O que é um gráfico de segurança?

As ferramentas tradicionais de cibersegurança dependem muito de dados tabulares - listas de utilizadores, registos, alertas e eventos. Embora sejam úteis para armazenar factos, estas ferramentas têm dificuldade em revelar como esses factos se relacionam. Esta limitação dificulta o seguimento do movimento de um atacante, a correlação de incidentes ou a antecipação do impacto de uma violação.

Os gráficos de ciberataques ultrapassam estes desafios ao mapearem relações entre entidades como utilizadores, dispositivos, documentos e atividades. Esta vista ligada oferece:
 

• ⁠Conhecimento contextual - os gráficos de ativos mostram não só o que aconteceu, mas também como se enquadra no ambiente mais amplo, ao perguntarem quem esteve envolvido, que ativos foram afetados e que caminhos foram seguidos.
• ⁠Correlação entre origens de dados - ao ligarem pontos de dados dispersos, os gráficos ajudam os analistas a ligar os pontos entre eventos aparentemente não relacionados.
• ⁠Deteção de ligações ocultas - os gráficos revelam caminhos de acesso privilegiado, movimento lateral e cenários de raio de impacto que são quase impossíveis de descobrir com ferramentas tradicionais.

Esta mudança de dados estáticos para relações dinâmicas transforma estruturas de segurança, como desenvolvimento, segurança e operações (DevSecOps), tratamento de alertas reativos e de descoberta proativa de ameaças.

Os gráficos de segurança capacitam as equipas de resposta a incidentes com maior visibilidade, triagem mais rápida e correção mais precisa. Mapear relações e atividades permite às equipas de defesa passar de um tratamento reativo de alertas para uma investigação e contenção proativas.

Correlação de alertas
Em vez de correlacionar manualmente registos ou executar consultas complexas, o gráfico de incidentes no Microsoft Defender associa automaticamente alertas e entidades relacionados. Isto ajuda as equipas do centro de operações de segurança (SOC) a compreenderem o âmbito total de um incidente e a estabelecerem prioridades quanto aos sistemas que devem ser isolados e corrigidos em primeiro lugar, reduzindo o tempo de resposta e limitando o impacto nos negócios.

Rastreio da causa raiz
Os gráficos de segurança permitem aos analistas seguir a origem de um incidente ao visualizarem o raio de impacto de credenciais ou ativos comprometidos. Esta capacidade ajuda as equipas a antecipar o movimento do atacante e a descobrir o ponto inicial de comprometimento, fornecendo uma análise da causa raiz mais eficaz.

Visualização de gráficos
As vistas gráficas interativas no Defender e no Microsoft Purview fornecem uma imagem unificada, em tempo real, de utilizadores, ativos e atividades. Estas visualizações ajudam as equipas de investigação a ver não só o que aconteceu, mas também como se desenrolou - revelando caminhos de acesso, movimentação de dados e comportamento de risco numa única vista.

As operações de segurança exigem frequentemente o mapeamento de relações complexas, e é por isso que estas bases de dados tradicionais têm dificuldade neste processo:

Bases de dados relacionais (junções lentas)

• Armazenar dados em tabelas estruturadas.
• Exigem várias junções para comunicar entidades relacionadas.
• O desempenho degrada-se à medida que as relações aumentam.
• Não são ideais para modelar ambientes de segurança dinâmicos ou caminhos de ataque.

Bases de dados de documentos ou de pares chave-valor (relações limitadas)

• ⁠Concebidas para armazenar registos ou documentos individuais.
• ⁠Sem suporte nativo para modelar relações.
• ⁠Boas para pesquisas simples, mas fracas a revelar ligações entre entidades.
• ⁠Não conseguem seguir facilmente como utilizadores, dispositivos e ficheiros interagem numa violação.

As bases de dados gráficas, por outro lado, estão otimizadas para estas ligações complexas.

Bases de dados de gráficos

• ⁠Armazenam entidades como nós e relações como arestas.
• ⁠Permite uma travessia rápida de dados ligados.
• Ideal para casos de utilização de segurança, como autenticação, investigação de ameaças e investigação de riscos de dados.
• ⁠Potenciam experiências avançadas baseadas em gráficos no Microsoft Sentinel, Defender e Purview.

Os gráficos de segurança proporcionam capacidades poderosas em todo o ciclo de vida de segurança, incluindo avaliação de riscos, deteção de ameaças e resposta a incidentes. Abaixo estão os principais casos de utilização em que a análise de cibersegurança baseada em gráficos proporciona um valor mensurável.

Risco de identidade e acesso
Os gráficos de segurança ajudam a visualizar relações entre utilizadores, grupos e ativos. Isto permite às organizações:
 

• Identificar caminhos de acesso privilegiado.
• Detetar comportamento de utilizadores de risco.
• ⁠Avalie o raio de explosão de identidades comprometidas.

Estas informações são fundamentais para a Gestão de Exposição de Segurança da Microsoft, que utiliza gráficos de exposição para a gestão de superfícies de ataque e para proteger recursos críticos.

Investigação de ameaças
O gráfico de investigação no Microsoft Defender permite aos analistas:
 

• ⁠Percorram teias complexas de relações entre utilizadores, dispositivos e atividades.
• Revelar caminhos ocultos que os atacantes podem explorar.
• ⁠Priorizem incidentes com base no risco de acesso e na proximidade a ativos confidenciais.

Isto transforma a procura de ameaças do tratamento de alertas reativos para a gestão e descoberta de vulnerabilidades proativas.

Segurança de dados
O gráfico de risco de dados no Microsoft Purview IRM e DSI apoia objetivos semelhantes ao:
 

• ⁠Mapear a atividade de utilizadores no SharePoint e no OneDrive.
• Identificar acesso e movimentação de dados suspeitos.
• Visualização de possíveis vias de fuga de dados e comportamentos de risco.

Estas capacidades ajudam a detetar ameaças internas e a prevenir fugas de dados.

Segurança da cloud
Os gráficos de segurança integram dados do Microsoft Defender para a Cloud e de outros serviços Microsoft para:
 

• Visualizar relações entre recursos na cloud.
• Detetar configurações incorretas e riscos de exposição.
• ⁠Fornecer recomendações para proteger ambientes cloud.

Isto suporta uma defesa contínua e proativa em configurações híbridas e multicloud.

Eficiência do SOC
O gráfico de incidentes no Defender melhora os fluxos de trabalho do SOC ao:
 

• Correlacionar automaticamente alertas e entidades.
• Visualizar cenários do raio de explosão.
• Compreender como os atacantes operam com a estrutura MITRE ATT&CK.
• ⁠Ajudar as equipas a priorizar o isolamento e a remediação.

Isto reduz o tempo de resposta e melhora a tomada de decisões durante incidentes ativos.