Uw medewerker is succesvol geauthenticeerd. MFA werkt. Het account is geldig. De machtigingen zijn rechtmatig. Er is alleen één probleem:
De persoon die de identiteit gebruikt, kan een aanvaller zijn.
Dat scenario raakt de kern van een van de grootste veranderingen in de bedrijfsbeveiliging. Organisaties hebben jarenlang fors geïnvesteerd in Identity and Access Management (IAM) om een essentiële vraag te beantwoorden:
Wie zou toegang moeten hebben tot wat?
Vandaag de dag moeten IT- en beveiligingsleiders net zo snel een andere vraag beantwoorden:
Wat doet die identiteit op dit moment?
Dat is het probleem Detectie en reactie op bedreigingen voor de identiteit (ITDR) is ontworpen om op te lossen.
Het identiteitsprobleem is veranderd.
IAM wordt niet minder belangrijk. Integendeel. Volgens Gartner zijn menselijke en machine-identiteiten uitgegroeid tot het belangrijkste aanvalsoppervlak, terwijl de toenemende complexiteit en de geïsoleerde aard van IAM-tools hiaten in het zicht creëren.
Het voorkomen van ongeautoriseerde toegang is echter slechts een deel van het probleem.
Gartner's implementatie in maart 2026 ITDR Het document "Practice to Combat Identity-Based Attacks" maakt het onderscheid duidelijk: traditionele IAM-oplossingen zijn essentieel, maar ze zijn primair bedoeld als preventieve maatregelen en zijn niet ontworpen om aanvallen aan te pakken die gebruikmaken van bestaande menselijke of machine-identiteiten.
Met andere woorden:
IAM bepaalt of een identiteit te vertrouwen is. ITDR bepaalt of die vertrouwde identiteit zich als een aanvaller gedraagt.
Dat is een cruciaal onderscheid, vooral wanneer legitieme inloggegevens zelf een aanvalspad zijn geworden.
Volgens Gartner ITDR Volgens het rapport was misbruik van inloggegevens de belangrijkste oorzaak van beveiligingsinbreuken die werden genoemd in het Verizon DBIR-rapport van 2025. Uit Gartners eigen onderzoek naar machine-identiteit bleek ook dat Meer dan 50% van de ondervraagde organisaties had één of meer cyberbeveiligingsincidenten meegemaakt waarbij machine-identiteiten waren gecompromitteerd.
En het venster waarin de verdedigers moeten reageren, zou wel eens kleiner kunnen worden.
Gartner voorspelt dat AI-agenten tegen 2027 het stelen van inloggegevens zullen automatiseren en authenticatiecommunicatiekanalen zullen compromitteren. De exploitatietijd voor blootgestelde accounts wordt met 50% verkort.
Daarom moet identiteitsbeveiliging steeds meer in het heden plaatsvinden.
Preventie vóór de aanval. Detectie tijdens de aanval.
- Dit is geen IAM-versus-vergelijking.ITDR argument.
- Organisaties hebben beide nodig.
- IAM zorgt voor de beveiliging van identiteiten, toegangsbeleid, authenticatie en privileges.
- ITDR Dit biedt een extra beschermingslaag voor het geval deze preventieve maatregelen worden omzeild of misbruikt.
Gartner beschrijft ITDR als de tweede en derde laag van identiteitsbescherming: detectie en respons na preventie. Het onderzoek onderscheidt identiteitshygiëne vóór een aanval van het monitoren en stoppen van actieve aanvallen met behulp van realtime dreigingsinformatie.
Dat verandert de vragen. SOC kan vragen.
- Logt deze gebruiker in vanaf een onverwachte locatie?
- Is het gedrag van dit serviceaccount plotseling veranderd?
- Krijgt een bevoorrechte identiteit toegang tot systemen waartoe deze normaal gesproken geen toegang heeft?
- Verschuift deze identiteit zijwaarts?
- Is er een verband tussen ogenschijnlijk legitieme identiteitsactiviteit en verdacht gedrag van eindpunten, netwerken of de cloud?
- Ik heb een cronjob ingesteld om een Google Formulier in de gaten te houden voor nieuwe inzendingen, automatisch tickets aan te maken en mij een melding te sturen wanneer er iets binnenkomt. Geen code nodig. Het duurde ongeveer tien minuten.
Het doel is niet simpelweg meer waarschuwingen over identiteitsfraude. Het uiteindelijke resultaat is het verkorten van de tijd tussen een identiteitslek, het begrijpen van wat er gebeurt en het nemen van actie.
