Hvad er en sikkerhedsgraf?

Traditionelle cybersikkerhed værktøjer er meget afhængige af tabeldata – lister over brugere, logge, underretninger og hændelser. Selvom de er nyttige til at gemme fakta, har disse værktøjer svært ved at vise, hvordan disse fakta hænger sammen. Denne begrænsning gør det svært at spore ondsindede personers bevægelser, korrelere hændelser eller forudse konsekvenserne af et brud.

Cyberangrebsgrafer overvinder disse udfordringer ved at kortlægge relationer mellem entiteter som brugere, enheder, dokumenter og aktiviteter. Denne forbundne visning giver:
 

• ⁠Kontekstuel fornemmelse – aktivgrafer viser ikke kun, hvad der skete, men også hvordan det passer ind i det bredere miljø ved at spørge, hvem der var involveret, hvilke aktiver der blev berørt, og hvilke stier der blev fulgt.
• ⁠Korrelation på tværs af datakilder – ved at forbinde forskellige datapunkter hjælper grafer analytikere med at kortlægge forbindelsen mellem tilsyneladende uafhængige hændelser.
• ⁠Registrering af skjulte forbindelser – grafer afslører privilegerede adgangsstier, tværgående bevægelse og scenarier med sprængningsradius, som næsten er umulige at opdage med traditionelle værktøjer.

Dette skift fra statiske data til dynamiske relationer transformerer sikkerhedsstrukturer som udvikling, sikkerhed og drift (DevSecOps), reaktiv håndtering af underretninger og proaktiv trusselsopdagelse.

Sikkerhedsgrafer giver teams til svar på hændelse større synlighed, hurtigere prioritering og mere præcis afhjælpning. Når relationer og aktiviteter kortlægges, kan forsvarere gå fra reaktiv håndtering af underretninger til proaktiv undersøgelse og inddæmning.

Korrelation for underretning
I stedet for manuelt at korrelere logge eller køre komplekse forespørgsler sammenkæder hændelsesgrafen i Microsoft Defender automatisk relaterede underretninger og entiteter. Dette hjælper SOC-teams (Security Operations Center) med at forstå det fulde omfang af en hændelse og prioritere, hvilke systemer der skal indeholde og inddæmme først – hvilket reducerer svartiden og begrænser den forretningsmæssige påvirkning.

Sporing af grundårsag
Sikkerhedsgrafer gør det muligt for analytikere at spore oprindelsen af en hændelse ved at visualisere sprængningsradius for kompromitterede legitimationsoplysninger eller aktiver. Denne funktion hjælper teams med at forudse hackeres bevægelser og afdække det indledende kompromitteringspunkt, hvilket giver en mere effektiv analyse af rodårsager.

Grafvisualisering
Interaktive grafvisninger i Defender og Microsoft Purview giver et samlet billede i realtid af brugere, aktiver og aktiviteter. Disse visualiseringer hjælper efterforskere med ikke kun at se, hvad der skete, men også hvordan det udfoldede sig – hvilket afslører adgangsstier, dataflytning og risikabel adfærd i én samlet visning.

Sikkerhedsoperationer kræver ofte kortlægning af komplekse relationer, og derfor har disse traditionelle databaser svært ved denne proces:

Relationsdatabaser (langsomme joinforbindelser)

• Gem data i strukturerede tabeller.
• Kræver flere joinforbindelser for at forbinde relaterede entiteter.
• Ydeevnen forringes, efterhånden som relationerne vokser.
• Ikke ideelle til modellering af dynamiske sikkerhedsmiljøer eller angrebsstier.

Dokument- eller nøgle-værdidatabaser (begrænsede relationer)

• Udviklet til lagring af individuelle poster eller dokumenter.
• Mangler oprindelig understøttelse af modelleringsrelationer.
• ⁠Gode til simple opslag, men dårlige til at afdække forbindelser mellem entiteter.
• ⁠Kan ikke nemt spore, hvordan brugere, enheder og filer interagerer under et sikkerhedsbrud.

Grafdatabaser er derimod optimeret til disse komplekse forbindelser.

Grafdatabaser

• ⁠Gem entiteter som noder og relationer som kanter.
• Giver mulighed for hurtig gennemgang på tværs af forbundne data.
• Ideelt til sikkerheds-use cases, såsom godkendelse, trusselsjagtog undersøgelse af datarisiko.
• ⁠Styrk avancerede grafbaserede oplevelser i Microsoft Sentinel, Defender og Purview.

Sikkerhedsgrafer leverer kraftfulde funktioner på tværs af hele sikkerhedslivscyklussen – herunder risikovurdering, trusselsregistrering og svar på hændelse. Nedenfor finder du vigtige use cases, hvor grafbaseret cybersikkerhedsanalyse leverer målbar værdi.

Identitets- og adgangsrisiko
Sikkerhedsgrafer hjælper med at visualisere relationer mellem brugere, grupper og aktiver. Dette giver organisationer mulighed for at:
 

• Identificere privilegerede adgangsstier.
• Registrere risikabel brugeradfærd.
• ⁠Vurdere sprængningsradius for kompromitterede identiteter.

Denne indsigt er grundlæggende for Microsoft Security Exposure Management, som bruger eksponeringsgrafer til administration af angrebsoverfladen og til at beskytte kritiske aktiver.

Trusselsjagt
Jagtgrafen i Microsoft Defender giver analytikere mulighed for at:
 

• Gennemgå komplekse webs af relationer mellem brugere, enheder og aktiviteter.
• Afsløre skjulte stier, som personer med ondsindede hensigter kan udnytte.
• ⁠Prioritere hændelser baseret på adgangsrisiko og nærhed til følsomme aktiver.

Dette transformerer trusselsjagt fra reaktiv håndtering af underretninger til proaktiv administration af sikkerhedsrisici og registrering.

Datasikkerhed
Datarisikografen i Microsoft Purview IRM og DSI understøtter lignende mål ved at:
 

• Kortlægge brugeraktivitet på tværs af SharePoint og OneDrive.
• ⁠Identificere mistænkelig dataadgang og dataflytning.
• Visualisere potentielle eksfiltreringsstier og risikabel adfærd.

Disse funktioner hjælper med at registrere insidertrusler og forhindre datalækager.

Cloudsikkerhed
Sikkerhedsgrafer integrerer data fra Microsoft Defender for Cloud og andre Microsoft-tjenester for at:
 

• ⁠Visualisere relationer mellem cloudaktiver.
• ⁠Registrere fejlkonfigurationer og eksponeringsrisici.
• Give anbefalinger til at sikre cloudmiljøer.

Det understøtter løbende og proaktivt forsvar i hybrid- og multicloudkonfigurationer.

SOC-effektivitet
Hændelsesgrafen i Defender forbedrer SOC-arbejdsprocesser ved at:
 

• ⁠Korrelere underretninger og entiteter automatisk.
• ⁠Visualisere scenarier med sprængningsradiusser.
• Forstå, hvordan personer med ondsindede hensigter arbejder med MITRE ATT&CK-strukturen.
• Hjælpe teams med at prioritere inddæmning og afhjælpning.

Det reducerer svartiden og forbedrer beslutningstagningen under aktive hændelser.