Co je graf zabezpečení?

Tradiční nástroje kybernetické bezpečnosti do značné míry spoléhají na tabelární data – seznamy uživatelů, protokolů, upozornění a událostí. Tyto nástroje jsou sice užitečné pro ukládání faktů, ale obtížně odhalují, jak spolu tyto fakta souvisejí. Toto omezení ztěžuje sledování pohybu útočníka, korelaci incidentů nebo předvídání dopadu narušení.

Grafy kybernetických útoků tato omezení překonávají tím, že mapují vztahy mezi entitami, jako jsou uživatelé, zařízení, dokumenty a aktivity. Toto propojené zobrazení poskytuje:
 

• ⁠Povědomí o kontextu – grafy prostředků ukazují nejen to, co se stalo, ale také to, jak to zapadá do širšího prostředí, protože se ptají, kdo byl zapojen, jaké prostředky byly dotčeny a jaké cesty byly použity.
• Korelace mezi zdroji dat – díky propojení nesourodých datových bodů pomáhají grafy analytikům najít souvislosti mezi událostmi, které se na první pohled zdají nesouvisející.
• Detekce skrytých připojení – grafy odhalují cesty privilegovaného přístupu, laterální pohyb a scénáře dopadu, které je pomocí tradičních nástrojů téměř nemožné odhalit.

Tento posun od statických dat k dynamickým vztahům mění architektury zabezpečení, jako je vývoj, zabezpečení a provoz (DevSecOps), reaktivní zpracování výstrah a proaktivní vyhledávání hrozeb.

Grafy zabezpečení umožňují týmům reakce na incidenty lepší přehled, umožňují rychlejší třídění incidentů a přesnější nápravu. Mapování vztahů a aktivit umožňuje obráncům přejít od reaktivního řešení výstrah k proaktivnímu vyšetřování a omezování rizik.

Korelace výstrah
Místo ručního korelování protokolů nebo spouštění složitých dotazů graf incidentů v Microsoft Defenderu automaticky propojuje související výstrahy a entity. To pomáhá týmům centra operací zabezpečení (SOC) porozumět úplnému rozsahu incidentu a stanovit priority, které systémy je třeba nejprve izolovat a opravit, čímž se zkracuje doba reakce a omezují dopady na provoz.

Trasování původní příčiny
Grafy zabezpečení umožňují analytikům vysledovat původ incidentu díky vizualizaci rozsahu dopadu napadených přihlašovacích údajů nebo prostředků. Tato funkce pomáhá týmům předvídat pohyby útočníků a odhalit počáteční bod narušení zabezpečení, což umožňuje účinnější analýzu příčin.

Vizualizace grafu
Interaktivní zobrazení grafů v Defenderu a Microsoft Purview poskytují jednotný přehled o uživatelích, prostředcích a aktivitách v reálném čase. Tyto vizualizace pomáhají vyšetřovatelům zjistit nejen to, co se stalo, ale i jak k tomu došlo – na jednom místě tak odhalují přístupové cesty, pohyb dat a rizikové chování.

Operace zabezpečení často vyžadují mapování složitých vztahů, a právě proto mají tradiční databáze s tímto procesem potíže:

Relační databáze (pomalé spojování)

• Ukládají data do strukturovaných tabulek.
• Vyžadují více spojení pro propojení souvisejících entit.
• Výkon se zhoršuje s růstem počtu vztahů.
• Nejsou ideální pro modelování dynamických bezpečnostních prostředí ani cest útoku.

Dokumentové databáze nebo databáze klíč-hodnota (omezené vztahy)

• ⁠Jsou navržené pro ukládání jednotlivých záznamů nebo dokumentů.
• Nenabízejí nativní podporu pro modelování vztahů.
• ⁠Hodí se pro jednoduché vyhledávání, ale špatně odhalují propojení mezi entitami.
• ⁠Nedokážou snadno vysledovat, jak uživatelé, zařízení a soubory spolupracují při narušení zabezpečení.

Grafové databáze jsou naopak pro tato složitá propojení optimalizované.

Grafové databáze

• ⁠Ukládají entity jako uzly a vztahy jako hrany.
• Umožňují rychlý průchod propojenými daty.
• ⁠Jsou ideální pro scénáře zabezpečení, například ověřování, proaktivní vyhledávání hrozeb a prověřování rizik souvisejících s daty.
• Podporují pokročilá grafová prostředí ve službách Microsoft Sentinel, Defenderu a Purview.

Grafy zabezpečení poskytují výkonné funkce v celém životním cyklu zabezpečení, včetně posouzení rizik, detekce hrozeb a reakce na incidenty. Níže jsou uvedené klíčové případy použití, kdy analýzy kybernetické bezpečnosti založené na grafech poskytují měřitelnou hodnotu.

Riziko identity a přístupu
Grafy zabezpečení pomáhají vizualizovat vztahy mezi uživateli, skupinami a prostředky. To organizacím umožňuje:
 

• Identifikovat cesty privilegovaného přístupu.
• Zjišťovat rizikové chování uživatelů.
• ⁠Posoudit rozsah dopadu napadených identit.

Tyto přehledy jsou základem pro Správu míry rizika zabezpečení od Microsoftu, která používá grafy vystavení rizikům pro správu potenciální oblasti útoku a ochranu důležitých prostředků.

Proaktivní vyhledávání hrozeb
Graf proaktivního vyhledávání hrozeb v Microsoft Defenderu umožňuje analytikům:
 

• ⁠Procházet složité sítě vztahů mezi uživateli, zařízeními a aktivitami.
• Odhalovat skryté cesty, které mohou útočníci zneužít.
• Prioritizovat incidenty podle rizika přístupu a blízkosti k citlivým prostředkům.

To transformuje proaktivní vyhledávání hrozeb z reaktivního zpracování výstrah na proaktivní správu a zjišťování ohrožení zabezpečení.

Zabezpečení dat
Graf datového rizika v Microsoft Purview IRM a DSI podporuje podobné cíle tím, že:
 

• Mapuje aktivity uživatelů napříč SharePointem a službou OneDrive.
• Identifikuje podezřelý přístup k datům a jejich přesun.
• Vizualizuje možné cesty exfiltrace a rizikové chování.

Tyto funkce pomáhají zjišťovat insiderské hrozby a předcházet únikům dat.

Zabezpečení cloudu
Grafy zabezpečení integrují data ze služby Microsoft Defender for Cloud a dalších služeb Microsoft, aby umožňují tak:
 

• Vizualizovat vztahy mezi cloudovými prostředky.
• Zjišťovat chybné konfigurace a rizika vystavení.
• Poskytovat doporučení k zabezpečení cloudových prostředí.

To podporuje průběžnou a proaktivní ochranu v hybridních a multicloudových prostředích.

Efektivita SOC
Graf incidentů v Defenderu vylepšuje pracovní postupy SOC tím, že umožňuje:
 

• Automaticky korelovat upozornění a entity.
• Vizualizovat scénáře rozsahu dopadu.
• Pochopení způsobu, jakým útočníci pracují s architekturou MITRE ATT&CK.
• Pomáhá týmům určovat prioritu omezení a nápravy.

To zkracuje dobu odezvy a zlepšuje rozhodování během aktivních incidentů.