Identity Threat Protection mit Okta AI

…jetzt allgemein verfügbar

Eine Frage der Identitätssicherheit

In der heutigen zunehmend Cloud-basierten Welt ist Identity der erste und in vielen Fällen einzige dauerhafte Fingerabdruck, der Benutzern Zugriff auf Unternehmensressourcen ermöglicht. Als Steuerungsebene erstreckt sich Identity über den gesamten IT-Tech-Stack des Unternehmens und überschneidet sich mit den Daten- oder Zugriffsebenen von Geräten, Netzwerken und Anwendungen. Kein Wunder also, dass Identity ein attraktives und häufiges Ziel für Angriffe und Kompromittierungen ist.

Laut den OWASP Top 10 war „Broken Access Control“ (fehlerhafte Zugriffskontrolle) das größte Sicherheitsrisiko für Webanwendungen – bei 94 % der Anwendungen wurden in irgendeiner Form fehlerhafte Zugriffskontrollen festgestellt. Der Angriffsvektor hat sich im Laufe der Zeit weiterentwickelt, wobei der Diebstahl und die Wiederverwendung von Token immer häufiger geworden ist und insbesondere von APT-Akteuren (Advanced Persistent Threat) eingesetzt wird. Unternehmen mit ausgefeilteren Zugriffskontrollen müssen sich vor dieser Bedrohung in Acht nehmen. Einige der wichtigsten MITRE-TTPs (Taktiken, Techniken und Prozeduren) für Erstzugriff, Persistenz, laterale Bewegungen oder Rechteausweitung in modernen Umgebungen umfassen entweder Identity-Kompromittierung (Social Engineering, Credential Brute Force usw.) oder Angriffe auf die Identität (Phishing, Business Email Compromise (BEC)). Angreifende setzen nur selten auf eine einzige Methode, um ihre Ziele zu erreichen.

Zudem zeigen Angreifende eine zunehmende Kompetenz und Bereitschaft für mehrstufige Angriffe, die durch systematische Aufklärung unterstützt werden und ortsbezogene Techniken sowie ausgeklügelte Tools nutzen (eine florierende Kleinindustrie moderner SaaS, die jetzt KI nutzen). Es steht viel auf dem Spiel – Identity-Sicherheit hat einen wesentlichen Einfluss auf das Geschäftsergebnis und den langfristigen Unternehmenswert. Im vergangenen Jahr verabschiedete die US-amerikanische Börsenaufsichtsbehörde (SEC) die Vorschrift Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure (Cybersicherheitsrisiko-Management, Strategie, Governance und Vorfalloffenlegung), die börsennotierte Unternehmen dazu verpflichtet, wesentliche Cybersicherheitsvorfälle sowie ihre Mechanismen für das Cybersicherheitsrisiko-Management, ihre Strategie und ihre Governance-Prozesse offenzulegen, um Investoren und Märkte zu schützen.

Das Ziel von Okta, allen Menschen die sichere Nutzung aller Technologien zu ermöglichen, war noch nie so relevant. Im Okta Secure Identity Commitment von Anfang dieses Jahres haben wir öffentlich unsere Verantwortung anerkannt, jeden Identity-Use-Case in einem sicheren Framework zu unterstützen, das diese Identitäten schützt. Wir sind davon überzeugt, dass Okta Identity Threat Protection mit Okta AI eine wichtige Waffe im Arsenal unseres kompletten Kundenstamms ist und viele der Sicherheitsbedürfnisse erfüllt, wobei kontinuierlicher Schutz an erster Stelle steht. Wir können bekannt geben, dass Identity Threat Protection mit Okta AI jetzt allgemein verfügbar ist. Dies ist ein bahnbrechender Moment mit vielen Premieren für die Branche. Lesen Sie weiter, um mehr zu erfahren.

Identity Security durch die Linse von ITDR: Die Notwendigkeit von Identity Threat Protection mit Okta AI

Identity Threat Detection & Response (ITDR) wird oft als Vorreiter im Bereich Identity-Sicherheit angesehen. Der Begriff ITDR wurde erstmals im Jahre 2022 geprägt und von Gartner als eine IT-Sicherheitsdisziplin definiert, mit der Unternehmen sich vor der wachsenden Anzahl von Identity-Angriffen schützen. ITDR hat grundsätzlich folgende Ziele:

• Kontinuierliche Überwachung und Analyse der Benutzeraktivitäten in einer Organisation
• Erkennung von anomalen Aktivitäten, die Angriffsverhalten darstellen
• Verfügbarkeit geeigneter Maßnahmen zur Behebung von Sicherheitslücken, um Identitäten und Daten zu sichern
• Bedrohungsuntersuchung zur Unterstützung der Incident Response, die die Definition des Berechtigungsbereichs (Scoping), die Eindämmung und die Entfernung erkannter Bedrohungen und Angreifenden bestimmt

Laut einer aktuellen Pressemitteilung von Gartner werden bis 2026 ganze 90 % aller Unternehmensabteilungen ein eingebettetes Produkt nutzen, das ihren Ansatz zum Erreichen der ITDR-Ziele vereinheitlicht.

Während die Ziele von ITDR im Allgemeinen recht universell sind, hat sich die Aktivität, die diesen Zielen zugrunde liegt, zusammen mit der sich ständig verändernden IT- und Sicherheitslandschaft weiterentwickelt. Bisher hat sich Identity Security auf den Schutz der Authentifizierung konzentriert.

Mit der kryptografischen Sicherheit von Okta Verify FastPass kann die Sicherheit bei der Authentifizierung als ein technologisch gelöstes Problem betrachtet werden.

Das Angreiferverhalten scheint diese Annahme zu bestätigen: Wie eine aktuelle Studie unseres Data-Science-Teams zeigte, gibt es einen direkten Zusammenhang zwischen der Einführung von Okta Verify FastPass und einem geringeren Risiko kompromittierter Identitäten.

Angreifer folgen jedoch dem Prinzip des geringsten Aufwands.

