Solusi deteksi dan respons ancaman identitas (ITDR) adalah alat keamanan siber proaktif yang memantau sistem untuk menemukan dan memulihkan ancaman dan kerentanan berbasis identitas, seperti eskalasi hak istimewa dan kesalahan konfigurasi akun.
Identitas pengguna adalah bagian signifikan dari permukaan serangan perusahaan saat ini, karena penjahat siber semakin memilih untuk masuk daripada meretas. IBM® X-Force Threat Intelligence Index melaporkan bahwa serangan berbasis identitas membentuk 30% dari total intrusi. Aktor ancaman menggunakan serangan phishing dan malware pencurian info untuk mengumpulkan kredensial, yang kemudian mereka gunakan untuk mengambil alih akun yang valid.
Sistem ITDR dapat membantu mengurangi serangan siber berbasis identitas ini dengan memantau aktivitas pengguna dan sistem identitas di seluruh jaringan perusahaan. Alat ITDR dapat deteksi serangan brute force, pengisian kredensial, anomali login, dan ancaman siber lainnya, dan mereka dapat secara otomatis merespons untuk menghentikan penyerang mengakses data sensitif dan sistem.
Bergabunglah dengan para pemimpin keamanan yang mengandalkan Buletin Think untuk berita yang dikurasi tentang AI, keamanan siber, data, dan otomatisasi. Pelajari dengan cepat dari tutorial pakar dan penjelas—dikirimkan langsung ke kotak masuk Anda. Lihat Pernyataan Privasi IBM®.
Sistem ITDR terus memantau jaringan perusahaan untuk aktivitas yang tidak wajar atau mencurigakan yang terhubung dengan identitas pengguna. Ketika solusi ITDR mendeteksi perilaku yang berpotensi berbahaya, solusi ini akan memberi tahu tim keamanan dan memicu respons otomatis, seperti segera memblokir akses akun ke data sensitif.
Sistem ITDR bekerja dengan menggabungkan beberapa fungsi dalam solusi komprehensif. Fungsi inti ITDR meliputi:
Untuk mengenali aktivitas yang mencurigakan, sistem ITDR pertama-tama perlu mengetahui seperti apa aktivitas normal dan resmi.
ITDR mengumpulkan informasi dari sumber-sumber seperti:
ITDR menggunakan analisis perilaku dan pemetaan hubungan untuk memproses semua data ini dan membuat model dasar perilaku normal untuk pengguna, akun mereka, dan sistem yang mereka akses.
Sistem ITDR memantau aktivitas identitas dan infrastruktur di seluruh jaringan untuk mendeteksi ancaman, paparan, dan kerentanan. ITDR melacak login, autentikasi, penyedia identitas (IdP), permintaan akses dan direktori seperti Active Directory, membandingkannya dengan model dasar. Alat ITDR menandai penyimpangan yang berarti dari dasar sebagai ancaman potensial.
Penyimpangan dapat mencakup aktivitas seperti upaya login dari lokasi yang tidak biasa, gerakan lateral pengguna di seluruh kumpulan data yang tidak terkait, atau permintaan yang tidak biasa untuk eskalasi hak istimewa.
Beberapa sistem ITDR menggunakan machine learning (ML) untuk menganalisis pola ancaman historis—dari catatan perusahaan, umpan intelijen ancaman, dan sumber lainnya—dan mengidentifikasi berbagai jenis serangan. Dengan begitu, ITDR dapat lebih mudah mendeteksi risiko identitas baru yang sebelumnya belum pernah ditemui secara langsung.
Ketika sistem ITDR mendeteksi potensi gangguan, sistem menandai aktivitas ke pusat operasi keamanan (SOC) dan memicu respons langsung terhadap anomali. Kemampuan respons dapat mencakup mengisolasi sistem yang diserang, menonaktifkan akun yang disusupi, meminta autentikasi pengguna tambahan, dan cara lain untuk menghentikan aktivitas yang tidak sah atau mencurigakan.
