Identity Threat Protection mit Okta AI 

Echtzeit-Inline-Schutz, der mit Ihrem Unternehmen Schritt hält

Die komplexe Identity-Bedrohungslandschaft von heute erfordert optimierte Sicherheitspraktiken und eine dynamische, mehrschichtige Verteidigungsstrategie zur Erkennung und Abwehr von Cybersicherheitsbedrohungen. Okta begegnet diesen Bedrohungen mit einer umfassenden Sicherheitsstrategie auf mehreren Ebenen (u. a. am Edge) mithilfe von Maßnahmen wie Blocklist-Zonen, dem Konfigurieren von ThreatInsight, automatisierter Ratenbegrenzung, Okta-Anmelderichtlinien und Authentifizierung mit starken Faktoren. 

Doch was ist mit Risiken, die nach der Authentifizierung auftreten? Diese kritische Phase des Identity-Lebenszyklus war für viele Sicherheitslösungen bisher ein blinder Fleck. An dieser Stelle kommt das neue Workforce Identity-Produkt Okta Identity Threat Protection mit Okta AI ins Spiel. In diesem Artikel erfahren Sie, wie Identity Threat Protection auch nach der ersten Authentifizierung kontinuierliche Sicherheit gewährleistet. 

Lassen Sie uns die Plattform im Kontext von MediaXMedia erkunden, einem SaaS-Unternehmen der Enterprise-Klasse, das Okta Workforce Identity zur Sicherung seiner Belegschaft einsetzt. Wir werden diese Reise durch die Augen zweier MediaXMedia-Mitarbeiter erleben. Zuerst werden wir die Endbenutzererfahrung durch die Einsichten von Tina Smith, einer Vertriebsingenieurin, untersuchen. Dann werden wir aus der Perspektive von Jim Frost, einem Teamleiter von SecOps, zur administrativen Erfahrung übergehen. 

Die Endbenutzerperspektive

Betrachten wir zunächst die alltägliche Journey einer Benutzerin. Tina Smith ist Vertriebstechnikerin bei MediaXMedia. Sie macht ihre Arbeit gern und hilft Kund:innen gerne, die Produkte von MediaXMedia zu verstehen und zu nutzen, die reale Probleme lösen und sichtbare Auswirkungen auf das Geschäft der Kund:innen haben. So bietet Identity Threat Protection während Tinas gesamtem Arbeitstag robuste Sicherheit, ohne ihre Produktivität zu beeinträchtigen.

Vormittag: Adaptive Authentifizierung in Aktion

08:00 Uhr: Tina meldet sich von zu Hause mit einem Phishing-resistenten Authentifizierungsfaktor bei ihrem Okta-Dashboard an.

10:00 Uhr: Sie hat ihren ersten Termin im Büro eines potenziellen Kunden in der Innenstadt.

10:05 Uhr: Tina versucht, über das Okta-Dashboard auf eine neue Anwendung zuzugreifen.

• ITP erkennt eine Änderung im Kontext ihrer bestehenden Sitzung und fordert sie zur Step-up-Inline-Authentifizierung auf.

Der Vorteil von Identity Threat Protection 

• Kontinuierliche Risikobewertung: IP-Änderung während der Session erkannt.
• Präzise Risikoreaktion: Step-up-Authentifizierung für zusätzliche Sicherheit ausgelöst.
• User Experience: Tina, die mit den Sicherheitsprotokollen von MediaXMedia vertraut ist, schließt die zusätzliche Verifizierung schnell ab.

Nachmittag: Unterwegs

15:00 Uhr: Tina steigt in ein Flugzeug nach Chicago, um sich dort mit einem weiteren Kunden zu treffen.

15:30 Uhr: Über das Bord-WLAN greift sie auf ihrem Mobilgerät über Okta FastPass ohne zusätzliche Authentifizierung auf ihre geschäftlichen E-Mails und Slack zu.

15:45 Uhr: Als Tina versucht, Salesforce zu öffnen, erhält sie aufgrund einer Kontextänderung eine weitere Aufforderung zur Step-up-Authentifizierung.

Der Vorteil von Identity Threat Protection 

• Kontinuierliche Risikobewertung: Neuer Netzwerkkontext identifiziert.
• Präzise Risikoreaktion gewährleistet angemessene Sicherheitsmaßnahmen, ohne Tinas Arbeitsablauf zu unterbrechen.

