Microsoft Defender for Identity (לא להתבלבל עם Entra ID Identity Protection) הוא פתרון אבטחה בענן שמנצל אותות מ-Active Directory המקומי (on-premises) כדי לזהות איומים מתקדמים. המוצר מתקין sensors קלים ישירות על domain controllers ועל שרתי Active Directory Federation Services (AD FS). משם הוא מנטר באופן רציף את הפעילות ומדווח לשירות הענן של Defender for Identity.
בקצרה (TL;DR):
- הסרת חשבונות שירות לא פעילים: יכולת preview חדשה להקטנת משטח התקיפה.
- יכולת חדשה: אוטומציה של ניקוי חשבונות שאינם בשימוש.
- ארכיטקטורה: sensors על DCs ועל שרתי AD FS שולחים נתונים לענן.
- סיכונים מכוסים: מזהה סיור (reconnaissance), גניבת אישורים, תנועה לרוחב, הסלמת הרשאות ושליטה בדומיין.
נקודות ארכיטקטורה מרכזיות:
- ה-sensors רצים על כל domain controller ועל כל שרת AD FS
- התעבורה נבדקת תוך כדי הזרימה
- התראות ותובנות נשלחות לפורטל Defender for Identity
- אינטגרציה עם Microsoft 365 Defender מאפשרת קורלציה עם וקטורי איום אחרים
- תומך בזיהוי תקיפות מבוססות זהות כמו pass-the-ticket, סיור ותנועה לרוחב
לפני שנדון ביכולת החדשה, קצת על הארכיטקטורה של Defender for Identity:
מבחינה ארכיטקטונית, Defender for Identity נפרס באמצעות sensors שמותקנים ישירות על domain controllers ועל שרתי AD FS. ה-sensors האלה לוכדים ומנתחים תעבורת רשת כמו אימות Kerberos, תעבורת NTLM ואירועי replication. הנתונים שנאספו מועברים באופן מאובטח לשירות הענן של Defender for Identity, שם הם מעובדים ומועשרים באלגוריתמי זיהוי מתקדמים. התכנון הזה מבטיח שכל הפעילות הקשורה לזהויות בתוך Active Directory נראית, בלי צורך ב-mirroring נוסף או בתשתית מורכבת. רכיב הענן מספק קונסולת ניהול מרכזית להתראות, לחקירות ולאינטגרציה עם Microsoft 365 Defender, ומאפשר לצוותי אבטחה לקשר אותות זהות עם פעילות ב-endpoint, במייל ובענן.
צלילה לעומק: הסרת חשבונות שירות לא פעילים (Preview)
היכולת החדשה שפורסמה מתמקדת בהסרה אוטומטית של חשבונות שירות לא פעילים שהוגדרו עבור Defender for Identity. באופן מסורתי ארגונים החזיקו את החשבונות האלה לאינטגרציות ספציפיות, אבל חשבונות לא פעילים או שאינם בשימוש היוו סיכון אבטחה משמעותי כשהשאירו אותם ללא טיפול. תוקפים מכוונים לא פעם לחשבונות רדומים, כי הם עשויים לשמור הרשאות ובכל זאת לא להיות מורגשים בניטור השוטף.
על ידי זיהוי והסרה אוטומטיים של החשבונות הלא פעילים האלה, Defender for Identity מקטין חשיפה ומפשט את היגיינת החשבונות.
המניע מאחורי השינוי:
- שיפור מצב האבטחה על ידי הסרת חשבונות בעלי הרשאות גבוהות שאינם בשימוש
- הפחתת העומס האדמיניסטרטיבי בניהול מחזור החיים של חשבונות
- היכולת מתוכננת לרוץ באופן מובנה בתוך השירות, כך שההשפעה התפעולית מינימלית והאדמינים יכולים להתמקד בחשבונות פעילים ולגיטימיים בלבד.
סיכונים ואיומים נוספים ש-MDI מכסה:
Defender for Identity לא רק מנטר אירועי אימות, אלא מספק הערכות אבטחה רחבות ויכולות זיהוי בכמה וקטורי תקיפה. הפלטפורמה עוזרת לזהות הגדרות שגויות, התנהגויות מסוכנות וטכניקות תקיפה מתמשכות. היא מעריכה באופן מתמשך:
- פעילויות סיור כמו LDAP enumeration או מיפוי של חשבונות וקבוצות רגישים
- ניסיונות גניבת אישורים כמו pass-the-hash, pass-the-ticket, overpass-the-hash והתחברויות brute-force
- תנועה לרוחב באמצעות חשבונות שנפרצו או הרצת קוד מרחוק
- תרחישי הסלמת הרשאות, כולל שימוש חריג בחשבונות והרשאות רגישים
- תקיפות שליטה בדומיין כמו DCSync, יצירת Golden Ticket או בקשות replication זדוניות
בנוסף, יכולת ה-security assessment נותנת נראות למצב הזהויות הכולל של הארגון. זה כולל זיהוי פרוטוקולים חלשים (למשל שימוש ב-NTLM), חשבונות חשופים עם unconstrained delegation וחשבונות אדמיניסטרטיביים עם הרשאות מוגזמות. בכיסוי הקטגוריות האלה, Defender for Identity לא רק מזהה איומים פעילים אלא גם מדגיש באופן יזום חולשות שיריבים יכולים לנצל.
משאבים:
https://learn.microsoft.com/en-us/defender-for-identity/remove-inactive-service-account
https://learn.microsoft.com/en-us/defender-for-identity/architecture
רוצים לדעת איפה הטננט שלכם עומד? Griffin31 בודק את הגדרות האבטחה של Microsoft 365 אצלכם באופן רציף ומראה מה לתקן קודם.