Vad är en säkerhetsgraf?

Traditionella cybersäkerhets-verktyg är starkt beroende av tabellbaserade data – listor över användare, loggar, aviseringar och händelser. De är användbara för att lagra fakta, men de har svårt att visa hur fakta hänger ihop. Begränsningen gör det svårt att spåra angripares rörelser, korrelera incidenter eller förutse konsekvenserna av ett intrång.

Grafer över cyberattacker löser de här utmaningarna genom att kartlägga relationer mellan entiteter som användare, enheter, dokument och aktiviteter. Den här sammanlänkade vyn ger:
 

• ⁠Sammanhangsbaserad medvetenhet–tillgångsgrafer visar inte bara vad som hände, utan också hur det passar in i den bredare miljön genom att fråga vem som var inblandad, vilka tillgångar som berördes och vilka vägar som användes.
• ⁠Korrelation mellan datakällor–genom att koppla samman olika datapunkter hjälper grafer analytiker att hitta samband mellan till synes orelaterade händelser.
• ⁠Identifiering av dolda kopplingar–grafer avslöjar privilegierade åtkomstvägar, förflyttning i sidled och scenarier för spridningsyta som är nästan omöjliga att upptäcka med traditionella verktyg.

Förflyttningen från statiska data till dynamiska relationer förändrar säkerhetsramverk, till exempel utveckling, säkerhet och drift (DevSecOps), reaktiv hantering av aviseringar och proaktiv upptäckt av hot.

Säkerhetsgrafer ger incidenthanteringsteam större insyn, snabbare prioritering och mer exakt reparation. Genom att kartlägga relationer och aktiviteter kan försvarare gå från reaktiv hantering av aviseringar till proaktiv utredning och avgränsning.

Aviseringskorrelation
Istället för att manuellt korrelera loggar eller köra komplexa frågor, länkar incidentgrafen i Microsoft Defender automatiskt relaterade aviseringar och entiteter. Det hjälper teamen i säkerhetscentret att förstå hela omfattningen av en incident och prioritera vilka system som ska avgränsas och åtgärdas först – vilket minskar svarstiden och begränsar påverkan på verksamheten.

Spårning av grundorsak
Säkerhetsgrafer gör att analytiker kan spåra ursprunget till en incident genom att visualisera spridningsytan för komprometterade autentiseringsuppgifter eller tillgångar. Den här möjligheten hjälper team att förutse angripares rörelser och hitta den ursprungliga angreppspunkten, vilket ger en mer effektiv grundorsaksanalys.

Grafvisualisering
Interaktiva grafvyer i Defender och Microsoft Purview ger en enhetlig, realtidsbild av användare, tillgångar och aktiviteter. De här visualiseringarna hjälper utredare att se inte bara vad som hände, utan hur det utvecklades – och visar åtkomstvägar, datarörelser och riskfyllt beteende i en enda vy.

Säkerhetsarbete kräver ofta kartläggning av komplexa relationer, vilket är anledningen till att de här traditionella databaserna har svårt med processen:

Relationsdatabaser (långsamma kopplingar)

• Lagra data i strukturerade tabeller.
• Kräver flera kopplingar för att länka samman relaterade entiteter.
• Prestanda försämras i takt med att relationerna ökar.
• Inte idealiska för att modellera dynamiska säkerhetsmiljöer eller attackvägar.

Dokument- eller nyckelvärdesdatabaser (begränsade relationer)

• ⁠Utformade för att lagra enskilda poster eller dokument.
• Saknar inbyggt stöd för att modellera relationer.
• ⁠Bra för enkla sökningar, men dåliga på att visa kopplingar mellan entiteter.
• ⁠Kan inte enkelt spåra hur användare, enheter och filer samverkar vid ett intrång.

Grafdatabaser är däremot optimerade för de här komplexa kopplingarna.

Grafdatabaser

• ⁠Lagra entiteter som noder och relationer som kanter.
• Möjliggör snabb traversering av sammanlänkade data.
• ⁠Perfekta för säkerhetsanvändningsfall, till exempel autentisering, hotjakt och utredning av datarisker.
• Ger avancerade grafbaserade upplevelser i Microsoft Sentinel, Defender och Purview.

Säkerhetsgrafer levererar kraftfulla funktioner genom hela säkerhetslivscykeln – bland annat riskbedömning, hotidentifiering och incidenthantering. Nedan följer viktiga användningsfall där grafbaserad cybersäkerhetsanalys skapar mätbart värde.

Risker med identitetshantering
Säkerhetsgrafer hjälper till att visualisera relationer mellan användare, grupper och tillgångar. Det här gör det möjligt för organisationer att:
 

• Identifiera vägar till privilegierad åtkomst.
• Identifiera riskfyllt användarbeteende.
• ⁠Bedöma skadeomfattningen för stulna identiteter.

De här insikterna är grundläggande för Microsoft Security Exposure Management, som använder exponeringsgrafer för hantering av attackytan och för att skydda kritiska tillgångar.

Hotjakt
Jaktgrafen i Microsoft Defender gör det möjligt för analytiker att:
 

• ⁠Navigera genom komplexa nät av relationer mellan användare, enheter och aktiviteter.
• Avslöja dolda vägar som angripare kan utnyttja.
• ⁠Prioritera incidenter baserat på åtkomstrisk och närhet till känsliga tillgångar.

Det här omvandlar hotjakt från reaktiv hantering av aviseringar till proaktiv identifiering och hantering av säkerhetsrisker.

Datasäkerhet
Data risk-grafen i Microsoft Purview IRM och DSI stöder liknande mål genom att:
 

• Sammankoppla användaraktivitet mellan SharePoint och OneDrive.
• Identifiera misstänkt dataåtkomst och dataförflyttning.
• Visualisera möjliga exfiltreringsvägar och riskfyllt beteende.

De här funktionerna hjälper till att identifiera interna hot och förhindra dataintrång.

Molnsäkerhet
Säkerhetsgrafer integrerar data från Microsoft Defender för molnet och andra Microsoft-tjänster för att:
 

• Visualisera relationer mellan molnresurser.
• Identifiera felkonfigurationer och exponeringsrisker.
• Ge rekommendationer för att säkra molnmiljöer.

Det här stöder ett kontinuerligt och proaktivt försvar i hybrid- och molnmiljöer med flera moln.

Effektivt säkerhetsarbete
Incidentgrafen i Defender förbättrar säkerhetscentrets arbetsflöden genom att:
 

• Automatiskt korrelera aviseringar och entiteter.
• Visualisera scenarier för skadeomfattning.
• Förstå hur angripare arbetar med MITRE ATT&CK-ramverket.
• Hjälpa team att prioritera avgränsning och åtgärdande.

Det här minskar svarstiden och förbättrar beslutsfattandet under pågående incidenter.