Netwrix Innovation Week：身份安全创新

一些细微的配置更改，例如放宽的条件访问策略或被编辑的用户属性，就可能让一个被攻陷的 Entra ID 管理员账户变成长期访问入口。这些更改不会关闭 MFA，看起来一切正常，因此很容易被忽视。我们的产品团队在 Netwrix Threat Manager 和 Netwrix PingCastle 的最新更新中，重点就是发现这些更改，以及它们周围的风险设置和服务账户。

在最近与 PingCastle 高级产品经理 Joe Dibley 的对话中，我们深入探讨了攻击者如何滥用 Entra ID、团队如何获得对服务账户的可见性，以及两款产品如何应对。

探索 Innovation Week 的所有对话，聆听 Netwrix 领导者和行业专家探讨数据与身份安全。

Netwrix Threat Manager 中新增的 Entra ID 检测

我们正在添加到 Threat Manager 的检测涵盖对 Entra ID 管理规则的更改，例如延长令牌生命周期、减少审核，以及可能创建后门的自定义角色。这些更改只是海量日志中的少数几个事件，因此监控起来是切实可行的。在未来几个季度，我们将总共新增 30 多项检测，覆盖四个方面：控制措施篡改、权限提升与持久化、凭据攻击，以及应用程序和工作负载身份的更改。

动态组注入是这套检测中较为少见的技术之一，它说明了此类更改多么容易被忽视。动态组会根据账户属性自动添加成员，因此对某个账户拥有编辑权限的攻击者，可以将其部门设置为财务，加入财务组，并继承随之而来的一切权限。组本身从未改变，所以不会触发任何审批步骤。Threat Manager 已经能看到属性更改，我们计划增强它，使其能够识别该更改何时匹配敏感组或角色的动态组规则。

Threat Manager 中的服务账户仪表板

在我们接触的环境中，服务账户通常权限过高，并且因为不是人类用户而不受 MFA 约束。它们往往使用永不过期的密码，而且由于以编程方式进行身份验证，其登录比真人登录更少受到关注。

Threat Manager 新增的服务账户仪表板让团队在一个视图中查看其环境中的所有服务账户，并可快速跳转到近期活动、威胁和弱加密类型。我们开箱即可识别这些账户，团队也可以通过命名约定或组织单位添加我们遗漏的账户。

目前该仪表板涵盖本地账户，但服务账户在 Entra ID 中同样存在。最新版本已能识别其中的代理身份，我们计划将仪表板扩展到 Entra ID，让服务主体、代理身份和其他非人类身份集中显示在一个视图中。

PingCastle 4.0 新增 Entra ID 风险评估

新的评估涵盖 102 项风险，目标是与我们的 Active Directory 评估看齐。覆盖范围包括混合部署场景，例如拥有扩展权限的目录同步账户，以及用户同意设置、MFA 方法、SharePoint 共享链接和 Azure Key Vault 配置。

每项风险都有各自的定义文件，因此我们的威胁研究团队可以用 JSON 制作原型，客户则可以查看某项风险在不同版本之间的变化、对其进行编辑，或发布自己的风险定义。

两款产品背后的威胁研究

两款产品都源自同一个来源。我们的威胁研究团队研究真实世界的攻击以及针对 Entra ID 的各种技术，Joe 和我各自定期与团队合作，确定未来版本中要纳入的内容的优先级。

我们的安全研究通讯 Threat Lab Quarterly 为您提供了一种关注这项工作的方式。每一期都会介绍团队正在跟踪的内容，以及这些内容对防御者可能意味着什么。第一期现已发布。

Netwrix 的 Innovation Week

Netwrix Innovation Week 将于 10 月 19 日至 23 日举行，汇聚技术专家和防御人员，深入探讨身份与数据安全。本周活动包括视频访谈、演示、直播、专家小组讨论，以及基于 AI 的夺旗挑战赛。