La maggior parte delle violazioni di sicurezza documentate negli ultimi anni non sfrutta vulnerabilità tecniche ignote. Sfrutta identità legittime: credenziali sottratte, account privilegiati mal gestiti, sessioni di autenticazione abusate. In un’infrastruttura ibrida, con Active Directory on-premise, identity provider cloud, applicazioni SaaS e ambienti multicloud, il perimetro di attacco si è spostato. Non è più la rete: sono le identità.
Questo cambiamento ha reso evidente un gap strutturale. Le soluzioni tradizionali di Identity and Access Management (IAM) e Privileged Access Management (PAM) coprono la prevenzione e definiscono chi può accedere a cosa. Ma una volta che un’identità legittima viene compromessa e utilizzata per muoversi all’interno dell’infrastruttura, questi strumenti non sono progettati per rilevarlo in tempo reale. Nasce qui l’esigenza dell’ITDR.
Le identità come nuovo perimetro: il detection gap
I modelli di lavoro ibrido, l’adozione massiva del SaaS e la migrazione verso ambienti cloud-first hanno moltiplicato le identità da gestire: utenti umani, account di servizio, API key, identità machine. Ogni punto di autenticazione è un potenziale vettore di attacco, e gli attaccanti lo sanno bene.
Tecniche come il credential stuffing, il pass-the-hash (qui il nostro articolo sul furto di hash NTLM), il kerberoasting e il Golden Ticket attack prendono di mira direttamente l’infrastruttura di identità, aggirando i controlli di accesso senza mai dover sfruttare una vulnerabilità di sistema. Il risultato è un attacco che agli occhi degli strumenti di monitoring tradizionali appare come normale attività autenticata.
Questo è il detection gap: IAM e PAM proteggono il controllo degli accessi, ma non hanno visibilità sul comportamento post-autenticazione delle identità. EDR e XDR osservano endpoint e traffico, ma spesso mancano di profondità sull’infrastruttura di identity management. I SIEM ricevono log di autenticazione, ma senza il contesto specifico degli identity system faticano a correlare eventi apparentemente normali in una catena di attacco.
Che cos’è l’ITDR: la definizione di Gartner e il mercato
L’Identity Threat Detection and Response (ITDR) è una disciplina e un insieme di capability progettate per rilevare, investigare e rispondere a minacce che prendono di mira identità, account e infrastrutture di identity management. Il termine è stato formalizzato da Gartner, che nel 2022 ha inserito l’ITDR tra le principali priorità di sicurezza, riconoscendolo come categoria distinta rispetto a IAM, PAM ed EDR/XDR.
Secondo Gartner, l’ITDR nasce dal riconoscimento che i sistemi di identity governance sono diventati essi stessi infrastruttura critica da proteggere, e che le soluzioni esistenti non erano sufficienti a farlo. L’ITDR integra threat intelligence, analisi comportamentale e meccanismi di risposta specifici per il dominio delle identità, con l’obiettivo di ridurre il tempo di rilevamento e contenimento degli attacchi identity-based.
La distinzione chiave rispetto ai controlli preventivi è il focus sul runtime: l’ITDR monitora ciò che succede dopo l’autenticazione, non solo ciò che la precede. Questo significa osservare continuamente come le identità vengono utilizzate, confrontando il comportamento reale con un profilo di riferimento e correlando segnali anomali per identificare compromissioni in atto.
ITDR vs IAM, PAM, EDR, XDR, MDR/MXDR: posizionamento e complementarità
IAM e PAM: prevenzione, non detection
IAM definisce politiche di accesso, gestisce il ciclo di vita delle identità e abilita autenticazione forte (MFA, SSO). PAM aggiunge un livello di protezione sugli account privilegiati: vault delle credenziali, session recording, just-in-time access. Entrambi sono controlli preventivi essenziali, ma non rispondono alla domanda: “Quest’account privilegiato sta facendo qualcosa di anomalo adesso?”
EDR e XDR: visibilità cross-domain senza profondità sull’identity layer
EDR monitora gli endpoint; XDR estende la visibilità a rete, cloud e applicazioni, correlando segnali provenienti da domini diversi. Sono strumenti potenti per rilevare indicatori di compromissione (IOC) e tecniche di attacco (TTP) su larga scala. Tuttavia, l’infrastruttura di identità, come Active Directory, Microsoft Entra ID, identity provider cloud, directory LDAP, richiede capability di analisi specifiche che EDR e XDR da soli non forniscono in profondità sufficiente.
