Un sistema downstream è qualsiasi servizio, applicazione, database o strumento connesso che riceve dati, richieste o fiducia da un altro sistema. Se la fonte upstream viene compromessa, il componente downstream può essere esposto tramite permessi ereditati, input errati, token rubati o integrazioni automatizzate.
Questo è importante perché gli aggressori spesso prendono di mira l'anello più debole di una catena invece dell'asset finale. La compromissione di un account può influire su email, archiviazione cloud, strumenti di ticketing o provider di identità che dipendono da esso. I difensori monitorano i sistemi downstream per accessi insoliti, chiamate API, modifiche ai privilegi ed errori di sincronizzazione dei dati dopo un evento upstream. Mappare queste dipendenze aiuta i responsabili della risposta agli incidenti a contenere la propagazione, revocare l'accesso nel punto giusto e stimare a quali altri sistemi si possa essere arrivati.