ITDR 入门
Gartner在其发布的 2022 年及之后的首要安全与风险管理趋势中，列出了 identity threat detection and response (ITDR)，而一项又一项研究不断验证有效的 ITDR 策略的重要性。例如，the Identity Defined Security Alliance (IDSA)披露：在 2023 年，超过 90% 的受访组织遭受了与身份相关的攻击；而 a 2024 IBM report则发现，使用被盗凭据（stolen credentials）的攻击同比增长了 71%。
从历史上看，安全依赖于守护明确定义的网络边界，类似于城堡依靠加固的城墙和护城河来获得防护。然而，云计算和远程办公的兴起打破了这些边界，使传统的防护周界（perimeter）逐渐过时。如今，攻击者往往通过直接瞄准用户身份（identity）来绕过周界控制。他们这样做是为了冒充合法用户，并在较长时间内不被发现地在网络中横向移动。因此，保护用户身份免遭被攻破已变得至关重要。Identity Threat Detection & Response（ITDR）强调验证用户身份，并持续监控访问活动，无论请求来自哪里。
定义 ITDR：含义、全称与目的
那么，ITDR 是什么？ITDR 是 Identity Threat Detection and Response 的缩写。ITDR 是安全工具、流程与最佳实践的组合，旨在检测、分析并响应针对身份与访问管理（IAM）系统的威胁。Identity Threat Detection & Response（ITDR）安全基于以下核心原则：
Identity 已成为攻击者的主要目标，因此对安全团队来说，保护 Identity 成为首要优先事项。此外，组织必须在多个平台和云服务提供商之间管理数千个人与机器身份。 这种复杂性会带来更大的攻击面，使得使用传统工具难以对其进行监控和保护。随着监管要求不断提高以及攻击技术持续演变，采用以 Identity 为核心的安全策略至关重要。
ITDR 在网络安全中的作用
传统的安全方法依赖防火墙、杀毒工具和网络监控等外围防御。重点在于阻止来自外部的威胁。然而，今天的威胁也可能起源于网络内部。ITDR 不再只关注终端和恶意软件，而是强调 Identity 的行为以及访问模式，不受位置限制。当检测到可疑或异常活动时，ITDR 解决方案可以通过请求额外身份验证、撤销访问权限或向安全团队发出警报来自动响应。可以把 ITDR 理解为提供全面可视性的 Identity 安全方案。
由于具备多种功能，ITDR 在威胁检测与响应流程中至关重要。
- 持续监控 Identity 系统中的可疑活动
- 为正常用户行为建立基线，并标记偏离情况
- 能够将身份（identity）事件与其他安全数据关联起来
- 一旦检测到可疑活动，就可触发自动化响应
- 提供详细日志和取证数据，以支持事件调查
- 能够从过往事件中学习，从而随着时间推移不断演进与改进
ITDR 如何运作
ITDR 不只是单一流程或软件。相反，它是一种框架，旨在检测并响应可疑的与身份相关的活动，例如 privilege escalation 尝试以及反复失败的登录。因此，有效的 ITDR 策略会将流程、工具和策略结合起来，以保障身份及承载这些身份的系统。
ITDR 并不会取代其他核心安全领域，例如 privileged access management (PAM)、漏洞扫描以及 data loss prevention (DLP)。相反，它会在现有工具和流程之上再增加一层安全防护，从而提升整体防护能力。
考虑与用户身份生命周期相关的所有环节。ITDR 不仅会跟踪身份的创建、修改和删除，还会监控诸如 group membership changes 以及权限更新等活动。例如，它可以识别并修复权限过大或已过时的账号，或审查包含敏感数据的文件夹的访问权限。通过减少漏洞并强化身份系统，这种主动式方法旨在防止威胁。
不过，不要把 ITDR 视为独立的解决方案。ITDR 可以与其他现有框架集成，例如 SIEM（Security Information and Event Management）、SOAR（Security Orchestration, Automation, and Response）以及 XDR（Extended Detection and Response）。这有助于形成更统一的安全态势，从而能够应对当今不断激增的演变中的基于身份的攻击。
内部威胁防范最佳实践
了解更多ITDR vs EDR：核心差异解析
由于两者都专注于识别和处置威胁，ITDR 有时会被误认为端点检测与响应（endpoint detection and response，EDR）。然而，如下表所示，ITDR 与 EDR 在更广泛的网络安全计划中承担不同的功能。
