Lee este artículo para conocer la lista de verificación de acciones para IAM.
Endurecimiento ambiental
- Haga un inventario de todos los activos dentro de la organización. Si falta algo o si hay activos adicionales que se desconocen, determine la causa de la discrepancia.
- Identifique todas las identidades locales de los activos para saber quién tiene acceso a qué activos.
- Comprenda qué controles de seguridad existen actualmente en el entorno empresarial y qué brechas de seguridad persisten en el entorno empresarial de una organización.
- Desarrollar una línea base de tráfico de red que pueda usarse para detectar anomalías de seguridad en la red. Cualquier compromiso de cualquier componente de una red tiene el potencial de amenazar sistemas empresariales más críticos, incluido IAM.
Federación de identidades/inicio de sesión único
- Evalúe las aplicaciones/dispositivos/plataformas internas de su organización y la capacidad de sus proveedores de nube para conectarse mediante el inicio de sesión único.
- Determine si su integración de inicio de sesión único puede recopilar el contexto del usuario durante los inicios de sesión de inicio de sesión único, incluida la ubicación, el dispositivo y el comportamiento.
Autenticación multifactor
- Determine la solución MFA que mejor se adapta al entorno operativo de su organización. Implemente MFA como parte de una solución SSO empresarial.
- Mantenga un inventario sólido de los autenticadores MFA implementados en el entorno operativo de su organización.
- Pruebe y aplique parches de forma rutinaria a la infraestructura MFA de su organización.
Auditoría y seguimiento de IAM
- Establezca expectativas básicas de niveles de actividad y políticas y supervise el comportamiento de los usuarios privilegiados para detectar actividades aceptables y sospechosas. Evite acciones de respuesta automática a comportamientos sospechosos que podrían ser importantes y legítimos (por ejemplo, un administrador del sistema que marca como actividad inusual debido a iniciar sesión desde una ubicación remota durante un fin de semana).
- Podría estar respondiendo a un problema de red de emergencia). Incluir procedimientos manuales para confirmar la legitimidad de estas acciones antes de determinar cómo responder. Por ejemplo, si la actividad incluye configurar nuevas cuentas o cambiar privilegios, un primer paso sería determinar si hay indicios de que esto pueda ser un ataque interno malicioso en lugar de prepararse para el inicio de un nuevo programa.
- Supervise los comportamientos generales de los usuarios, tanto en términos buenos como malos, como cuántos intentos de acceso exitosos y no exitosos, qué horas trabajan normalmente, si se permite el acceso remoto, a qué sistemas se accedió y las cantidades de datos descargados.
- Supervise la actividad entre aplicaciones y sistemas y el tráfico de red asociado para detectar cambios en la conectividad, el nivel de actividad y los tipos de datos. Si un atacante intenta moverse lateralmente dentro de su red, esto puede incluir accesos y tráfico inusuales.
- Monitoree el tráfico externo que puede incluir nuevas interacciones con sitios previamente desconocidos o diferentes tipos y niveles de interacciones. Recuerde que los ataques de exfiltración de datos pueden ser “bajos y lentos”, por lo que un cambio puede ser pequeño, pero continuo. Tenga cuidado de no incluir esto en una línea base de actividad aceptada.
Espero que os haya entretenido.
Un saludo