Đồ thị bảo mật là gì?

Các công cụ an ninh mạng truyền thống phụ thuộc nhiều vào dữ liệu dạng bảng – danh sách người dùng, nhật ký, cảnh báo và sự kiện. Dù đóng vai trò hữu ích để lưu trữ dữ kiện, các công cụ này gặp khó khăn trong việc thể hiện cách những dữ kiện đó liên kết với nhau. Điểm hạn chế này khiến việc lần theo chuyển động của kẻ tấn công, đối chiếu các sự cố hoặc dự đoán tác động của một vụ xâm phạm trở nên khó khăn.

Đồ thị tấn công qua mạng khắc phục những thách thức này bằng cách ánh xạ các mối quan hệ giữa các thực thể như người dùng, thiết bị, tài liệu và hoạt động. Dạng xem kết nối này cung cấp:
 

• ⁠Nhận thức về ngữ cảnh – đồ thị tài sản không chỉ cho thấy những gì đã xảy ra, mà còn cho biết sự kiện đó phù hợp như thế nào trong môi trường rộng hơn bằng cách đặt những câu hỏi như ai đã tham gia, tác động đến tài sản nào và đi qua đường nào.
• ⁠Mối tương quan giữa các nguồn dữ liệu – bằng cách liên kết các điểm dữ liệu rời rạc, đồ thị giúp nhà phân tích kết nối các dấu chấm giữa những sự kiện tưởng như không liên quan gì đến nhau.
• ⁠Khả năng phát hiện các kết nối ẩn – đồ thị tiết lộ các đường truy cập đặc quyền, chuyển động ngang và các kịch bản về bán kính ảnh hưởng mà gần như không thể phát hiện bằng những công cụ truyền thống.

Bước chuyển từ dữ liệu tĩnh sang mối quan hệ động này sẽ biến đổi các khung bảo mật, chẳng hạn như phát triển, bảo mật và điều hành (DevSecOps), xử lý cảnh báo phản ứng và chủ động khám phá mối đe dọa.

Đồ thị bảo mật hỗ trợ đắc lực cho nhóm ứng phó sự cố, với khả năng quan sát sâu hơn, phân loại nhanh hơn và khắc phục chính xác hơn. Thông qua việc ánh xạ các mối quan hệ và hoạt động, đội ngũ phòng thủ có thể chuyển từ xử lý cảnh báo phản ứng sang chủ động điều tra và ngăn chặn.

Đối chiếu cảnh báo
Thay vì tự tìm cách đối chiếu nhật ký hoặc chạy các truy vấn phức tạp, đồ thị sự cố trong Microsoft Defender sẽ tự động liên kết các cảnh báo và thực thể có liên quan. Nhờ đó, nhóm trung tâm điều hành an ninh (SOC) có thể nắm được phạm vi toàn cảnh của sự cố cũng như ưu tiên cần ngăn chặn và khắc phục hệ thống nào trước – nhằm giảm thời gian ứng phó và hạn chế mức tác động đến doanh nghiệp.

Theo dõi nguyên nhân gốc rễ
Đồ thị bảo mật cho phép nhà phân tích truy vết nguồn gốc của một sự cố bằng cách trực quan hóa bán kính ảnh hưởng của thông tin xác thực hoặc tài sản bị xâm phạm. Nhờ có khả năng này, các nhóm có thể dự đoán chuyển động của kẻ tấn công và phát hiện điểm xâm phạm ban đầu, qua đó hỗ trợ phân tích nguyên nhân gốc rễ một cách hiệu quả hơn.

Trực quan hóa đồ thị
Dạng xem biểu đồ tương tác trong Defender và Microsoft Purview cung cấp bức tranh toàn diện và tức thì về người dùng, tài sản và hoạt động. Thông qua các phương pháp trực quan hóa này, người điều tra không chỉ nắm được những gì đã xảy ra, mà còn biết sự việc đã diễn ra như thế nào. Nhờ đó, họ có thể cho biết đường truy cập, kiểu chuyển động dữ liệu và hành vi rủi ro trong một giao diện tổng quan duy nhất.

Hoạt động bảo mật thường cần ánh xạ các mối quan hệ phức tạp. Chính vì thế, các cơ sở dữ liệu truyền thống gặp khó khăn với quy trình này:

Cơ sở dữ liệu quan hệ (phép nối chậm)

• Lưu trữ dữ liệu trong các bảng có cấu trúc.
• Cần nhiều phép nối để kết nối các thực thể liên quan.
• Hiệu suất giảm khi số lượng mối quan hệ tăng lên.
• Không lý tưởng để mô hình hóa các đường tấn công hoặc môi trường bảo mật linh hoạt.