Eine unerwartete Bedrohung 

16:30 Uhr: Tina ruft ihre privaten E-Mails auf ihrem BYOD-Gerät ab, das in der MDM-Lösung von MediaXMedia registriert ist.

16:35 Uhr: Voller Vorfreude auf ein Konzert klickt Tina unwissentlich auf einen Link in einer Phishing-E-Mail und kompromittiert damit ihr Gerät.

16:36 Uhr: Tinas Aktionen lösen eine Sicherheitswarnung aus.

Der Vorteil von Okta Identity Threat Protection

• Die Endpoint-Lösung erkennt die schwerwiegende Bedrohung und signalisiert Identity Threat Protection.
• Universal Logout wird auf allen Geräten und unterstützten Anwendungen von Tina ausgeführt.
• Tina ist auf ihrem Laptop und Mobilgerät von Okta, Google Workspace und Slack abgemeldet.

Auflösung

17:30 Uhr: Als Tina in Chicago landet, hat das SecOps-Team die Bedrohung bereits neutralisiert.

18:00 Uhr: Mit einem abgesicherten Gerät und wieder online ist Tina bereit für ihren nächsten Termin.

Tinas Überlegungen

Das war ein ereignisreicher Arbeitstag für Tina. Sie ist ihrem Sicherheitsteam dankbar, dass es die Sicherheitsbedrohung neutralisiert hat, ohne ihre Arbeit zu unterbrechen. Sie ermöglichten es ihr, sich auf das zu konzentrieren, was sie am besten kann: potenziellen Kunden die Leistungsfähigkeit der SaaS-Plattform ihres Unternehmens zu zeigen, ohne sich Sorgen machen zu müssen, dass ihr Gerät oder ihre Sitzungen kompromittiert werden. 

Die Admin-Perspektive

Angesichts einer äußerst dynamischen Sicherheitslandschaft – mit Entwicklungen wie zunehmenden KI-Bedrohungen, Angriffen durch staatliche Akteur:innen und Insider-Bedrohungen – steht Jim mit seinem Team vor der Herausforderung, immer raffiniertere Angriffe abwehren zu müssen. Um diesem Problem zu begegnen, hat das Team von MediaXMedia eine passwortlose und Phishing-resistente Authentifizierung implementiert. Jim ist überzeugt, damit umfassenden Identity-Schutz für sein Unternehmen implementiert zu haben. Ihm ist jedoch bewusst, dass Angreifer:innen immer neue Wege finden, um in Unternehmen einzudringen, und nun verstärkt die Phase nach der Authentifizierung ins Visier nehmen. Jims Team hat kürzlich das Rollout für Identity Threat Protection abgeschlossen. Werfen wir nun einen Blick in einen typischen Arbeitsalltag seines Security-Teams. 

Morning: Start the day with coffee and observability

08:00 Uhr: Um die verschiedenen Angriffsflächen zu schützen, nutzt MediaXMedia mehrere Best-of-Breed-Sicherheitsanbieter. Bevor ITP implementiert wurde, mussten Jim und sein Team mehrere Stunden damit verbringen, die Dashboards und Protokolle ihrer XDR-, ZTNA-, SOAR-, CASB- und Netzwerk-Tools auf potenzielle Risiken für Entitäten auf diesen Angriffsflächen zu überprüfen. Identity Threat Protection vereinfacht diese Arbeit, da alle Identity-bezogenen Informationen in den ITP-Dashboards und -Berichten zusammengeführt werden. In Okta ist das Benutzerrisiko eine Kombination aus dem First-Party-Risiko von Okta und den Risiken, die in allen vom Sicherheits-Stack von MediaXMedia identifizierten Angriffsflächen bestehen. Das SecOps-Team nutzt Identity Threat Protection nun, um die Bewertung von Benutzerrisiken zu optimieren.  