Wenn die Sicherheitsanforderungen bei der Authentifizierung zu hoch sind, werden Angreifende versuchen, andere Bereiche des Unternehmens zu kompromittieren. In einer Welt, in der die Kompromittierung von Identitäten während der Authentifizierung eine immer schwierigere kryptografische Herausforderung darstellt, werden die Prozesse nach der Authentifizierung zu einem attraktiveren Angriffsbereich. Aktuelle Daten deuten darauf hin, dass Token-Diebstahl, -Manipulation und -Wiederverwendung eine größere Rolle bei Ausnutzungen spielen. Spycloud gab vor Kurzem bekannt, dass es ihnen im Jahr 2022 gelungen ist, 1,87 Milliarden Malware-Datensätze mit Session-Cookies zurückzugewinnen, die mit Mitarbeitenden von Fortune 1000-Unternehmen in Verbindung stehen. (Die Gesamtzahl der wiederhergestellten Session-Cookie-Datensätze betrug fast 22 Milliarden.) Token-Diebstahl als Angriffstechnik erfordert die Kompromittierung einer anderen Threat-Oberfläche (Betriebssystem, Gerät, Browser usw.), um zur eigentlichen Identity-bezogenen Threat-Oberfläche zu wechseln. Dies ist bezeichnend für aktuelle Sicherheitsprozesse und das allgemeine Angriffsmuster, das sich heutzutage entwickelt: das Wechseln von weniger sicheren Threat-Oberflächen in Cloud-Umgebungen.

Kundenunternehmen können alles richtig machen und die stärksten Authentifizierungsmethoden einsetzen, doch das Identity-Management ist nur so stark wie die schwächste Threat-Oberfläche bei Netzwerk, Gerät, Betriebssystem, Browser und Anwendung. Okta Identity Threat Protection zielt darauf ab, genau diesen Bedarf zu decken. Angesichts neuer Mensch-Maschine-Interaktionsebenen und Prozessen zur Produktivitätssteigerung, finanziellem Austausch und Informationskonsum benötigen Identitäten kontinuierlichen Schutz, zum Beispiel bei On-Ramps sowie an der Schnittstelle dieser potenziellen Threat-Oberflächen. Okta Identity Threat Protection konzentriert sich daher auf folgende Bereiche:

• Um Kunden dort zu erreichen und zu schützen, wo sie sich befinden, unabhängig von ihrem Reifegrad
• Tools anzubieten, mit denen sie ihre Sicherheitslage im Rahmen der (Identity-)Sicherheitsmaßnahmen beurteilen können
• Sich mit den neuesten technologischen Innovationen und Angriffsmustern weiterzuentwickeln, indem die neuesten Technologien und Erkenntnisse genutzt werden, um Kunden auf allen Ebenen der Reifegradkurve zu schützen

Während ITDR immer eine Disziplin bleiben mag, versucht Identity Threat Protection mit Okta AI, diese Disziplin mit einem Arsenal an Erkennungs- und Reaktionstools für Kunden mit jeder Sicherheitslage zu vereinen.

Unter Berücksichtigung des oben genannten langfristigen Schwerpunkts versucht Identity Threat Protection bei GA, Lösungen für die folgenden Probleme anzubieten:

• Lösen Sie die fragmentierte Ansicht der Identity Security über mehrere Bedrohungsflächen hinweg auf.
• Verbesserung der Kontrolle und Transparenz des Zugriffs nach der Authentifizierung
• Manuelle, dezentrale Reaktionen auf Identitätsbedrohungen durch ganzheitliche Risikosignale ermöglichen
• Ausgewogenheit zwischen Benutzerreibung und Produktivität mit Sicherheit

Sehen wir uns an, wie das Produkt diese Ziele erreicht.

Was ist Identity Threat Protection mit Okta AI?

Okta Identity Threat Protection ist eine ITDR-Plattform, die kontinuierlichen Schutz für alle Ihre Benutzenden bietet. Dies wird wie folgt erreicht:

• Nutzung einer leistungsstarken Risk Engine, die KI/Machine Learning (ML)-Techniken verwendet, um Erkennungen für das gesamte Spektrum der Identity-Angriffs-TTPs zu liefern
• Nahtlose Integration der Risk Engine in den Rest Ihres Security Stacks, um die tiefsten und umfassendsten Integrationen in eine leistungsstarke Detection Suite einzuspeisen, die das Identity-Risiko aus dem gesamten Security-Anbieter-Ökosystem widerspiegelt
• Vertiefung der Richtlinienprüfung, um sicherzustellen, dass die Zugriffsrechte kontinuierlich bewertet werden und immer aktuell bleiben, wobei Umgebungsvariablen den Zugriff zu jedem Zeitpunkt kontrollieren
• Ermöglichen von erstklassigen Maßnahmen zur Reaktion auf Bedrohungen inline und in Echtzeit
• Bietet ein umfassendes Berichts- und Event-Framework, mit dem Sie einen Überblick über die Identitätsrisiko-/Bedrohungslage erhalten und bei Bedarf detaillierte Bedrohungsuntersuchungen durchführen können.

Sechs Feature-Bereiche beschreiben die Breite von Identity Threat Protection:

• Kontinuierliche Risikobewertung
• Shared Signals (Framework) Pipeline
• Kontinuierliche Richtlinienauswertung
• Präzise Risikobereaktion
• Observability & Insights
• Feedback-Pipeline

Werfen wir einen Blick auf diese Funktionsbereiche, um die Funktionalität und den Wert besser zu verstehen.

Kontinuierliche Risikobewertung

Bei Okta ist das Risiko als die Wahrscheinlichkeit einer Kompromittierung definiert. Die Klassifizierung erfolgt in drei Risikostufen: niedrig, mittel oder hoch. Bei Adaptive MFA (adaptiver Multi-Faktor-Authentifizierung) wird das Risiko zum Zeitpunkt der Authentifizierung berechnet, was allgemein als Login-Risiko bekannt ist.