Serangan berbasis identitas adalah serangan siber yang memanfaatkan identitas pengguna untuk mendapatkan akses tidak sah ke sebuah jaringan. Serangan berbasis identitas sering melibatkan pengambilalihan akun yang sah dan menyalahgunakan hak istimewanya untuk mencuri data, menanam ransomware, atau menyebabkan kerusakan lainnya.
Contoh serangan berbasis identitas umum meliputi:
Dalam serangan brute force, peretas mencoba untuk mendapatkan akses ke akun melalui coba-coba, mencoba beberapa kredensial login hingga mereka menemukan yang berhasil.
Eskalasi hak istimewa adalah teknik serangan siber di mana aktor ancaman mengubah atau meningkatkan izin mereka dalam sebuah sistem, misalnya dengan berpindah dari akun pengguna yang memiliki hak istimewa yang lebih rendah ke akun administrator yang lebih tinggi.
Pergerakan lateral adalah taktik yang digunakan penjahat siber untuk masuk lebih dalam ke dalam jaringan organisasi setelah mendapatkan akses yang tidak sah. Secara garis besar, serangan gerakan lateral memiliki dua bagian: pelanggaran awal diikuti oleh gerakan internal.
Phishing adalah jenis rekayasa sosial yang menggunakan email, pesan teks, panggilan telepon, atau situs web palsu untuk mengelabui orang agar membagikan data sensitif atau mengunduh malware.
Peretas dapat menggunakan phishing untuk mengendalikan akun pengguna dengan beberapa cara berbeda. Mereka mungkin mengelabui pengguna untuk menyerahkan kredensial mereka dengan menyamar sebagai merek tepercaya dan mengarahkan mereka ke situs web palsu. Atau mereka mungkin menggunakan pesan phishing untuk menyebarkan malware infostealer yang diam-diam merekam kata sandi pengguna.
Risiko identitas dan ancaman tidak selalu berasal dari aktor jahat. Kesalahan konfigurasi, kekeliruan sederhana, kesalahan manusia, dan pengguna yang berwenang yang menyalahgunakan izin mereka, semuanya dapat membahayakan keamanan identitas. Risiko meliputi:
Ketika serangan berbasis identitas semakin umum dan sistem identitas menjadi lebih kompleks, alat ITDR dapat membantu organisasi meningkatkan postur keamanan mereka dan mendapatkan kontrol lebih besar atas infrastruktur identitas.
Bagi banyak organisasi, solusi software-as-a-service (SaaS) , arsitektur multicloud hybrid, dan pekerjaan jarak jauh adalah norma. Jaringan mereka berisi campuran multivendor dari aplikasi dan aset berbasis cloud dan on premises yang melayani berbagai pengguna di berbagai lokasi. Aplikasi ini sering kali memiliki sistem identitas mereka sendiri, yang mungkin tidak mudah terintegrasi satu sama lain.
Akibatnya, banyak organisasi berhadapan dengan lingkungan identitas yang terfragmentasi dengan celah di mana aktor ancaman dapat dan memang mengeksploitasi untuk tujuan jahat.
Dengan memantau identitas daripada perangkat atau aset, ITDR dapat memberikan visibilitas yang ditingkatkan ke dalam aktivitas pengguna di seluruh lingkungan cloud, alat SaaS, dan sistem on premises. Meskipun aplikasi dan aset yang berbeda mungkin memiliki sistem identitas yang berbeda, ITDR memungkinkan organisasi untuk memantau semuanya di tempat multi-fungsi.
ITDR tidak hanya dapat mendeteksi serangan aktif, tetapi juga kesalahan konfigurasi dan kerentanan yang berpotensi berbahaya. Contoh, beberapa alat ITDR dapat deteksi mekanisme autentikasi yang lemah, akun tidak aktif, dan bahkan penggunaan aset TI bayangan tertentu.
Dengan terus memantau infrastruktur identitas, alat ITDR dapat mendeteksi serangan siber sebelum peretas memiliki kesempatan untuk melakukan kerusakan yang nyata.
Selain melaporkan serangan ini ke tim keamanan, ITDR juga dapat secara otomatis merespons secara real time, yang menghentikan para peretas dan orang dalam yang jahat untuk melanjutkan serangan. Sebagai hasilnya, ITDR memungkinkan mitigasi ancaman yang lebih cepat dan remediasi kerentanan sebelum dapat dieksploitasi.
