Identity Threat Protection com IA da Okta

…agora geralmente disponível

Uma questão de Segurança de Identidade

No mundo atual, cada vez mais baseado em nuvem, a identidade é a primeira (e em muitos casos, a única) impressão digital persistente que permite o acesso de um usuário aos ativos da organização. Como o plano de controle, a identidade abrange toda a pilha de tecnologia de TI da empresa e cruza os planos de dados ou acesso de dispositivo, rede e aplicativo. Portanto, não é de admirar que a identidade seja um alvo atraente e comum para ataques e comprometimentos.

De acordo com o OWASP Top 10, o "Broken Access Control" (Controle de Acesso Quebrado) foi o principal risco de segurança para aplicativos web, com 94% dos aplicativos testados apresentando alguma forma de controle de acesso com problema. O vetor de ataque aqui evoluiu ao longo do tempo, com o roubo e a reprodução de tokens tornando-se um vetor de ameaça cada vez mais comum, especialmente utilizado por agentes de ameaças persistentes avançadas (APT). Organizações com controles de verificação de acesso mais sofisticados precisam estar atentas a essa ameaça. Algumas das principais Táticas, Técnicas e Procedimentos (TTPs) de ataque da MITRE para estabelecer acesso inicial, persistência, executar movimento lateral ou elevação de privilégios em ambientes modernos envolvem o comprometimento da identidade (engenharia social, força bruta de credenciais, etc.) ou o direcionamento para a identidade (phishing, comprometimento de e-mail corporativo [BEC]). Os invasores raramente empregam um único método para atingir seus objetivos.

Os agentes de ameaças demonstram cada vez mais proficiência e disposição para iniciar ataques de múltiplos estágios, apoiados por reconhecimento sistemático, que utilizam técnicas de mapeamento do ambiente e ferramentas sofisticadas (um próspero setor artesanal de SaaS moderno agora impulsionado por IA). Os riscos são altos. A segurança de identidade possui um impacto significativo nos resultados financeiros e no valor duradouro para os acionistas. No ano passado, a Comissão de Valores Mobiliários dos EUA (SEC) adotou a regra Gerenciamento de Riscos, Estratégia, Governança e Divulgação de Incidentes de Segurança Cibernética, que exige que empresas de capital aberto divulguem incidentes relevantes de segurança cibernética e seus mecanismos de gerenciamento de riscos, estratégia e governança de segurança cibernética para proteger investidores e mercados.

A missão da Okta de permitir que todos usem qualquer tecnologia de forma segura nunca foi tão relevante. No Okta Secure Identity Commitment, lançado no início deste ano, reconhecemos publicamente nossa responsabilidade de impulsionar cada caso de uso de identidade em uma estrutura segura que proteja essas identidades. Acreditamos que o Identity Threat Protection com a IA da Okta é uma ferramenta essencial no arsenal de defesa, atendendo a diversas necessidades de segurança de todo o nosso espectro de clientes, com ênfase principal na proteção contínua. Temos o prazer de anunciar que o Identity Threat Protection com IA da Okta já está disponível para o público em geral. Este é um momento crucial, com muitas inovações para o setor. Continue lendo para saber mais.

Segurança de Identidade sob a perspectiva do ITDR: A Necessidade de Proteção contra Ameaças de Identidade com Okta AI

A detecção e resposta a ameaças de identidade (ITDR) é frequentemente considerada a vanguarda na segurança de identidade. Cunhado pela primeira vez em 2022, a Gartner define o termo ITDR como uma “disciplina”, uma operação de segurança de TI que as organizações financiam para se protegerem do cenário crescente de ataques a identidades. Os objetivos do ITDR são, em geral, entendidos como:

• Monitoramento e análise contínuos da atividade do usuário em uma organização
• Detecção de atividade anômala representando comportamento de ataque
• Disponibilidade de medidas de resposta apropriadas para alcançar a correção que protege a Identidade e os dados
• Permitir a investigação de ameaças, oferecendo suporte à resposta a incidentes para determinar a definição do escopo, a contenção e a remoção de ameaças e agentes de ameaça detectados.

De acordo com um recente comunicado de imprensa da Gartner, até 2026, 90% de todas as organizações empresariais terão algum produto incorporado unificando sua abordagem para atingir os objetivos da ITDR (Recuperação de Desastres de TI).

Embora os objetivos do ITDR sejam bastante universais, a atividade que sustenta esses objetivos evoluiu junto com o cenário de TI e segurança em constante mudança. Até agora, a segurança de identidade tem se concentrado em proteger a cerimônia de autenticação.

Com a garantia criptográfica do Okta Verify FastPass, a segurança na autenticação pode ser considerada um problema tecnologicamente resolvido.

O comportamento do invasor parece validar esta premissa: um estudo recente de nossa equipe de Ciência de Dados indicou que a adoção do Okta Verify FastPass se correlaciona diretamente com um risco reduzido de identidades comprometidas.

