Если в консоли Respond появился статус «new phase 1 identity protection» или защита идентификации не переходит в активное состояние, первым делом проверьте, завершилась ли регистрация агента на управляющем сервере: незавершённая регистрация — самая частая причина, по которой фаза 1 «зависает» на начальном этапе. Без подтверждённой связи между агентом и сервером политики защиты идентификации просто не применяются, и статус остаётся промежуточным.
В этой статье разберём, что обычно означает фаза 1 защиты идентификации в системах класса Respond, какие проверки можно выполнить без риска для инфраструктуры, и когда имеет смысл обращаться к официальной документации вендора. Точные названия пунктов меню и параметров зависят от версии продукта, поэтому все пути в интерфейсе сверяйте с документацией именно вашей сборки.
Что такое фаза 1 защиты идентификации
В решениях для мониторинга и реагирования на инциденты развёртывание защиты обычно идёт поэтапно. Фаза 1 — это, как правило, начальный этап: сбор базовой телеметрии об учётных записях, регистрация агента, установление доверенного канала связи и применение стартовой политики. На этом этапе система ещё не блокирует угрозы активно, а формирует картину «нормального» поведения идентификаторов в сети.
Под защитой идентификации (identity protection) понимается контроль событий, связанных с учётными записями: попытки входа, перебор паролей, аномальные аутентификации, использование скомпрометированных учётных данных. Фаза 1 закладывает фундамент — без корректного её завершения последующие этапы (активное блокирование, автоматическое реагирование) работать не будут.
💡Фаза 1 — это фундамент: регистрация агента, сбор телеметрии и базовая политика. Пока она не завершена, активная защита не включается.