Mit Okta Identity Threat Protection führt Okta das Konzept des Session-Risikos ein. Die Risk Engine von Okta prüft jede Anfrage nach der Authentifizierung und sucht nach Änderungen in der IP-Adresse (Zone) und im Gerätekontext. Okta Verify FastPass ermöglicht die Erfassung von Geräteindikatoren, wenn eine Anfrage an Okta gesendet wird, und danach in regelmäßigen Abständen. Sobald eine Änderung oder Regression des beim Login bereitgestellten Sicherheitsstatus auf einem Gerät festgestellt wird, werden Risiko und Verhalten neu bewertet, um eine Übereinstimmung mit diesem Kontext zu erreichen.

Hier ist anzumerken, dass Okta Verify bereits vor der Einführung von Identity Threat Protection auf die native Signalerfassung und die Integration mit zwei der besten Geräte-Schutzangebote der Branche setzte. Okta Verify kann CrowdStrike-Risikobewertungen und Windows Security Center-Signale aufnehmen, um die für die Richtlinie verfügbare Gerätehaltung zu erweitern. CrowdStrike bietet Endpunktsicherheit und Threat Intelligence und integriert sich in Okta, um Bedrohungen zu erkennen und darauf zu reagieren, die auf Endpunkte abzielen. 

Diese Integration hilft, Geräte vor Malware, Ransomware und anderen fortgeschrittenen Bedrohungen zu schützen, indem sie Echtzeit-Bedrohungsinformationen und automatisierte Reaktionsfunktionen nutzt. Das Windows Security Center bietet Viren- und Bedrohungsschutz, Kontoschutz, Firewall- und Netzwerkschutz, App- und Browsersteuerung, Geräteleistung und -zustand und mehr für Windows-Geräte. Mit Identity Threat Protection ist dies nun für die Neuauswertung der Authentifizierungsrichtlinie verfügbar. (Wir gehen näher auf die Neuauswertung von Richtlinien im Abschnitt „Kontinuierliche Richtlinienauswertung mit präziser Risikobereaktion“ ein.)

Damit Ungenauigkeiten bei Risiko-Assertions reduziert werden und die Risk Engine sich schneller als der Angreifer weiter entwickeln kann, verwendet Okta Identity Threat Protection fortschrittliche Heuristiken und zum Patent angemeldetes Machine Learning (ML), um Session-Kompromittierungemn zu verhindern. Umgebungsvariablen (IP-Adresse/Gerät) werden mit bekanntem, einwandfreiem Verhalten abgeglichen, und die Anfrage wird auf Anzeichen für Kompromittierungsindikatoren geprüft.

Die Session-Risikoanalyse hilft nicht nur bei der Erkennung von Session Hijacking, sondern auch von unerwünschtem Verhalten innerhalb des Unternehmens, das bisher nicht erkennbar war. Sie kann nun dazu beitragen, Richtlinien- und Assurance-Inkonsistenzen zu korrigieren, Behebungsmaßnahmen auszulösen und eine bessere Sicherheitslage sowie bessere Ergebnisse zu erzielen.

Es gibt Fälle, in denen Angriffsmuster einen größeren Wirkungsradius haben als eine Okta-Zugriffs-Session. Wenn beispielsweise versucht wird, Persistenz zu erzwingen oder sich per Brute-Force-Angriff Zugriff auf Okta oder eine App zu verschaffen, hat das über eine zeitlich begrenzte Session hinausgehende Auswirkungen. Damit solche Angriffe eingegrenzt und behoben werden können, hat Okta das Entity-Risiko eingeführt. Da Benutzende die erste Entität sind, für die wir die Risikobewertung unterstützen, wird dies manchmal auch als Entity-Benutzerrisiko bezeichnet. Bei Einführung der allgemeinen Verfügbarkeit unterstützt Okta Identity Threat Protection die folgenden nativ kuratierten Erkennungen von Entity-Benutzerrisiken:

• Kritische Entity-Aktion von einer IP-Adresse mit hohem Risiko: Erkennt Versuche von Angreifenden, Persistenz zu erreichen
• Verdächtiger App-Zugriff: Erkennt Versuche von Angreifenden, App-Session-Cookies zu stehlen
• Verdacht auf Brute-Force-Angriff: Erkennt MFA-Brute-Force-Angriffe, um zuverlässigen, auf Authentifizierung basierenden Zugriff auf das Unternehmen zu ermöglichen
• Okta Threat Intelligence: Erkennt ausgeklügelte Aktivitäten von Angreifenden oder die Nutzung von Phishing-Infrastruktur zur Durchführung von Angriffen

Identity Threat Protection unterstützt auch das Crowdsourcing von Angreiferaktivitäten mit Optionen für einen Administrator oder einen Endbenutzer, um Risiko- und unbekanntes Zugriffsverhalten in das System zu melden. 

Das ist aber noch nicht alles. Das Entity-Risiko umfasst auch die Berücksichtigung der Auswirkungen eines Angriffs auf andere Threat-Oberflächen (z. B. Gerät, Netzwerk, Anwendung) in Bezug auf die Identität.

Das Entity-Risiko soll also nicht nur Angriffe erkennen, die über den Rahmen einer Zugriffs-Session hinausgehen, sondern auch gewährleisten, dass es bei Unternehmen mit Best-of-Breed-Sicherheitsanbietern nicht zu Problemen durch isoliert arbeitende Sicherheitsprodukte kommt, die eindimensionale, kurzsichtige Bedrohungsdefinitionen nutzen.

Das Entity-Risiko unterscheidet sich als Konzept auch vom Session-Risiko durch seinen Umfang sowie dadurch, dass es statusbasierter und multidimensionaler ist. Somit stellt es die tatsächliche Wahrscheinlichkeit einer Benutzerkompromittierung genauer dar.

Die Multidimensionalität des Entity-Risikos soll raffinierte Angreifende daran hindern, sich lateral über Threat-Oberflächen hinweg zu bewegen (Pivoting). Dieser Wert wird über die Shared Signals Pipeline (gemeinsame Signal-Pipeline) bereitgestellt. 

