angriffe besteht aus Techniken, mit denen Angreifer höhere Berechtigungen für ein System oder Netzwerk erlangen. Selbst nachdem sie sich ersten Zugriff auf die Umgebung der Organisation verschafft haben, benötigen Angreifer möglicherweise noch höhere Berechtigungen, um ihren Angriff auszuführen. Aus diesem Grund privilegierten Konten sind häufig das Ziel.
Angreifer versuchen häufig, Systemschwächen und Fehlkonfigurationen auszunutzen. Beispielsweise Schattenadministratoren, bei denen es sich um normale Benutzer handelt, denen unwissentlich Administratorrechte oder Konfigurations-/Reset-Rechte für Administratorkonten erteilt wurden. Schattenadministratoren können Passwörter tatsächlicher Administratoren zurücksetzen, sind aber in allen anderen Aspekten normale Benutzer. Aufgrund ihrer Anonymität unterliegen sie auch nicht denselben Sicherheitskontrollen.
Seitliche Bewegung
Laterale Bewegung, wie sie im MITRE-Framework definiert ist, ist die Technik, die Angreifer verwenden, um in Remote-Systeme einzudringen und diese zu kontrollieren. Auf diese Weise können Angreifer in die Umgebung eindringen und sich unentdeckt von einem Punkt zum nächsten bewegen, bis sie ihr Ziel erreichen. Aus diesem Grund sind Angreifer sehr an Konten interessiert, die nicht durch vorhandene Sicherheitslösungen sichtbar und geschützt sind.
Servicekonten beispielsweise sind schwer zu verfolgen, verfügen häufig über hohe Berechtigungen und können nicht durch Kennwortrotation geschützt werden, was bedeutet, dass sie für eine laterale Bewegung missbraucht werden können.
Lücken in der Sicherheitsabdeckung
Es gibt Konten und Ressourcen, die durch Sicherheitskontrollen nicht abgedeckt werden können, und bestimmte Schwachstellen, die nicht beseitigt werden können.
Beispielsweise verwenden viele Organisationen immer noch Legacy-Systeme, die nicht nativ unterstützen MFASelbst der Versuch, Identitätssicherheitslösungen manuell auf jeder Legacy-Anwendung oder jedem Server zu implementieren, ist schwierig, da Manipulationen zu Fehlfunktionen oder sogar Prozessabbrüchen führen können.
Nächste Schritte: Nachverfolgung einer Risikobewertung
Priorisierung
Unterschiedliche Risiken stellen unterschiedliche Bedrohungen dar. Um die identifizierten Risiken effektiv zu lösen, sollten Organisationen sie basierend auf ihren potenziellen Auswirkungen und ihrer Wahrscheinlichkeit priorisieren, um Ressourcen möglichst effizient zu verteilen. Beispielsweise kann eine Organisation mit hoch privilegierten Konten, kritische Anwendungen und alle anderen Faktoren, die es für notwendig erachtet.
Mitigation
Risiken können auf der Grundlage ihrer Grundursache angegangen werden: Fehlkonfigurationen, Fehlverhalten und Sicherheitslücken. Um diese Risiken zu reduzieren und die Identitätssicherheit des Unternehmens zu verbessern, können entsprechende Maßnahmen ergriffen werden. Zum Beispiel:
- Fehlkonfigurationen: Fehlkonfigurationen treten auf, wenn bei der Benutzererstellung falsche oder ungeeignete Konfigurationen angewendet werden, was zu Sicherheitslücken führen kann. Fehlkonfigurationen sind unvermeidlich, insbesondere in größeren Umgebungen. Schattenadministratoren sind beispielsweise eine häufige Fehlkonfiguration. Fehlkonfigurationen können behoben werden, indem die richtigen Konfigurationen wiederhergestellt werden, beispielsweise durch Entfernen der übermäßigen Berechtigungen, die einem Schattenadministrator.
