Seu funcionário se autenticou com sucesso. A autenticação multifator (MFA) funciona. A conta é válida. As permissões são legítimas. Há apenas um problema:
A pessoa que está usando essa identidade pode ser um atacante.
Esse cenário ilustra bem uma das maiores mudanças em curso na segurança corporativa. Durante anos, as organizações investiram pesadamente em Gestão de Identidade e Acesso (IAM) para responder a uma pergunta essencial:
Quem deve ter acesso a quê?
Hoje, os líderes de TI e segurança precisam responder a outra pergunta com a mesma rapidez:
O que essa identidade está fazendo neste momento?
Esse é o problema Detecção e resposta a ameaças de identidade (ITDR) foi projetado para resolver.
O problema de identidade mudou.
A gestão de identidades e acesso (IAM) não está perdendo importância. Muito pelo contrário. Segundo a Gartner, as identidades humanas e de máquinas emergiram como a principal superfície de ataque, enquanto a crescente complexidade e as ferramentas de IAM isoladas criam lacunas de visibilidade.
Mas impedir o acesso não autorizado é apenas uma parte do problema.
Implementação prevista pela Gartner para março de 2026 ITDR O documento "Práticas para Combater Ataques Baseados em Identidade" estabelece a distinção claramente: as soluções tradicionais de IAM são essenciais, mas são principalmente controles preventivos e não foram projetadas para lidar com ataques que exploram identidades humanas ou de máquina existentes.
Em outras palavras:
O IAM determina se uma identidade deve ser considerada confiável. ITDR Determina se essa identidade confiável está se comportando como um atacante.
Essa é uma distinção crucial quando as próprias credenciais legítimas se tornam uma via de ataque.
De acordo com o Gartner ITDR De acordo com o relatório DBIR da Verizon de 2025, o uso indevido de credenciais foi a principal causa de violações de segurança. A própria pesquisa da Gartner sobre identidade de máquina também constatou que Mais de 50% das organizações pesquisadas sofreram um ou mais incidentes de segurança cibernética envolvendo identidades de máquinas comprometidas.
E a janela de tempo em que os defensores têm que reagir pode ficar cada vez menor.
A Gartner prevê que, até 2027, agentes de IA automatizarão o roubo de credenciais e comprometerão os canais de comunicação de autenticação. Reduzir em 50% o tempo de exploração das contas expostas.
É por isso que a segurança de identidade precisa, cada vez mais, operar no agora.
Prevenção antes do ataque. Detecção enquanto ele acontece.
- Isto não é uma questão de IAM versus...ITDR argumento.
- As organizações precisam de ambos.
- O IAM estabelece a higiene de identidade, as políticas de acesso, a autenticação e os privilégios.
- ITDR Proporciona uma camada adicional de proteção quando esses controles preventivos são ignorados ou utilizados de forma abusiva.
Gartner descreve ITDR como a segunda e a terceira camadas de defesa de identidade: detecção e resposta após a prevenção. Sua pesquisa distingue a higiene de identidade pré-ataque do monitoramento e da interrupção de ataques ativos usando inteligência de ameaças em tempo real.
Isso muda as perguntas. SOC pode perguntar.
- Este usuário está acessando o sistema de algum lugar inesperado?
- O comportamento desta conta de serviço mudou repentinamente?
- Uma identidade privilegiada está acessando sistemas aos quais normalmente não teria acesso?
- Essa identidade está se deslocando lateralmente?
- Atividades de identidade aparentemente legítimas se correlacionam com comportamentos suspeitos em endpoints, redes ou na nuvem?
- Configurei uma tarefa cron para monitorar um formulário do Google em busca de novos envios, criar tickets automaticamente e me notificar quando algo chegar. Sem precisar escrever código. Levou cerca de dez minutos.
O objetivo não é simplesmente gerar mais alertas de identidade. O resultado desejado é reduzir o tempo entre a ocorrência de uma violação de identidade, a compreensão do que está acontecendo e a tomada de medidas.
