Funkcjonalność

Ochrona przed zagrożeniami (Threat protection)

Jak działa: Obserwuje aktywne sesje pod kątem sygnałów ryzyka i kończy te, które wymykają się spod kontroli.

WIC

W skrócie

Threat protection nieustannie sprawdza sesję użytkownika po jego zalogowaniu. Gdy wykryje nowe, podejrzane sygnały funkcjonalność może zareagować, np. kończąc sesję. Skradziona sesja nie musi pozostać ważna do chwili wygaśnięcia.15

Umów rozmowęJak to robi Okta ↓
5
rodzajów ataków, przed którymi pomaga chronić

Co to jest i jakie ataki zatrzymuje

Sprawdzenie przy logowaniu odbywa się raz. Potem sesja może trwać godzinami, a konto, urządzenie albo sieć wokół niej mogą się w tym czasie zmienić.

Ochrona przed zagrożeniami ocenia ryzyko także wtedy, gdy sesja jest aktywna. Okta opisuje Identity Threat Protection jako ciągłą ocenę sygnałów ryzyka i reagowanie na zmiany, na przykład przez Universal Logout.15

Taka ciągła kontrola pomaga w sytuacjach, takich jak:

1

Kradzież ciasteczka sesji

Złośliwe oprogramowanie kopiuje token sesji po prawidłowym logowaniu, a atakujący używa go ponownie z innego komputera.

2

Phishing typu adversary-in-the-middle (AiTM)

Serwer pośredniczący przechwytuje sesję po zakończeniu MFA, więc atakujący korzysta z niej bez ponownego logowania.

3

Urządzenie przejęte w trakcie sesji

Złośliwe oprogramowanie trafia na urządzenie po zalogowaniu użytkownika, a sesja nadal jest uznawana za zaufaną.

4

Nagła zmiana sieci lub lokalizacji

Ta sama sesja nagle pojawia się w innej sieci lub w innym kraju.

5

Wolna reakcja na incydent

Zespół bezpieczeństwa znajduje problem, ale dostęp w innych aplikacjach pozostaje otwarty do wygaśnięcia każdej sesji.

Przed i po wdrożeniu funkcjonalności

Przed
Po
PrzedSesja pozostaje zaufana do chwili wygaśnięcia.
PoRyzyko jest oceniane ciągle podczas aktywnej sesji, a nie tylko przy logowaniu.1
PrzedPodejrzana sesja jest wykrywana w ręcznym przeglądzie, o ile w ogóle.
PoSygnały ryzyka mogą automatycznie uruchomić reakcję, taką jak zakończenie sesji.15
PrzedZamknięcie dostępu oznacza wchodzenie do każdej aplikacji po kolei.
PoUniversal Logout pozwala Okcie wysłać żądanie wylogowania do połączonych aplikacji.5
PrzedNarzędzia bezpieczeństwa i dostawca tożsamości działają osobno.
PoPo integracji, sygnały z innych narzędzi bezpieczeństwa mogą zasilać tę samą decyzję.1

Jak to robi Okta

Identity Threat Protection działa na sesji, już po tym, jak polityka logowania zrobiła swoje.12

1

Użytkownik się loguje

Użytkownik przechodzi politykę logowania do aplikacji chronionej przez Okta.2

2

Okta cały czas ocenia sesję

Identity Threat Protection nieustannie ocenia sygnały ryzyka, gdy sesja jest aktywna.1

3

Poziom ryzyka się zmienia

Sygnał, taki jak zmiana kontekstu użytkownika albo alert ze zintegrowanego narzędzia bezpieczeństwa, podnosi poziom ryzyka.1

4

Uruchamia się reakcja

Na podstawie skonfigurowanej polityki Okta może zareagować, na przykład zakończyć sesję przez Universal Logout.15

WIC
Kogo chroniPracownicy, kontraktorzy, admini
Identity Threat ProtectionOcenia ryzyko podczas sesji i może uruchamiać konfigurowalne reakcje, gdy ryzyko się zmienia.1
Universal LogoutPozwala Okcie zażądać wylogowania w połączonych aplikacjach.5
Behavior detectionOkta może porównać logowanie z typowym zachowaniem użytkownika, na przykład lokalizacją lub urządzeniem, aby wykryć odchylenia od normy.3
Okta ThreatInsightOkta ThreatInsight pomaga wykrywać żądania z podejrzanych adresów IP.4

