Risiko-Score von Identitäten
Der Risiko-Score von Identitäten ist ein Indikator für das Gesamtrisiko, das eine Identität darstellt. Er kombiniert die Wahrscheinlichkeit, dass sie in einen Sicherheitsvorfall verwickelt sein könnte, mit den potenziellen Auswirkungen im Falle einer Kompromittierung. Der Score wird durch ein zum Patent angemeldetes Machine-Learning-Modell berechnet, das Verhaltenssignale, Kontokonfigurationen und aktive Befunde auswertet, um einen einzigen, kontinuierlich aktualisierten Risikoindikator für jede Identität in Ihrer Umgebung zu erstellen. Identitäten mit erhöhten Rechten, einem schwachen Sicherheitsstatus oder offenen Befunden erhalten einen höheren Score, selbst wenn keine verdächtigen Aktivitäten beobachtet wurden.
Kurz gesagt:
- Jede Identität erhält einen Score von 0 bis 10.
- Je höher die Zahl, desto mehr Aufmerksamkeit ist für diese Identität erforderlich.
- Der Score steigt, wenn Probleme wie eine fehlende MFA oder offene Sicherheitsbefunde vorhanden sind, und sinkt, wenn gute Sicherheitspraktiken angewendet werden.
- Sie können einige Faktoren, die zum Score beitragen, ändern, z. B. MFA aktivieren, andere jedoch nicht, wie die Abteilung oder Berufsbezeichnung eines Benutzers. Detailinformationen finden Sie unter Das erhöht den Score.
Unterstützt durch ein zum Patent angemeldetes ML-Modell.
Der Risiko-Score von Identitäten wird durch das zum Patent angemeldete Machine-Learning-Modell von ITDR generiert. Anstatt sich auf statische Regeln zu verlassen, lernt das Modell aus Verhaltens- und Konfigurationssignalen in Ihrer gesamten Umgebung, um einen Score zu erstellen, der das tatsächliche Risikoprofil jeder Identität widerspiegelt.
Dies gibt Sicherheitsteams zwei leistungsstarke Funktionen in einer einzigen Zahl:
- Bedrohungsanalyse: Der Risiko-Score einer betroffenen Identität zeigt Ihnen sofort an, ob Sie es sich um ein für Angreifer besonders attraktives Ziel handelt. Zum Beispiel erfordert ein Score von 8,5 bei einem privilegierten Administratorkonto eine andere Reaktion als ein Score von 1,2 bei einem Standardbenutzerkonto.
- Sicherheitsstatus-Beurteilung: Identitäten mit hohen Scores und ohne aktive Befunde stellen ein Risiko dar, das noch nicht zu einem Sicherheitsvorfall geführt hat. Sie wurden nicht kompromittiert, sind aber so konfiguriert, dass sie attraktive Ziele darstellen. Das proaktive Beheben dieser Punkte reduziert Ihre Angriffsfläche, bevor ein Sicherheitsvorfall eintritt.
Hinweis
Risiko-Scores sind derzeit für Aktive Identitäten verfügbar, die aus Entra ID und lokalen Active-Directory-Instanzen stammen. Identitäten, die in Ihrem Identitätsanbieter als Gelöscht oder Deaktiviert markiert sind, erhalten keinen Risiko-Score.
Score-Bereiche
| Band | Score-Bereich | Bedeutung |
|---|---|---|
| Kritisch | 8,0–10 | Risikosignal mit hoher Zuverlässigkeit. Weist wahrscheinlich offene Befunde und mehrere verstärkende Attribute auf. Unverzüglich untersuchen. |
| Hoch | 6,0–7,9 | Signifikante Risikoerhöhung. Ein oder mehrere signifikante Befunde oder eine Kombination aus riskanten Attributen. Im Rahmen Ihres normalen Triage-Zyklus überprüfen. |
| Mittel | 4,0–5,9 | Mittleres Risiko. Möglicherweise liegt ein offener Befund mit geringerem Schweregrad oder eine Kombination aus Risikofaktoren ohne Befund vor. |
| Niedrig | 2,0–3,9 | Einige Risikosignale sind vorhanden, aber es gibt keine signifikanten offenen Befunde. Auf Änderungen überwachen. |
| Zur Information | 0–1,9 | Basisrisiko. Keine offenen Befunde und die Faktoren der Identität geben derzeit keinen Anlass zur Sorge. |
So wird der Score berechnet
ITDR berechnet einen Risiko-Score für jede Identität und hält diesen bei Änderungen Ihrer Umgebung aktuell. Die Scores werden täglich aktualisiert und zudem automatisch neu berechnet, wenn Befunde geöffnet oder geschlossen werden oder wenn Kontoänderungen erkannt werden. Der Score spiegelt eine Kombination aus Identitätsattributen und aktiven Befunden wider: Je mehr Risikosignale vorhanden sind, desto höher ist der Score.