Identiteit mag geen extra beveiligingssilo worden.
Er is nog een belangrijke overweging voor IT- en beveiligingsleiders. Een identiteitsaanval blijft zelden beperkt tot het identiteitssysteem. Een aanvaller kan een account compromitteren, zich succesvol authenticeren, toegang krijgen tot een cloudapplicatie, zich door het netwerk verplaatsen en uiteindelijk interactie hebben met een endpoint of gevoelige gegevens.
Dat betekent dat de identiteitscontext de SOCGartner beveelt specifiek aan om incidenten die afkomstig zijn van IAM te integreren in SOC reactie- en dreigingsopsporingsprocessen. En er is een meetbare reden om die teams samen te brengen. Uit het IAM Leadership Survey 2024 van Gartner bleek dat samenwerking tussen IAM- en cybersecurityfuncties op het gebied van controles, risicobeoordeling en dreigingsbeheer leidde tot een 30% verbetering in het behalen van IAM-doelen. Dit is waar Stellar Cyber een andere aanpak kiest voor ITDR.
In plaats van een nieuwe identiteitsbeveiligingsconsole te creëren die analisten moeten monitoren, ITDR is geïntegreerd in het Stellar Cyber SecOps Platform. Identiteitstelemetrie van technologieën zoals Active Directory, Microsoft Entra ID en Okta kan worden gecorreleerd met signalen van eindpunten, netwerken, de cloud en andere beveiligingssystemen.
Het doel is eenvoudig:
Beschouw de identiteit als onderdeel van de aanval, niet als een op zichzelf staande gebeurtenis.
Van identiteitsanomalie naar actie
Stellar Cyber 6.6 tilt die aanpak naar een nog hoger niveau.
Deze release verbetert de nauwkeurigheid van detecties van inlogafwijkingen, waaronder 'Onmogelijke Reizen' en 'Gebruikersaanmeldingslocatie', en voegt aanpasbare onderdrukking, betere prioriteitsstelling van gebruikersnamen en ASN-verrijking toe voor 'Onmogelijke Reizen'-detecties.
En dit is niet zomaar een historische analyse. Voor actuele gegevens documenteert Stellar Cyber een verwachte detectievertraging van 5-10 minuten na ontvangst voor anomalieën die onmogelijk reizen mogelijk maken, hoewel vertragingen bij de ontvangst die periode kunnen verlengen.
Zodra verdacht identiteitsgedrag is vastgesteld, is de reactie daarop net zo belangrijk. Met Microsoft Entra ID kan Stellar Cyber bijvoorbeeld gebeurtenissen verrijken met identiteitsinformatie en acties ondersteunen zoals het uitschakelen van een gebruiker, het bevestigen van een inbreuk en het intrekken van aanmeldsessies.
Dat zorgt voor de operationele voortgang. ITDR moet opleveren:
- Detecteer verdacht identiteitsgedrag.
- Begrijp het in de context van de bredere aanval.
- Geef prioriteit aan het risico.
- Reageer voordat de aanvaller meer schade kan aanrichten.
Vertrouwen is niet langer een eenmalige beslissing.
IAM blijft essentieel. Sterke authenticatie blijft essentieel. MFA blijft essentieel. Beheer van privileges en identiteitshygiëne blijven essentieel. Maar succesvolle authenticatie mag niet het eindpunt van de beveiligingsbeslissing zijn.
Gartner voorspelt dat in 2028 70% van de CISO's gebruik zal maken van mogelijkheden voor identiteitsinzicht en -informatie om het aanvalsoppervlak van IAM te verkleinen en het risico op het compromitteren van inloggegevens te verminderen. De verschuiving gaat van alleen maar vragen stellen naar:
"Moet deze identiteit toegang hebben?"
om steeds maar weer te vragen:
“Wat doet deze identiteit nu – en kunnen we haar vertrouwen?”
Aanvallers geven er immers niets om dat uw IAM-controles werkten.
Het is voor hen van belang of ze iemand kunnen worden die al vertrouwen geniet binnen uw organisatie.
IAM beschermt de identiteit. ITDR beschermt het moment.
Referenties
- Gartner, 2026 Predicts: Identity and Access Management, Paul Mezzera, Rebecca Archambault, James Hoover en Shubham Gera, 22 januari 2026, ID G00841403.
- Gartner, Implement ITDR Praktische aanpak ter bestrijding van identiteitsgerelateerde aanvallen, James Hoover, Peter Firstbrook en Rebecca Archambault, 5 maart 2026, ID G00845676.