Jak wdrażamy to w Zelto

Okta dostarcza sygnały i mechanizm reakcji - Zelto ustala z Tobą, które sygnały są ważne w Twoim środowisku i co ma się dziać w odpowiedzi na każdy z nich. Zaczynamy od reakcji łatwych do cofnięcia, a surowsze dodajemy, gdy Twój zespół nabierze pewności, aby zminimalizować ryzyko i skutki dla użytkowników.

Typowy przebieg wdrożenia

  1. Sprawdzamy sesje, aplikacje i sygnały

    Spisujemy aplikacje, czas trwania sesji i narzędzia bezpieczeństwa, które mogłyby wysyłać sygnały.

  2. Sprawdzamy, które aplikacje obsługują żądanie wylogowania

    Razem z Twoimi adminami potwierdzamy, które aplikacje reagują na żądanie wylogowania, bo to wyznacza zasięg reakcji.

  3. Dobieramy reakcję do każdego poziomu ryzyka

    Z Twoim zespołem bezpieczeństwa ustalamy, co dzieje się na każdym poziomie, od powiadomienia po zakończenie sesji, i kto jest o tym informowany.

  4. Pilotaż z adminami i działem IT

    Zaczynamy od adminów i działu IT, przeglądamy każdą uruchomioną reakcję i dostrajamy ją, zanim obejmie kolejne grupy.

  5. Rozszerzamy grupa po grupie i przeglądamy

    Obejmujemy kolejne grupy krok po kroku, a uruchomione reakcje i wyjątki przeglądamy regularnie.

Pułapki, które uwzględniamy w planie

Sygnał ryzyka uruchamia się u użytkownika w podróży.

−Kończymy każdą sesję od razu, więc użytkownicy tracą pracę i uczą się ignorować alert.

+Dla średniego ryzyka zaczynamy od powiadomienia lub dodatkowego sprawdzenia, a sesję kończymy tylko przy wysokim ryzyku.

Aplikacja nie obsługuje żądania wylogowania.

−Zakładamy, że gdy Okta kończy sesję, kończy się ona wszędzie.

+Sprawdzamy aplikacja po aplikacji, które to obsługują, a pozostałe obejmujemy krótszymi sesjami lub ręcznym krokiem w planie reagowania na incydenty.

Alerty przychodzą, ale nikt za nie nie odpowiada.

−Włączamy wykrywanie i zostawiamy alerty we wspólnej skrzynce.

+Wskazujemy po Twojej stronie właściciela każdej reakcji i ustalamy, jak szybko alert musi zostać obsłużony.

Narzędzie bezpieczeństwa zostaje podłączone jako nowe źródło sygnałów.

−Podłączamy je od razu do produkcji i pozwalamy, by jego sygnały kończyły sesje.

+Najpierw testujemy sygnał na grupie pilotażowej i porównujemy go z tym, co faktycznie widzi Twój zespół.

Chcesz kończyć ryzykowne sesje, zamiast czekać, aż wygasną?

Sprawdzimy, jak długo trwają Twoje sesje i co mogłoby uruchamiać reakcję. Potem powiemy, od czego zacząć.

Umów rozmowę30 minut, bez prezentacji. Sprawdzamy Twoje sesje i dzisiejsze sygnały bezpieczeństwa.

Powiązane wpisy na blogu

Notatki z wdrożeń

Z Is For Zero Trust: Revalidate Access ContinuouslyCzytaj na blogu →

Źródła

Oficjalna dokumentacja Okta i Auth0 oraz źródła prawne

  1. 1Okta Identity Threat Protectionokta.com product page
  2. 2About app sign-in policiesOkta Help Center
  3. 3About behavior detectionOkta Help Center
  4. 4About Okta ThreatInsightOkta Help Center
  5. 5Universal LogoutOkta Help Center