• Automatisierte Risikoberechnung: Die Risk Engine berechnet das Risiko in drei Kategorien (Login, Session und Entität) und stuft jede als niedrig, mittel oder hoch ein.
• Kontinuierliche Auswertung: Das Risikoniveau wird in Echtzeit berechnet, auch wenn die Benutzer:innen nicht mit Okta interagieren. Richtlinienauswertungen verarbeiten dieses Risiko und werden kontinuierlich ausgeführt, um sicherzustellen, dass während des gesamten Lebenszyklus des Zugriffs jederzeit die aktuelle Sicherheitslage der Benutzer:innen bekannt ist.
• Umfassende Erkennung: Die nativen First-Party-Signale von Okta decken alle Taktiken, Techniken und Prozeduren (TTPs) auf der Identity-Ebene ab. Okta hat maßgeblich zur Entwicklung von Standards wie dem Continuous Access Evaluation Protocol beigetragen. Dadurch wurden Integrationen mit führenden Sicherheitsanbietern der Branche ermöglicht, über die im Rahmen des Shared Signals Framework (SSF) Third-Party-Risikoindikatoren ausgetauscht werden. Dies gewährleistet eine umfassende Abdeckung von Taktiken, Techniken und Prozeduren, die sich mit der Identity-Ebene (Geräte, Netzwerke, Anwendungen und Daten) überschneiden. Für Sicherheitsanbieter, die noch nicht am SSF teilnehmen, stellt Okta einfache Mechanismen zur Verkettung von APIs bereit, mit denen sich Risiken in Identity Threat Protection integrieren lassen.

Jims Team hat beobachtet, dass bestimmte Aktivitäten, die als mittleres oder hohes Risiko eingestuft werden, für einige Benutzer:innen ganz normales Verhalten darstellen. So gehören beispielsweise geschäftliche Reisen zu bestimmten Standorten für Mitarbeiter:innen des Vertriebsteams wie Tina zum Arbeitsalltag, was zu erwarteten Änderungen der IP-Adresse nach der Authentifizierung führt. Um die Erkennungsgenauigkeit zu verbessern, stehen Jim mehrere Möglichkeiten zur Verfügung. So kann sein Team von der KI-Engine identifizierte Fehlalarme kennzeichnen und direktes Feedback an die Risk Engine geben. Zudem können IP-Ausnahmezonen oder vertrauenswürdige Proxys konfiguriert werden, um Datenverkehr aus diesen IP-Zonen von ITP-Bewertungen auszuschließen. 

09:00 Uhr: Anschließend überprüft das SecOps-Team das Dashboard bzw. den Report zu Entity-Risiko-Erkennungen, sodass es Erkennungen mit hohem Risiko, deren Herkunft sowie entsprechende Trigger für adaptive Richtlinien überwachen kann. Dank der präzisen Okta-Reaktionsmaßnahmen kann Jims Team einen differenzierten und flexiblen Sicherheitsansatz verfolgen. Diese Integration bietet mehrere Vorteile:

• Empfangen Sie Echtzeit-Risikowarnungen direkt in der Okta-Admin-Konsole
• Gewinnen Sie einen ganzheitlichen Überblick über die Sicherheitslandschaft von MediaXMedia.
• Initiieren Sie automatisierte Behebungsmaßnahmen auf der Grundlage vordefinierter Richtlinien.

Die Shared Signals Pipeline stellt sicher, dass Threat Intelligence sofort und nahtlos zwischen Systemen fliesst, wodurch die allgemeine Sicherheitslage von MediaXMedia verbessert wird.

Um die Wirksamkeit der kontinuierlichen Risikobewertung zu veranschaulichen, betrachten Sie ein Szenario, in dem sich ein Benutzer morgens bei Salesforce anmeldet und die Anwendung den ganzen Tag über nutzt. Wenn seine Sitzung kompromittiert würde (z. B. durch Cookie-Diebstahl), würde die Bedrohung traditionell möglicherweise unentdeckt bleiben, bis die Endpoint Detection and Response-Lösung potenziell schädliche Software meldet, was Stunden dauern könnte. Diese Verzögerung bei der Erkennung stellt eine erhebliche Herausforderung dar, da nachfolgende Abhilfemaßnahmen – wie z. B. Sitzungsbeendigung, Anpassungen von Benutzergruppen, Okta-Workflow-Trigger und Kontosperrungen – nicht rechtzeitig ergriffen werden. 

