Identität ist das neue private Netzwerk
Angreifer brechen nicht mehr ein. Sie melden sich an.
600 Millionen Identitätsangriffe pro Tag, und der Siegzug ist immer derselbe: ein gültiger Login, der tut, was er nicht sollte. Ihre Firewall, Ihr EDR und Ihr SIEM sehen dabei zu - und legen es als normal ab. 1Security ist gebaut für den Angriff, der aussieht wie ein Mitarbeiter.
- 600 Mio./TagIdentitätsangriffe (Microsoft, 2024)
- 70%der Sicherheitsverletzungen nutzen überschüssige Berechtigungen aus
- 98%der vergebenen Berechtigungen werden nie gebraucht
Der Wandel
Der Angriff ist kein Einbruch mehr.
Zwanzig Jahre lang hatte eine Sicherheitsverletzung eine Form: ein Exploit, eine Payload, ein bösartiger Prozess. Die Branche baute großartige Maschinerie, um genau das zu fangen - und die Maschinerie funktioniert. Genau deshalb haben Angreifer damit aufgehört.
Heute ist der Siegzug eine Anmeldeinformation. Ein gephishtes Passwort, ein gestohlenes Sitzungstoken, eine OAuth-Einwilligung, am Dienstag erteilt und am Freitag vergessen. Kein Exploit zum Patchen, keine Signatur zum Abgleichen, kein Prozess zum Beenden - nur ein gültiger Login, der Berechtigungen ausübt, die ihm rechtmäßig erteilt wurden, in einem Ausmaß, das niemand beobachtet.
Das Schlachtfeld ist auf die andere Seite des Anmeldebildschirms gezogen. Die Werkzeuge sind nicht gefolgt.
Der blinde Fleck
Warum Ihr Stack es nicht sieht.
Drei Werkzeugkategorien, drei exzellente Antworten auf die Fragen der vorigen Epoche.
Ihr SIEM speichert die Beweise
Jedes Ereignis einer Identitätsverletzung landet in einem Log. Aber ein SIEM speichert Einträge, ohne Berechtigungen zu verstehen - es sagt Ihnen, was passiert ist, sobald Sie schon wissen, wonach Sie fragen müssen. Es ist ein Archiv, kein Zeuge.
Ihr IAM vergibt - und schaut weg
Identitätsplattformen sind hervorragend darin, Zugriff zu erteilen, und miserabel darin, ihn zu beobachten. Sobald die Berechtigung existiert, verfolgt niemand, ob sie je genutzt wird, von wem oder von wo - und 98% davon werden überhaupt nie gebraucht.
Ihr EDR gibt die Maschine frei
Endpunkt-Werkzeuge inspizieren Prozesse, und in einem Identitätsangriff ist jeder Prozess sauber. Outlook ist Outlook, der Browser ist ein Browser. Die Anmeldeinformation ist die Malware - und danach scannt kein Endpunkt-Agent.
Die Antwort
Was es braucht, um einen Login zu fangen.
Ein Angriff in Gestalt eines Logins hat keine Signatur - aber er hat verräterische Spuren. Ihn zu fangen heißt, vier Dinge zu korrelieren, die Ihre Werkzeuge an vier verschiedenen Orten halten, auf einer Zeitachse: Akteur, Gerät, Standort und Verhalten.
- 01
Ein Gerät, das es nicht geben dürfte
Das Token kommt von einer Maschine, die nie registriert und nie authentifiziert wurde. 1Security rekonstruiert diese Schattengeräte aus echter Aktivität, verankert an einem stabilen Fingerabdruck - sichtbar, selbst wenn Intune nie von ihnen gehört hat.
- 02
Ein Ursprung, der nicht passt
Die ASN eines Hosting-Anbieters in einem Land, in dem Sie nicht tätig sind. Jede Aktion wird zu Land, Stadt und Netzwerk aufgelöst - das Rauschen von Microsofts eigenen Rechenzentren ist bereits herausgefiltert, sodass ein fremder Ursprung wirklich etwas bedeutet.
- 03
Eine Baseline, die bricht
Das Konto liest plötzlich das Vierfache seines üblichen Volumens. Baselines pro Identität machen aus „einer Zahl“ „eine Anomalie“ - Episoden statt Ereignisse, mit einer Warnlinie, die Sie selbst positionieren.
Der Kontext
Die Karte hinter der Zeitachse.
Die Erkennung sagt Ihnen, dass etwas nicht stimmt. Der Berechtigungsgraph sagt Ihnen, wie schlimm: jede Datei, jede SharePoint-Website und jedes Postfach, die das kompromittierte Konto erreichen konnte - direkte Vergaben, Freigabelinks, Gruppen, Vererbung - aufgelöst in Minuten. Der Schadensradius war früher eine Woche Log-Puzzlearbeit. Jetzt ist er eine Frage mit einer Antwort.
Die Behebung
Von gefunden zu behoben.
Die Verletzung zu sehen ist die halbe Arbeit. 1Security führt jeden Befund bis zu seiner Behebung: Zugriff entziehen, Links ablaufen lassen, Sitzungen kappen - über Automatisierungen mit Karenzzeiten und Prüfwarteschlangen, damit nichts Unumkehrbares geschieht, ohne dass ein Mensch es entschieden hat.
Und bis Sie ausdrücklich in Schreibzugriff einwilligen, läuft alles schreibgeschützt. Sie wählen den Tag, an dem die Karte handeln darf.
Beweis und Bereitstellung
Gezählt, nicht versprochen.
Keine Agenten zu verteilen, kein E5-Upsell, kein Beratungsprojekt. Verbinden Sie morgens schreibgeschützt und lesen Sie noch am selben Tag Ihre ersten Befunde.
- 12 h → 10 mineine Schadensradius-Untersuchung, vorher und nachher
- Am selben Tagvon der schreibgeschützten Einwilligung zu den ersten Befunden
- 3 JahreAktivitätsgedächtnis - ohne SIEM-Vertrag
- StandardMicrosoft-Lizenzen - keine E5-Voraussetzung
Angreifer brechen nicht mehr ein. Sie melden sich an.
Sehen Sie Ihren Mandanten mit den Augen eines Angreifers - jede Identität, jede Berechtigung, jeden Login, der nicht passt.
Oder gehen Sie weiter davon aus, dass jeder Login legitim ist.