Détecter et prévenir les attaques basées sur l'identité

Lightning IRP combine l'expertise approfondie de notre équipe dans la construction de modèles d'apprentissage automatique pour le renseignement sur les menaces et notre expérience de la réponse aux incidents dans le monde réel pour détecter les modèles d'attaques d'identité les plus répandus et les plus problématiques. Lightning IRP concentre les défenseurs sur les alertes d'attaques d'identité les plus critiques et réduit le bruit en superposant un tissu de risques d'identité qui tire des informations de sources multiples :

1. Données de suivi des modifications de l'annuaire dans les environnements hybrides Active Directory et Entra ID
2. Des centaines d'indicateurs de sécurité d'exposition et de compromission, régulièrement mis à jour par l'équipe de recherche sur les menaces liées à l'identité de Semperis.
3. Analyse du chemin d'attaque de niveau 0 pour déterminer les relations à risque avec des groupes privilégiés ayant accès à des données sensibles.

Lightning Identity Runtime Protection (IRP) se concentre sur certaines des attaques les plus répandues et les plus problématiques, notamment :

• Attaques par pulvérisation de mot de passe : Surveille les tentatives de connexion afin de détecter les schémas indiquant une attaque par pulvérisation de mot de passe.
• Attaques par force brute : Surveille les tentatives de connexion répétées et rapides contre un seul utilisateur afin de détecter d'éventuelles attaques par force brute.
• Connexions anormales : Recherche les anomalies de connexion des utilisateurs qui indiquent une connexion AD anormale.
• Accès anormal aux ressources : Surveille l'activité d'un utilisateur et toute interaction avec des services qui indiquent une attaque contre les services AD.
• Anomalies des tickets de service : Recherche des exigences suspectes en matière de tickets de service qui indiquent une attaque de Kerberoasting sur AD.

Les techniques d'attaque éprouvées telles que les attaques par pulvérisation de mot de passe et les attaques par force brute fonctionnent toujours car le volume de bruit qu'elles génèrent les rend difficiles à détecter. Environ 31 % des vecteurs d'attaque initiaux sont des attaques par force brute, et près d'un tiers de toutes les compromissions de comptes sont des attaques par pulvérisation de mot de passe. 

Dans une attaque par pulvérisation de mot de passe, un adversaire tente à plusieurs reprises de se connecter à un grand nombre de comptes cibles à l'aide d'un ensemble limité de mots de passe jusqu'à ce qu'il parvienne à percer le système d'authentification cible et à obtenir l'accès au compte et au système. Dans une attaque par force brute, un attaquant tente à plusieurs reprises de se connecter en utilisant différents mots de passe jusqu'à ce qu'il parvienne à percer le système d'authentification de la cible et à obtenir l'accès au compte et au système.

Dans les deux cas, ces techniques génèrent un volume important de données, ce qui rend l'analyse longue et fastidieuse.

Un comportement anormal peut signaler une attaque imminente. Par exemple, une connexion anormale peut signaler un accès non autorisé au système d'identité. Les anomalies des tickets de service signalent les demandes suspectes de tickets de service qui pourraient indiquer une tentative d'abus du mécanisme de ticket d'Active Directory dans le cadre d'une cyberattaque, telle que le Kerberoasting. Ces demandes anormales comprennent la demande d'un ticket pour des services rarement utilisés ou la demande d'un ticket avec un algorithme cryptographique dégradé.