Detectar y prevenir los ataques basados en la identidad

Lightning IRP combina la profunda experiencia de nuestro equipo en la creación de modelos de aprendizaje automático para inteligencia de amenazas y nuestra experiencia en respuesta a incidentes del mundo real para detectar los patrones de ataques de identidad más extendidos y problemáticos. Lightning IRP concentra a los defensores en las alertas de ataques de identidad más críticas y reduce el ruido mediante la superposición de un tejido de riesgo de identidad que extrae información de múltiples fuentes:

1. Datos de seguimiento de cambios de directorio en entornos híbridos de Active Directory y Entra ID
2. Cientos de indicadores de seguridad de exposición y compromiso, actualizados periódicamente por el equipo de investigación de amenazas a la identidad de Semperis.
3. Análisis de rutas de ataque de nivel 0 para trazar relaciones de riesgo con grupos privilegiados con acceso a datos sensibles.

Lightning Identity Runtime Protection (IRP) se centra en algunos de los ataques más extendidos y problemáticos, como:

• Ataques de pulverización de contraseñas: Supervisa los intentos de inicio de sesión para detectar patrones indicativos de un ataque de pulverización de contraseñas.
• Ataques de fuerza bruta: Supervisa los intentos repetidos y rápidos de inicio de sesión contra un único usuario para detectar posibles ataques de fuerza bruta.
• Conexiones anómalas: Busca anomalías en los inicios de sesión de los usuarios que indiquen un inicio de sesión anómalo en AD.
• Acceso anómalo a recursos: Supervisa la actividad de un usuario y cualquier interacción con servicios que indiquen un ataque a los servicios de AD.
• Anomalías en los tickets de servicio: Busca requisitos de tickets de servicio sospechosos que indiquen un ataque Kerberoasting a AD.

Las técnicas de ataque ya probadas, como los ataques de pulverización de contraseñas y de fuerza bruta, siguen funcionando porque el enorme volumen de ruido que generan dificulta su detección. Alrededor del 31% de los vectores de ataque iniciales son ataques de fuerza bruta, y casi un tercio de todas las cuentas comprometidas son ataques de rociado de contraseñas. 

En un ataque de pulverización de contraseñas, un adversario intenta acceder repetidamente a un gran número de cuentas de destino utilizando un conjunto limitado de contraseñas hasta que penetra en el sistema de autenticación de destino para obtener acceso a la cuenta y al sistema. En un ataque de fuerza bruta, un atacante intenta iniciar sesión repetidamente utilizando diferentes contraseñas hasta que consigue entrar en el sistema de autenticación del objetivo para acceder a la cuenta y al sistema.

En ambos casos, estas técnicas generan un gran volumen de datos, lo que hace que el análisis sea largo y tedioso.

Un comportamiento anómalo podría ser señal de un ataque inminente. Por ejemplo, un inicio de sesión anómalo podría indicar un acceso no autorizado al sistema de identidad. Las anomalías en los tickets de servicio señalan solicitudes de tickets de servicio sospechosas que podrían indicar un intento de abusar del mecanismo de tickets de Active Directory como parte de un ciberataque, como Kerberoasting. Dichas solicitudes anómalas incluyen la solicitud de un ticket para servicios poco utilizados o la solicitud de un ticket con un algoritmo criptográfico degradado.