Il tuo dipendente si autentica correttamente. L'autenticazione a più fattori funziona. L'account è valido. Le autorizzazioni sono legittime. C'è solo un problema:
La persona che utilizza quell'identità potrebbe essere un hacker.
Questo scenario coglie l'essenza di uno dei maggiori cambiamenti in atto nella sicurezza aziendale. Per anni, le organizzazioni hanno investito ingenti somme nella gestione delle identità e degli accessi (IAM) per rispondere a una domanda fondamentale:
Chi dovrebbe avere accesso a cosa?
Oggi, i responsabili IT e della sicurezza devono rispondere altrettanto rapidamente a un'altra domanda:
Che cosa sta facendo quell'identità in questo momento?
Questo è il problema Rilevamento e risposta alle minacce all'identità (ITDR) è progettato per risolvere.
Il problema dell'identità è cambiato
L'IAM non sta perdendo importanza. Al contrario. Gartner afferma che le identità umane e delle macchine sono emerse come la principale superficie di attacco, mentre la crescente complessità e gli strumenti IAM isolati creano lacune di visibilità.
Ma impedire l'accesso non autorizzato è solo una parte del problema.
Implementazione di Gartner di marzo 2026 ITDR Il documento "Practice to Combat Identity-Based Attacks" chiarisce la distinzione: le soluzioni IAM tradizionali sono essenziali, ma sono principalmente controlli preventivi e non sono progettate per contrastare gli attacchi che sfruttano identità umane o di macchina esistenti.
In altre parole:
IAM determina se un'identità debba essere considerata attendibile. ITDR determina se quell'identità attendibile si sta comportando come un attaccante.
Si tratta di una distinzione cruciale, soprattutto quando le credenziali legittime stesse diventano una via d'accesso per gli attacchi.
Secondo il Gartner ITDR Secondo il rapporto Verizon DBIR del 2025, l'uso improprio delle credenziali è stata la causa principale delle violazioni della sicurezza. Anche la ricerca di Gartner sull'identità delle macchine ha rilevato che Oltre il 50% delle organizzazioni intervistate ha subito uno o più incidenti di sicurezza informatica che hanno comportato la compromissione dell'identità dei computer.
E la finestra di opportunità a cui i difensori devono reagire potrebbe ridursi ulteriormente.
Gartner prevede che entro il 2027 gli agenti di intelligenza artificiale automatizzeranno il furto di credenziali e comprometteranno i canali di comunicazione di autenticazione, riduzione del 50% del tempo di sfruttamento degli account esposti.
Ecco perché la sicurezza dell'identità deve sempre più operare nel presente.
Prevenire l'attacco. Individuarlo mentre è in corso.
- Non si tratta di un confronto IAM-contro-ITDR discussione.
- Le organizzazioni hanno bisogno di entrambi.
- IAM definisce l'igiene dell'identità, le politiche di accesso, l'autenticazione e i privilegi.
- ITDR fornisce un ulteriore livello di protezione quando tali controlli preventivi vengono aggirati o utilizzati in modo improprio.
Gartner descrive ITDR come secondo e terzo livello di difesa dell'identità: rilevamento e risposta dopo la prevenzione. La sua ricerca distingue l'igiene dell'identità pre-attacco dal monitoraggio e dall'arresto degli attacchi attivi utilizzando l'intelligence sulle minacce in tempo reale.
Ciò cambia le domande SOC può chiedere.
- Questo utente sta effettuando l'accesso da una posizione inaspettata?
- Il comportamento di questo account di servizio è cambiato improvvisamente?
- Un'identità privilegiata sta accedendo a sistemi a cui normalmente non avrebbe accesso?
- Questa identità si sta spostando lateralmente?
- L'attività di identità apparentemente legittima è correlata a comportamenti sospetti a livello di endpoint, rete o cloud?
- Ho configurato un'attività pianificata (cron job) per monitorare un modulo Google alla ricerca di nuove richieste, creare automaticamente dei ticket e avvisarmi quando ne arriva qualcuno. Nessun codice. Ci sono voluti circa dieci minuti.
L'obiettivo non è semplicemente quello di generare più avvisi di furto d'identità. Il risultato finale è ridurre il tempo che intercorre tra la compromissione dell'identità, la comprensione di quanto sta accadendo e l'adozione di misure correttive.