No entanto, os invasores seguem os princípios do mínimo esforço.

Se o nível de segurança exigido na cerimônia de autenticação for muito alto, os invasores tentarão comprometer outras áreas da empresa. Em um mundo onde comprometer identidades na autenticação se torna um desafio criptográfico cada vez mais difícil, as cerimônias pós-autenticação tornam-se uma área mais atraente para a concentração de ataques. Dados recentes indicam que o roubo, a manipulação e a repetição de tokens tornaram-se áreas de exploração cada vez mais atrativas. A SpyCloud compartilhou recentemente que conseguiu recuperar 1,87 bilhão de registros de malware de cookies de sessão vinculados a funcionários da Fortune 1000 em 2022. (O número total de registros de cookies de sessão recuperados foi de quase 22 bilhões.) A natureza do roubo de tokens como uma TTP de ataque requer o comprometimento de outra superfície de ameaça (SO, dispositivo, navegador etc.) para então atacar a superfície de ameaça de identidade e, assim, ser comprometida. Essa é uma metáfora para a natureza da segurança e o padrão mais amplo de ataques que está se desenvolvendo atualmente: a transição de superfícies de ameaças menos seguras em um mundo baseado na nuvem.

Um cliente pode fazer tudo corretamente e implementar as formas mais robustas de autenticação. No entanto, a identidade será tão forte quanto a superfície de ameaça de intersecção mais fraca entre rede, dispositivo, sistema operacional, navegador e aplicativo. É essa necessidade que o Identity Threat Protection busca atender. É uma necessidade permanente: acreditamos que, à medida que o mundo evolui rapidamente em direção a novos planos de interação homem-máquina e modalidades de produtividade, troca financeira e consumo de informações, as identidades sempre precisarão de proteção contínua, por exemplo, em pontos de acesso, bem como na interseção dessas superfícies de ameaças potenciais. O foco contínuo do Identity Threat Protection será, portanto:

• Para encontrar e proteger os clientes onde eles estão, independentemente de seu estágio de maturidade
• Para oferecer ferramentas para triagem de sua postura de segurança como parte das operações de segurança (de identidade).
• Para evoluir com as últimas inovações tecnológicas e padrões de ataque, usando as mais recentes tecnologias e insights para proteger os clientes em todos os níveis da curva de maturidade

Embora o ITDR possa sempre permanecer uma disciplina, o Identity Threat Protection com Okta AI tenta unificar essa disciplina com um arsenal de ferramentas de detecção e resposta para clientes com todas as posturas de segurança.

Mantendo o foco de longo prazo em perspectiva, a Proteção contra Ameaças de Identidade em GA tenta oferecer soluções para os seguintes problemas hoje:

• Dissolver a visão fragmentada da Segurança de Identidade em várias superfícies de ameaças
• Melhore o controle e a visibilidade sobre o acesso pós-autenticação
• Habilitar respostas manuais e descentralizadas a ameaças de identidade a partir de sinais de risco holísticos
• Equilibre o atrito e a produtividade do usuário com a segurança

Vamos ver como o produto alcança esses objetivos.

O que é o Identity Threat Protection com Okta AI?

O Identity Threat Protection é uma plataforma ITDR que permite a proteção contínua para todos os seus usuários. Ela faz isso por meio de:

• Aproveitando um mecanismo de risco poderoso, que usa técnicas de IA/machine learning (ML), voltado para fornecer detecções para todo o espectro de TTPs de ataque de Identidade
• Integrando perfeitamente o mecanismo de risco para funcionar com o restante de seu stack de segurança, alimentando as integrações mais profundas e ricas em um poderoso conjunto de detecção, refletindo o risco de Identidade de todo o ecossistema de fornecedores de segurança
• Aprofundamento da avaliação de políticas para assegurar que o acesso seja continuamente avaliado e esteja sempre atualizado, com variáveis de ambiente que regem o acesso em todos os momentos.
• Permitindo ações líderes de classe para reagir a ameaças em linha e em tempo real
• Oferecendo uma estrutura abrangente de relatórios e eventos que permite coletar um panorama geral da postura de risco/ameaça de Identidade e se aprofundar para realizar investigações de ameaças quando necessário.

Seis áreas de funcionalidades descrevem a amplitude da Proteção contra Ameaças de Identidade:

• Avaliação Contínua de Risco
• Shared Signals (Framework) Pipeline
• Avaliação Contínua de Políticas
• Resposta de Risco de Precisão
• Visibilidade e Insights
• Pipeline de Feedback

Vamos dar uma olhada nessas áreas de recursos para entender melhor a funcionalidade e o valor.

Avaliação Contínua de Risco

Na Okta, o risco é definido como a probabilidade de comprometimento. Ele é classificado em um nível de risco de três estados: baixo, médio ou alto. Na Adaptive Multi-Factor Authentication (MFA), o risco é calculado no momento da autenticação, que normalmente é conhecido como risco de login.