| ITDR | EDR |
|---|---|---|
|
Focus |
Protects user identities and access management systems |
Protects endpoint devices such as desktops, laptops, and servers |
|
Data Collected |
Data related to user identities, including identity creation, user privilege changes, user access patterns, and real-time user activity such as login attempts |
Data from endpoints, including system logs, file changes, process activities, network connections, and application behavior |
|
Main Threats Addressed |
Credential theft, phishing and other social engineering attacks, suspicious access, and privilege escalation |
Malware, ransomware, zero-day exploits, fileless attacks, system vulnerabilities |
|
Incident Response Actions |
Revoke access, alert administrators, initiate forensic investigations, and enforce security policies |
Endpoint isolation, malware removal, blocking malicious activity, and system restoration |
ITDR 和 IAM：相互补充还是重复？
ITDR 和 IAM 相互补充。传统上，组织中的 IAM 职责包括确定谁可以访问系统和数据，并设定使用条件。相比之下，ITDR 的职责超越了访问控制：它包括识别与响应与身份相关的威胁，例如被盗的凭据、内部人员的不当行为或权限提升。IAM 确保用户拥有正确的权限，并实施诸如 MFA 和 RBAC 之类的策略；同时，ITDR 会持续监控身份活动中的异常，检测威胁，并组织响应以帮助降低风险。
Identity Threat Detection & Response(ITDR) 解决方案的主要使用场景
根据 2024 年 Verizon Data Breach 调查报告（Investigations Report），68% 的数据泄露源于基于身份的攻击。这是因为针对身份的方式有很多种。以下是 Identity Threat Detection & Response（ITDR） 解决方案的一些主要使用场景：
- 检测并响应来自网络钓鱼、凭证填充（credential stuffing）或 数据泄露 的泄露凭证。
- 保护非人类身份，包括服务账户、API 密钥和机器人
- 通过权限映射和访问模式监控，防止并检测权限提升。
- 通过详细的审计追踪以及对身份活动的监控，确保合规性并做好审计准备。
- 通过识别偏离正常行为的内部威胁来进行检测。
Identity 漏洞类型：ITDR 所应对的问题
ITDR 旨在降低严重的与身份相关的漏洞。其中一些最值得注意的包括：
- 错误配置（例如具有非预期高权限的 shadow admins，或 TLS 1.0 等较弱的加密协议）会带来安全风险。例如，2023 年的一项研究显示：多达 40% 的配置错误或 shadow admin 账户可能很容易被利用；其中 13% 的账户已经拥有域管理员权限。
- 被泄露或被窃取的凭据（credentials）以及会话令牌（session tokens）是对手常用的标准手段。ITDR 利用行为分析（behavior analytics）来检测任何异常，例如来自非正常地点的登录。它还会识别多种系统中的缓存凭据（cached credentials）、终端上的云访问令牌（cloud access tokens），以及已打开的远程访问会话（open remote access sessions）。所有这些都可能形成可被利用的漏洞。
- 由于员工流动造成的未管理或孤立的特权账号（orphaned privilege accounts）、被遗忘的服务账号（forgotten service accounts），或从未更改过的默认凭据（default credentials）。
