Denk aan een voormalige medewerker wiens account nooit is uitgeschakeld, of een externe aannemer die na afloop van een project nog steeds toegang heeft tot kritieke systemen. Dergelijke situaties kunnen maandenlang onopgemerkt blijven en uiteindelijk toegangspunten worden voor een beveiligingsincident.

Voor een aanvaller is het compromitteren van een identiteit vaak eenvoudiger en effectiever dan het misbruiken van een technische kwetsbaarheid. Een legitiem account geeft directe toegang tot bronnen van de organisatie en laat kwaadaardige activiteit opgaan in normaal gebruikersgedrag zonder meteen argwaan te wekken. Daarom zijn identiteiten een van de belangrijkste doelwitten van cyberaanvallen geworden.

Wanneer een organisatie de controle over haar identiteiten verliest, verliest zij ook de controle over de toegang tot haar infrastructuur. Zonder die controle neemt de effectiviteit van andere beveiligingsmaatregelen aanzienlijk af. Daarom vormt identiteits- en toegangsbeheer de eerste bouwsteen van cyberweerbaarheid.

Wanneer zich een beveiligingsincident voordoet, wordt tijd een van de waardevolste middelen van de organisatie. Beveiligingsteams moeten snel bepalen of het gaat om een legitieme gebruiker, een gecompromitteerd account of ongebruikelijk gebruik van bestaande rechten.

Als de organisatie de vraag “Wie logt er in, en waartoe heeft die toegang?” niet direct kan beantwoorden, duren incidentonderzoeken langer en neemt de operationele impact toe.

Om deze vragen efficiënt te beantwoorden, hebben organisaties gecentraliseerd inzicht nodig in authenticatiegebeurtenissen en toegangsrechten. SIEMBIOT, ontwikkeld door Expertware in samenwerking met de Roemeense nationale directie voor cyberbeveiliging (DNSC), correleert gebeurtenissen uit infrastructuur- en identiteitssystemen. Hierdoor kunnen SOC-analisten verdachte aanmeldingen en ongebruikelijke activiteit van bevoorrechte accounts herkennen en de context van een incident begrijpen voordat het zich naar andere systemen verspreidt.

Het doel is niet simpelweg ongeautoriseerde toegang te blokkeren. Het gaat erom de tijd te verkorten die nodig is om een beveiligingsincident te detecteren, te onderzoeken en in te dammen.

Een goed ontworpen IAM-programma kan niet elke cyberaanval voorkomen. Wat het wel kan, is beperken hoe ver een aanvaller kan komen nadat een identiteit is gecompromitteerd, en zo de kans op laterale verplaatsing naar andere kritieke systemen en bronnen verkleinen.