Shared Signals Framework Pipeline

Hier gehen wir noch einen Schritt weiter. Im Session-Risiko- und IP/Gerätekontext-Änderungsparadigma reicht der Mechanismus zur Erkennung von Risiken nur so weit, wie der Benutzer mit Okta interagiert (entweder direkt mit der Authentifizierung, dem Token oder einem anderen Okta-Endpunkt oder indirekt mit Okta Verify) im Rahmen einer Session. Aber angesichts der aktuellen fortgeschrittenen persistenten Bedrohungsangriffsmuster und der Natur mehrstufiger Angriffe mussten wir Angriffe konsistent über den Umfang der Session hinaus mit Entity Risk-Erkennungen erkennen. Entity Risk-Erkennungen, die durch eine Mischung aus nativen Erkennungen und einer Shared Signals Framework (SSF) Pipeline-Integration mit Sicherheitsanbietern unterstützt werden, die andere Bedrohungsbereiche schützen, können Identity-basierte Angriffe aussortieren, die von sich überschneidenden Nicht-Identity-Bedrohungsbereichen stammen.

Heute ist eine typische SSO-Umgebung voll von langlebigen Token und Session-Cookies. Daher können Interaktionen mit dem Identity Provider selten sein. 

Die SSF-Pipeline (Shared Signals Framework-Pipeline) basiert auf dem Prinzip, dass Sicherheitsprodukte für beliebige Threat-Oberflächen in der Lage sein sollten, ganzheitliche Risikobeurteilungen auf der Grundlage von Kompromittierungsindikatoren vorzunehmen, die auf allen sich überschneidenden Threat-Oberflächen festgestellt werden.

Das Ziel war daher, anhand von Kompromittierungsindikatoren und Risiken, die auf anderen Threat-Oberflächen entstehen und sich mit Identity-Management überschneiden, eine ganzheitliche Risikobewertung für die Entity (die Benutzenden) darzustellen. Daraus entstand eine Sicherheitspartnerschaft auf Augenhöhe zwischen Anbietern von Sicherheitsinformationen und Okta, wobei jeder Teilnehmer von dem so geschaffenen Ökosystem profitierte. Jeder Anbieter von Sicherheitsinformationen, einschließlich Okta, kann ein SSF-Sender- und -Empfängerpaar einrichten und Indikatoren auf der Grundlage eines offenen Standards austauschen, der von der Shared Signals-Arbeitsgruppe der Open IDentity Foundation ratifiziert wurde und als Continuous Access Evaluation Profile (CAEP, Profil zur durchgängigen Evaluierung der Zugriffsrechte) bezeichnet wird.

CAEP arbeitet innerhalb eines eingeschränkten Pub-Sub-Modells, das die kontinuierliche Veröffentlichung von (Risiko/IOC-)Ereignissen ermöglicht, sobald diese auftreten, und somit mit den Zielen eines wirklich „kontinuierlichen Schutzes“ übereinstimmt.

Heute bietet Okta Integrationen mit SSF-CAEP, die den Austausch von Signalinformationen mit Sicherheitsereignisanbietern ermöglichen, die führend in ihren jeweiligen Bereichen sind. Dazu gehören Cloudflare, Jamf, Palo Alto Networks, Rubrik, SGNL, Zimperium und Zscaler. Wir haben darauf geachtet, dass diese Partner ein gutes Gleichgewicht der Bedrohungsbereiche abdecken (XDR, CASB/ZTNA/SASE, UEM usw.).

Heroes wear a CAEP!

Identity Threat Protection ist sowohl ein Produkt als auch ein Experiment im gesunden Kapitalismus. Es ist ein Beweis dafür, dass Sicherheitsunternehmen erfolgreich zusammenarbeiten und ein Produkt entwickeln können, das den Kunden zugute kommt, sodass das Ganze größer ist als die Summe der einzelnen Teile. Tatsächlich hat die Idee, obwohl Jamf der erste Partner war, der die Integration als CAEP-Sender mit Okta als CAEP-Empfänger ankündigte, genügend Schwung entwickelt, damit auch Apple Business Manager die Unterstützung für dieses Ökosystem ankündigen konnte. Okta ist der erste CAEP-Senderpartner, der die Unterstützung für den Austausch von Identity-Sicherheitskontexten mit Apple Business Manager über CAEP-SSF ankündigt. Viele der CAEP-Senderpartner von Okta haben ebenfalls Interesse bekundet, unsere CAEP-Empfängersignale zu nutzen. Kunden mit großen Identity-Footprints haben ebenfalls Interesse bekundet, intern kuratierte Intelligence-Signale in SSF zu integrieren, sodass das Entitätsrisiko in ihrer von Okta gemieteten Organisation von dieser Integration profitiert. Wir begrüßen diese Entwicklungen. Eine vernetzte, erstklassige Welt, die von einem heterogenen Sicherheitsstack angetrieben wird, ermöglicht eine weitaus sicherere Landschaft, und wir freuen uns, unseren bescheidenen Teil dazu beizutragen.

Der Aufbau einer Shared Signals Framework-Plattform hat eine unglaubliche Synergie freigesetzt. Das Beste daran ist, dass Kunden jetzt eine leistungsstarke Antwort auf hochentwickelte Bedrohungsaktivitäten mit minimalen Integrationskosten haben. 

Shared Signals and Events mit CAEP in Okta Identity Threat Protection mit Okta AI hat Hunderte Erkennungen über alle Threat-Oberflächen des Unternehmens hinweg ermöglicht. Dadurch wurden Identitäten in verschiedenen IT-Ökosystemen geschützt und Schutz für eine Vielzahl von Anwendungsfällen ermöglicht. Das ist umso beeindruckender, wenn man bedenkt, dass dies erst der Anfang ist.

Hier sind einige dieser Anwendungsfälle.

Apple Business Manager

Geräteverwaltung und Compliance: Apple Business Manager wird mit Okta integriert, um Apple-Geräte in einem Unternehmen zu verwalten. Dadurch lassen sich Sicherheitsrichtlinien durchsetzen, Gerätekonfigurationen verwalten und die Einhaltung von Unternehmensstandards sicherstellen.