Cơ sở dữ liệu dạng tài liệu hoặc khóa-giá trị (mối quan hệ hạn chế)

• ⁠Được thiết kế để lưu trữ các bản ghi hoặc tài liệu riêng lẻ.
• Thiếu khả năng hỗ trợ gốc để mô hình hóa mối quan hệ.
• ⁠Tốt cho hoạt động tra cứu đơn giản, nhưng khó làm rõ mối kết nối giữa các thực thể.
• ⁠Không thể dễ dàng theo dõi cách người dùng, thiết bị và tệp tương tác trong một vụ xâm nhập.

Ngược lại, cơ sở dữ liệu đồ thị được tối ưu hóa cho các kết nối phức tạp này.

Cơ sở dữ liệu đồ thị

• ⁠Lưu trữ các thực thể dưới dạng nút và các mối quan hệ dưới dạng cạnh.
• Cho phép duyệt nhanh trên dữ liệu được kết nối.
• Lý tưởng cho các trường hợp sử dụng về hoạt động bảo mật, chẳng hạn như xác thực, tìm kiếm mối đe dọa và điều tra rủi ro dữ liệu.
• ⁠Hỗ trợ các trải nghiệm dựa trên đồ thị nâng cao trong Microsoft Sentinel, Defender và Purview.

Đồ thị bảo mật mang đến các khả năng mạnh mẽ trên toàn bộ vòng đời bảo mật – bao gồm đánh giá rủi ro, phát hiện mối đe dọa và ứng phó sự cố. Dưới đây là các trường hợp sử dụng chính mà hoạt động phân tích an ninh mạng dựa trên đồ thị mang lại giá trị có thể đo lường.

Danh tính và quyền truy cập
Đồ thị bảo mật giúp trực quan hóa các mối quan hệ giữa người dùng, nhóm và tài sản. Nhờ đó, các tổ chức có thể:
 

• Xác định các đường truy cập đặc quyền.
• Phát hiện hành vi người dùng tiềm ẩn rủi ro.
• ⁠Đánh giá bán kính ảnh hưởng của danh tính bị xâm phạm.

Những thông tin chuyên sâu này là nền tảng của giải pháp Quản lý mức rủi ro bảo mật Microsoft – sử dụng đồ thị mức rủi ro để quản lý bề mặt tấn công và bảo vệ các tài sản quan trọng.

Tìm kiếm mối đe dọa
Đồ thị tìm kiếm trong Microsoft Defender cho phép nhà phân tích:
 

• ⁠Chuyển ngang các mạng lưới quan hệ phức tạp giữa người dùng, thiết bị và hoạt động.
• Tiết lộ các đường dẫn ẩn mà kẻ tấn công có thể khai thác.
• ⁠Ưu tiên sự cố dựa trên rủi ro truy cập và mức độ kết nối lân cận với các tài sản nhạy cảm.

Điều này biến hoạt động tìm kiếm mối đe dọa từ xử lý cảnh báo mang tính phản ứng thành chủ động khám phá và quản lý lỗ hổng.

Bảo mật dữ liệu
Đồ thị rủi ro dữ liệu trong IRM và DSI của Microsoft Purview hỗ trợ các mục tiêu tương tự bằng cách:
 

• Ánh xạ hoạt động của người dùng trên SharePoint và OneDrive.
• Xác định hoạt động truy cập và di chuyển dữ liệu đáng ngờ.
• Trực quan hóa các đường dẫn có thể bị lợi dụng để đánh cắp dữ liệu và hành vi rủi ro.

Các khả năng này giúp phát hiện mối đe dọa nội gián và ngăn chặn rò rỉ dữ liệu.

Bảo mật đám mây
Đồ thị bảo mật tích hợp dữ liệu từ Microsoft Defender for Cloud và các dịch vụ Microsoft khác để:
 

• Trực quan hóa mối quan hệ của tài sản trên đám mây.
• Phát hiện lỗi cấu hình và rủi ro lộ dữ liệu.
• Đưa ra các đề xuất để bảo mật môi trường đám mây.

Điều này hỗ trợ khả năng phòng thủ liên tục và chủ động trong các cách thiết lập đa đám mây và kết hợp.

Hiệu năng của SOC
Đồ thị sự cố trong Defender tăng cường quy trình làm việc của SOC bằng cách:
 

• Tự động đối chiếu các cảnh báo và thực thể.
• Trực quan hóa các kịch bản về bán kính ảnh hưởng.
• Nắm rõ cách kẻ tấn công hoạt động nhờ khung MITRE ATTCK&.
• Giúp các nhóm ưu tiên hoạt động ngăn chặn và khắc phục.

Nhờ đó, các nhóm có thể giảm thời gian ứng phó và cải thiện quá trình ra quyết định trong các sự cố đang diễn ra.