Was ist ein Sicherheitsgraph?

Herkömmliche Werkzeuge für die Cybersicherheit stützen sich in hohem Maße auf tabellarische Daten – Benutzerlisten, Protokolle, Warnmeldungen und Ereignisse. Diese Werkzeuge sind zwar nützlich, um Fakten zu speichern, haben jedoch Schwierigkeiten, die Zusammenhänge zwischen diesen Fakten aufzuzeigen. Diese Einschränkung erschwert die Ablaufverfolgung der Bewegungen von Angreifern, die Zusammenführung von Vorfällen und die Abschätzung der Auswirkungen eines Sicherheitsvorfalls.

Grafiken zu Cyberangriffen bewältigen diese Herausforderungen, indem sie die Beziehungen zwischen Entitäten wie Benutzern, Geräten, Dokumenten und Aktivitäten zuordnen. Diese vernetzte Ansicht bietet:
 

• Kontextbezogenes Bewusstsein – Ressourcendiagramme zeigen nicht nur, was geschehen ist, sondern auch, wie sich dies in den größeren Kontext einfügt, indem sie aufzeigen, wer beteiligt war, welche Vermögenswerte betroffen waren und welche Wege eingeschlagen wurden.
• Korrelation zwischen Datenquellen – Durch die Verknüpfung unterschiedlicher Datenpunkte helfen Diagramme Analysten dabei, Zusammenhänge zwischen scheinbar unabhängigen Ereignissen zu erkennen.
• Erkennung verborgener Verbindunge n – Die Diagramme zeigen privilegierte Zugriffspfade, laterale Bewegungen und Szenarien zum Ausbreitungsradius auf, die mit herkömmlichen Werkzeugen kaum aufzudecken sind.

Dieser Wandel von statischen Daten hin zu dynamischen Beziehungen verändert Sicherheitskonzepte wie beispielsweise DevSecOps (Entwicklung, Sicherheit und Betrieb), die reaktive Bearbeitung von Warnmeldungen und die proaktive Erkennung von Bedrohungen.

Sicherheitsdiagramme bieten Incident Response-Teams einen besseren Überblick, eine schnellere Einstufung und präzisere Abhilfemaßnahmen. Durch das Zuordnen von Beziehungen und Aktivitäten können Sicherheitsbeauftragte von einer reaktiven Alarmbearbeitung zu proaktiven Untersuchungen und Eindämmungsmaßnahmen übergehen.

Warnungskorrelation
Anstatt Protokolle manuell miteinander in Verbindung zu bringen oder komplexe Abfragen auszuführen, verknüpft das Incidentdiagramm in Microsoft Defender automatisch miteinander in Zusammenhang stehende Warnmeldungen und Entitäten. Dies hilft SOC-Teams (Security Operations Center), den gesamten Umfang eines Vorfalls zu erfassen und zu priorisieren, welche Systeme zuerst isoliert und behoben werden müssen – wodurch die Reaktionszeit verkürzt und die Auswirkungen auf den Geschäftsbetrieb begrenzt werden.

Ablaufverfolgung der Grundursache
Mithilfe von Sicherheitsdiagrammen können Analysten den Ursprung eines Vorfalls durch Ablaufverfolgung zurückverfolgen, indem sie den Wirkungsbereich kompromittierter Anmeldeinformationen oder Ressourcen visualisieren. Diese Funktion hilft Teams dabei, die Bewegungen von Angreifern vorherzusehen und den ursprünglichen Einbruchspunkt aufzudecken, was eine effektivere Ursachenanalyse ermöglicht.

Diagrammvisualisierung
Die interaktiven Diagrammansichten in Defender und Microsoft Purview bieten einen einheitlichen Echtzeitüberblick über Benutzer, Ressourcen und Aktivitäten. Diese Visualisierungen helfen den Ermittlern, nicht nur zu erkennen, was geschehen ist, sondern auch, wie sich die Ereignisse entwickelt haben – und zeigen Zugriffspfade, Datenbewegungen und riskantes Verhalten auf einen Blick auf.

Sicherheitsmaßnahmen erfordern häufig die Zuordnung komplexer Zusammenhänge, weshalb herkömmliche Datenbanken mit diesem Prozess überfordert sind:

Relationale Datenbanken (langsame Verknüpfungen)

• Speichern Daten in strukturierten Tabellen.
• Erfordern mehrere Verknüpfungen, um verwandte Entitäten miteinander zu verbinden.
• Die Leistung nimmt ab, je komplexer die Beziehungen werden.
• Nicht ideal für die Modellierung dynamischer Sicherheitsumgebungen oder Angriffspfade.