Cloudflare

Security Service Edge (SSE): Die SSE-Plattform von Cloudflare unterstützt Unternehmen bei der Absicherung des Zugriffs, bei der Abwehr von Bedrohungen und beim Schutz von Daten mit Zero-Trust-Prinzipien. Durch die Integration mit Okta können Unternehmen Identity-basierte Zugriffskontrollen für jede Anfrage über webbasierte, private und SaaS-Anwendungen hinweg erzwingen und so sicherstellen, dass nur autorisierte Benutzende auf geschützte Ressourcen zugreifen können.

Jamf

Sicherheit für Mobilgeräte: Jamf schützt Mac- und Mobilgeräte und bietet Bedrohungserkennung und -abwehr, z. B. für Malware, bekannte Schwachstellen, riskante Anwendungen, anfällige Betriebssystemversionen und mehr. Mit Jamf und Okta können nur konforme Geräte auf Unternehmensressourcen zugreifen, wodurch unbefugter Zugriff verhindert wird.

Netskope

Cloud-Sicherheit und Datenschutz: Netskope One lässt sich mit Okta integrieren, um Einblicke und Kontrolle über die Kernkomponenten einer SSE-Architektur zu ermöglichen. Dies trägt zum Schutz sensibler Daten bei, da die Nutzung von Cloud-Anwendungen überwacht wird und Richtlinien zum Schutz von Daten durchgesetzt werden. Die Integration verbessert die Einblicke in Cloud-Aktivitäten und hilft, Risiken im Zusammenhang mit Cloud-Diensten zu minimieren, um den Zero-Trust-Perimeter mit den Okta-Netzwerkzonen sowie dem Netskope NewEdge-Netzwerk zu erweitern.

Palo Alto Networks

Netzwerk- und Cloud-Sicherheit sowie Bedrohungserkennung: Cortex XSIAM von Palo Alto Networks lässt sich mit Okta integrieren, um fortschrittliche Bedrohungserkennungen und automatisierte Reaktionen im gesamten Netzwerk zu ermöglichen. Dies hilft, hochentwickelte Cyberbedrohungen zu erkennen und abzuwehren, wodurch umfassende Netzwerksicherheit gewährleistet wird. Darüber hinaus bietet die Cortex ITDR-Lösung in Verbindung mit Okta zusätzlichen Mehrwert, da raffinierte Insider-Bedrohungsaktivitäten identifiziert werden.

Rubrik

Datensicherheit: Rubrik Security Cloud, eine Datensicherheitsplattform für umfassende Cyberresilienz für Unternehmen, Cloud und SaaS, lässt sich mit Okta integrieren, sodass die Kundenunternehmen Risikoänderungen beim Benutzerzugriff auf sensible Daten proaktiv erkennen und die Behebung automatisieren können.

SGNL

Zugriffskontrolle und Governance: SGNL bietet Lösungen für die Zugriffskontrolle, die sich mit Okta integrieren lassen, um granulare Zugriffsrichtlinien und Governance-Regeln durchzusetzen. Dies trägt dazu bei, dass nur autorisierte Benutzende Zugriff auf sensible Informationen und Systeme haben, wodurch das Risiko von unbefugten Zugriffen verringert wird.

Zimperium

Mobile Threat Defense: Mobile Threat Defense (zIPS) überwacht und schützt Mobilgeräte vor komplexen Bedrohungen, einschließlich Malware- und Netzwerkangriffen. Durch diese Integration wird sichergestellt, dass auf Unternehmensressourcen zugreifende Mobilgeräte sicher sind und den Sicherheitsrichtlinien entsprechen.

Zscaler

Internetsicherheit, Bedrohungsabwehr und laterale Bewegungen: Zscaler Deception verwendet Ködersysteme und -daten, um eine hochpräzise Erkennung in der Frühphase von gezielten Angriffen und Insider-Bedrohungen zu ermöglichen. Die Lösung lässt sich nahtlos mit Okta integrieren und teilt detaillierte Angriffsindikatoren mit Okta. Diese Integration ermöglicht adaptive Echtzeit-Zugriffskontrollen und minimiert effektiv die Risiken lateraler Bewegungen innerhalb des Netzwerks.

Continuous Policy Evaluation with Precision Risk Response

Die kontinuierliche Risikobewertung stellt nur die Hälfte des Wertes des kontinuierlichen Schutzes dar. Die kontinuierliche Risikobewertung ist mit der kontinuierlichen Richtlinienbewertung gekoppelt, um den vielfältigen Nutzen eines kontinuierlichen Schutzes zu bieten. Die Richtlinie, die auf diese Weise bewertet wird, profitiert somit auf mehreren Ebenen.

• Die primäre Ebene ist die kontinuierliche Bewertung der Global Session Policy (GSP). Im Identity Threat Protection-Paradigma stellen GSP-Konstrukte (Richtlinienregeln), die die Erstellung von Okta Single Sign-On (SSO)-Sitzungen bestimmen, sicher, dass die Sitzungen vor GSP-Verstößen geschützt sind, selbst nach der Sitzungsausstellung. Es ermöglicht die Einschränkung der Durchsetzung von Aktionen nach der Authentifizierung, selbst wenn die Anforderungen der Authentifizierungsrichtlinie (für eine bestimmte App die mit der Okta-Sitzung verbunden ist) erfüllt wurden. Dies bietet den Kunden eine weitere Verteidigungsebene und stellt sicher, dass Richtlinienlücken und Fehlkonfigurationen nicht zu einer Verschlechterung der Sicherheitslage und der Authentifizierungsgarantie führen.
• Sowohl die GSP als auch die Authentifizierungsrichtlinie werden für jede Anfrage und während der gesamten Lebensdauer des Session-Kontexts ausgewertet.
• Die Authentifizierungsrichtlinie wird nicht nur für die App in einer Anfrage ausgewertet, sondern für alle Apps, die mit der Okta-Session verknüpft sind, die mit der Anfrage verbunden ist.
• Wenn eine Änderung im Session-Kontext ohne eine Anfrage an einem Okta-Endpoint festgestellt wird, liegt dies daran, dass diese Änderung durch das kontinuierliche Abfragen von Okta Verify auf dem Endpoint ausgelöst wird. Okta Verify überwacht kontinuierlich Änderungen im Gerätekontext. In dieser Situation werden alle Richtlinienregeln für alle Apps, die mit allen Sitzungen verknüpft und mit der Geräte-ID verbunden sind, geprüft.
• Die Entity-Risikorichtlinie ist ein neuer Richtlinientyp, der im Okta-Richtlinien-Framework eingeführt wurde. Während sich GSP und Authentifizierungsrichtlinien auf die Okta-Session bzw. die aufgerufene Anwendung konzentrieren, liegt der Fokus der Entity-Richtlinie auf der Identität. Die Identität steht im Mittelpunkt. In der Entity-Richtlinie konfigurierte Richtlinienregeln werden durch Ereignisse ausgelöst, d. h. sie werden automatisch ausgeführt, sobald ein Entity-Risiko erkannt wird. Dies setzt zusammen mit der umfassenden erneuten Prüfung in GSP und der Authentifizierungsrichtlinie einen neuen Maßstab für kontinuierlichen Schutz.

