Ваш співробітник успішно пройшов автентифікацію. Багатофакторна автентифікація працює. Обліковий запис дійсний. Дозволи легітимні. Є лише одна проблема:
Особа, яка використовує цю ідентифікаційну особу, може бути зловмисником.
Цей сценарій є суттю однієї з найбільших змін, що відбуваються в корпоративній безпеці. Роками організації інвестували значні кошти в управління ідентифікацією та доступом (IAM), щоб відповісти на важливе питання:
Хто до чого повинен мати доступ?
Сьогодні керівникам ІТ-відділів та фахівців з безпеки потрібно так само швидко відповісти на ще одне питання:
Що ця ідентичність робить зараз?
Ось у чому проблема Виявлення загроз ідентифікаційним даним та реагування на них (ITDR) призначений для вирішення.
Проблема ідентичності змінилася
IAM не стає менш важливим. Навіть навпаки. Gartner стверджує, що ідентифікаційні дані людей та машин стали основною поверхнею атаки, тоді як зростання складності та ізольовані інструменти IAM створюють прогалини у видимості.
Але запобігання несанкціонованому доступу — це лише одна частина проблеми.
Впровадження Gartner за березень 2026 року ITDR У документі «Практика боротьби з атаками на основі ідентифікаційних даних» чітко проявляється різниця: традиційні рішення IAM є важливими, але вони є переважно превентивними засобами контролю та не призначені для боротьби з атаками, що використовують існуючі людські чи машинні ідентифікаційні дані.
Іншими словами:
IAM визначає, чи слід довіряти особі. ITDR визначає, чи поводиться ця довірена особа як зловмисник.
Це критична відмінність, коли самі легітимні облікові дані стають шляхом атаки.
За даними Gartner ITDR У звіті Verizon DBIR за 2025 рік зазначено, що неправомірне використання облікових даних було основною причиною порушень безпеки. Власне дослідження Gartner щодо ідентифікації машин також показало, що Понад 50% опитаних організацій зазнали одного або кількох інцидентів кібербезпеки, пов'язаних зі скомпрометованими ідентифікаторами машин.
А захисники вікон, на які мають реагувати, можуть зменшитися.
Gartner прогнозує, що до 2027 року агенти штучного інтелекту автоматизують крадіжку облікових даних та порушать канали зв'язку для автентифікації. скорочення часу експлуатації для відкритих облікових записів на 50%.
Ось чому безпека ідентифікаційних даних все частіше має діяти в наш час.
Профілактика до нападу. Виявлення під час його виникнення.
- Це не порівняння IAM протиITDR аргумент.
- Організаціям потрібно і те, і інше.
- IAM встановлює гігієну ідентифікації, політики доступу, автентифікацію та привілеї.
- ITDR забезпечує ще один рівень, коли ці превентивні засоби контролю обходяться або зловживаються ними.
Gartner описує ITDR як другий та третій рівні захисту ідентифікаційних даних: виявлення та реагування після запобігання. Його дослідження розрізняє гігієну ідентифікаційних даних до атаки від моніторингу та зупинки активних атак за допомогою розвідки про загрози в режимі реального часу.
Це змінює питання, SOC можна запитати.
- Цей користувач входить у систему з неочікуваного місця?
- Чи раптово змінилася поведінка цього сервісного облікового запису?
- Чи має привілейована ідентифікаційна особа доступ до систем, до яких вона зазвичай не має доступу?
- Чи рухається ця ідентичність латерально?
- Чи корелює, здавалося б, легітимна активність ідентифікації з підозрілою поведінкою кінцевої точки, мережі або хмари?
- Налаштував cron-завдання для відстеження нових заявок у Google-формі, автоматичного створення заявок та надсилання мені пінгу, коли щось надходить. Без коду. Це зайняло близько десяти хвилин.
Мета полягає не просто в отриманні більшої кількості сповіщень про ідентифікацію. Результатом є скорочення часу між компрометацією ідентифікації, розумінням того, що відбувається, та вжиттям заходів.