Es gibt zwei Kategorien von Beitragsfaktoren, die überall dort separat angezeigt werden, wo Faktoren in Sophos ITDR erscheinen:
- Sicherheitsfaktoren: Attribute, die mit der Kontokonfiguration und dem Sicherheitsstatus verknüpft sind und die Sie direkt beeinflussen können, z. B. MFA-Status, Administratorrollen und offene Befunde.
- Profilfaktoren: Attribute zur Identität, die nicht einfach kontrolliert werden können, wie Abteilung, Berufsbezeichnung oder die Stadt, von der aus sich eine Identität anmeldet. Ein Benutzer mit Standort in einer Stadt mit höherem Risiko hat zum Beispiel einen Profilfaktor, der seinen Score unabhängig von seiner Sicherheitskonfiguration erhöht.
Da Profilfaktoren weitgehend außerhalb der Kontrolle eines Kunden liegen, empfehlen wir Ihnen, die Bereinigung bei Sicherheitsfaktoren zu priorisieren. Detailinformationen finden Sie unter Score einer Identität verbessern.
Das erhöht den Score
Die folgenden Sicherheits- und Profilfaktoren erhöhen den Score einer Identität:
-
Sicherheitsfaktoren:
- Keine MFA für die Identität konfiguriert
- MFA ohne passwortlose Methode konfiguriert (wenn MFA ansonsten aktiviert ist)
- Offene Befunde, insbesondere bei kritischem oder hohem Schweregrad, die im Bereich Beitragsfaktoren als Identitäts-Offenlegungen gekennzeichnet sind
- Administrator- oder privilegierte Verzeichnisrollen
- Gastkontostatus
- Aktive Lecks von Zugangsdaten (kompromittierte Anmeldedaten)
- Hybridkonto (synchronisiert aus einem lokalen Verzeichnis)
- Umfangreicher E-Mail-Fußabdruck (mehr verknüpfte E-Mail-Adressen)
- Historische Alert- und Analyseaktivitäten, die mit der Identität verknüpft sind
-
Profilfaktoren:
- Abteilung ist eine Gruppe mit höherem Risiko
- Berufsbezeichnung ist eine Gruppe mit höherem Risiko
- Stadt ist ein Standort mit höherem Risiko
- Mitarbeitertyp ist eine Gruppe mit höherem Risiko
- Kein Vorgesetzter hinterlegt
- Die Identität ist für VIP-Überwachung konfiguriert, was im Bereich Beitragsfaktoren als Identität von hoher Bedeutung, Monitoring priorisieren angezeigt wird.
Das senkt den Score
Die folgenden Sicherheits- und Profilfaktoren senken den Score einer Identität:
-
Sicherheitsfaktoren:
- MFA konfiguriert und durchgesetzt
- Passwortlose MFA konfiguriert
- Sauberer Alert- und Analyse-Verlauf
- Befunde aufgelöst oder verworfen
- Entfernung unnötiger Admin-Rollen
- Weniger verknüpfte E-Mail-Adressen
-
Profilfaktoren:
- Die Abteilung ist eine Gruppe mit geringerem Risiko.
- Die Berufsbezeichnung ist eine Gruppe mit geringerem Risiko.
- Die Stadt ist ein Standort mit geringerem Risiko.
- Der Mitarbeitertyp ist eine Gruppe mit geringerem Risiko.
- Vorgesetzter hinterlegt
Hinweis
Aktive Zugangsdatenlecks, Hybridkontostatus und VIP-Überwachung erhöhen den Score immer nur, tragen aber nicht zur Senkung eines Scores bei.
Aufgelöste Befunde tragen bis zum nächsten täglichen Bewertungszyklus mit reduzierter Gewichtung bei. Der volle Vorteil wird in dem am folgenden Tag berechneten Score deutlich.
Hier sehen Sie den Risiko-Score
Sie können den Risiko-Score an den folgenden Stellen sehen.