Die Skalierung dieser mehrstufigen Richtlinienprüfungsarchitektur bietet enorme Möglichkeiten und ist einzigartig für Okta Identity Threat Protection sowie Okta allgemein. Dies ist eine echte Premiere für die Branche. Die Bedeutung der Richtlinienprüfung wird zwar durch die auslösenden Ereignisse (Entity-Risiko, Änderung von IP-Adresse, Gerätekontext, Sitzungsrisiko und Verhalten) bestimmt, doch sie kann nur so effektiv sein wie die in den Richtlinien konfigurierten Aktionen.

Identity Threat Protection bietet erstklassige und erweiterbare Optionen für Post-Auth-Sitzungen zur Neubewertung von GSP und Authentifizierungsrichtlinien sowie zur Bewertung von Entity Risk Policy.

• Um der unmittelbaren Bedrohung durch Session Hijacking entgegenzuwirken, wird Inline-MFA oder Verifizierung für alle Risiken unterstützt, die bei der erneuten Prüfung von GSP- und Authentifizierungsrichtlinien erkannt werden. Diese setzt lediglich eine Aktion durch, die von Kundenunternehmen bereits in ihren GSP-/Authentifizierungsrichtlinien konfiguriert wurde. Die Aktion in diesen Richtlinien wurde auf die bedingte Ausstellung einer Okta-Session oder eines App-Zugriffs beschränkt und im Fall der Authentifizierungsrichtlinie durch strenge Session-Bedingungen geregelt (ausgelöst bei jeder Ressourcenanmeldung, in festen Zeiträumen oder beim Ablauf der Okta-Session). Mit Okta Identity Threat Protection wird dies nun als Verifizierungsschritt erzwungen, wodurch die Validierung aller während der Lebensdauer der Session aufgezeichneten Änderungen sichergestellt wird.

Okta war einer der ersten Anbieter, der den Inline-Schutz vor Token-Diebstahl angekündigt hat, und geht nun einen Schritt weiter, indem ein MFA-Abfang von Session-Hijacking, wenn es als verlassen erkannt wird, zur Aufhebung des Okta-SSO-Session-Cookies führt, wodurch die Reauthentifizierung aller Zugriffe in Token-Diebstahl-Szenarien erzwungen wird.

• In bestimmten Szenarien kann eine Änderung des Session-Kontexts die kontinuierliche Richtlinienprüfung auslösen, selbst ohne eine Anfrage am Okta-Endpoint. Wenn Okta Verify beispielsweise regelmäßig Geräteindikatoren abruft, kann Okta eine Änderung im Gerätekontext asynchron (out-of-band) feststellen und eine erneute Prüfung der Richtlinie auslösen. In solchen Fällen ist das Auslösen von MFA nicht die geeignete Maßnahme, da keine Anfrage zum Auslösen von MFA vorliegt und kein Sign-in-Widget vorhanden ist, über das eine Verifizierung angefordert werden kann. In solchen und anderen Szenarien bietet Okta Identity Threat Protection die einzigartige Möglichkeit, die Aktion „Universal Logout“ auszulösen, die den Zugriff sofort einschränkt, selbst wenn dies out-of-band erfolgt.

Die Möglichkeit, Inline-Aktionen in Echtzeit durchzuführen, die den Zugriff durch Out-of-Band-Signale einschränken, ist ein wichtiges Unterscheidungsmerkmal von Identity Threat Protection.

• Universal Logout ist eine bahnbrechende Funktion und eine weitere Branchenneuheit. Okta bringt die Branche voran – hin zu einer Welt, in der Zugriffe vollständig und umfassend eingeschränkt werden. In dieser Welt sind keine verwaisten Artefakte erlaubt, und die Kette der Autorisierungsvererbung wird ebenso sorgfältig abgebaut, so wie sie aufgebaut wurde. Die Standardisierungsorganisation von Okta ebnete den Weg für einen neuen Standard beim globalen Token-Widerruf.

Vor etwa einem Jahrzehnt war Okta der erste Cloud Identity Provider in der Branche, der SSO oder „Universal Login“ anbot. Mit Identity Threat Protection bietet Okta als Erster Universal Logout über alle Geräte und unterstützten Apps hinweg an.

Ein erster Schritt zur Einführung dieses Konzepts war die Übernahme der wichtigsten Apps die Charta von Universal Logout. Seit der Ankündigung der Early Access-Phase haben wir unsere Abdeckung erheblich erweitert und gleichzeitig den Standard weiterentwickelt. Mit der allgemeinen Verfügbarkeit von Okta Identity Threat Protection wird Universal Logout nun für folgende Anwendungen unterstützt: Box, Dropbox for Business, Microsoft Azure, Microsoft Defender for Cloud, Microsoft Defender for Endpoint, Microsoft Defender for Office 365, Microsoft Dynamics 365, Microsoft Office 365, Microsoft Power BI, Microsoft Power Platform und Visual Studio, Microsoft Sentinel, Microsoft SQL Server Management Studio, Google Cloud Platform, Google Workspace, Pagerduty, Salesforce, Slack, Zendesk, Zoom und Surf Security (alle Microsoft-Apps unterstützen die teilweise Abmeldung). Sie unterstützen noch keine App-Invalidierung von Session-Cookies. Die Unterstützung für Surf Security wird ab dem 14. August 2024 verfügbar sein.)