Com o Identity Threat Protection, a Okta apresenta o conceito de risco de sessão. O Risk Engine da Okta avalia cada solicitação pós-autenticação. Ele verifica alterações no IP (zona) e no contexto do dispositivo. O Okta Verify FastPass permite a coleta de sinais do dispositivo quando uma solicitação é enviada ao Okta e, periodicamente, depois disso. Se uma alteração ou regressão no estado de segurança fornecido no login forem detectadas em um dispositivo, o risco e o comportamento serão recalculados para alcançar a simultaneidade com esse contexto.

Aqui, devemos observar que, mesmo antes de introduzirmos o Identity Threat Protection, o Okta Verify dependia da coleta de sinais nativos e da integração com duas das principais ofertas de proteção de dispositivos do setor. O Okta Verify pode ingerir pontuações de risco do CrowdStrike e sinais da Central de Segurança do Windows para aumentar a postura do dispositivo disponível para a política. O CrowdStrike fornece segurança de endpoint e inteligência contra ameaças, integrando-se ao Okta para detectar e responder a ameaças direcionadas a endpoints. 

Essa integração ajuda a proteger os dispositivos contra malware, ransomware e outras ameaças avançadas, aproveitando a inteligência contra ameaças em tempo real e os recursos de resposta automatizada. A Central de Segurança do Windows oferece proteção contra vírus e ameaças, proteção de conta, proteção de firewall e rede, controle de aplicativos e navegador, desempenho e integridade do dispositivo e muito mais para dispositivos Windows. Com o Identity Threat Protection, isso agora é disponibilizado para a reavaliação da política de autenticação. (Analisamos mais detalhadamente a reavaliação de políticas na seção: “Avaliação Contínua de Políticas com Resposta de Risco de Precisão.”

Para reduzir imprecisões nas afirmações de risco e permitir que o mecanismo de risco evolua mais rapidamente do que o invasor, o Identity Threat Protection emprega heurísticas avançadas e ML (aprendizado de máquina) com patente pendente para impedir o comprometimento de sessão. As variáveis ambientais (IP/dispositivo) são avaliadas em relação a comportamentos conhecidos como normais, e a solicitação é analisada para identificar evidências de indicadores de comprometimento (IOC).

O risco de sessão não apenas ajuda a identificar comportamentos de sequestro de sessão, mas também comportamentos indesejados que ocorrem na organização e que não eram evidentes até então. Agora, esses comportamentos podem ajudar a resolver inconsistências em políticas e mecanismos de garantia de qualidade, promovendo ações de remediação e melhorando a postura e os resultados de segurança.

Há um argumento a ser considerado para padrões de ataque que possuem um raio de impacto além do escopo de uma sessão de acesso do Okta. Por exemplo, tentar obter acesso persistente ou por força bruta ao Okta ou a um app tem ramificações que vão além da duração de uma sessão. Para definir o escopo e corrigir esses ataques, a Okta introduziu o risco de entidade. Como o usuário é a primeira entidade para a qual oferecemos suporte à avaliação de risco, isso às vezes também é chamado de risco do usuário da identidade. No momento da disponibilidade para o público em geral, o Identity Threat Protection oferece suporte às seguintes detecções de risco de usuários de entidades selecionadas nativamente:

• Ação crítica da entidade a partir de IPs com alta ameaça: para detectar as tentativas de um invasor de alcançar persistência.
• Acesso suspeito ao app: para detectar a tentativa de um invasor de coletar cookies de sessão de apps.
• Ataque de força bruta suspeito: para detectar ataques de força bruta de autenticação multifator (MFA) e ter acesso robusto e baseado em autenticação à organização.
• Okta Threat Intelligence: para detectar atividades sofisticadas de agentes de ameaças ou o uso de infraestrutura de phishing para orquestrar ataques.

A Proteção contra Ameaças à Identidade também oferece suporte ao crowdsourcing da atividade do invasor, com opções para um administrador ou um usuário final relatar o risco e o comportamento de acesso desconhecido ao sistema. 

Mas o escopo do produto não termina aí. O risco da entidade também abrange a reflexão de um ataque em outras superfícies de ameaça (ou seja, dispositivo, rede, aplicativo) no que se refere à identidade.

Dessa maneira, o objetivo do risco de entidade não é apenas detectar ataques além do escopo de uma sessão de acesso, mas também garantir que as organizações que utilizam os melhores fornecedores de segurança não sofram com seus produtos de segurança operando em silos, resultantes de definições míopes e unidimensionais de ameaças.

O risco de entidade, como conceito, também se diferencia do risco de sessão pelo escopo e por ser mais dependente de estado e multidimensional. Assim, serve como um reflexo mais preciso da verdadeira probabilidade de comprometimento no que diz respeito ao usuário.

