Indeed ITDR 2.3: контроль NTLM и расширенная защита от кибератак
Компания «Индид», российский разработчик решений в области защиты айдентити, представила обновление продукта Indeed Identity Threat Detection and Response (Indeed ITDR). Новая версия 2.3 позволяет организациям усилить защиту корпоративных систем, включая унаследованные приложения, повысить эффективность обнаружения кибератак и управления хранением событий доступа.
Главным обновлением Indeed ITDR 2.3 стала поддержка NTLM-аутентификации. Теперь продукт охватывает все три основных протокола, используемых при доменной аутентификации Active Directory: Kerberos, LDAP и NTLM.
Контроль NTLM без отказа от унаследованных приложений
Несмотря на развитие современных механизмов аутентификации, в корпоративных инфраструктурах по-прежнему используется NTLM — устаревший протокол проверки подлинности пользователей, от которого зависит работа многих унаследованных приложений. Полный отказ от него зачастую требует модернизации систем, а отсутствие дополнительных мер защиты повышает риски компрометации учетных данных и несанкционированного доступа.
Для решения этой задачи в Indeed ITDR 2.3 добавлена обработка протокола Netlogon, который используется при взаимодействии с контроллерами домена для проверки учетных данных через NTLM. Благодаря этому продукт может отслеживать запросы на аутентификацию, выборочно блокировать их или требовать дополнительный фактор подтверждения личности. Такой подход компаниям применять политики безопасности к отдельным подключениям, сохраняя работоспособность унаследованных приложений.
При этом Indeed ITDR не расшифровывает защищенные соединения Netlogon, а получает необходимые сведения из журналов событий Windows в реальном времени. Это дает возможность контролировать NTLM-аутентификацию без раскрытия ключей шифрования и изменения существующих схем взаимодействия с контроллерами домена.
Новая функциональность также распространяется на случаи, когда NTLM используется как резервный способ проверки подлинности. Вместе с ранее реализованной обработкой Kerberos и LDAP это расширяет охват мониторинга Active Directory, сокращает слепые зоны и позволяет организациям постепенно отказываться от устаревшего протокола без нарушения рабочих процессов.
Новые сценарии детектирования атак
В Indeed ITDR 2.3 компания «Индид» расширила возможности обнаружения атак на доменную инфраструктуру. Благодаря новвоведению, ИБ-специалисты могут раньше выявлять попытки несанкционированного доступа, обхода защиты и повышения привилегий, а также получать больше информации для расследования инцидентов.
В частности, продукт теперь обнаруживает эксплуатацию уязвимости Kerberos CheeseOunce (CVE-2022-33679) и LDAP Guest Authentication — небезопасную анонимную аутентификацию через LDAP. Для обнаружения Kerberos FAST Downgrade и LDAP Guest Authentication в Indeed ITDR добавлена обработка Kerberos FAST и анонимных LDAP-запросов.
Управление сроками хранения событий доступа
Для эффективной работы с данными мониторинга разработчик усовершенствовал инструменты хранения событий. В версии 2.3 администраторы могут самостоятельно устанавливать, как долго сохранять информацию о запросах доступа, исходя из внутренних политик компании и нормативных требований. По истечении заданного срока записи удаляются, что предотвращает их бесконтрольное накопление и снижает риск переполнения дискового пространства.
Кроме того, в консоли администрирования (Management Console) появилась возможность просматривать объем дискового пространства, занятого событиями доступа. Это помогает администраторам отслеживать накопление данных, своевременно корректировать сроки их хранения и предотвращать переполнение диска. В результате компаниям становится проще управлять журналами событий, сохраняя необходимую информацию для анализа угроз и расследования инцидентов.
«Для нас важно, чтобы повышение безопасности не требовало от заказчиков перестройки ИТ-инфраструктуры. Во многих компаниях NTLM продолжает использоваться для работы устаревших приложений, и отказаться от него за короткий срок чаще всего невозможно. При этом использование протокола сопряжено с рисками безопасности: его уязвимости злоумышленники нередко используют для перемещения по инфраструктуре и повышения привилегий.
Поэтому в Indeed ITDR 2.3 мы обеспечили поддержку всех трех основных протоколов, используемых при доменной аутентификации Active Directory, — Kerberos, LDAP и NTLM. Теперь организации могут взять NTLM под контроль, сохранив работоспособность существующих приложений и возможность постепенно переходить на современные технологии», — отметил Лев Овчинников, руководитель продукта Indeed ITDR компании «Индид».