Dokument- oder Schlüssel-Wert-Datenbanken (begrenzte Beziehungen)

• ⁠Zur Aufbewahrung einzelner Unterlagen oder Dokumente konzipiert.
• ⁠Keine native Unterstützung für die Modellierung von Beziehungen.
• ⁠Gut für einfache Abfragen, aber wenig geeignet, um Zusammenhänge zwischen Entitäten aufzudecken.
• ⁠Die Ablaufverfolgung zeigt nicht ohne Weiteres, wie Benutzer, Geräte und Dateien bei einem Sicherheitsvorfall miteinander interagieren.

Diagrammdatenbanken hingegen sind für diese komplexen Verknüpfungen optimiert.

Diagrammdatenbanken

• Speichern Entitäten als Knoten und Beziehungen als Kanten.
• Ermöglichen einen schnellen Durchlauf über verbundene Daten.
• ⁠Ideal für Sicherheitsanwendungen wie Authentifizierung, Bedrohungssuche und Untersuchung von Datenrisiken.
• ⁠Ermöglichen Sie leistungsstarke, diagrammbasierte Funktionen in Microsoft Sentinel, Defender und Purview.

Sicherheitsdiagramme bieten leistungsstarke Funktionen für den gesamten Sicherheitslebenszyklus – einschließlich Risikobewertung, Erkennung von Bedrohungen und Incident Response. Im Folgenden finden Sie wichtige Anwendungsfälle, in denen diagrammbasierte Cybersicherheitsanalysen einen messbaren Mehrwert bieten.

Risiko für Identität und Zugriff
Sicherheitsdiagramme helfen dabei, die Beziehungen zwischen Benutzern, Gruppen und Ressourcen zu veranschaulichen. Dadurch können Organisationen:
 

• Privilegierte Zugriffspfade identifizieren.
• Riskantes Benutzerverhalten erkennen.
• Den Explosionsradius kompromittierter Identitäten bewerten.

Diese Erkenntnisse bilden die Grundlage für das Microsoft Security Exposure Management, das Expositionsdiagramme für das Angriffsflächenmanagement und zum Schutz kritischer Ressourcen nutzt.

Bedrohungssuche
Das Suchdiagramm in Microsoft Defender ermöglicht es Analysten:
 

• Komplexe Beziehungsgeflechte zwischen Benutzern, Geräten und Aktivitäten zu durchlaufen.
• Verborgene Pfade einzubinden, die Angreifer ausnutzen könnten.
• Incidents basierend auf dem Zugriffsrisiko und der Nähe zu sensiblen Ressourcen zu priorisieren.

Dadurch wird die Bedrohungssuche von einer reaktiven Alarmbearbeitung zu einem proaktiven Bedrohungs- und Sicherheitsrisikomanagement und einer proaktiven Schwachstellenerkennung.

Datensicherheit
Die Datenrisikografik in Microsoft Purview IRM und DSI unterstützen ähnliche Ziele durch:
 

• ⁠Zuordnung der Benutzeraktivitäten in SharePoint und OneDrive.
• ⁠Erkennung verdächtiger Datenzugriffe und -bewegungen.
• ⁠Visualisierung potenzieller Datenabflusswege und risikobehafteter Verhaltensweisen.

Diese Funktionen tragen dazu bei, Insiderbedrohungen zu erkennen und Datenlecks zu verhindern.

Cloudsicherheit
Sicherheitsdiagramme integrieren Daten aus Microsoft Defender for Cloud und anderen Microsoft-Diensten, um:
 

• Die Beziehungen zwischen Cloud-Ressourcen zu visualisieren.
• Fehlkonfigurationen und Gefährdungsrisiken zu erkennen.
• Empfehlungen zum Sichern von Cloudumgebungen anzubieten.

Dies ermöglicht eine kontinuierliche und proaktive Verteidigung in Hybrid- und Multicloudumgebungen.

SOC-Effizienz
Das Vorfalldiagramm in Defender optimiert die SOC-Arbeitsabläufe durch:
 

• Automatische Korrelation von Warnungen und Entitäten.
• Visualisieren von Explosionsradiusszenarien.
• Verstehen, wie Angreifer mit dem MITRE ATT&CK-Framework arbeiten.
• Unterstützung von Teams bei der Priorisierung von Eingrenzung und Korrektur.

Dies reduziert die Antwortzeit und verbessert die Entscheidungsfindung während aktiver Incidents.