Какво е графично представяне на защитата?

Традиционните инструменти за киберсигурност до голяма степен разчитат на таблични данни – списъци на потребители, регистрационни файлове, известявания и събития. Макар да са полезни за съхраняване на факти, тези инструменти трудно разкриват как тези факти се свързват. Това ограничение затруднява проследяването на движението на атакуващия, съпоставянето на инциденти или предвиждането на въздействието в случай на пробив в защитата.

Графичното представяне на кибератаки преодолява тези предизвикателства, като съпоставя връзките между обекти като потребители, устройства, документи и дейности. Този свързан изглед предоставя:
 

• ⁠Контекстна информираност – графичното представяне на активи показва не само какво се е случило, а и как то се вписва в по-широката среда, като отговаря на въпросите кой е участвал, какви активи са били засегнати и какви пътища са били използвани.
• ⁠Корелация между източниците на данни – чрез свързване на разнородни точки от данни графичното представяне помага на анализаторите да свързват отделните елементи между привидно несвързани събития.
• ⁠Откриване на скрити връзки – графичното представяне разкрива пътища на привилегирован достъп, странично придвижване и сценарии за радиуса на взривното разпространение на инциденти, които е почти невъзможно да бъдат откривани с използване на традиционни инструменти.

Този преход от статични данни към динамични зависимости трансформира рамките за защита, например разработване, защита и операции (DevSecOps), реагиране на известявания и проактивно откриване на заплахи.

Графичното представяне на защитата дава на екипите за отговор на инциденти по-добра видимост, по-бърза оценка и по-точно лечение. Съпоставянето на релации и дейности позволява на защитниците да преминат от реактивно обработване на известявания към проактивно разследване и ограничаване.

Корелация на събития
Вместо ръчно да се съпоставят регистрационни файлове или да се изпълняват сложни заявки, графичното представяне на инциденти в Microsoft Defender автоматично свързва съответните известявания и обекти. Това помага на екипите на центъра за операции по сигурността (SOC) да разберат пълния обхват на инцидента и да приоритизират кои системи да ограничат и да коригират най-напред – намалявайки времето на реакция и ограничавайки въздействието върху бизнеса.

Проследяване на основната причина
Графичното представяне на защитата позволява на анализаторите да проследяват източника на инцидент, като визуализират радиуса на взривното разпространение на инциденти в резултат на компрометирани идентификационни данни или активи. Тази способност помага на екипите да предвиждат движението на атакуващ и да открият първоначалната точка на компрометиране, което осигурява по-ефективен анализ на първопричината.

Визуализация на графично представяне
Изгледите на графично представяне в Defender и Microsoft Purview предоставят обединена картина в реално време на потребителите, активите и дейностите. Тези визуализации помагат на разследващите да видят не само какво се е случило, но и как се е развило – като разкриват пътища за достъп, движение на данни и рисково поведение в единен обединяващ изглед.

Операциите по защитата често изискват съпоставяне на сложни релации, поради което тези традиционни бази данни имат затруднения с този процес:

Релационни бази данни (бавно свързване)

• Съхраняване на данни в структурирани таблици.
• Изискване на множество присъединявания за свързване на обекти с релации.
• Производителността намалява с увеличаването на релациите.
• Не са съвсем подходящи за моделиране на динамични среди за защита или пътища за атака.

Бази данни с документи или ключови стойности (ограничени релации)

• ⁠Създадени са за съхранение на отделни записи или документи.
• Не разполагат с нативна поддръжка за моделиране на релации.
• ⁠Подходящи са за прости търсения, но не се представят добре в разкриването на връзките между обекти.
• ⁠Не могат лесно да проследяват как потребители, устройства и файлове взаимодействат при пробив в защитата.

От друга страна, базите данни за графично представяне са оптимизирани за тези сложни връзки.

Бази данни за графично представяне

• ⁠Съхраняват обектите като възли, а връзките – като ребра.
• Позволяват бързо изследване на свързани данни.
• Идеално подхождат за случаи на използване на защитата, например удостоверяване, проактивно търсене на киберзаплахии разследване на риска за данни.
• ⁠Захранват усъвършенствани среди, базирани на графи, в Microsoft Sentinel, Defender и Purview.

Графичното представяне на защитата предоставя мощни възможности през целия жизнен цикъл на сигурността – включително оценка на риска, откриване на заплахи и отговор на инциденти. По-долу са дадени ключовите случаи на използване, при които базиран на графи анализ на киберсигурността предоставя измерима стойност.

Риск за самоличността и достъпа
Графичното представяне на защитата помага да се визуализират връзките между потребители, групи и активи. Това позволява на организациите да:
 

• ⁠идентифицират пътища за привилегирован достъп.
• ⁠откриват рисково потребителско поведение.
• ⁠оценяват радиуса на взривното разпространение на инциденти, свързани с компрометирани самоличности.

Тези прозрения са основа за „Управление на нивото на уязвимост в сигурността на Microsoft“, което използва графично представяне на експонацията за управление на повърхността за атака и за защита на критични активи.

Проактивно търсене на заплахи
Графичното представяне на проактивно търсене на киберзаплахи в Microsoft Defender позволява на анализаторите да:
 

• ⁠изследват сложни мрежи от релации между потребители, устройства и дейности.
• ⁠разкриват скрити пътища, които атакуващите могат да използват.
• ⁠приоритизират инцидентите въз основа на риска от достъп и близостта до чувствителни активи.

Това трансформира проактивното търсене на киберзаплахи на база на известия от Threat and Vulnerability Management и откриване.

Защита на данните
Графичното представяне на риска за данни в Microsoft Purview IRM и DSI подпомага подобни цели чрез:
 

• съпоставяне на дейността на потребителите в SharePoint и OneDrive.
• идентифициране на подозрителен достъп и движение на данни.
• визуализиране на потенциални пътища за ексфилтриране и рисково поведение.

Тези възможности помагат за откриването на вътрешни заплахи и предотвратяват изтичането на данни.

Защита в облака
Графичното представяне на защитата интегрира данни от Microsoft Defender for Cloud и други услуги на Microsoft, за да:
 

• ⁠визуализира връзките между облачните ресурси.
• ⁠открива неправилни конфигурации и рискове от експонация.
• ⁠предоставя препоръки за защита на средите в облака.

Това поддържа непрекъсната и проактивна защита в хибридни среди и конфигурации с множество облаци.

Ефективност на SOC
Графичното представяне на инциденти в Microsoft Defender подобрява работните процеси на SOC чрез:
 

• автоматично съпоставяне на известявания и обекти.
• ⁠визуализиране на сценарии за взривното разпространение на инциденти.
• Разбиране как атакуващите действат с рамката MITRE ATT&CK.
• Помага на екипите да приоритизират ограничаването и лечението.

Това намалява времето на реакция и подобрява вземането на решения по време на активни инциденти.