MDR/MXDR e SOC: il punto di integrazione naturale per l’ITDR
Managed Detection and Response (MDR) e Managed Extended Detection and Response (MXDR) rappresentano il layer operativo in cui l’ITDR trova la sua massima efficacia. Un SOC 24/7 che integra segnali ITDR nei propri flussi di detection e response può correlare eventi identitari con altri indicatori, movimento laterale rilevato su un endpoint, traffico anomalo verso domain controller, escalation di privilegi su un IdP cloud, e attivare playbook di risposta contestualizzati. L’ITDR senza un layer operativo che lo gestisca rischia di generare alert non governati; integrato in un SOC strutturato, diventa un moltiplicatore di efficacia.
Componenti chiave di una capability ITDR
Una soluzione ITDR matura si articola in cinque aree funzionali principali.
1. Discovery e risk scoring delle identità
Prima di rilevare le minacce, è necessario conoscere l’inventario completo delle identità presenti nell’ambiente: account privilegiati non censiti, service account con policy obsolete, identità orfane non disabilitate, configurazioni rischiose su Active Directory o Entra ID. Questa fase di discovery produce un risk score per ogni identità, prioritizzando gli interventi di remediation e definendo una baseline di comportamento atteso.
2. Monitoraggio continuo delle attività di autenticazione e autorizzazione
L’ITDR ingerisce e analizza in tempo reale log di autenticazione, eventi di autorizzazione, accessi privilegiati e modifiche alle configurazioni di identity management, sia on-premise (Active Directory, RADIUS, LDAP) che cloud (Entra ID, Okta, PingIdentity, Google Workspace). L’obiettivo è una visibilità continua su chi accede, da dove, a cosa e con quali privilegi.
3. Behavioral analytics e rilevamento anomalie
Il cuore tecnologico dell’ITDR è la capacità di rilevare comportamenti anomali rispetto alla baseline di ogni identità: un account che si autentica da una geolocalizzazione insolita, un service account che esegue operazioni tipiche degli utenti interattivi, un cambio di credenziali multiplo in breve tempo, tentativi di escalation di privilegi su un domain controller. L’utilizzo di AI e ML consente di ridurre i falsi positivi e migliorare la capacità di distinguere attività legittime da comportamenti potenzialmente malevoli.
4. Integrazione con threat intelligence
L’ITDR arricchisce la detection con contesto esterno: IOC relativi a campagne di attacco note, TTP documentate nel framework MITRE ATT&CK (in particolare nella tattica Initial Access, Credential Access, Lateral Movement), indicatori specifici di strumenti di attacco per Active Directory come Mimikatz, BloodHound, Impacket. La correlazione tra segnali interni e intelligence esterna riduce il tempo necessario a qualificare un alert e contestualizzarlo in uno scenario di attacco reale.
5. Risposta automatizzata e playbook SOC
Alla detection deve seguire una risposta proporzionata e rapida. Le capability di risposta tipiche di una soluzione ITDR includono: blocco immediato di un account compromesso, revoca di sessioni attive, step-up authentication forzata, isolamento temporaneo di un endpoint che esegue operazioni sospette su identity system, e avvio di playbook di incident response nel Security Operations Center (SOC). La velocità di contenimento è critica: in scenari di compromissione di Active Directory, ogni minuto conta.
Use case tipici in ambienti enterprise ibridi
La rilevanza dell’ITDR si comprende meglio attraverso scenari concreti, propri delle infrastrutture enterprise ibride con AD on-premise, IdP cloud e applicazioni SaaS.
Compromissione di un account privilegiato
Un attaccante che ha ottenuto le credenziali di un account con diritti amministrativi su Active Directory tenta di creare un nuovo account con gli stessi privilegi. L’operazione avviene con credenziali legittime: i controlli IAM non si attivano. L’ITDR rileva l’anomalia comportamentale, che include fattori come la creazione di account privilegiati fuori dai canali IT standard, orario insolito, mancanza di precedenti operazioni simili nel profilo storico, e avvia un alert ad alta priorità nel SOC.
Lateral movement basato su credenziali rubate
Un dipendente cade vittima di un attacco di phishing; le credenziali vengono utilizzate per accedere a un sistema applicativo, poi per tentare l’accesso a un server condiviso, poi a un IdP cloud. Il pattern di accesso, velocità di spostamento, diversità dei sistemi target e orario, è incompatibile con il comportamento storico dell’utente. L’ITDR correla gli eventi e li riconduce a un singolo scenario di lateral movement in corso.
Abuso di identità machine
Un service account configurato per un processo batch automatico viene utilizzato per eseguire query ricognitive sull’infrastruttura AD. Nessun sistema di IAM segnala l’anomalia perché l’account è autorizzato. L’ITDR rileva la deviazione dal comportamento atteso, con fattori come tipo di query, volumi, orari, e segnala una potenziale compromissione dell’account di servizio.
Attacchi ransomware via identità
Molte campagne ransomware avanzate sfruttano identità per diffondersi rapidamente prima dell’esecuzione del payload. L’ITDR, integrato con EDR e XDR nel SOC, può rilevare la fase preparatoria, movimento laterale, esplorazione dell’AD, disabilitazione di backup via credenziali privilegiate, e attivare il contenimento prima che il ransomware si diffonda.