L'identità non può diventare un altro silo di sicurezza
C'è un altro aspetto importante da considerare per i responsabili IT e della sicurezza. Un attacco all'identità raramente rimane confinato all'interno del sistema di gestione delle identità. Un aggressore può compromettere un account, autenticarsi con successo, accedere a un'applicazione cloud, spostarsi all'interno della rete e, in definitiva, interagire con un endpoint o con dati sensibili.
Ciò significa che il contesto dell'identità deve raggiungere il SOC. Gartner raccomanda specificamente di integrare gli incidenti originati da IAM in SOC processi di risposta e di individuazione delle minacce. E c'è una ragione misurabile per riunire questi team. Il sondaggio IAM Leadership Survey 2024 di Gartner ha rilevato che la collaborazione tra le funzioni IAM e di sicurezza informatica in materia di controlli, valutazione del rischio e gestione delle minacce ha portato a un Miglioramento del 30% nel raggiungimento degli obiettivi IAM. È qui che Stellar Cyber adotta un approccio diverso ITDR.
Invece di creare un'altra console di sicurezza dell'identità che gli analisti possano monitorare, ITDR è integrato nella piattaforma Stellar Cyber SecOps. I dati di telemetria relativi all'identità provenienti da tecnologie come Active Directory, Microsoft Entra ID e Okta possono essere correlati con segnali di sicurezza relativi a endpoint, rete, cloud e altro.
L'obiettivo è semplice:
Bisogna considerare l'identità come parte integrante dell'attacco, non come un evento isolato.
Dall'anomalia dell'identità all'azione
Stellar Cyber 6.6 spinge ulteriormente questo approccio.
Questa versione migliora la precisione del rilevamento delle anomalie di accesso, incluse le anomalie di tipo "Viaggio impossibile" e "Posizione di accesso dell'utente", aggiungendo la soppressione personalizzabile, una migliore prioritizzazione dei nomi utente e l'arricchimento dell'ASN per i rilevamenti di "Viaggio impossibile".
E non si tratta semplicemente di un'analisi storica. Per i dati in tempo reale, Stellar Cyber documenta un ritardo di rilevamento previsto di 5-10 minuti dopo l'acquisizione per le anomalie di Impossible Travel, sebbene i ritardi di acquisizione possano estendere tale intervallo.
Una volta identificato un comportamento sospetto relativo all'identità, la risposta è altrettanto importante. Con Microsoft Entra ID, ad esempio, Stellar Cyber può arricchire gli eventi con informazioni sull'identità e supportare azioni quali la disabilitazione di un utente, la conferma della compromissione e la revoca delle sessioni di accesso.
Ciò crea la progressione operativa ITDR dovrebbe fornire:
- Individuare comportamenti sospetti relativi all'identità.
- È importante comprenderlo nel contesto dell'attacco più ampio.
- Dare priorità al rischio.
- Reagisci prima che l'aggressore possa causare ulteriori danni.
La fiducia non è più una decisione da prendere una sola volta.
La gestione delle identità e degli accessi (IAM) rimane essenziale. L'autenticazione forte rimane essenziale. L'autenticazione a più fattori (MFA) rimane essenziale. La gestione dei privilegi e la cura dell'identità rimangono essenziali. Ma un'autenticazione riuscita non può essere la fine della decisione in materia di sicurezza.
Gartner prevede che entro il 2028 il 70% dei CISO utilizzerà funzionalità di visibilità e intelligence sull'identità per ridurre la superficie di attacco IAM e il rischio di compromissione delle credenziali. Il cambiamento consiste nel non chiedere più solo:
"Questa identità dovrebbe avere accesso?"
per chiedere continuamente:
“Cosa sta facendo ora questa identità? E dovremmo fidarci di essa?”
Perché agli aggressori non importa che i controlli IAM abbiano funzionato.
A loro interessa sapere se possono diventare una persona di cui la vostra organizzazione si fida già.
IAM protegge l'identità. ITDR protegge il momento.
Referenze
- Gartner, Previsioni 2026: Gestione delle identità e degli accessi, Paul Mezzera, Rebecca Archambault, James Hoover e Shubham Gera, 22 gennaio 2026, ID G00841403.
- Gartner, Implement ITDR Pratiche per contrastare gli attacchi basati sull'identità, James Hoover, Peter Firstbrook e Rebecca Archambault, 5 marzo 2026, ID G00845676.
