Hızlı cevap: ITDR (Kimlik Tehdidi Tespiti ve Müdahalesi, Identity Threat Detection and Response), saldırganların çalıntı parola, ele geçirilmiş oturum ve yetki yükseltme gibi kimlik tabanlı yöntemlerle yaptığı saldırıları tespit edip müdahale etmeye odaklanan bir güvenlik disiplinidir. IAM erişimi düzenler, PAM ayrıcalıklı hesapları korur, EDR uç noktayı izler. ITDR ise bu katmanların arasındaki boşluğu, yani kimliğin kendisine yönelik saldırıları kapatır.

Neden kimlik yeni saldırı yüzeyi oldu?

Bugün pek çok saldırı bir açığı istismar etmekle değil, geçerli bir kimlikle giriş yapmakla başlar. Saldırgan çalıntı bir parola, ele geçirilmiş bir oturum çerezi ya da yanlış yapılandırılmış bir yetki ile içeri girer ve meşru bir kullanıcı gibi görünür. Bu yüzden "saldırganlar artık içeri girmiyor, giriş yapıyor" denir.

Bu tabloda klasik savunmalar tek başına yetersiz kalır. Güçlü parola ve çok faktörlü doğrulama önemlidir ama oturum çalındığında ya da bir yönetici hesabı ele geçirildiğinde devreye girmez. ITDR tam da bu noktada, kimlik katmanındaki şüpheli davranışı yakalamak için vardır.

ITDR, IAM, PAM ve EDR'den nasıl ayrılır?

Katman Odağı
IAM Kimlik ve erişim yönetimi, kim neye erişebilir
PAM Ayrıcalıklı hesapların korunması ve denetimi
EDR Uç nokta üzerinde zararlı davranış tespiti
ITDR Kimlik katmanındaki saldırı ve kötüye kullanımın tespiti ve müdahalesi

ITDR bu katmanların yerine geçmez, aralarındaki boşluğu doldurur. IAM ve PAM önleyicidir, erişimi düzenler. ITDR ise tespit ve müdahale odaklıdır: bir kimlik ele geçirildiğinde bunu fark eder ve yanıt verir.

ITDR neleri tespit eder?

ITDR, kimlik altyapısına ve hesaplara yönelik şüpheli davranışları izler. Tipik örnekler:

  • Alışılmadık konum veya cihazdan oturum açma
  • Çalınan oturum çerezi ile ele geçirilmiş oturumların kullanımı
  • Ani yetki yükseltme ve aşırı ayrıcalık talepleri
  • Active Directory ve dizin hizmetlerine yönelik saldırı teknikleri
  • Uyuyan veya terk edilmiş hesapların aniden aktifleşmesi
  • Çok faktörlü doğrulama yorgunluğu saldırıları

Bir kimlik ele geçirildiğinde müdahale

ITDR yalnızca tespit değil, müdahale de içerir. Bir kimliğin ele geçirildiği anlaşıldığında hızlı ve doğru sıra önemlidir:

  1. İlgili hesabın tüm aktif oturumlarını sonlandır, yani belirteçleri geçersiz kıl.
  2. Hesabı geçici olarak askıya al veya ek doğrulama zorunlu kıl.
  3. Saldırganın hangi sistemlere ve verilere eriştiğini günlükler üzerinden belirle.
  4. Yönetici ve tek oturum açma (SSO) hesaplarına öncelik ver.
  5. Kök nedeni bul (çalıntı parola mı, oturum hırsızlığı mı, yanlış yapılandırma mı).

Bu adımların önceliği önemlidir. Sadece parola sıfırlamak, saldırganın elinde geçerli bir oturum varsa yetmez.

KAOS ve DSET yaklaşımı

DSET, kimlik ele geçirme olaylarında dijital adli inceleme ve müdahale (DFIR) yürütür ve kurumların kimlik saldırı yüzeyini denetler. Geliştirdiğimiz KAOS güvenlik motoru, Active Directory ve dizin hizmetlerine yönelik saldırı yollarını (örneğin ayrıcalık yükseltme zincirlerini) kanıta bağlar. Amacımız abartılı tehdit anlatısı değil, kimlik katmanındaki gerçek saldırı yolunu kanıtla göstermek ve doğru müdahaleyi kurmaktır.

Bağlantılı okumalar: IAM kimlik ve erişim yönetimi, PAM ayrıcalıklı erişim yönetimi, infostealer ve oturum çerezi hırsızlığı, Active Directory saldırı teknikleri, sızan parolalar ve credential stuffing, SIEM ve SOC.

Sık sorulan sorular

ITDR, IAM veya PAM'in yerini alır mı? Hayır. IAM ve PAM önleyici katmanlardır, erişimi düzenler ve ayrıcalıklı hesapları korur. ITDR ise tespit ve müdahale odaklıdır, bir kimlik ele geçirildiğinde bunu fark edip yanıt verir. ITDR bu katmanların arasındaki boşluğu doldurur, onların yerine geçmez.

ITDR ile EDR arasındaki fark nedir? EDR uç nokta üzerindeki zararlı davranışı tespit eder. ITDR ise kimlik katmanına, yani hesaplara, dizin hizmetlerine ve oturumlara yönelik saldırıları tespit eder. Çalıntı oturum çerezi ile yapılan bir erişim uç noktada zararlı bir dosya bırakmayabilir, bu yüzden EDR'nin gördüğü yer ile ITDR'nin gördüğü yer farklıdır.

MFA kullanıyorsak ITDR'ye ihtiyaç var mı? Çok faktörlü doğrulama önemli bir önlemdir ama tek başına yeterli değildir. Oturum çerezi çalındığında ya da bir yönetici hesabı ele geçirildiğinde MFA devreye girmez. ITDR, doğrulama tamamlandıktan sonraki şüpheli davranışı yakaladığı için MFA'yı tamamlar.

Kaynaklar

Kimlik saldırı yüzeyinizi denetlemek ve bir kimlik ele geçirme olayında adli inceleme ile müdahale için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.