A multidimensionalidade do risco de entidade tem como objetivo impedir que agentes de ameaça sofisticados se movam lateralmente (pivotando) para fora das superfícies de ameaça à vontade. Quem proporciona esse benefício é o Shared Signals Pipeline. 

Pipeline do Shared Signals Framework

Aqui, vamos um passo além. No paradigma de Risco de Sessão e mudança de contexto de IP/dispositivo, o mecanismo de detecção de risco se estende apenas até o ponto em que o usuário interage com Okta (seja diretamente com a autenticação, token ou outro endpoint da Okta ou indiretamente, com o Okta Verify) dentro do escopo de uma sessão. Mas, com os atuais padrões de ataque de ameaças persistentes avançadas e a natureza dos ataques de vários estágios, precisávamos detectar consistentemente ataques além do escopo da sessão, com detecções de Risco de Entidade. As detecções de Risco de Entidade, alimentadas por uma combinação de detecções nativas e uma integração de Pipeline do Shared Signals Framework (SSF) com fornecedores de segurança que protegem outras superfícies de ameaças, podem eliminar ataques baseados em Identidade originados de superfícies de ameaças não relacionadas à Identidade.

Hoje, um ambiente SSO típico está repleto de tokens de longa duração e cookies de sessão. Portanto, as interações com o provedor de identidade podem ser raras. 

A ideia por trás do Pipeline SSF foi baseada no princípio de que os produtos de segurança que protegem qualquer superfície de ameaça devem ser capazes de realizar determinações de risco holísticas com base em indicadores de comprometimento observados em todas as superfícies de ameaça que se cruzam.

Portanto, o objetivo era aproveitar os indicadores de comprometimento (IoCs) e o risco desenvolvido em outras superfícies de ameaças que se cruzam com a identidade para oferecer uma avaliação holística de risco sobre a entidade (usuário). A parceria de segurança que se desenvolveu foi de igualdade entre os provedores de eventos de segurança e a Okta, com cada participante beneficiando-se do ecossistema criado. Cada provedor de eventos de segurança, incluindo a Okta, pode instanciar um par de transmissor e receptor SSF e trocar sinais com base em um padrão aberto ratificado pelo grupo de trabalho Shared Signals da Open Identity Foundation, chamado Continuous Access Evaluation Profile.

O CAEP opera dentro de um modelo pub-sub restrito que permite a publicação contínua de eventos (de risco/IOC) à medida que ocorrem, alinhando-se assim com os objetivos de uma proteção verdadeiramente “contínua”.

Hoje, a Okta oferece integrações usando o SSF-CAEP que permite o compartilhamento de inteligência de sinais com provedores de eventos de segurança que são nomes importantes em suas áreas de atuação. Estes incluem Cloudflare, Jamf, Palo Alto Networks, Rubrik, SGNL, Zimperium e Zscaler. Tivemos o cuidado de garantir que esses parceiros cubram um bom equilíbrio de superfícies de ameaças (XDR, CASB/ZTNA/SASE, UEM, etc.).

Heróis usam um CAEP!

O Identity Threat Protection é tanto um produto quanto uma experiência em capitalismo saudável. É a prova de que as empresas de segurança podem se unir com sucesso e construir um produto que beneficie os clientes, para que o todo seja maior que a soma das partes individuais. De fato, embora a Jamf tenha sido a primeira parceira a anunciar a integração como transmissora CAEP com o Okta como receptor CAEP, a ideia ganhou impulso suficiente para que o Apple Business Manager também anunciasse o suporte para este ecossistema. Okta é o primeiro parceiro transmissor CAEP a anunciar suporte para troca de contexto de segurança de identidade com o Apple Business Manager via CAEP-SSF. Muitos dos parceiros transmissores CAEP da Okta também expressaram interesse em consumir nossos sinais de receptor CAEP. Clientes com grandes pegadas de identidade também expressaram interesse em integrar sinais de inteligência selecionados internamente ao SSF para que o Risco da Entidade em sua organização locada pelo Okta se beneficie desta integração. Agradecemos esses desenvolvimentos. Um mundo interconectado e de primeira linha, alimentado por uma pilha de segurança heterogênea, permite um cenário muito mais seguro, e estamos felizes em desempenhar nosso humilde papel nele.

A construção de uma plataforma Shared Signals Framework liberou uma sinergia incrível. A melhor parte é que os clientes agora têm uma resposta poderosa à atividade de ameaças sofisticadas com custo de integração mínimo. 

O Shared Signals and Events, com CAEP no Identity Threat Protection com a IA da Okta, possibilitou centenas de detecções em todas as superfícies de ameaças empresariais, aproveitando-se para proteger identidades em diversos ecossistemas de TI, permitindo a proteção para uma variedade de casos de uso. É incrível pensar que isso é apenas o começo.

Aqui estão alguns desses casos de uso.

Apple Business Manager

Gerenciamento e conformidade de dispositivos: o Apple Business Manager integra-se ao Okta para gerenciar dispositivos Apple em toda a organização. Isso ajuda a aplicar políticas de segurança, gerenciar configurações de dispositivos e garantir a conformidade com os padrões organizacionais.