- Fehlverhalten: Der Begriff Fehlverhalten bezieht sich auf unbeabsichtigt oder unsachgemäß vorgenommene Handlungen, die zu erheblichen Schwächen führen können, wie z. B. hybride Servicekonten oder übermäßige NTLM Authentifizierungen. Hybride Dienstkonten entstehen, wenn ein Administrator ein Dienstkonto für die interaktive Anmeldung oder ein persönliches Konto zur Automatisierung von Aufgaben. Um solche Missstände zu beheben, muss sichergestellt werden, dass IT und Administratoren die bewährten Sicherheitspraktiken einhalten.
- Lücken in der Sicherheitsabdeckung: Konten und Ressourcen, die nicht durch Sicherheitskontrollen abgedeckt sind, verursachen große Sicherheitslücken. Diese Lücken führen zu Identitätsrisiken, die sehr schwer zu beheben sind. Beispielsweise MFA für Legacy-Apps und Passwortrotation für Service Accounts. Organisationen müssen nach einer Lösung suchen, um diese Risiken zu überwinden, oder alternativ sicherstellen, dass das Sicherheitsteam solche Benutzer und Ressourcen genau überwacht.
Identitätsrisikobewertung mit Silverfort
Silverfort bietet eine einheitliche Identitätssicherheitsplattform, die Identitätsbedrohungen in Echtzeit verhindert. Auf diese Weise erhalten Organisationen vollständige Transparenz über alle Zugriffsversuche und können den Zugriff auf Ressourcen unabhängig vom Authentifizierungsprotokoll für alle lokalen, Cloud- und Hybrid-Identitätsumgebungen verweigern.
Durch SilverfortMithilfe der einheitlichen Identitätssicherheitsplattform von können Unternehmen eine umfassende Identitätsrisikobewertung durchführen, um alle Sicherheitslücken, Fehlkonfigurationen und Verfehlungen aufzudecken und zu beheben, die Angreifer für den Zugriff auf Anmeldeinformationen, die Ausweitung von Berechtigungen und die laterale Bewegung ausnutzen können.
Identity Security Posture Management (ISPM)
Umfassende Einblicke in Identitätsbedrohungen wie Servicekonten, Schattenadministratoren und Legacy-Protokolle wie NTLMv1 usw. Dazu gehört die Überwachung und Analyse von Authentifizierungen, Zugriffsmustern und Verhaltensweisen, um Einblicke in die Identitätssicherheitslage des Unternehmens zu gewinnen und Empfehlungen zur Beseitigung der Risiken zu geben, z. B. durch die Implementierung von Überwachungslösungen und das Entfernen übermäßiger Berechtigungen für privilegierte Konten.
Authentifizierungs-Firewall
Eine Authentifizierungs-Firewall ist eine Methode zur Kontrolle des Benutzerzugriffs auf Ressourcen durch die Durchsetzung strenger Zugriffs- und Authentifizierungskontrollen. SilverfortDie Authentifizierungs-Firewall von ermöglicht es Unternehmen, risikobasierte Richtlinien durchzusetzen und Identitätssegmentierung um unbefugte Zugriffsversuche zu blockieren und sicherzustellen, dass Benutzer nur auf die Ressourcen zugreifen, die sie benötigen. Es sind keine Änderungen an der zugrunde liegenden Infrastruktur erforderlich und die Richtlinien der Authentifizierungs-Firewall können schnell und nahtlos implementiert werden.
MFA für alle
Silverfort integriert mit Active Directory zur Weiterleitung aller Zugriffsanfragen an Silverfort, wodurch die MFA-Verifizierung auf allen Systemen in der Identitätsinfrastruktur der Organisation, einschließlich Altsystemen, erzwungen werden kann.
Schutz von Service Accounts
Automatische Erkennung und Verwaltung von Dienstkonten. Silverfort kann Dienstkonten durch Analyse ihrer Verhaltensmuster erkennen und automatisch Zugriffsrichtlinien konfigurieren, falls ein kompromittiertes Dienstkonto erkannt wird.
Um zu diskutieren, wie Silverfort kann Ihre Organisation bei der Bewertung ihres Identitätsrisikos unterstützen, dieses Formular. und vereinbaren Sie einen Termin mit einem Silverfort Experte für Identitätssicherheit.