Ohne Identity Threat Protection würde das Sicherheitsteam von Jim auf erhebliche Schwierigkeiten stoßen, darunter

• Zeitaufwändige manuelle Analyse von Daten aus mehreren Systemen
• Stunden, die mit der Identifizierung potenzieller Sicherheitsprobleme verbracht wurden
• Verzögerungen bei der Ausführung von Sanierungs-Playbooks
• Risiko ungeprüfter Schäden aufgrund verzögerter Reaktionszeiten

SecOps-Teams benötigen eine Inline- und Echtzeit-ITDR-Lösung (Identity Threat Detection and Response), um dynamischen Bedrohungen effektiv begegnen zu können. Ohne Inline-ITDR führen Verzögerungen bei der Erkennung zu erheblichen Sicherheitslücken, durch die böswillige Akteur:innen Schaden anrichten können. Zudem verlieren Maßnahmen (z. B. Beendigung von Sessions, Account-Sperrungen oder Zugriffsänderungen) zur Verhinderung von Data Breaches oder Systemkompromittierungen ihre Wirksamkeit. Darüber hinaus beeinträchtigen solche Verzögerungen die Produktivität, da Security-Teams wertvolle Zeit mit der Untersuchung von Vorfällen verbringen müssen, statt sich auf wichtige geschäftliche Prioritäten zu konzentrieren.

Im Jahr 2024 benötigten Unternehmen durchschnittlich 194 Tage, um eine Datenschutzverletzung zu identifizieren, und 64 Tage, um sie einzudämmen – doch Angreifer benötigen oft nur Stunden, um eine Umgebung vollständig zu kompromittieren. Dieser krasse Gegensatz unterstreicht die dringende Notwendigkeit von Echtzeit-ITDR, um die Gefährdung zu minimieren und schwere Schäden zu verhindern.

Im Gegensatz dazu bietet die Continuous Risk-Bewertung von Identity Threat Protection diese Vorteile:

• Die automatisierte Analyse von Sicherheitsdaten erfolgt in Echtzeit im gesamten Unternehmen
• Schnell identifizierte potenzielle Bedrohungen
• Richtlinienbasierte Behebungsmaßnahmen, die sofort oder inline ausgelöst werden
• Deutlich reduziertes Zeitfenster der Anfälligkeit

Diese proaktive, automatisierte Methodik ermöglicht es Jims Team, potenziellen Bedrohungen einen Schritt voraus zu sein, sodass sie sich auf die umgehende Bewältigung echter Risiken konzentrieren können, während die Auswirkungen von Sicherheitsvorfällen auf die Abläufe von MediaXMedia minimiert werden.

Jims Team hat bereits Identity Threat Protection-Richtlinien konfiguriert, die auf spezifische Cybersicherheitsbedrohungen zugeschnitten sind. Die präzisen Risikoreaktionsfunktionen von Okta bieten MediaXMedia einen differenzierten und flexiblen Ansatz für die Reaktion auf diese Bedrohungen. Diese Optionen umfassen:

• Universal Logout: Mit dieser Maßnahme können aktive Anwendungs-Sessions beendet und die Identity-Anbieter-Session auf allen Geräten widerrufen werden, sofern die Anwendungen das Universal-Logout-Framework unterstützen. Das Team muss also nicht mehr darauf warten, dass der Anwendungszugriff abläuft. 
• Inline-MFA: Bei Vorfällen, die als Ereignisse mit mittlerem Risiko eingestuft werden, kann das Team größere Unterbrechungen für Benutzer:innen vermeiden, indem es eine Inline-Step-up-Authentifizierung verlangt.
• Workflow-basierte Reaktionen: Bei Ereignissen mit erhöhtem Risiko nutzt Jims Team Okta Workflows, um automatisch Warnmeldungen auszulösen, JIRA-Tickets zu erstellen und Benutzer:innen mit hohem Risiko in Gruppen mit eingeschränktem Zugriff zu isolieren.

Dieser mehrstufige Ansatz ermöglicht es Jims Team, proportional auf verschiedene Bedrohungsstufen zu reagieren. Wenn Identity Threat Protection beispielsweise eine Änderung des Risikos, der Netzwerkzone, des Geräts oder des Verhaltens feststellt, kann es automatisch Massnahmen zur Abschwächung und Behebung einleiten, die Jims Team gemäss den Sicherheitsanforderungen von MediaXMedia konfiguriert hat.

