Soffid ITDR

El EDR protege el endpoint: detecta procesos maliciosos, malware y comportamiento anómalo en el propio dispositivo. El XDR amplía esa visibilidad correlacionando endpoint, red y otros orígenes de telemetría. ITDR (Identity Threat Detection and Response) protege una capa distinta, la identidad: detecta el uso indebido de credenciales y sesiones legítimas, algo que puede no dejar ningún rastro en el endpoint porque el atacante no ejecuta malware, simplemente usa una cuenta válida. No es redundante tener las tres capas: un atacante que roba una sesión activa o unas credenciales válidas puede pasar completamente inadvertido para EDR y XDR mientras ITDR sí detecta la anomalía en el comportamiento de esa identidad.

El account takeover es el uso de una cuenta legítima por parte de un atacante que ha conseguido sus credenciales o su sesión activa, por ejemplo mediante phishing, robo de token o relleno de credenciales filtradas en otras brechas. ITDR lo detecta comparando la actividad de la sesión con el patrón habitual de esa identidad: un cambio de ubicación o dispositivo incoherente con el uso normal, un salto de privilegios no habitual, o el acceso a recursos que esa cuenta nunca había tocado, y genera una alerta priorizada por el riesgo combinado de esas señales antes de que el atacante llegue a moverse lateralmente o exfiltrar datos.

El MFA reduce drásticamente el robo de contraseñas simples, pero no cubre todas las vías de secuestro de identidad: el robo de un token de sesión ya autenticada, los ataques adversary-in-the-middle que interceptan el segundo factor en tiempo real, o la fatiga de MFA (bombardear al usuario con solicitudes de aprobación hasta que acepta una por error) sortean el doble factor sin necesitar la contraseña original. ITDR está pensado precisamente para esos escenarios: detecta el uso anómalo de una sesión ya autenticada, con o sin MFA de por medio, así que actúa como una capa complementaria y no redundante con el segundo factor.

Depende del nivel de riesgo configurado: para señales de alta confianza (por ejemplo, uso simultáneo de la misma sesión desde ubicaciones incompatibles) el sistema puede responder de forma automática revocando la sesión activa o forzando un cambio de contraseña y una nueva autenticación con MFA, sin esperar a que haya alguien disponible. Para señales de menor certeza, la respuesta habitual es generar una alerta priorizada para revisión humana antes de tomar una acción que podría bloquear a un usuario legítimo. Esta combinación de respuesta automática para lo evidente y alerta para lo dudoso es lo que permite cubrir también fuera del horario laboral sin depender de que haya alguien de guardia en todo momento.

No requiere un SOC propio para aportar valor: gran parte de su utilidad está precisamente en automatizar la respuesta a las señales más claras (revocar una sesión, forzar reautenticación) sin depender de que haya una persona vigilando en tiempo real. Para una organización mediana sin cobertura de seguridad 24/7, esto cubre exactamente el hueco más peligroso: los ataques de secuestro de identidad no respetan el horario laboral, y una respuesta automática fuera de horas es mejor que ninguna respuesta hasta la mañana siguiente.

ITDR se añade encima de la infraestructura de identidad existente, no la sustituye: necesita que ya exista un IAM o un AM que gestione la autenticación y las sesiones sobre las que va a vigilar. Su función es analizar y responder a comportamientos anómalos sobre esa infraestructura ya desplegada, funcionando como una capa de vigilancia y respuesta adicional en lugar de un reemplazo del directorio, del SSO o del MFA que ya tenga la organización.

Combina varias señales a la vez en lugar de depender de una sola: geolocalización y dirección IP del acceso, huella del dispositivo, franja horaria habitual del usuario, tipo de recurso al que accede y nivel de privilegio utilizado en esa sesión. Ninguna señal aislada suele bastar (un empleado puede viajar o conectarse desde una VPN legítima), por lo que la detección se basa en la combinación inusual de varias de ellas a la vez, algo que encaja con escenarios reales de teletrabajo, proveedores externos o accesos vía VPN sin disparar alertas constantes por circunstancias normales de trabajo.