• Während die Universal Logout-Funktion im Hintergrund die Abmeldeaktion in „Post-Auth Actions“ sowie in der „Entity-Risiko-Richtlinie“ unterstützt, führen wir intelligentes Scoping der Abmeldung durch und gleichen den Wirkungsbereich der Aktion mit dem Wirkungsbereich des jeweiligen Risikotyps ab. Während die Entity-Risiko-Richtlinie den gesamten Umfang von Universal Logout unterstützt, stellt Post-Auth Actions sicher, dass nur die relevanten Apps und die Okta-Sitzung abgemeldet wird. (Eine ausführliche Behandlung dieses Themas finden Sie unter Universal Logout-Widerruf.)
• Aktionen in Identity Threat Protection unterstützen auch die Erweiterbarkeit in Ihre Vorfallverwaltung und Ihren IT-Betrieb. Identity Threat Protection lässt sich nahtlos in Workflows integrieren, sodass Sie jetzt die Reaktionsaktivitäten und -prozesse Ihres Teams integrieren und automatisieren und schnellere und bessere Sicherheitsergebnisse erzielen können. Die native Integration von Workflows impliziert, dass Sie einen Workflow von einem oder allen der folgenden Auslöser initiieren können.
  • Reagieren Sie auf Änderungen im IP- oder Gerätekontext, Sitzungsrisiko und/oder Verhaltensbewertung
  • Pivot von der Entity-Risikoerkennung
  • Integrieren Sie Workflows nativ als Aktion für Post-Auth-Session-Ergebnisse oder in der Entity-Risk-Policy

Um Ergebnisse in über 50 Anwendungen mit über 100 Aktionen zu erzielen, bietet Workflows mit Okta Identity Threat Protection umfassende Optionen zur Abwehr von Identity-Bedrohungen.

Observability and Insights with Feedback Pipeline

Ein weiterer Aspekt der Reaktion ist die Unterstützung des täglichen IT-Sicherheitsbetriebs. Identity Threat Protection bietet umfangreiche Reporting-Dashboards und Admin-Dashboard-Widgets, die die Produktbereitstellung unterstützen und sicherstellen, dass Sicherheitsadministratoren

• Die Möglichkeit, datenbasierte Snapshots des Risikos für Identitäten in ihrer Umgebung zu pflegen
• Eine Ansicht der Regression in der Post-Authentifizierungs-Sicherheitslage und der Sicherheitsleistung der Richtlinienkonfiguration während der gesamten Lebensdauer des Zugriffs für die Benutzerbasis
• Daten, um Maßnahmen zur manuellen Risikominderung oder über Richtlinien zu ergreifen
• Eine Möglichkeit, dem System Feedback zu geben, damit Identity Threat Protection im Laufe der Zeit besser auf das Verhalten der Organisation und der Benutzer abgestimmt wird.

Die Admin-Reise beginnt mit Widgets im Dashboard, die einen Überblick über Sitzungsverletzungen, Entity-Benutzerrisiko und Richtlinienleistung bieten.

Von dort aus können Kunden über drei Berichte in jeden интересующий Bereich eintauchen.

• Der Session Violations Report konzentriert sich auf die Meldung von Änderungen, die in einer autorisierten Okta-Session festgestellt wurden, wie sie über Anfragen gegen diese Session und Kontextänderungen gemeldet werden, die von Okta Verify erkannt wurden. Hier kann ein Kunde auch validieren, wie die zur Sicherung der Umgebung eingerichtete Richtlinienreaktion im Vergleich zu diesen Änderungen funktioniert. Es gibt Informationen, um tief in die Art von Risiko einzutauchen, das sich um bestimmte Änderungen entwickelt, und die Maßnahmen zur Risikominderung, die eingerichtet werden können, um potenziell böswillige Aktivitäten zu verhindern. Hier kann ein Administrator die Erkennung und Reaktion auf Angriffe, wie z. B. Session Hijacking, bestimmen. Hier ist ein Einblick, wie diese Erfahrung aussieht.

• Als Nächstes bieten wir zwei Berichte zum Entity Risk an. Der Bericht „At-Risk Users“ bietet einen schnellen Überblick über (Entity-)Risikobenutzer in der Organisation. Der Entity Risk Report geht tiefer ein in
  • Die Arten und die Häufigkeit des erkannten Entity Risk
  • Welche Richtlinienregeln fangen diese Risikoerkennungen ab und welche entgehen weiterhin

Identity Threat Protection ermöglicht es dem Identity-Admin auch, das entwickelte Risiko genauer zu untersuchen. Die Seite Directory → People → User → {User} zeigt jetzt eine zusätzliche Registerkarte „Risk“ an, die das vom Benutzer aufgelaufene Risiko abdeckt. Hier kann ein Administrator

• Sehen Sie sich alle riskanten Aktivitäten der letzten sieben Tage an, die mit dem Benutzer verbunden sind, sowie die Änderungen in Bezug auf IP/Standort, Gerätekontext und Verhalten.
• Führen Sie einen Drilldown über das Systemprotokoll für relevante Daten durch, die eine Behauptung für den Session-Kontext oder das erkannte Entity-Risiko umgeben.
• Geben Sie Feedback an das System, damit Okta die Risikobewertungen im Laufe der Zeit so anpassen kann, dass sie für die Organisation relevanter sind.
• Wählen Sie diese Option, um das Benutzerrisiko basierend auf externen Quellen zu ändern, die nicht in Okta integriert sind (auch in der API verfügbar).
• Widerrufen Sie den Zugriff manuell mit Universal Logout.

Fazit

Und das war's. Wir sind noch lange nicht am Ende, denn wir fangen gerade erst an. Wir sind sehr stolz auf dieses Produkt und freuen uns über den einzigartigen Mehrwert, den es bietet. 