ITDR 工具中必备的能力
在评估身份威胁检测与响应（identity threat detection and response）工具时，请确保关注以下功能：
- 全面的预防性控制（preventive controls）— 为了阻止身份威胁行为者（identity threat actors）入侵并攻破你的系统，ITDR 解决方案应提供或与身份与访问管理（IAM）功能无缝集成，例如多因素认证（multifactor authentication，MFA）、基于角色的访问控制（role-based access control，RBAC）以及严格的访问策略（strict access policies）。Netwrix 通过在关键目录资产（critical directory assets）周围建立安全边界（security perimeter），阻止对 Tier 0 资产的未授权修改（unauthorized modifications），从而帮助防止身份被攻破。通过在源头阻止特权升级尝试（privilege escalation attempts），降低横向移动（lateral movement）的风险，并防止攻击者攻破 AD 环境。
- 持续的身份发现 — 在任何现代 IT 环境中，身份经常被创建、删除和修改。寻找能够与时俱进的 ITDR 解决方案：通过维护所有身份及其访问权限的最新清单，并对任何可疑变更发出警报。没有持续的身份发现，就会出现盲区，例如孤立账户、影子管理员以及未被察觉的权限逐步膨胀（privilege creep）。强大的 ITDR 解决方案必须自动跟踪所有身份及其变更，以防攻击者趁管理缺口渗入。
- 实时威胁检测 — 为能在造成严重损害之前足够快地识别身份威胁，您的 ITDR 解决方案必须提供实时检测能力。为帮助安全团队聚焦于真正的威胁，请寻找具备高级分析以及用户行为分析（UBA）的方案，并由机器学习（ML）和人工智能（AI）等技术提供支持。
- 自动化处置 — 自动化对于迅速消除身份威胁至关重要。请验证候选解决方案是否提供一套全面的自动响应操作，以及便于使用的界面来定义触发条件。
- 基于欺骗的权限提升检测 — 虽然威胁行为者往往通过破解普通用户凭据来进入网络，但要访问敏感系统和数据，通常需要更高的权限。确保您选择的 ITDR 解决方案能够识别常见的权限提升（privilege escalation）方法。为了获得更好的保护，请寻找包含欺骗式功能的工具，例如蜜罐（honeypots）和诱饵账户（decoy accounts），以吸引恶意攻击者并主动阻止其活动。
- 恢复与韧性 — 即使具备强大的检测与响应能力，身份相关事件仍可能发生。这就是为什么恢复是任何 ITDR 解决方案的关键组成部分。请寻找能够实现快速恢复被入侵身份、回滚未经授权的变更，以及恢复被删除或被修改的目录对象（directory objects）的工具。这既能确保业务连续性并将停机时间降到最低，也能支持取证调查与合规性报告。
勒索软件防范最佳实践
了解更多最佳 Identity Threat Detection and Response 解决方案
Identity Threat Detection and Response（ITDR）是任何安全计划中的关键组成部分，和其他部分一样，它并不是一次性工作。随着您的 IT 环境和威胁态势不断变化，您需要定期评估工具与流程的有效性，并持续了解 Identity Threat Detection and Response 的最佳实践。当然，您也希望使用最好的 ITDR 工具来保护您的身份基础设施。
Netwrix 提供一套全面的 ITDR 解决方案，旨在帮助您保护最重要的资产——您的身份（identities）。借助先进的行为分析、持续监控以及自动化威胁响应，Netwrix ITDR Solution 可以让您在整个环境中快速识别可疑活动：从本地 Active Directory 到混合云与云端身份（cloud identities）。诸如 honeytokens、无缝 SIEM 集成和实时告警等强大功能，确保即使是最隐蔽的攻击者也会在造成损害之前被发现。此外，通过详尽的审计追踪和直观的合规性报表，Netwrix ITDR 不仅帮助您阻止威胁，还能简化您通往安全与监管安心的路径。
托管式 ITDR 服务：何时以及为何选择外包
许多组织缺乏 managed identity threat detection and response 方面的专业能力，可能会选择将这些关键服务外包。寻求托管 ITDR solutions 提供商的协助有充分的理由。
- 可获得领域内的 ITDR 专家支持
- 免除内部部署工具和培训的成本
- 为非工作时间提供 24/7 安全保障