Organisasi memiliki banyak sekali teknologi deteksi dan respons ancaman yang saling tumpang tindih yang harus dihadapi. Meskipun alat-alat ini mungkin memiliki fitur yang serupa, mereka menawarkan perlindungan yang berbeda untuk berbagai aspek jaringan perusahaan. Mereka sering digunakan sebagai pelengkap satu sama lain dalam strategi keamanan siber berlapis-lapis yang mendalam.
Alat manajemen identitas dan akses (IAM) mengelola siklus hidup identitas pengguna, mulai dari pembuatan akun hingga pembuangan. Sementara ITDR bertujuan untuk deteksi dan menggagalkan aktivitas jahat dari pengguna yang tidak sah, IAM berfokus untuk memastikan bahwa pengguna yang sah memiliki izin yang tepat dan menggunakannya dengan benar.
Fungsi inti IAM mencakup pembuatan identitas pengguna, pemberian hak istimewa, penerapan kebijakan akses, dan penghentian identitas lama. Sistem IAM dan ITDR sering bekerja beriringan. IAM memfasilitasi akses untuk pengguna yang berwenang, sementara alat ITDR memantau aktivitas pengguna dari ancaman seperti pembobolan akun atau penyalahgunaan izin.
Sistem manajemen akses istimewa (PAM) mengatur dan mengamankan akun dan aktivitas pengguna istimewa, seperti administrator sistem. Sementara alat ITDR memonitor semua identitas, alat PAM mencakup identitas yang memiliki hak istimewa.
Alat PAM menyediakan akun-akun istimewa, mengelola bagaimana dan kapan pengguna mendapatkan hak istimewa yang lebih tinggi, dan memantau aktivitas istimewa untuk perilaku yang mencurigakan dan ketidakpatuhan.
PAM mendahului ITDR sebagai praktik keamanan siber yang didefinisikan secara resmi, dan alat PAM biasanya dianggap sebagai kategori tersendiri. Namun, dalam beberapa hal, PAM dapat dianggap sebagai versi ITDR yang ditargetkan. ITDR memantau ancaman berbasis identitas terhadap semua pengguna, sementara PAM secara khusus melindungi akun istimewa. Keduanya dapat bekerja beriringan untuk memberikan kontrol keamanan lanjutan ke jaringan.
Perbedaan inti antara Deteksi dan respons titik akhir (EDR) dan ITDR adalah bahwa alat EDR melindungi perangkat, sementara alat ITDR melindungi identitas.
EDR memantau titik akhir seperti server dan PC untuk mendeteksi aktivitas berbahaya yang terjadi pada perangkat. ITDR berfokus pada ancaman berbasis identitas, mendeteksi aktivitas jahat di tingkat pengguna dan akun.
Sistem ITDR dan EDR adalah aspek pelengkap dari operasi keamanan organisasi. Misalnya, ketika EDR menemukan aktivitas mencurigakan di titik akhir, sistem ITDR dapat membantu menghubungkan aktivitas tersebut ke identitas tertentu.
Jika ITDR memiliki fokus yang lebih sempit terkait identitas pengguna, solusi deteksi dan respons yang diperluas (XDR) mengintegrasikan alat dan operasi keamanan di seluruh lapisan keamanan—pengguna, titik akhir, aplikasi, jaringan, beban kerja cloud, dan data.
Alat XDR memungkinkan interoperasi solusi keamanan yang belum tentu dirancang untuk bekerja bersama demi pencegahan, deteksi, dan respons ancaman yang mulus. Bersama dengan alat lainnya, ITDR terintegrasi dengan XDR, memasukkan data tentang identitas dan sistem berbasis identitas ke dalam arsitektur keamanan terpadu.
Bersama, ITDR dan XDR dapat memberikan pandangan yang lebih komprehensif kepada organisasi tentang jaringan mereka, memungkinkan langkah-langkah keamanan dan model tata kelola identitas yang lebih efektif.