ITDR (Identity Threat Detection and Response)

Was ist ITDR (Identity Threat Detection and Response)?

ITDR (Identity Threat Detection and Response) ist eine Sicherheitsdisziplin, die auf die Erkennung und Behandlung von Angriffen auf die Identitätsinfrastruktur selbst ausgerichtet ist: gestohlene Sitzungen, kompromittierte Zugangsdaten, missbrauchte Privilegien, manipulierte Identitätskonfiguration. Sie existiert, weil Angreifer sich zunehmend anmelden statt einzubrechen, wodurch für Endpunktwerkzeuge keine Schadsoftware zu finden bleibt.

Was ITDR erkennt

• Angriffe auf Zugangsdaten: Password Spraying, Credential Stuffing und bestätigte Treffer bei geleakten Zugangsdaten.
• Sitzungs- und Token-Diebstahl, wenn ein gültiges Sitzungscookie oder Refresh Token von anderswo erneut abgespielt wird.
• MFA-Ermüdung, wenn wiederholte Push-Benachrichtigungen gesendet werden, bis eine Person eine davon bestätigt.
• Privilegienmissbrauch: ungewöhnliche Nutzung einer Administrationsrolle oder eine Rollenzuweisung, die niemand angefragt hat.
• Konfigurationsmanipulation: eine neue Föderationsbeziehung, eine geänderte Richtlinie für bedingten Zugriff, ein neu angelegtes Administrationskonto.

Der blinde Fleck ist alles ausserhalb des Identitätsanbieters

ITDR überwacht die Identitätsinfrastruktur, an die es angebunden ist, was praktisch den Identitätsanbieter und das Verzeichnis bedeutet. Ein wachsender Teil der Identitätsangriffe findet inzwischen eine Ebene weiter aussen statt: OAuth-Consent-Phishing gegen eine SaaS-Anwendung, ein innerhalb eines Tools ausgestelltes API-Token, oder eine nie föderierte Anwendung. Keiner dieser Fälle erzeugt ein Signal im Identitätsanbieter, denn der war nie beteiligt.

Beispiele und Anwendungsfälle

Ein Angreifer versendet einen Zustimmungsdialog für ein legitim wirkendes Produktivitäts-Add-on. Eine Person bestätigt ihn und gewährt damit dauerhaften Lesezugriff auf ihr Postfach und ihr Laufwerk. Kein Passwort wird gestohlen, keine MFA umgangen, und der Identitätsanbieter verzeichnet eine erfolgreiche, richtlinienkonforme Anmeldung. Die Erkennung muss aus der Berechtigung selbst kommen: welche Anwendungen welche Geltungsbereiche halten und welche in dieser Woche hinzugekommen sind. Corma macht diese OAuth-Berechtigungen über den gesamten Bestand sichtbar, also auf der Ebene, die ITDR nicht erreicht.

Verwandte Begriffe

• Identity- und Access-Management-Plattform
• IAM-Lösung für Sicherheitsteams
• Schatten-KI erkennen und vermeiden

FAQ

Worin unterscheiden sich ITDR und EDR?

EDR erkennt Bedrohungen auf Endpunkten über das Verhalten von Prozessen und Dateien. ITDR erkennt Bedrohungen gegen Identitätssysteme über Signale aus Authentifizierung, Autorisierung und Konfiguration.

Ist ITDR dasselbe wie ein SIEM?

Nein. Ein SIEM aggregiert Protokolle von überall. ITDR ist auf Identitätstelemetrie und die dafür typischen Angriffsmuster spezialisiert und speist üblicherweise ein SIEM, statt es zu ersetzen.

Was ist heute der häufigste Identitätsangriff?

Sitzungs- und Token-Diebstahl, gefolgt von OAuth-Consent-Phishing. Beide umgehen die Multi-Faktor-Authentifizierung, weil der Faktor bereits erfüllt war.

Wo steht ITDR im Verhältnis zum IAM?

Das IAM entscheidet, wer Zugriff erhält. ITDR beobachtet, was danach mit diesen Identitäten geschieht, und reagiert, wenn das Verhalten nicht mehr zum Gewährten passt.

Demo anfragen