Cloudflare

Security Service Edge (SSE): a plataforma SSE da Cloudflare ajuda as organizações a proteger o acesso, defender-se contra ameaças e proteger dados com os princípios de Zero Trust. Ao integrar-se ao Okta, as organizações podem aplicar controles de acesso baseados em identidade para cada solicitação em aplicativos web, privados e aplicativos de SaaS, garantindo que somente usuários autorizados possam acessar recursos protegidos.

Jamf

Segurança para dispositivos móveis: a Jamf protege dispositivos Mac e móveis, oferecendo detecção e resposta a ameaças como malware, vulnerabilidades conhecidas, aplicativos de risco, versões vulneráveis de sistemas operacionais e muito mais. Com a integração entre o Jamf e o Okta, somente os dispositivos compatíveis poderão acessar os recursos corporativos, evitando acessos não autorizados.

Netskope

Segurança na nuvem e proteção de dados: o Netskope One integra-se ao Okta para fornecer insights e controle sobre os principais componentes de uma arquitetura SSE. Ele auxilia na proteção de dados confidenciais por meio do monitoramento do uso de apps na nuvem e da aplicação de políticas de proteção de dados. Essa integração aprimora a visibilidade das atividades em nuvem e ajuda a mitigar os riscos associados aos serviços na nuvem, a fim de estender o perímetro de Zero Trust por meio das Zonas de Rede da Okta e da rede NewEdge da Netskope.

Palo Alto Networks

Segurança de rede e nuvem e detecção de ameaças: o Cortex XSIAM da Palo Alto Networks integra-se ao Okta para fornecer detecção avançada de ameaças e resposta automatizada em toda a rede. Isso auxilia na detecção e resposta a ameaças cibernéticas sofisticadas, garantindo uma segurança de rede abrangente. Além disso, a solução Cortex ITDR proporciona valor adicional em conjunto com o Okta para identificar capacidades avançadas de ameaças internas.

Rubrica

Segurança de dados: o Rubrik Security Cloud, uma plataforma de segurança de dados que proporciona resiliência cibernética completa em ambientes corporativos, na nuvem e em SaaS, integra-se ao Okta para auxiliar os clientes na detecção proativa de alterações nos níveis de risco de acesso a dados sensíveis dos usuários e na automação da remediação.

SGNL

Controle de acesso e governança: a SGNL fornece soluções de controle de acesso que se integram ao Okta para aplicar políticas de acesso granular e regras de governança. Isso ajuda a garantir que somente usuários autorizados tenham acesso a informações e sistemas confidenciais, reduzindo o risco de acessos não autorizados.

Zimperium

Mobile Threat Defense: o Mobile Threat Defense (zIPS) monitora e protege dispositivos móveis contra ameaças avançadas, incluindo malware e ataques de rede. Essa integração assegura que os dispositivos móveis que acessam recursos corporativos estejam seguros e em conformidade com as políticas de segurança.

Zscaler

Segurança na internet, prevenção contra ameaças e movimento lateral: o Zscaler Deception utiliza sistemas e dados de isca para oferecer detecção precoce e de alta fidelidade de ataques direcionados e ameaças internas. Ele integra-se perfeitamente ao Okta, compartilhando sinais detalhados de ataque com o Okta. Essa integração habilita controles de acesso adaptativos em tempo real, mitigando efetivamente os riscos de movimento lateral dentro da rede.

Avaliação Contínua de Política com Resposta de Risco de Precisão

A Avaliação Contínua de Risco representa apenas metade do valor da proteção contínua. A Avaliação Contínua de Risco é combinada com a Avaliação Contínua de Política para fornecer o benefício múltiplo da proteção contínua. A política avaliada, portanto, pode acumular benefícios em vários níveis.

• O nível primário é a avaliação contínua da Global Session Policy (GSP). No paradigma de Proteção contra Ameaças de Identidade, os construtos de GSP (regras de política) que determinam a criação de sessões SSO da Okta garantem que as sessões estejam protegidas contra violação de GSP, mesmo após a emissão da sessão. Ele permite restringir a aplicação de ações pós-autenticação, mesmo se os requisitos da Política de Autenticação (em um aplicativo específico) associada à sessão Okta forem atendidos. Ele permite restringir a aplicação de ações pós-autenticação, mesmo se os requisitos da Política de Autenticação (em um aplicativo específico) associada à sessão Okta forem atendidos. Isso oferece aos clientes mais uma camada de defesa, garantindo que as lacunas de política e a má configuração não se tornem um motivo para regressão na postura de segurança e na garantia de autenticação.
• Tanto o GSP quanto a Authentication Policy são avaliados para cada solicitação e durante todo o ciclo de vida do contexto da sessão.
• A Authentication Policy é avaliada não apenas para o aplicativo em uma solicitação, mas para todos os aplicativos vinculados à sessão Okta associada à solicitação.
• Se uma alteração no contexto da sessão for identificada sem uma solicitação em um endpoint da Okta, isso ocorrerá porque essa alteração é gerada pela sondagem contínua realizada pelo Okta Verify no endpoint. O Okta Verify está monitorando continuamente alterações no contexto do dispositivo. Nessa situação, todas as regras de política para todos os apps associados a todas as sessões vinculadas ao ID do dispositivo são avaliadas.
• A política de risco de entidade é um novo tipo de política introduzido na estrutura de políticas da Okta. Enquanto o GSP e a política de autenticação se concentram na sessão do Okta e no aplicativo acessado, respectivamente, a política de entidade tem como foco a identidade. A identidade é o sujeito. As regras de política configuradas na política de entidade são acionadas por eventos, o que significa que são executadas automaticamente assim que o risco da entidade é detectado. Isso, juntamente com a profundidade da reavaliação no GSP e na política de autenticação, estabelece um novo padrão para "proteção contínua".

