Identität ist das neue private Netzwerk
Angreifer brechen nicht mehr ein. Sie melden sich an.
600 Millionen Identitätsangriffe pro Tag, und der Siegzug ist immer derselbe: ein gültiger Login, der tut, was er nicht sollte. Jedes Ereignis davon landet in einem Log, und jedes für sich sieht legitim aus. 1Security ist gebaut für den Angriff, der aussieht wie ein Mitarbeiter.
- 600 Mio./TagIdentitätsangriffe (Microsoft, 2024)
- 70%der Sicherheitsverletzungen nutzen überschüssige Berechtigungen aus
- 98%der vergebenen Berechtigungen werden nie gebraucht
Der Wandel
Der Angriff ist kein Einbruch mehr.
Zwanzig Jahre lang hatte eine Sicherheitsverletzung eine Form: ein Exploit, eine Payload, ein bösartiger Prozess. Die Branche baute großartige Maschinerie, um genau das zu fangen - und die Maschinerie funktioniert. Genau deshalb haben Angreifer damit aufgehört.
Heute ist der Siegzug eine Anmeldeinformation. Ein gephishtes Passwort, ein gestohlenes Sitzungstoken, eine OAuth-Einwilligung, am Dienstag erteilt und am Freitag vergessen. Kein Exploit zum Patchen, keine Signatur zum Abgleichen, kein Prozess zum Beenden - nur ein gültiger Login, der Berechtigungen ausübt, die ihm rechtmäßig erteilt wurden, in einem Ausmaß, das niemand beobachtet.
Das Schlachtfeld ist auf die andere Seite des Anmeldebildschirms gezogen. Die Werkzeuge sind nicht gefolgt.
Die Lücke zwischen den Werkzeugen
Warum er zwischen Ihren Werkzeugen hindurchrutscht.
Drei Werkzeugkategorien, jede exzellent in ihrer eigenen Frage. Ein Identitätsangriff liegt dazwischen.
Ihr SIEM hält das Protokoll
Jedes Ereignis einer Identitätsverletzung landet in einem Log, und auf diesem Protokoll läuft die Untersuchung. Was ein Log allein nicht sagen kann: was das Konto erreichen konnte und ob der heutige Tag für dieses Konto normal ist. Diese Schicht ergänzt 1Security - und gibt sie an das SIEM zurück.
Ihr IAM vergibt den Zugriff
Identitätsplattformen entscheiden, wer Zugriff bekommt, und tun das gut. Sobald die Berechtigung existiert, lautet die nächste Frage: Wird sie genutzt, von wem und von wo. 1Security beobachtet diese Seite und speist das Ergebnis in Ihre Überprüfungen zurück - die meisten vergebenen Berechtigungen erweisen sich als nie genutzt.
Ihr EDR gibt die Maschine frei
Endpunkt-Werkzeuge inspizieren Prozesse, und in einem Identitätsangriff ist jeder Prozess sauber. Outlook ist Outlook, der Browser ist ein Browser. Die Anmeldeinformation ist die Malware, und das verlangt einen anderen Sensor - einen, der beobachtet, was der Login tut.
Die Antwort
Was es braucht, um einen Login zu fangen.
Ein Angriff in Gestalt eines Logins hat keine Signatur - aber er hat verräterische Spuren. Ihn zu fangen heißt, vier Dinge auf eine Zeitachse zu legen: Akteur, Gerät, Standort und Verhalten.
- 01
Ein Gerät, das es nicht geben dürfte
Das Token kommt von einer Maschine, die nie registriert und nie authentifiziert wurde. 1Security rekonstruiert diese Schattengeräte aus echter Aktivität, verankert an einem stabilen Fingerabdruck - sichtbar neben den Geräten, die Sie registriert haben.
- 02
Ein Ursprung, der nicht passt
Die ASN eines Hosting-Anbieters in einem Land, in dem Sie nicht tätig sind. Jede Aktion wird zu Land, Stadt und Netzwerk aufgelöst - Cloud-Rechenzentrumsverkehr ist bereits als solcher markiert, sodass ein fremder Ursprung wirklich etwas bedeutet.
- 03
Eine Baseline, die bricht
Das Konto liest plötzlich das Vierfache seines üblichen Volumens. Baselines pro Identität machen aus "einer Zahl" "eine Anomalie" - Episoden statt Ereignisse, mit einer Warnlinie, die Sie selbst positionieren.
Der Kontext
Die Karte hinter der Zeitachse.
Die Erkennung sagt Ihnen, dass etwas nicht stimmt. Der Berechtigungsgraph sagt Ihnen, wie schlimm: jede Datei, jede SharePoint-Website und jedes Postfach, die das kompromittierte Konto erreichen konnte - direkte Vergaben, Freigabelinks, Gruppen, Vererbung - aufgelöst in Minuten. Der Schadensradius war früher eine Woche Log-Puzzlearbeit. Jetzt ist er eine Frage mit einer Antwort.
Die Behebung
Von gefunden zu behoben.
Die Verletzung zu sehen ist die halbe Arbeit. 1Security führt jeden Befund bis zu seiner Behebung: Zugriff entziehen, Links ablaufen lassen, Sitzungen kappen - über Automatisierungen mit Karenzzeiten und Prüfwarteschlangen, damit nichts Unumkehrbares geschieht, ohne dass ein Mensch es entschieden hat.
Und bis Sie ausdrücklich in Schreibzugriff einwilligen, läuft alles schreibgeschützt. Sie wählen den Tag, an dem die Karte handeln darf.
Beweis und Bereitstellung
Gezählt, nicht versprochen.
Keine Agenten zu verteilen, kein Premium-Zusatz, kein Beratungsprojekt. Verbinden Sie morgens schreibgeschützt und lesen Sie noch am selben Tag Ihre ersten Befunde.
- 12 h → 10 mineine Schadensradius-Untersuchung, vorher und nachher
- Am selben Tagvon der schreibgeschützten Einwilligung zu den ersten Befunden
- 3 JahreAktivitätsgedächtnis auf Standardlizenzen
- StandardMicrosoft 365-Lizenzen - kein Premium-Zusatz
Angreifer brechen nicht mehr ein. Sie melden sich an.
Sehen Sie Ihren Mandanten mit den Augen eines Angreifers - jede Identität, jede Berechtigung, jeden Login, der nicht passt.
Oder gehen Sie weiter davon aus, dass jeder Login legitim ist.