Güvenlik grafiği nedir?

Geleneksel siber güvenlik araçları, tablo biçimindeki verilere büyük ölçüde dayanır. Bu veriler, kullanıcı listeleri, günlükler, uyarılar ve olaylardan oluşur. Bu araçlar, gerçekleri depolamak için yararlı olsa da bu gerçeklerin nasıl bağlantılı olduğunu göstermekte zorlanır. Bu sınırlama, saldırgan hareketlerini izlemeyi, olaylar arasında ilişki kurmayı veya bir ihlalin etkisini öngörmeyi zorlaştırır.

Siber saldırı grafikleri, kullanıcılar, cihazlar, belgeler ve etkinlikler gibi varlıklar arasındaki ilişkileri eşleyerek bu zorlukların üstesinden gelir. Bu bağlantılı görünüm şunları sağlar:
 

• ⁠Bağlamsal farkındalık—varlık grafikleri yalnızca ne olduğunu değil, kimin dahil olduğunu, hangi varlıklara dokunulduğunu ve hangi yolların izlendiğini sorarak bunun daha geniş ortama nasıl uyduğunu gösterir.
• ⁠Veri kaynakları arasında bağıntı—farklı veri noktalarını birbirine bağlayarak grafikleri, analistlerin ilk bakışta ilgisiz görünen olaylar arasındaki bağlantıları kurmasına yardımcı olur.
• ⁠Gizli bağlantıların algılanması—grafikler, ayrıcalıklı erişim yollarını, yatay hareketi ve patlama alanı senaryolarını ortaya çıkarır. Bunları geleneksel araçlarla tespit etmek neredeyse imkansızdır.

Statik veriden dinamik ilişkilere geçiş, geliştime, güvenlik ve operasyonlar (DevSecOps), reaktif uyarı yönetimi ve proaktif tehdit keşfi gibi güvenlik çerçevelerini dönüştürür.

Güvenlik grafikleri, olay yanıtı ekiplerine daha derin görünürlük, daha hızlı değerlendirme ve daha hassas düzeltme sağlar. İlişkilerin ve etkinliklerin haritalandırılması, savunucuların reaktif uyarı yönetiminden proaktif araştırms ve bağımlılığa geçmesini sağlar.

Bağıntı uyarısı
Manuel olarak günlükleri ilişkilendirmek veya karmaşık sorgular çalıştırmak yerine, Microsoft Defender’daki olay grafiği, ilişkili uyarıları ve varlıkları otomatik olarak birbirine bağlar. Bu, güvenlik operasyon merkezi (SOC) ekiplerinin bir olayın kapsamını tam olarak anlamasına ve hangi sistemlerin önce izole edilip düzeltilmesi gerektiğini önceliklendirmesine yardımcı olur—yanıt süresini azaltır ve iş etkisini sınırlar.

Kök neden izleme
Güvenlik grafikleri, risk altındaki kimlik bilgileri veya varlıkların patlama alanını görselleştirerek analistlerin bir olayın kaynağını izlemesine olanak tanır. Bu işlev, ekiplerin saldırganın hareketlerini öngörmesine ve ilk ihlal noktasını ortaya çıkarmasına yardımcı olarak daha etkili kök neden analizi yapılmasını sağlar.

Grafik görselleştirme
Microsoft Defender ve Microsoft Purview’daki etkileşimli grafik görünümleri, kullanıcılar, varlıklar ve etkinliklere ilişkin birleşik ve gerçek zamanlı bir görünüm sunar. Bu görselleştirmeler, analistlerin yalnızca ne olduğunu değil, bunun nasıl geliştiğini de görmesine yardımcı olur. Erişim yollarını, veri taşıma ve riskli davranışları tek bir ekranda ortaya çıkarır.

Güvenlik operasyonları genellikle karmaşık ilişkilerin eşleştirilmesini gerektirir; bu nedenle geleneksel veritabanları bu süreçte zorlanır.

İlişkisel veritabanları (yavaş birleştirmeler)

• Verileri yapılandırılmış tablolarda depolar.
• İlişkili varlıkları bağlamak için birden çok birleştirme gerekir.
• İlişkiler arttıkça performans düşer.
• Dinamik güvenlik ortamlarını veya saldırı yollarını modellemek için ideal değildir.