Tabelle „Identitäten“
Die Spalte Risikobewertung in der Tabelle Identitäten auf der Seite Verzeichnis zeigt den aktuellen Score für jede Identität an. Die Kartenansicht zeigt den Score ebenfalls oben rechts auf jeder Karte an.
Tipp
Sortieren Sie die Tabelle Identitäten nach der Spalte Risikobewertung in absteigender Reihenfolge, um Identitäten mit dem höchsten Risiko oben anzuzeigen.
Identitätsdetails
Wählen Sie eine Identität aus der Tabelle Identitäten aus, um deren Details zu öffnen. Die Registerkarte Zusammenfassung enthält den Bereich Risikobewertung mit den folgenden Informationen:
- Aktuelle Bewertungszahl: Der aktuelle tägliche Score und sein Bereich
- Beitragsfaktoren: Die Attribute und Befunde, die sich auf den Score auswirken Detailinformationen finden Sie unter Das erhöht den Score.
Die Beitragsfaktoren sind in zwei Spalten unterteilt, Faktoren, die den Risiko-Score erhöhen und Faktoren, die den Risiko-Score senken, wobei jede in Sicherheitsfaktoren und Profilfaktoren gruppiert ist.
Hinweis
Wenn eine Identität keine Faktoren in einer Kategorie aufweist, zeigt dieser Abschnitt Keine Daten anstelle einer leeren Liste an. Der Zeitstempel am unteren Rand des Bereichs zeigt an, wann diese Faktoren zuletzt berechnet wurden.
Tipp
Nutzen Sie die Beitragsfaktoren, um genau zu verstehen, was einen erhöhten Score verursacht, bevor Sie Maßnahmen zur Bereinigung ergreifen.
Widget „Top-Risikobenutzer“
Das Widget Top-Risikobenutzer zeigt die Identitäten, die einen hohen Score mit offenen Befunden kombinieren. Dies ist dann die Gruppe mit der höchsten Priorität für die tägliche Triage. Jeder Eintrag zeigt den Namen der Identität, die Anzahl der offenen Befunde nach Schweregrad und den aktuellen Score.
Score einer Identität verbessern
Die folgenden Aktionen haben den größten Einfluss auf den nächsten Bewertungszyklus:
| Maßnahme | Erwartete Auswirkung |
|---|---|
| Offene kritische oder schwerwiegende Befunde auflösen | Reduziert den Score erheblich, da dies den größten Beitrag entfernt |
| MFA für die Identität durchsetzen | Reduziert den Beitrag der Zugangsdaten-Offenlegung |
| Eine passwortlose MFA-Methode aktivieren | Reduziert den MFA-bezogenen Beitrag über die Standard-MFA hinaus weiter |
| Aktive Lecks von Zugangsdaten bereinigen | Entfernt den Beitrag zu kompromittierter Zugangsdaten |
| Unnötige Admin-Rollen entfernen | Reduziert den rollenbasierten Beitrag zum Basis-Score |
| Gastkonten in verwaltete Konten umwandeln | Entfernt den Beitrag durch den Gaststatus |
| Nicht verwendete verknüpfte E-Mail-Adressen zusammenführen oder entfernen | Reduziert den Beitrag durch den E-Mail-Fußabdruck |
| Falsch-positive Ergebnisse verwerfen | Vollständig aus der Berechnung ausgeschlossen |
Hinweis
Diese Maßnahmen zielen alle auf Sicherheitsfaktoren ab. Profilfaktoren wie Abteilung, Berufsbezeichnung, Stadt, Mitarbeitertyp, Vorgesetztenstatus und VIP-Überwachung sind Attribute der Identität und keine Konfiguration, daher gibt es keine direkte Maßnahme, um diese zu ändern. Wir empfehlen Ihnen, die Bereinigung auf die oben genannten Sicherheitsfaktoren zu konzentrieren.
Der Hybridkontostatus ist ebenfalls nicht direkt beeinflussbar. Er spiegelt Ihre Verzeichnissynchronisierungsarchitektur wider und ist keine identitätsspezifische Einstellung. Für historische Alert- und Analyseaktivitäten gibt es ebenfalls keine direkte Maßnahme. Diese stellen ein Protokoll vergangener Erkennungen dar und sind keine Einstellung. Das Protokoll verbessert sich im Laufe der Zeit, da neue Alerts vermieden werden.