A execução em escala dessa arquitetura de avaliação de políticas de múltiplos estágios é realmente impressionante e exclusiva do Identity Threat Protection e da Okta. Esse é um verdadeiro marco inédito no setor. Embora a magnitude da avaliação de políticas seja, de fato, ditada pelos eventos (risco da entidade, alteração no IP, contexto do dispositivo, risco da sessão e comportamento) que desencadeiam sua avaliação, elas só podem ser tão eficazes quanto as ações configuradas nelas.

O Identity Threat Protection oferece opções extensíveis e líderes de classe para sessões pós-autenticação para GSP e reavaliação da Política de Autenticação e avaliação da Política de Risco de Entidade.

• Para combater a ameaça imediata de sequestro de sessão, a MFA ou verificação integrada é oferecida como uma ação corretiva para todas as falhas na reavaliação das regras da Política de Autenticação e do GSP. Isso apenas reforça uma ação já configurada pelos clientes em sua Política de Autenticação/GSP. A ação nessas políticas foi delimitada para a emissão condicional de uma sessão Okta ou acesso ao app e, no caso da Política de Autenticação, foi regida por condições de sessão rigorosas (acionadas a cada login em um recurso, em períodos fixos ou após o término da sessão Okta). Com o Identity Threat Protection, agora é exigido como uma etapa de verificação, garantindo assim a validação de quaisquer alterações registradas durante a duração da sessão.

A Okta foi uma das primeiras a anunciar a proteção in-line para roubo de token, e agora vai um passo além, onde um sequestro de sessão interceptando o MFA, quando determinado como abandonado, resulta na revogação do cookie de sessão do Okta SSO, forçando assim a reautenticação de todo o acesso em cenários de roubo de token.

• Em determinados cenários, uma mudança no contexto da sessão pode acionar a avaliação contínua de políticas, mesmo sem uma solicitação no endpoint do Okta. Por exemplo, quando o Okta Verify busca sinais do dispositivo periodicamente, o Okta pode determinar uma mudança no contexto do dispositivo de forma assíncrona (fora do canal) e acionar a reavaliação da política. Nesses casos, acionar o MFA não é a ação apropriada porque não há nenhuma solicitação para acionar o MFA e nenhum widget de login no qual solicitar a verificação. Nesses e em outros cenários, o Identity Threat Protection oferece a capacidade única de acionar uma ação chamada "Universal Logout" que ajuda a restringir o acesso imediatamente, mesmo fora do canal.

A capacidade de tomar medidas in-line e em tempo real, restringindo o acesso por meio de sinais out-of-band, é um importante diferencial de produto para o Identity Threat Protection.

• O Universal Logout é um recurso inovador e mais uma novidade no setor. A Okta está liderando o setor rumo a um mundo onde a restrição de acesso seja realizada em sua máxima profundidade. Nesse mundo, não são permitidos artefatos órfãos, e a cadeia de herança de autorização é dignamente desmantelada, da mesma maneira que foi estabelecida. O órgão de padrões da Okta abriu caminho para um novo padrão em revogação global de tokens.

Há cerca de uma década, a Okta se tornou o primeiro provedor de Identidade em nuvem do setor a oferecer SSO ou “Universal Login”. Com o Identity Threat Protection, a Okta é a primeira a oferecer Universal Logout em todos os dispositivos e aplicativos suportados.

