Co to jest graf zabezpieczeń?

Tradycyjne narzędzia cyberbezpieczeństwa w dużym stopniu polegają na danych tabelarycznych — listach użytkowników, dziennikach, alertach i zdarzeniach. Przydaje się do przechowywania faktów, ale narzędzia te mają trudności z ujawnieniem, jak te fakty się łączą. To ograniczenie utrudnia śledzenie ruchu osoby atakującej, korelowanie zdarzeń lub przewidywanie wpływu naruszenia.

Grafy cyberataków pokonują te wyzwania, mapowania relacji między jednostkami, takimi jak użytkownicy, urządzenia, dokumenty i działania. Ten połączony widok zapewnia następujące możliwości:
 

• Świadomość kontekstowa —grafy zasobów pokazują nie tylko, co się stało, ale także to, jak pasuje to do szerszego środowiska, pytając, kto był zaangażowany, jakie zasoby zostały dotknięte i jakie ścieżki zostały podjęte.
• Korelacja między źródłami danych —łącząc różne punkty danych, grafy pomagają analitykom łączyć kropki między pozornie niepowiązanymi zdarzeniami.
• Wykrywanie ukrytych połączeń —grafy pokazują uprzywilejowane ścieżki dostępu, ruch poprzeczny i scenariusze promienia rażenia, które są niemal niemożliwe do wykrycia przy użyciu tradycyjnych narzędzi.

Ta zmiana z danych statycznych na relacje dynamiczne przekształca struktury zabezpieczeń, takie jak programowanie, zabezpieczenia i operacje (DevSecOps), reaktywną obsługę alertów i aktywne odnajdowanie zagrożeń.

Grafy zabezpieczeń zapewniają zespołom ds reagowania na zdarzenia lepszą widoczność, szybszą klasyfikację i bardziej precyzyjne korygowanie. Mapowanie relacji i działań umożliwia osobom zapewniającym ochronę przejście od reaktywnej obsługi alertów do proaktywnego badania i zawierania.

Korelacja alertu
Zamiast ręcznie korelować dzienniki lub uruchamiać złożone zapytania, graf zdarzeń w usłudze Microsoft Defender automatycznie łączy powiązane alerty i jednostki. Pomaga to zespołom w centrum operacji zabezpieczeń (SOC) zrozumieć pełny zakres zdarzenia i określać priorytety systemów, które mają być najpierw zawarte i skorygowane — skracając czas reakcji i ograniczając wpływ na działalność.

Śledzenie głównej przyczyny
Grafy zabezpieczeń umożliwiają analitykom śledzenie pochodzenia zdarzenia przez wizualizowanie promienia rażenia naruszonych poświadczeń lub zasobów. Ta funkcja pomaga zespołom przewidywać ruch osoby atakującej i odkrywać początkowy punkt naruszenia zabezpieczeń, zapewniając bardziej efektywną analizę głównej przyczyny.

Wizualizacja grafu
Interaktywne widoki grafu w usłudze Defender i na platformie Microsoft Purview zapewniają ujednolicony obraz użytkowników, zasobów i działań w czasie rzeczywistym. Te wizualizacje pomagają badaczom zobaczyć nie tylko, co się stało, ale także sposób, w jaki to się rozwijało — odsłaniając ścieżki dostępu, przenoszenie danych i ryzykowne zachowanie w pojedynczym okienku.

Operacje zabezpieczeń często wymagają mapowania złożonych relacji, dlatego te tradycyjne bazy danych mają trudności z tym procesem:

Relacyjne bazy danych (powolne sprzężenia)

• Przechowywanie danych w tabelach strukturalnych.
• Wymagaj wielu sprzężeń w celu połączenia powiązanych jednostek.
• Wydajność spada wraz ze wzrostem relacji.
• Nie jest to idealne rozwiązanie do modelowania dynamicznych środowisk zabezpieczeń lub ścieżek ataków.

