В последние годы ландшафт киберугроз претерпел фундаментальный сдвиг. Хакеры практически перестали взламывать корпоративные сети через сложные технические эксплойты — они просто заходят в них, используя легитимные учетные данные сотрудников. Зачем тратить месяцы на поиск уязвимостей нулевого дня, если можно купить на даркнет-бирже сессионную куку администратора или выудить пароль у инженера поддержки через примитивный фишинг?
Индустрия безопасности долгое время считала, что для защиты учетных данных достаточно внедрить строгие системы управления доступом: IAM, PAM, IGA и многофакторную аутентификацию (MFA). Однако реальность показала, что эти системы умеют лишь выдавать и ограничивать права, но они абсолютно слепы к атакам, которые происходят непосредственно на саму инфраструктуру идентификации.
Чтобы закрыть эту критическую брешь, аналитики Gartner выделили новый самостоятельный класс систем безопасности — ITDR (Identity Threat Detection and Response). Давайте разберем, почему традиционная защита больше не справляется и как ITDR меняет правила игры в ИБ.
В чем разница: ITDR против IAM, PAM и IGA
Чтобы понять место ITDR в архитектуре безопасности, нужно провести четкую границу между управлением доступом (Identity Management) и защитой от угроз (Identity Security).
IAM / IGA / PAM (Профилактика и гигиена): Это замки и цифровые пропуска компании. Они отвечают на вопросы: «Кто этот пользователь? Имеет ли он право зайти на этот сервер? Выдан ли ему временный доступ?» Это статические правила. Если хакер украл легитимный токен авторизации у администратора, система PAM или IAM безропотно впустит его, считая, что все правила соблюдены.
ITDR (Мониторинг и реагирование): Это непрерывная слежка за поведением самой системы замков и пропусков. ITDR не выдает права. Он непрерывно анализирует инфраструктуру идентификации (Active Directory, Azure AD/Entra ID, Keycloak) на предмет скрытых уязвимостей, опасных конфигураций и признаков активных атак в режиме реального времени.
Проще говоря: IAM настраивает правила игры, а ITDR следит за тем, чтобы хакеры не взломали самого судью.
Главные слепые зоны, которые закрывает ITDR
Современная корпоративная инфраструктура каталогов (особенно Active Directory) — это колоссальный массив данных, который копился годами. В ней скрыты сотни логических уязвимостей, которые обычная SIEM-система просто не в состоянии обнаружить по стандартным логам. ITDR фокусируется на трех ключевых направлениях.
1. Выявление скрытых путей атаки (Attack Path Mapping)
Хакер, получив доступ к компьютеру рядового сотрудника (например, секретаря), не пытается сразу атаковать контроллер домена. Он ищет цепочки связей. Настольный ПК секретаря имеет доступ к локальному серверу печати; на этом сервере запущен сервис от имени учетной записи инженера ИТ; а этот инженер входит в группу администраторов базы данных. ITDR непрерывно строит графы связей и визуализирует такие скрытые пути атаки (Attack Paths), позволяя ИБ-отделу разорвать избыточные права до того, как по ним пройдет злоумышленник.
2. Защита от специфичных Identity-атак
Существуют изощренные атаки на инфраструктуру идентификации, которые мимикрируют под легитимные системные запросы:
- DCShadow / DCSync: Техники, при которых злоумышленник заставляет контроллер домена поверить, что в сеть подключился новый (на самом деле хакерский) контроллер, и запускает процесс репликации базы данных со всеми паролями компании.
- Kerberoasting и Golden Ticket: Эксплуатация особенностей протокола Kerberos для подделки бессрочных билетов авторизации, позволяющих хакеру оставаться администратором сети даже после полной смены паролей всех пользователей.
Обычные антивирусы и файрволы не видят этих манипуляций, так как трафик идет по официальным системным протоколам. ITDR знает сигнатуры и логику этих атак и блокирует их на взлете.
3. Обнаружение «теневых» привилегий
В процессе работы администраторы часто выдают временные права для решения срочных задач и забывают их отозвать. ITDR находит скрытые аномалии: учетные записи с избыточными правами, которые не использовались более полугода; появление новых администраторов домена в обход систем IGA; или учетные записи, у которых отключена проверка MFA.