Wir hoffen, dass Ihnen die Verwendung dieses Produkts hilft

• Schützen Sie sich vor typischen Identity-Bedrohungen, einschließlich Angriffen nach der Authentifizierung, durch wie Inline-Session-Hijacking-Schutz mit Okta AI.
• Stärken Sie Ihre bestehende Best-of-Breed-Sicherheitstechnologie und lösen Sie Sicherheitssilos auf – durch ganzheitliche Sicherheit per Entity-Risiko, die durch ein Netzwerk gemeinsam genutzter Risikoindikatoren sowie durch ein offenes Standard-Framework unterstützt wird.
• Nutzen Sie die Möglichkeit für den sofortigen Widerruf des Zugriffs auf alle/bestimmte Apps, entweder manuell oder über die Richtlinien-Orchestrierung.
• Schützen Sie Ihr Unternehmen vor hochentwickelten, mehrstufigen Angriffen, die Identitäten über verschiedene Threat-Oberflächen hinweg ausnutzen. Dazu nutzen Sie Single Sign-On (SSO)-Mechanismen mit Authentifizierungsprüfung während der gesamten Dauer der Okta-Session.
• Stellen Sie sicher, dass die durch die Richtlinie geforderte App-Zugriffsabsicherung bei der Anmeldung während der gesamten Zugriffszeit kontinuierlich für alle Apps durchgesetzt wird und nicht nur für Apps, die CAEP unterliegen oder in einer SSO-Anfrage enthalten sind. 
• Erkennungen für Persistenz, Rechteausweitung und laterale Bewegungen: MFA-Brute-Force, App-Brute-Force, kritische Aktionen durch Benutzende oder Administrator:innen und mehr, kombiniert mit Hunderten Drittanbieter-Erkennungen über jede Threat-Oberfläche hinweg.
• Profitieren Sie von Okta-gestützter Threat Intelligence, die ausgeklügelte Bedrohungsinfrastrukturen und deren neueste TTPs überwacht.
• Verkettete Erkennung von Entity-Benutzerrisiken über mehrere Identity-Anbieter hinweg oder manuelle Erhöhung des Risikos konkreter Benutzender basierend auf den von Ihren Sicherheitsabläufen ermittelten Informationen.
• Nutzen Sie die Überwachung von Änderungen im Endbenutzer-Gerätekontext durch Okta Verify, damit die Sitzungen Ihrer Benutzer geschützt sind, auch wenn sie nicht mit Okta interagieren.
• Schließlich ein Entity-Richtlinienrahmen, der sich auf den Benutzer konzentriert
• Profitieren Sie von Crowdsourced-Signalen: Ergreifen Sie Maßnahmen, wenn ein Benutzer meldet: „Das war nicht ich“. Geben Sie Feedback in eine erweiterte Risiko-Engine, die Ihre von IT-Sec.Ops. festgelegten Intelligence Assertions zum Risiko berücksichtigt.
• ITP mit Workflows, das erweiterbare Sicherheits- und Business Orchestration-Ergebnisse ermöglicht.
• Verwenden Sie Rich Observability-Berichte und -Widgets für eine übersichtliche Ansicht.
• Untersuchen Sie riskantes Verhalten direkt auf der Profilseite von Benutzenden.

Wir werden detaillierter darüber sprechen, wie dieser Wert geschaffen wird. Dieser Blog startet auch eine Blog-Reihe. Achten Sie auf die folgenden Blogs, die in Zukunft veröffentlicht werden.

• Benutzerfreundlichkeit und Sicherheit
• ITP und sein Platz im Okta-Ökosystem
• Okta im Sicherheitsökosystem
• Kontinuierliche Authentifizierung und Risiko
• Universal Logout
• Gemeinsame Signale, gemeinsam besser
• Erweiterbare Workflows, um Ihre Sicherheits- und Geschäftsziele zu erreichen

Die Einführung von Okta Identity Threat Protection mit Okta AI stellt einen wichtigen Meilenstein im bisher asymmetrischen Kampf gegen Cyberbedrohungen dar. Begleiten Sie uns auf dem Weg zu starker Online-Sicherheit für Unternehmen. Okta Identity Threat Protection ist jetzt eine SKU für alle Kundenunternehmen, die Okta Workforce Identity Cloud in der Public Cloud nutzen. Bitte beachten Sie: Wir arbeiten daran, dass Okta Identity Threat Protection die Konformitätskriterien für FedRAMP und DoD Impact Level 4 (IL4) einhält, um diesen Service in unsere Angebote Okta for Government Moderate, Okta for Government High und Okta for U.S. Military aufzunehmen. Okta Identity Threat Protection hat jedoch noch nicht die entsprechenden Compliance-Stufen erreicht oder wurde noch nicht für die Integration in diese regulierten Umgebungen geprüft.

Okta Identity Threat Protection erfordert die Ausführung von Okta Identity Engine, Okta Universal Directory, Okta Single Sign-On und Okta Adaptive MFA. Okta Identity Threat Protection nutzt Aspekte von Okta Workflows, die durch das ergänzende Workflows-Angebot für alle Okta Workforce Identity Cloud-Kundenunternehmen verfügbar sind (möglicherweise müssen Sie jedoch zusätzliche Workflows-Lizenzen basierend auf Ihrer Nutzung erwerben). Dieses Produkt wird nur für Kundenunternehmen mit Okta Workforce Identity angeboten. Unternehmen mit gemischter Struktur werden unterstützt, ebenso Kundschaft im Bildungsbereich. Die Listenpreise liegen bei 4 USD pro Benutzenden und Monat. Bitte wenden Sie sich an Ihre Okta-Kontaktperson vor Ort, um weitere Informationen zu erhalten oder ein auf Ihre Bedürfnisse zugeschnittenes Angebot vorzubereiten. Für eine kostenlose Testversion wenden Sie sich bitte an unseren Support.

Wir freuen uns darauf, Identity Threat Protection für Ihr Unternehmen bereitzustellen.