Um primeiro passo para adotar esse conceito foi fazer com que os principais apps adotassem a política do Universal Logout. Desde o anúncio do acesso antecipado, ampliamos consideravelmente nossa cobertura, juntamente com o desenvolvimento do padrão. Com o Identity Threat Protection agora disponível para o público em geral, temos o prazer de anunciar o suporte ao Universal Logout para Box, Dropbox for Business, Microsoft Azure, Microsoft Defender para Nuvem, Microsoft Defender para Ponto de Extremidade, Microsoft Defender para O365, Microsoft Dynamics 365, Microsoft O365, Microsoft Power BI, Microsoft Power Platform e Visual Studio, Microsoft Sentinel, Microsoft SQL Server Management Studio, Google Cloud Platform, Google Workspace, Pagerduty, Salesforce, Slack, Zendesk, Zoom e Surf Security (todos os apps da Microsoft oferecem suporte ao logout parcial). Eles ainda não oferecem suporte à invalidação do app. cookies de sessão. O suporte para Surf Security será lançado em 14 de agosto de 2024.)

• Embora a funcionalidade do Universal Logout, em segundo plano, incentive a ação de logout oferecida em "ações pós-autenticação" e na "política de risco de entidade", oferecemos uma definição do escopo inteligente de logout e mapeamos o raio de impacto da ação com base no raio de impacto do tipo de risco envolvido. Portanto, embora a política de risco de entidade ofereça suporte à profundidade total do Universal Logout, as ações pós-autenticação garantem que a ação de logout suporte a revogação apenas dos apps relevantes e da sessão Okta em consideração. (Para uma abordagem detalhada sobre isso, consulte Revogações do Universal Logout.)
• As ações no Identity Threat Protection também oferecem extensibilidade ao seu gerenciamento de incidentes e operações de TI. O Identity Threat Protection se integra perfeitamente ao Workflows para que agora você possa integrar e automatizar as atividades e processos de resposta de sua equipe e obter resultados de segurança melhores e mais rápidos. A integração nativa do Workflows implica que você pode iniciar um fluxo de trabalho a partir de um ou todos os seguintes gatilhos.
  • Reagir a mudanças no contexto de IP ou dispositivo, risco de sessão e/ou avaliação de comportamento
  • Pivotar na detecção de risco de entidade
  • Integre nativamente os fluxos de trabalho como uma ação para os resultados da sessão pós-autenticação ou na política de risco da entidade

Para alcançar resultados em mais de 50 aplicativos, aproveitando mais de 100 ações, o Workflows com Identity Threat Protection oferecem opções abrangentes para a promessa de Identity Threat Response.

Observabilidade e Insights com Pipeline de Feedback

Outro aspecto da resposta é o suporte às operações diárias de TI e segurança. Identity Threat Protection combina painéis de relatórios avançados e widgets de painel de administração que aconselham a implantação do produto e garantem que os administradores de segurança tenham

• A capacidade de manter snapshots baseados em dados do risco para identidades em seu ambiente,
• Uma visão da regressão na postura de segurança pós-autenticação e do desempenho de segurança da configuração da política ao longo da vida útil do acesso para a base de usuários
• Dados para impulsionar a ação para mitigar o risco manualmente ou via política
• Uma forma de fornecer feedback ao sistema para que o Identity Threat Protection se torne mais sintonizado com o comportamento da organização e dos usuários ao longo do tempo.

A jornada do administrador começa com widgets no painel, oferecendo uma visão geral das violações de sessão, risco do usuário da entidade e desempenho da política.

A partir daí, os clientes podem detalhar qualquer área de interesse específica por meio de três relatórios.

• O Relatório de Violações de Sessão se concentra em relatar as mudanças observadas em uma sessão Okta autorizada, conforme relatado por meio de solicitações recebidas contra essa sessão e alterações de contexto detectadas pelo Okta Verify. Aqui, um cliente também pode validar como a resposta da política estabelecida para proteger o ambiente se comporta em relação a essas mudanças. Há informações para se aprofundar no tipo de risco que se desenvolve em torno de certas mudanças e nas ações de mitigação que podem ser estabelecidas para frustrar atividades maliciosas potenciais. É aqui que um administrador pode determinar a detecção e a resposta a ataques, como o sequestro de sessão. Aqui está uma prévia de como essa experiência se parece.

• Em seguida, oferecemos dois relatórios sobre Risco da Entidade. O relatório Usuários em Risco oferece um guia prático para usuários (entidade) de risco na organização. O Relatório de Risco da Entidade investiga mais a fundo
  • Os tipos e a frequência do risco de entidade detectado
  • Quais regras de política interceptam essas detecções de risco e aquelas que continuam a escapar

O Identity Threat Protection também permite que o administrador de Identidade detalhe o risco desenvolvido. A página Diretório → Pessoas → Usuário → {User} agora mostrará uma aba adicional de “Risco” dedicada a cobrir o risco acumulado pelo usuário. Aqui, um administrador pode

• Analise toda a atividade arriscada nos últimos sete dias associada ao usuário e as mudanças observadas em termos de IP/localização, contexto do dispositivo e comportamento.
• Detalhar via system log para dados relevantes em torno de uma declaração para contexto de sessão ou risco de entidade detectado.
• Ofereça feedback ao sistema para que a Okta possa ajustar as asserções de risco para que sejam mais relevantes para a organização ao longo do tempo.
• Escolha modificar o risco do usuário com base em fontes externas não integradas ao Okta (também disponível na API).
• Revogar o acesso manualmente usando o Universal Logout

Conclusão

E é isso. Mas isso está longe de ser o fim, porque estamos apenas começando. Estamos sentindo um imenso orgulho deste produto e entusiasmados com o valor único que ele proporciona. 