- 可随组织规模增长而扩展的托管 ITDR 服务
- 让您专注于核心业务
如果您选择这条路径，请确保找到在 identity threat detection and response 方面具有经过验证的业绩记录，并拥有相关行业认证的服务商。选择能够根据贵组织的独特需求定制其服务、提供 24/7 监控与响应，并在报告和计费方面提供完全透明的服务商。
选择合适的 ITDR 服务商
在选择 ITDR 服务商时，您也应保持同等的谨慎。因为您需要先明确贵组织的需求，才能找到满足这些需求的合适服务商，所以需要进行一定的前期调研。理想的解决方案不仅应提升安全性，还应与您现有的工具无缝集成。它必须符合贵组织所承担的任何监管要求，并且应能够随贵业务规模扩展。
为组织选择合适的 ITDR（Identity Threat Detection and Response）服务商至关重要，尤其是当组织希望保护其身份基础设施免受日益复杂的威胁时。理想的解决方案不仅能增强安全性，还能与您现有的工具无缝集成，支持合规要求，并能够随着业务发展而扩展。寻找提供覆盖传统与现代环境的方案的服务商，包括本地（on-premises）、云（cloud）以及混合（hybrid）基础设施。
有效实施的 ITDR 最佳实践
你不能在某个早晨部署好一套 ITDR 解决方案就算完成。正确的实施需要经过精心规划的战略性方法，并遵循 ITDR 最佳实践。其中包括：
- 建立最小权限策略，确保用户仅拥有完成工作任务所需的访问权限。
- 定期审查用户权限，确保其与当前角色和职责一致。
- 根据预定义角色分配权限，而不是为单个用户逐一分配；并应用基于角色的访问控制（RBAC），以简化管理并降低权限过高账户的风险。
- 使用自动化工具来识别并修复过度授权、过期账户或影子管理员（shadow admins）。
- 监控并记录任何特权提升（privilege elevation）事件，以验证其合法性。
要充分发挥你的 ITDR 解决方案的价值，你需要提前准备一套完善的事件响应计划（incident response plan），用来指导组织在可能遭受攻击时如何迅速应对。明确并传达事件响应人员的清晰分工，确保每个人都清楚自己的职责。
为什么 ITDR 在当今的安全格局中至关重要
在企业环境中部署 ITDR 解决方案的原因其实很简单。基于身份（identity-based）的攻击数量持续增长，而从网络安全事件中恢复的成本也在迅速上升。攻击窗口（attack windows）也在缩短，同时合规要求（compliance requirements）的数量却不断增加。如今，身份既是资产也是负担（liability）。每个身份不仅代表一个合法用户，也可能是潜在的漏洞。攻击者越来越倾向于瞄准身份本身，而不是技术缺陷，因此你需要一款为身份驱动的安全（identity-driven security）而设计的安全解决方案。
关于 Identity threat detection & response (ITDR) 的常见问题
Identity threat detection & response (ITDR) 是做什么用的？
ITDR 代表 Identity Threat Detection and Response。它通过监控用户行为以发现可疑的身份验证模式，并对可能已被入侵的账户采取行动，从而帮助防御基于身份的攻击。Response ITDR 解决方案专注于身份安全问题。
如果我已经有 IAM，还需要 Identity threat detection & response (ITDR) 吗？
是的，实际上两者都需要。IAM 负责管理访问权限和认证，而 Identity threat detection & response (ITDR) 会检测并响应针对这些身份的威胁。IAM 是一种预防性方法，而 Identity threat detection & response (ITDR) 则兼具检测与响应能力。
ITDR 与 XDR 有何不同？
Identity Threat Detection and Response (ITDR) 仅关注与身份相关的威胁以及用户行为分析。XDR（Extended Detection and Response，扩展检测与响应）则在终端、网络和应用程序等范围内提供更广泛的威胁检测。ITDR 能深入洞察身份相关风险，而 XDR 覆盖更广泛的安全领域。
ITDR 能阻止基于网络钓鱼的凭据窃取吗？
ITDR 能在凭据被窃取并被使用之后识别可疑的登录模式，但它无法阻止最初的钓鱼攻击发生。要从源头阻止这类威胁，组织需要专门的反钓鱼解决方案。
ITDR 测试包含哪些内容？
ITDR 测试包括模拟诸如凭证窃取、权限提升、横向移动以及内部人员滥用等场景。这些模拟有助于评估 ITDR 系统对可疑的身份（Identity）相关活动的检测与响应能力。