Belge veya anahtar değer veritabanları (sınırlı ilişkiler)

• Tekil kayıtları veya belgeleri depolamak için tasarlanmıştır.
• İlişkileri modelleme için yerel desteği yoktur.
• Basit aramalar için iyidir ancak varlıklar arasındaki bağlantıları ortaya çıkarmada zayıftır.
• Kullanıcıların, cihazların ve dosyaların bir ihlal sırasında nasıl etkileşime girdiğini kolayca izleyemez.

Öte yandan grafik veritabanları, bu karmaşık bağlantılar için optimize edilmiştir.

Grafik veritabanları

• Varlıkları düğümler, ilişkileri ise kenarlar olarak depolar.
• Bağlı veriler arasında hızlı dolaşma sağlar.
• Kimlik doğrulama, tehdit avcılığı ve veri risk analizi gibi güvenlik kullanım senaryoları için idealdir.
• Microsoft Sentinel, Defender ve Purview genelinde gelişmiş grafik tabanlı deneyimlere güç verir.

Güvenlik grafikleri, risk değerlendirmesi, tehdit algılama ve olay yanıtı dahil olmak üzere tüm güvenlik yaşam döngüsü boyunca güçlü özellikler sunar. Aşağıda, grafik tabanlı siber güvenlik analitiğinin ölçülebilir değer sunduğu temel kullanım senaryoları yer alır.

Kimlik ve erişim
Güvenlik grafikleri, kullanıcılar, gruplar ve varlıklar arasındaki ilişkilerin görselleştirilmesine yardımcı olur. Bu, kuruluşların şunları yapmasına olanak tanır:
 

• Ayrıcalıklı erişim yollarını belirleyin.
• Riskli kullanıcı davranışlarını algılayın.
• Risk altındaki kimliklerin etki alanını değerlendirin.

Bu içgörüler, Microsoft Güvenlik Korunma Düzeyi Yönetimi’nin temelini oluşturur ve saldırı yüzeyi yönetimi ile kritik varlıkların korunması için korunma düzeyi grafikleri kullanır.

Tehdit avcılığı
Microsoft Defender içindeki avlama grafiği, analistlerin şu işlemleri yapmasına olanak tanır:
 

• Kullanıcılar, cihazlar ve etkinlikler arasındaki karmaşık ilişki ağlarında dolaşmak.
• Saldırganların yararlanabileceği gizli yolları ortaya çıkarmak.
• Erişim riskine ve hassas varlıklara yakınlığa göre olaylara öncelik vermek.

Bu, tehdit avcılığını reaktif uyarı yönetiminden proaktif güvenlik açığı yönetimi ve keşfe dönüştürür.

Veri güvenliği
Microsoft Purview IRM ve DSI içindeki veri riski grafiği, şu yollarla benzer hedefleri destekler:
 

• SharePoint ve OneDrive genelinde kullanıcı etkinliğini eşleme.
• Şüpheli veri erişimini ve hareketini belirleme.
• Olası veri sızdırma yollarını ve riskli davranışları görselleştirin.

Bu yetenekler, içeriden gelen tehditlerin tespit edilmesine ve veri sızıntılarının önlenmesine yardımcı olur.

Bulut güvenliği
Güvenlik grafikleri, aşağıdakileri gerçekleştirmek için Microsoft Defender for Cloud ve diğer Microsoft hizmetlerinden gelen verileri tümleştirir:
 

• Bulut varlık ilişkilerini görselleştirin
• Yanlış yapılandırmaları ve korunma düzeyi risklerini algılayın.
• Bulut ortamlarını güvenli hale getirmek için öneriler sunun.

Bu, hibrit ve çok bulutlu kurulumlarda sürekli ve proaktif savunmayı destekler.

SOC verimliliği
Defender içindeki olay grafiği, SOC iş akışlarını şu şekilde geliştirir:
 

• Uyarıları ve varlıkları otomatik olarak ilişkilendirme.
• Patlama yarıçapı senaryolarını görselleştirme.
• MITRE ATT&CK çerçevesi ile saldırganların nasıl çalıştığını anlamak.
• Ekiplerin bağımlılık ve düzeltmeyi önceliklendirmesine yardımcı olmak.

Bu, aktif olaylar sırasında yanıt süresini azaltır ve karar alma süreçlerini iyileştirir.