Ідентифікація не може стати ще одним силосом безпеки
Існує ще один важливий момент для керівників ІТ-відділів та фахівців з безпеки. Атака на ідентифікаційні дані рідко залишається всередині системи ідентифікації. Зловмисник може скомпрометувати обліковий запис, успішно автентифікуватися, отримати доступ до хмарної програми, переміщатися по мережі та зрештою взаємодіяти з кінцевою точкою або конфіденційними даними.
Це означає, що контекст ідентичності має досягти SOCGartner спеціально рекомендує інтегрувати інциденти, що виникли внаслідок IAM, у SOC процеси реагування та пошуку загроз. І є вагома причина об'єднати ці команди. Опитування лідерства Gartner IAM за 2024 рік показало, що співпраця між IAM та функціями кібербезпеки в рамках контролю, оцінки ризиків та управління загрозами призвела до… 30% покращення у досягненні цілей IAM. Саме тут Stellar Cyber застосовує інший підхід ITDR.
Замість того, щоб створювати ще одну консоль безпеки ідентифікаційних даних для моніторингу аналітиками, ITDR вбудовано в платформу Stellar Cyber SecOps. Телеметрію ідентифікаційних даних з таких технологій, як Active Directory, Microsoft Entra ID та Okta, можна співвіднести з сигналами безпеки кінцевих точок, мережі, хмари та іншими сигналами безпеки.
Мета проста:
Розглядайте ідентифікацію як частину атаки, а не як ізольовану подію.
Від аномалії ідентичності до дії
Stellar Cyber 6.6 просуває цей підхід далі.
У цьому випуску покращено точність виявлення аномалій входу в систему, зокрема аномалій «Неможлива подорож» та «Місцезнаходження входу користувача», додано налаштоване придушення, покращене пріоритетування імені користувача та збагачення ASN для виявлень «Неможлива подорож».
І це не просто історичний аналіз. Для своєчасних даних Stellar Cyber документує очікувану затримку виявлення аномалій «Неможливі подорожі» на 5–10 хвилин після їх отримання, хоча затримки з їх отриманням можуть продовжити цей період.
Щойно виявлено підозрілу поведінку ідентифікації, реагування на неї має не менш значення. Наприклад, за допомогою Microsoft Entra ID Stellar Cyber може збагатити події ідентифікаційною інформацією та підтримувати такі дії, як вимкнення користувача, підтвердження компрометації та скасування сеансів входу.
Це створює операційний прогрес ITDR має доставити:
- Виявляти підозрілу поведінку, пов'язану з ідентифікацією.
- Зрозумійте це в контексті ширшої атаки.
- Пріоритет ризику.
- Відповідайте, перш ніж нападник зможе завдати ще більшої шкоди.
Довіра більше не є одноразовим рішенням
IAM залишається важливою. Надійна автентифікація залишається важливою. MFA залишається важливою. Управління привілеями та гігієна ідентифікації залишаються важливими. Але успішна автентифікація не може бути кінцевим рішенням щодо безпеки.
Gartner прогнозує, що до 2028 року 70% керівників інформаційних систем використовуватимуть можливості видимості та аналітики ідентифікаційних даних, щоб зменшити площу атак IAM та зменшити ризик компрометації облікових даних. Перехід від простого запитання полягає в наступному:
«Чи повинна ця особа мати доступ?»
постійно запитувати:
«Що ця ідентичність робить зараз — і чи варто нам їй довіряти?»
Тому що зловмисникам байдуже, чи працювали ваші засоби контролю IAM.
Їм не байдуже, чи зможуть вони стати кимось, кому ваша організація вже довіряє.
IAM захищає ідентичність. ITDR захищає момент.
Посилання
- Gartner, Прогноз на 2026 рік: Управління ідентифікацією та доступом, Пол Меццера, Ребекка Арчамбо, Джеймс Гувер та Шубхем Гера, 22 січня 2026 р., ID G00841403.
- Gartner, Впровадження ITDR Практика боротьби з атаками на основі ідентифікації, Джеймс Гувер, Пітер Ферстбрук та Ребекка Арчамбо, 5 березня 2026 р., ID G00845676.