构建以 ITDR 为先的身份（Identity）安全策略
ITDR 与 Zero Trust 一致：通过强制执行最小权限和持续验证来实现。Zero Trust 假设没有任何用户或设备天生值得信任，无论是谁、身处何处，每一次访问尝试都必须经过验证。这种“永不信任、始终验证”的方法使 ITDR 成为 Zero Trust 的天然匹配。
尽管强大的 ITDR 解决方案是至关重要的第一步，但要充分发挥其价值，您还需要采取额外的行动。ITDR 计划应与业务目标和风险管理优先事项紧密对齐。部署完成后，您可以监控关键绩效指标（KPI），例如平均检测时间（Mean Time to Detect，MTTD）或误报百分比，以评估 ITDR 解决方案的有效性。
Identity 威胁检测与响应的未来
随着攻击方式不断演进，安全策略也必须同步调整。组织需要预测并应对不断变化的网络安全态势，以保持韧性、降低风险，并在新威胁出现之前抢先做好准备。ITDR 领域同样在快速发展。例如，欺骗技术正作为传统 ITDR 解决方案的切实补充而逐步兴起。欺骗技术包括使用伪造的用户账号、计算机和域名，使其充当“诱饵/触发器（tripwires）”，当攻击者与这些诱饵发生交互时，安全团队会收到告警。展望未来，几乎可以肯定的是，基于 AI 的行为建模以及非人类 Identity Management 在未来五年内将发挥更大的作用。
结论
Identity Threat Detection and Response (ITDR) 已成为现代网络安全的基础组成部分，并且应当成为贵组织安全计划中的关键环节。与身份相关的攻击现已成为任何在线组织的现实问题，这些威胁不可忽视。在由持续性的网络威胁所定义的时代里，ITDR 不只是可选项，而是必需项。我们希望您能从本次对 ITDR 的介绍中获得既有用又具可操作性的帮助。
Netwrix ITDR Solution
常见问题
在网络安全中，ITDR 是什么？
TDR 代表 Identity Threat Detection and Response。ITDR 是一个框架以及一套工具，重点用于检测、调查并响应针对用户身份和身份系统的威胁。它通过持续监控身份活动、分析访问模式，并采取适当的行动来阻止攻击者利用被泄露的身份。所有这些都使 ITDR 成为在“身份就是新的安全边界”的时代保护组织所必不可少的手段。
ITDR 和 XDR 有何区别？
ITDR（Identity Threat Detection and Response）则专门针对检测和响应面向用户身份与身份系统的威胁，例如凭据窃取、特权提升或 Active Directory 攻击。它完全聚焦于身份安全，监控认证模式、访问行为以及与身份相关的异常，以防止攻击者利用基于身份的漏洞。
另一方面，XDR（Extended Detection and Response）则提供覆盖整个组织基础设施的更广泛威胁检测与响应能力。这包括终端、网络、服务器、云工作负载、电子邮件系统等。XDR 会关联来自多个安全层的数据，从而对威胁形成统一的视图，并支持在整个环境中更快速、更协调的响应。
ITDR 和 IAM 有什么区别？
尽管 ITDR 和 IAM（Identity and Access Management，身份与访问管理）都侧重于身份安全，但它们承担的角色不同。IAM 通过使用身份验证与授权来防止未经授权的进入，从而管理和控制谁可以访问什么资源。随后，ITDR 通过持续监测针对身份的威胁来增强身份安全性，例如凭据窃取或内部人员误用。ITDR 还可以检测可疑活动，并进行实时响应，以阻止绕过 IAM 控制的攻击。
什么是身份威胁响应？
身份威胁响应是指为识别、遏制并降低对用户或机器身份的威胁而采取的行动。这类响应通常包括监测可疑活动，或通过行为分析检测异常，以自动阻止或锁定已被攻破的账户。其他措施还可能包括要求额外的身份验证、撤销会话，以及提醒安全团队进行进一步调查。
什么是威胁检测与响应？
威胁检测与响应（Threat detection and response，TDR）包括持续监控组织的系统和网络，以发现潜在的网络威胁，并迅速响应以在威胁造成损害之前将其减少或消除。该过程使用工具和技术来分析用户行为、网络流量以及其他数据，寻找可疑活动的迹象。
分享到
了解更多
关于作者
Ian Andersen
Pre Sales Engineering 副总裁（VP）
Ian 拥有超过二十年的 IT 经验，专注于数据与访问治理。作为 Netwrix 的 Pre Sales Engineering 副总裁（VP），他负责确保为全球客户顺利部署产品，并实现身份管理集成。凭借长期的职业经历，他能够满足各类规模组织的需求，其经历包括为美国财富 100 强金融机构领导安全架构团队，以及为中小型企业提供安全解决方案。