A identidade não pode se tornar mais um silo de segurança.
Há outra consideração importante para os líderes de TI e segurança. Um ataque de identidade raramente fica restrito ao sistema de identidade. Um invasor pode comprometer uma conta, autenticar-se com sucesso, acessar um aplicativo na nuvem, movimentar-se pela rede e, por fim, interagir com um endpoint ou dados confidenciais.
Isso significa que o contexto de identidade precisa alcançar o SOCA Gartner recomenda especificamente a integração de incidentes originados no IAM em SOC processos de resposta e busca de ameaças. E há um motivo mensurável para reunir essas equipes. A Pesquisa de Liderança em IAM de 2024 da Gartner constatou que a colaboração entre as funções de IAM e cibersegurança em controles, avaliação de riscos e gerenciamento de ameaças levou a uma Melhoria de 30% no alcance das metas de IAM. É aqui que a Stellar Cyber adota uma abordagem diferente. ITDR.
Em vez de criar outro console de segurança de identidade para os analistas monitorarem, ITDR Está integrado à plataforma Stellar Cyber SecOps. A telemetria de identidade de tecnologias como Active Directory, Microsoft Entra ID e Okta pode ser correlacionada com sinais de segurança de endpoints, redes, nuvem e outros.
O objetivo é simples:
Considere a identidade como parte do ataque, e não como um evento isolado.
Da anomalia de identidade à ação
O Stellar Cyber 6.6 leva essa abordagem ainda mais longe.
Esta versão aprimora a fidelidade na detecção de anomalias de login, incluindo anomalias de Viagem Impossível e Localização de Login do Usuário, adicionando supressão personalizável, melhor priorização de nomes de usuário e enriquecimento de ASN para detecções de Viagem Impossível.
E isso não é simplesmente uma análise histórica. Para dados em tempo real, a Stellar Cyber documenta um atraso esperado na detecção de anomalias de Viagem Impossível de 5 a 10 minutos após a ingestão, embora atrasos na ingestão possam estender esse período.
Uma vez identificado um comportamento suspeito relacionado à identidade, a resposta é igualmente importante. Com o Microsoft Entra ID, por exemplo, a Stellar Cyber pode enriquecer os eventos com informações de identidade e dar suporte a ações como desativar um usuário, confirmar a violação de segurança e revogar sessões de login.
Isso cria a progressão operacional ITDR deve entregar:
- Detectar comportamentos de identidade suspeitos.
- Entenda isso no contexto do ataque mais amplo.
- Priorize o risco.
- Responda antes que o atacante possa causar mais danos.
A confiança deixou de ser uma decisão pontual.
A gestão de identidades e acesso (IAM) continua sendo essencial. A autenticação forte continua sendo essencial. A autenticação multifator (MFA) continua sendo essencial. O gerenciamento de privilégios e a higiene de identidade continuam sendo essenciais. Mas uma autenticação bem-sucedida não pode ser o fim da decisão de segurança.
A Gartner prevê que, até 2028, 70% dos CISOs usarão recursos de visibilidade e inteligência de identidade para reduzir a superfície de ataque do IAM e o risco de comprometimento de credenciais. A mudança consiste em não apenas perguntar:
“Essa identidade deveria ter acesso?”
perguntar continuamente:
“O que essa identidade está fazendo agora — e devemos confiar nela?”
Porque os atacantes não se importam se os seus controles de IAM funcionaram.
Eles se preocupam em se tornar alguém em quem sua organização já confia.
O IAM protege a identidade. ITDR protege o momento.
Referências
- Gartner, Previsões para 2026: Gestão de Identidade e Acesso, Paul Mezzera, Rebecca Archambault, James Hoover e Shubham Gera, 22 de janeiro de 2026, ID G00841403.
- Gartner, Implement ITDR Prática para combater ataques baseados em identidade, James Hoover, Peter Firstbrook e Rebecca Archambault, 5 de março de 2026, ID G00845676.