Esperamos que o uso deste produto ajude você

• Proteger-se contra ameaças comuns à identidade, incluindo ataques pós-autenticação, como a proteção contra sequestro de sessão integrada , utilizando a IA da Okta.
• Potencializar sua pilha de segurança de ponta existente e elimine os silos de segurança com uma abordagem holística de segurança baseada no risco de entidade, impulsionada por uma rede de inteligência de sinais compartilhados e apoiada por uma estrutura de padrões abertos.
• Aproveitar a capacidade de revogar o acesso a todos os apps ou a apps específicos imediatamente, seja manualmente ou por meio da orquestração de políticas.
• Proteger sua organização contra ataques sofisticados e de múltiplos estágios que envolvem identidades abrangendo superfícies de ameaças, utilizando mecanismos de Single Sign-On (SSO) com reforço da garantia de autenticação ao longo de todo o ciclo de vida da sessão Okta.
• Garantir que o acesso a apps exigido pela política no login seja aplicado continuamente para todos os apps durante o período de acesso, e não apenas para apps sujeitos ao CAEP ou ao app em uma solicitação de SSO. 
• Detecções para persistência, elevação de privilégios e movimento lateral: força bruta de MFA, força bruta de apps, ações críticas realizadas por um usuário ou administrador e muito mais, juntamente com centenas de detecções de terceiros abrangendo todas as superfícies de ameaça.
• Aproveitar a Threat Intelligence com tecnologia Okta, que rastreia infraestruturas de ameaças sofisticadas e suas TTPs mais recentes.
• Criar um encadeamento do risco do usuário da entidade em vários provedores de identidade ou elevar manualmente o risco de um usuário com base na inteligência determinada pelas suas operações de segurança.
• Aproveite as alterações de monitoramento do Okta Verify no contexto do dispositivo do usuário final para que as sessões de seus usuários estejam protegidas, mesmo quando não estiverem interagindo com o Okta.
• Finalmente, uma estrutura de política de entidade centrada no usuário
• Beneficie-se de sinais de crowdsourcing: tome uma atitude quando um usuário relatar: "Não fui eu". Ofereça feedback em um mecanismo de risco avançado que incorpora suas decisões de segurança de TI. afirmação de inteligência sobre risco.
• ITP com Workflows, permitindo segurança extensível e resultados de orquestração de negócios.
• Use relatórios e widgets Rich Observability para uma visão geral.
• Investigar comportamentos de risco diretamente da página de perfil de um usuário.

Falaremos com mais detalhes sobre como esse valor é criado. Este blog também inicia uma série de blogs. Fique atento aos seguintes blogs que serão lançados no futuro.

• Usabilidade e segurança
• ITP e seu lugar no ecossistema Okta
• Okta no ecossistema de segurança
• Autenticação Contínua e Risco
• Universal Logout
• Shared Signals, melhor juntos
• Workflows extensíveis para atender às suas metas de segurança e negócios

O lançamento do Identity Threat Protection com a IA da Okta representa um marco importante na luta, até então desigual, contra as ameaças cibernéticas. Hoje convidamos você a se juntar a nós nesta jornada rumo a um futuro empresarial online mais seguro. O Identity Threat Protection é uma SKU já disponível para todos os clientes do Workforce Identity Cloud na nuvem pública. Atenção: estamos trabalhando para tornar o Identity Threat Protection compatível com os níveis FedRAMP e DoD Impact Level 4 (IL4), a fim de incluir esse serviço em nossas ofertas de nuvem Okta for Government Moderate, Okta for Government High e Okta for U.S. Military. No entanto, o Identity Threat Protection ainda não atingiu os níveis de conformidade aplicáveis nem foi auditado para inclusão nesses ambientes regulamentados.

O Identity Threat Protection exige que você utilize o Okta Identity Engine, o Universal Directory, o Single Sign-On e o Adaptive MFA. O Identity Threat Protection aproveita aspectos dos fluxos de trabalho que são atendidos por meio da oferta complementar de fluxos de trabalho disponível para todos os clientes do Workforce Identity Cloud (embora talvez você precise adquirir licenças adicionais do Workflows com base no uso). Este produto é oferecido exclusivamente para clientes corporativos. Estará disponível suporte para organizações mistas e para clientes do setor de educação. O preço de tabela é de US$ 4 por usuário por mês. Entre em contato com o representante local da Okta para saber mais detalhes ou para preparar um orçamento personalizado de acordo com suas necessidades. Para um
teste gratuito, entre em contato com o suporte.

Estamos ansiosos para fornecer o Identity Threat Protection para sua empresa.