In der Praxis bedeutet dies:

• Bei Änderungen mit geringem Risiko: Meist protokolliert das System diese Ereignisse einfach, damit sie später überprüft werden können.
• Bei Ereignisse mit mittlerem Risiko: Benutzer:innen werden in der Regel aufgefordert, sich zusätzlich zu authentifizieren.
• Für Situationen mit hohem Risiko: Das System kann Sessions mithilfe von Universal Logout oder Okta Workflows automatisch widerrufen, den Zugriff einschränken und das Security-Team alarmieren, damit es den Vorfall sofort untersucht.

11:00-16:00 Uhr: Meetings und andere sicherheitsrelevante Aufgaben  

Nachmittag: Neutralisierung von Identity-Bedrohungen für MediaXMedia-Benutzer:innen

16:36 Uhr: Eine Slack-Benachrichtigung trifft ein, dass Benutzerin „Tina Smith“ ein kompromittiertes Gerät hat. Das Risiko wurde mittels JamF über das Shared Signals Framework übermittelt. Identity Threat Protection setzt die Benutzerrisikostufe automatisch auf HOCH und verschiebt Tina in Okta in die Gruppe „Quarantäne-Benutzer:innen“. Ihr wird der Zugriff auf all ihre Anwendungen entzogen. 

16:40 Uhr: Vom Mobilgerätemanagement-System werden automatisch Behebungs-Workflows ausgelöst. Nachdem das Gerät bereinigt wurde, wird die Benutzerin wieder aus der Quarantänegruppe entfernt. Ihr Risiko wird in Okta auf NIEDRIG zurückgesetzt und der Zugriff auf die benötigten Anwendungen wird wiederhergestellt. Tina erhält eine automatisierte E-Mail, in der steht, was passiert ist. Die Bedrohung für Tinas Benutzeridentität ist neutralisiert.

Abend: Follow the sun

Ab 17:00 Uhr: Sicherheit schläft nie. Das weltweit verteilte Security-Team von MediaXMedia übernimmt und gewährleistet kontinuierlichen Schutz – genau wie Okta Identity Threat Protection.  

Jims Überlegungen

Normalerweise hätte die ausführliche Untersuchung des Zugriffsverhaltens von Benutzer:innen wie Tina Smith das Team mehrere Stunden gekostet. Mit ITP konnte es das Problem jedoch innerhalb weniger Minuten erkennen und beheben. Außerdem konnten dank der frühen Reaktion weitere Kompromittierungen wie laterale Bewegung, privilegierter Zugriff und Datenexfiltration verhindert werden.  Jims Team weiß den Mehrwert der von Identity Threat Protection bereitgestellten umfassenden Inline-Echtzeit-Schutzmaßnahmen sehr zu schätzen, die sich zudem nahtlos in die Sicherheitsinfrastruktur integrieren lassen. Besonders begeistert ist das Team vom Identity Threat Protection-Dashboard, das sich zu einer zentralen Anlaufstelle entwickelt hat, um Risiken für Benutzer:innen für alle Angriffsflächen zu bewerten. 

Die ausgeklügelten Machine-Learning-Methoden von Identity Threat Protection bewerten Sitzungsrisiken in Echtzeit. Durch die Analyse umfangreicher Datensätze identifizieren die KI-Modelle von Okta Unregelmäßigkeiten und erkennen potenzielle Bedrohungen proaktiv. Durch die KI-gestützte Risikobewertung wird das Risikoniveau jeder Sitzung kontinuierlich unter Berücksichtigung des Benutzerverhaltens, des Gerätekontexts und der Netzwerkdetails bewertet. 

Dieser adaptive Bewertungsmechanismus ermöglicht eine schnelle Anpassung der Sicherheitsprotokolle und stärkt die Abwehrmechanismen, ohne Benutzerinteraktionen zu beeinträchtigen. Die Nutzung von Algorithmen für maschinelles Lernen unterstützt die Unterscheidung zwischen normalen und verdächtigen Aktivitäten mit erhöhter Genauigkeit, wodurch authentische Bedrohungen priorisiert und unberechtigte Störungen legitimer Benutzer minimiert werden.

Nachdem Sie nun einen Einblick in den Tagesablauf von SecAdmin Jim und Benutzerin Tina erhalten haben, können Sie sehen, wie Okta Identity Threat Protection mit Okta AI die Sicherheitslage bei MediaXMedia erheblich verbessert und gleichzeitig sicherstellt, dass Benutzer:innen weiterhin sicher auf wichtige Ressourcen zugreifen können.