Сравнительная матрица технологий защиты
Давайте сопоставим ITDR со смежными классами решений, чтобы увидеть его уникальную специфику:
| Параметр | EDR (Endpoint Security) | SIEM (Security Monitoring) | ITDR (Identity Security) |
|---|---|---|---|
| Основной фокус | Конечные точки (ПК, серверы, процессы) | Сбор логов со всей сети, поиск корреляций | Инфраструктура удостоверений (AD, IdP, IAM) |
| Что анализирует | Запуски файлов, активность RAM, поведение ОС | Текстовые журналы событий (системные логи) | Конфигурации каталогов, токены, сессии, графы прав |
| Главная цель | Заблокировать вирус или шифровальщик на хосте | Найти аномалию по цепочке разрозненных событий | Обнаружить компрометацию учетной записи и защитить IdP |
| Типичный алерт | «Процесс word.exe запустил cmd.exe» | «Зафиксировано 100 попыток входа с одного IP за минуту» | «Попытка нелегитимной репликации базы NTDS.dit по протоколу DCSync» |
Архитектура развертывания и реагирования
Как и любая система класса Detection and Response, ITDR работает в циклическом режиме.
Инвентаризация (Discovery): ITDR подключается к вашим серверам аутентификации (локальным контроллерам домена Active Directory или серверам SSO/IdP на базе Keycloak в виртуальной среде zVirt, Proxmox VE или Брест). Система сканирует конфигурации, ищет слабые пароли, устаревшие протоколы шифрования (например, NTLMv1) и строит карту доверия.
Непрерывный мониторинг (Detection): Система анализирует не просто факт входа, а контекст. Если администратор всегда заходил в панель управления гипервизором из инженерного VLAN, а сейчас его токен авторизации внезапно используется для запроса к облачному API из другой подсети — ITDR фиксирует аномалию сессии (Session Hijacking).
Автоматическое реагирование (Response): Благодаря интеграции с SOAR и сетевым оборудованием, ITDR может мгновенно остановить атаку без участия человека: принудительно аннулировать скомпрометированный токен авторизации (Revoke Session), отправить учетную запись на обязательный сброс пароля или временно заблокировать пользователя в Active Directory до выяснения обстоятельств дежурным аналитиком.
Внедрение концепции ITDR — это признание того факта, что периметр компании больше не определяется сетевым кабелем или IP-адресом. В эпоху удаленной работы и гибридных инфраструктур вашим новым и единственным периметром безопасности стала идентификация. Защищать этот периметр старыми методами «бумажного» контроля прав уже невозможно — инфраструктуре удостоверений необходим проактивный, непрерывный интеллектуальный контроль.
Частые вопросы
Заменяет ли ITDR антивирусы класса EDR?
Нет, это технологии-синергетики. EDR защищает физический или виртуальный сервер (хост) — он следит за тем, чтобы на диске не запускались вирусы, а в памяти не отрабатывали эксплойты. Но EDR абсолютно бессилен, если хакер зашел на сервер по легитимному протоколу SSH/RDP, введя правильный пароль администратора. В этой точке EDR считает действия легитимными, и именно здесь включается ITDR, который видит, что сама учетная запись ведет себя аномально и атакует инфраструктуру каталогов.
Может ли обычная SIEM-система выполнять функции ITDR, если настроить правильные правила?
Теоретически, написать правила корреляции для некоторых атак (например, DCSync) в SIEM можно. На практике для этого вам потребуется содержать огромный штат дорогостоящих экспертов SIEM-инженеров, которые будут вручную парсить тысячи специфичных атрибутов Active Directory. SIEM работает с логами (событиями прошлого), а ITDR анализирует само состояние базы данных идентификации (объекты, дескрипторы безопасности, скрытые связи). ITDR отдает в SIEM уже готовые, глубоко проанализированные инциденты, избавляя SOC от ложных срабатываний.
Применимо ли решение ITDR для Unix/Linux-инфраструктуры, если у нас нет Active Directory?
Да, безусловно. Современные ITDR-системы ориентированы на концепцию защиты любых Non-Human и Human Identities. Они отлично интегрируются с серверами SSO (Single Sign-On), корпоративными Identity Providers (IdP) на базе Keycloak, LDAP-каталогами (например, FreeIPA), а также с облачными провайдерами и системами управления секретами (HashiCorp Vault). Везде, где есть понятия «токен», «сессия», «ключ API» и «роль доступа» — технологии ITDR необходимы для контроля легитимности их использования.