DARKTRACE ­ / IDENTITY –
KI-GESTÜTZTE IDENTITY SECURITY

Identity Threat Detection and Response, kurz ITDR, ergänzt bestehende IAM-, MFA- und Zero-Trust-Maßnahmen um die kontinuierliche Analyse von Nutzer- und Kontenaktivitäten.

MFA erschwert unbefugte Anmeldungen, kann aber nicht jeden Missbrauch gültiger Zugangsdaten oder bereits übernommener Sessions verhindern. Darktrace / IDENTITY bewertet deshalb auch Aktivitäten nach der erfolgreichen Authentifizierung, beispielsweise ungewöhnliche Datenzugriffe, auffällige Anmeldeorte, abweichende Session-Aktivitäten oder unerwartete Berechtigungsänderungen.

Darktrace / IDENTITY erstellt organisationsspezifische Verhaltensmodelle für Nutzer, Konten und Anwendungen.

Dabei werden unter anderem übliche Arbeitszeiten, Zugriffsorte, verwendete SaaS-Anwendungen, Datenmengen und wiederkehrende Aktivitäten berücksichtigt. Weicht ein Konto deutlich vom bisherigen Verhalten ab, kann die Aktivität als auffällig bewertet und mit weiteren Ereignissen in Zusammenhang gebracht werden.

Dadurch können auch Bedrohungen sichtbar werden, die nicht auf bereits bekannten Signaturen oder Angriffsmustern basieren.

Darktrace / IDENTITY kann je nach verfügbarer Integration unter anderem Microsoft 365, Microsoft Entra ID, Okta, Salesforce, Google Workspace, Slack und Zoom einbeziehen.

Die Lösung analysiert Nutzer-, Konten- und Administrationsaktivitäten aus den angebundenen Plattformen und führt relevante Ereignisse in einem gemeinsamen Kontext zusammen. Welche Datenquellen und Reaktionsmöglichkeiten verfügbar sind, hängt von der jeweiligen Plattform, den eingerichteten Berechtigungen und dem Integrationsumfang ab.

Bei einer Insider-Bedrohung nutzt eine berechtigte Person ihre legitimen Zugriffsrechte unbeabsichtigt oder vorsätzlich auf eine sicherheitskritische Weise. Bei einem kompromittierten Konto verwendet dagegen eine unbefugte Person gestohlene Zugangsdaten oder eine übernommene Session.

Beide Szenarien können für rein login- oder regelbasierte Kontrollen schwerer erkennbar sein, weil technisch gültige Konten und Berechtigungen verwendet werden. Darktrace / IDENTITY bewertet deshalb das tatsächliche Verhalten, beispielsweise auffällige Massendownloads, ungewöhnliche Datenzugriffe oder abweichende administrative Aktivitäten.

Abhängig von der angebundenen Plattform, den eingerichteten Berechtigungen und der Konfiguration kann Darktrace / IDENTITY gezielte Reaktionen auslösen.

Dazu können beispielsweise das Beenden einer aktiven Session, das Deaktivieren eines potenziell kompromittierten Kontos, das Blockieren verdächtiger Zugriffe oder das Anstoßen einer erneuten Authentifizierung gehören.

Welche Maßnahmen automatisiert oder nach Freigabe erfolgen, wird im Rahmen der Implementierung mit den bestehenden Sicherheits- und Eskalationsprozessen abgestimmt.

Darktrace / IDENTITY wird über unterstützte Schnittstellen in vorhandene IAM- und SaaS-Plattformen eingebunden.

SCALTEL prüft zunächst die vorhandenen Systeme, benötigten Datenquellen, Berechtigungen und gewünschten Reaktionsmöglichkeiten. Anschließend erfolgt die technische Anbindung beispielsweise an Microsoft Entra ID, Okta, Microsoft 365, Salesforce oder Google Workspace.

Der konkrete Aufwand hängt von der bestehenden Architektur und dem gewünschten Funktionsumfang ab. Nach der Integration kann die Lösung optional in bestehende SIEM-, SOC- und Incident-Response-Prozesse eingebunden werden.

Darktrace / IDENTITY ist als Ergänzung zu bestehenden IAM-, MFA- und Zero-Trust-Lösungen konzipiert.

Während diese Systeme Identitäten, Berechtigungen und Authentifizierungsprozesse verwalten, analysiert Darktrace / IDENTITY das Verhalten nach der Anmeldung. Dadurch entsteht zusätzlicher Kontext zu auffälligen Nutzer-, Konten- und Session-Aktivitäten.

Welche Kombination sinnvoll ist, hängt von der vorhandenen Identity- und Security-Architektur ab.