Bazy danych dokumentów lub bazy danych par klucz-wartość (ograniczone relacje)

• Przeznaczone do przechowywania poszczególnych rekordów lub dokumentów.
• Brak natywnej obsługi relacji modelowania.
• Dobre rozwiązanie w przypadku prostych wyszukiwań, ale słabe w ujawnianiu połączeń między jednostkami.
• Nie można łatwo śledzić sposobu, w jaki użytkownicy, urządzenia i pliki wchodzą w interakcje w przypadku naruszenia zabezpieczeń.

Z drugiej strony bazy danych grafu są zoptymalizowane pod kątem tych złożonych połączeń.

Bazy danych grafu

• Przechowuj jednostki jako węzły oraz relacje jako krawędzie.
• Umożliwia szybkie przechodzenie między połączonymi danymi.
• Idealne rozwiązanie na potrzeby przypadków użycia zabezpieczeń, takich jak uwierzytelnianie, wyszukiwanie zagrożeń i badanie ryzyka związanego z danymi.
• Korzystaj z zaawansowanych środowisk opartych na grafach w rozwiązaniach Microsoft Sentinel, Defender i Purview.

Grafy zabezpieczeń zapewniają zaawansowane możliwości w całym cyklu życia zabezpieczeń, w tym ocenę ryzyka, wykrywanie zagrożeń i reagowanie na zdarzenia. Poniżej przedstawiono kluczowe przypadki użycia, w których analiza cyberbezpieczeństwa oparta na grafie zapewnia mierzalną wartość.

Tożsamość i ryzyko dostępu
Grafy zabezpieczeń ułatwiają wizualizowanie relacji między użytkownikami, grupami i zasobami. Dzięki temu organizacje mogą:
 

• Identyfikować ścieżki dostępu uprzywilejowanego.
• Wykrywać zachowanie ryzykownego użytkownika.
• Oceniać promień rażenia naruszonych tożsamości.

Te szczegółowe informacje mają podstawowe znaczenie dla rozwiązania Microsoft Security Exposure Management, które używa grafów narażenia na ataki do zarządzania obszarem podatnym na ataki i ochrony krytycznych zasobów.

Wyszukiwanie zagrożeń
Graf wyszukiwania zagrożeń w usłudze Microsoft Defender umożliwia analitykom:
 

• Przechodzenie przez złożone sieci relacji między użytkownikami, urządzeniami i działaniami.
• Ujawnij ukryte ścieżki, które osoby atakujące mogą wykorzystać.
• Określ priorytety zdarzeń na podstawie ryzyka dostępu i bliskości poufnych zasobów.

Przekształca to wyszukiwanie zagrożeń z reaktywnej obsługi alertów do aktywnego zarządzania lukami w zabezpieczeniach i odnajdowania.

Zabezpieczenia danych
Graf ryzyka związanego z danymi w usługach Microsoft Purview IRM i DSI obsługuje podobne cele poprzez:
 

• Mapowanie aktywności użytkowników w programie SharePoint i usłudze OneDrive.
• Identyfikowanie podejrzanego dostępu do danych i przenoszenia ich.
• Wizualizowanie potencjalnych ścieżek eksfiltracji i ryzykownego zachowania.

Te możliwości pomagają wykrywać zagrożenia wewnętrzne i zapobiegać wyciekom danych.

Zabezpieczenia w chmurze
Grafy zabezpieczeń integrują dane z usługi Microsoft Defender dla Chmury i innych usług firmy Microsoft w celu:
 

• Wizualizacji relacji zasobów w chmurze.
• Wykrywania błędów konfiguracji i ryzyka ekspozycji.
• Przekazywania rekomendacji dotyczących zabezpieczania środowisk w chmurze.

Obsługuje to ciągłą i proaktywną ochronę w konfiguracjach hybrydowych i konfiguracjach z wieloma chmurami.

Wydajność SOC
Graf zdarzeń w usłudze Defender rozszerza przepływy pracy SOC poprzez:
 

• Automatyczne korelowanie alertów i jednostek.
• Wizualizowanie scenariuszy promienia rażenia.
• Zrozumienie sposobu działania osób atakujących przy użyciu struktury&MITRE ATTCK.
• Pomaganie zespołom w określaniu priorytetów dotyczących zawierania i korygowania.

Skraca to czas odpowiedzi i usprawnia podejmowanie decyzji podczas aktywnych zdarzeń.