Come integrare l’ITDR in una strategia di identity security
L’adozione dell’ITDR non è un progetto stand-alone: è un’estensione naturale di una strategia di identity security esistente. Un approccio graduale suggerisce tre fasi principali.
La prima fase è l’assessment della postura di identità. Prima di attivare qualsiasi capability di detection, è necessario conoscere lo stato dell’infrastruttura: configurazioni rischiose su AD, account privilegiati non censiti, shadow identities, policy di autenticazione obsolete. Un identity assessment strutturato fornisce la baseline da cui costruire i casi d’uso ITDR e definire le soglie di anomalia.
La seconda fase è la definizione dei casi d’uso prioritari. Non tutte le capability ITDR hanno lo stesso valore per ogni organizzazione. La priorità deve essere collegata al risk register aziendale: un’organizzazione con Active Directory esteso e numerosi account privilegiati dovrà focalizzarsi sulla detection di escalation e lateral movement sull’AD; un’organizzazione con ampio footprint SaaS dovrà prioritizzare il monitoraggio degli IdP cloud.
La terza fase è l’integrazione operativa. SIEM, EDR, XDR e i playbook di incident response esistenti devono essere allineati con i segnali ITDR. L’integrazione con un SOC 24/7 è il fattore determinante per trasformare la detection in risposta efficace. Nel riferimento al NIST Cybersecurity Framework 2.0, l’ITDR presidia in modo specifico le funzioni Detect, Respond e Recover, complementando i controlli Govern, Identify e Protect già coperti da IAM, PAM e governance della sicurezza.
Il ruolo di un competence center con SOC 24/7
Implementare l’ITDR in modo efficace richiede competenze che si trovano all’intersezione di identity management e security operations: conoscenza profonda dell’infrastruttura AD e degli IdP cloud, esperienza nei flussi di incident response, capacità di tuning delle regole di detection per ridurre il rumore senza abbassare la sensibilità.
Un competence center con SOC proprietario 24/7 è nella posizione naturale per integrare capability ITDR nei flussi di detection e response operativi. Questo significa valutare la maturità dell’infrastruttura di identità, correlare i segnali ITDR con la visibilità cross-domain garantita da un servizio MXDR, e supportare la remediation su piattaforme IAM, PAM e IdP quando una compromissione viene confermata.
ITDR operativo: come Cyberlys integra la protezione delle identità in MDR e MXDR
In Cyberlys, l’integrazione con un servizio di ITDR è operativa nei servizi MDR e MXDR: il SOC 24/7 di Cyberlys analizza continuativamente lo stato di sicurezza di Active Directory ed Entra ID, rileva anomalie comportamentali e attività sospette, come compromissione di credenziali, privilege escalation e movimenti laterali, e interviene con azioni di mitigazione mirate prima che la compromissione si estenda.
A una copertura già estesa in orizzontale sugli endpoint, sulla rete e sull’ambiente cloud si aggiunge così una visibilità e analisi verticale sul ciclo di vita delle identità: l’ITDR non è un layer separato, ma una capability integrata nel flusso operativo di detection e response.
Domande frequenti sull’ITDR
L’ITDR sostituisce IAM e PAM?
No. IAM e PAM restano fondamentali per la prevenzione: gestione del ciclo di vita delle identità, controllo degli accessi privilegiati, autenticazione forte. L’ITDR li completa, aggiungendo detection e response in tempo reale sugli abusi di identità che sfuggono ai controlli preventivi. Le tre discipline sono complementari e concorrono a una strategia di identity security completa.
Qual è la differenza tra ITDR e XDR?
XDR amplia la visibilità di detection a endpoint, rete, cloud e applicazioni, correlando segnali provenienti da domini diversi. L’ITDR è identity-centric: fornisce profondità specifica sull’infrastruttura di identità, con playbook e capability di risposta disegnati per scenari di compromissione degli identity system. Nella pratica, i due approcci sono complementari e lavorano meglio se integrati in un layer operativo SOC/MXDR.
Da dove iniziare con l’ITDR in un’azienda enterprise?
Il punto di partenza è un identity assessment: conoscere la postura dell’infrastruttura di identità è un prerequisito per qualsiasi capability di detection. A seguire, la definizione dei casi d’uso prioritari collegati al risk register aziendale e l’integrazione con i flussi SOC/MDR esistenti.
Un SOC managed può gestire l’ITDR, o serve una soluzione dedicata separata?
Non serve una soluzione separata: l’approccio più efficace è integrare le capability ITDR direttamente nei flussi operativi di un SOC managed. Un servizio MDR o MXDR che incorpora la detection sulle identità permette agli analisti di correlare segnali endpoint, rete e identity layer in un unico flusso di investigation.
