Schemas und Operatoren

Schemata für Unternehmens-Expositionsdiagramme in Microsoft Security Exposure Management stellen Informationen zur Angriffsfläche bereit, damit Sie verstehen können, wie potenzielle Bedrohungen wertvolle Ressourcen möglicherweise erreichen und kompromittieren könnten. In diesem Artikel werden die Schematabellen und Operatoren des Expositionsdiagramms zusammengefasst.

Schematabellen

Das Belichtungsdiagramm basiert auf den folgenden Tabellen:

  • ExposureGraphNodes
  • ExposureGraphEdges

ExposureGraphNodes

ExposureGraphNodes enthält Organisationsentitäten und deren Eigenschaften. Dazu gehören Entitäten wie Geräte, Identitäten, Benutzergruppen und Cloudressourcen wie virtuelle Computer (VMs), Speicher und Container. Jeder Knoten entspricht einer einzelnen Entität und kapselt Informationen zu ihren Merkmalen, Attributen und sicherheitsbezogenen Erkenntnissen innerhalb der Organisationsstruktur.

Im Folgenden sind ExposureGraphNodes-Spaltennamen , -Typen und -Beschreibungen aufgeführt:

  • NodeId (string) – Ein eindeutiger Knotenbezeichner. Beispiel: "650d6aa0-10a5-587e-52f4-280bfc014a08"
  • NodeLabel (string): Die Knotenbezeichnung. Beispiele: "microsoft.compute/virtualmachines", "elasticloadbalancing.loadbalancer"
  • NodeName (string): Der Anzeigename des Knotens. Beispiel: "nlb-test" (Name eines Network Load Balancers)
  • Categories (Dynamic (json)) – Die Kategorien des Knotens. Beispiel:
[
  "compute",
  "virtual_machine"
]
  • NodeProperties (Dynamic (json)) – Eigenschaften des Knotens, einschließlich Erkenntnissen im Zusammenhang mit der Ressource, z. B. ob die Ressource für das Internet verfügbar gemacht wird oder anfällig für Remotecodeausführung ist. Die Werte liegen im Rohdatenformat (unstrukturiert) vor. Beispiel:
{   
"rawData": {
"osType": "linux",   
"exposed to the internet": 
{     
"routes": [ { … } ]   
}
} 
}
  • EntityIds (Dynamic (json)): Alle bekannten Knotenbezeichner. Beispiel:
{ 
"AzureResourceId": "A1",  
"MdeMachineId": "M1", 
}

ExposureGraphEdges

Das ExposureGraphEdges-Schema bietet zusammen mit dem ergänzenden ExposureGraphNodes-Schema Einblick in die Beziehungen zwischen Entitäten und Ressourcen im Diagramm. Viele Huntingszenarien erfordern die Untersuchung von Entitätsbeziehungen und Angriffspfaden. Wenn Sie beispielsweise nach Geräten suchen, die einem bestimmten kritischen Sicherheitsrisiko ausgesetzt sind, kann die Kenntnis der Beziehung zwischen Entitäten kritische Organisationsressourcen aufdecken.

Im Folgenden sind die Spaltennamen, Bezeichnungen und Beschreibungen von ExposureGraphEdges aufgeführt:

  • EdgeId (string) – Der eindeutige Bezeichner für die Beziehung/den Edge.
  • EdgeLabel (string) - Die Kantenbeschriftung. Beispiele: „affecting“, „routes traffic to“, „is running“ und „contains“. Sie können eine Liste der Edge-Bezeichnungen anzeigen, indem Sie den Graphen abfragen. Weitere Informationen finden Sie unter Auflisten aller Edge-Bezeichnungen in Ihrem Mandanten.
  • SourceNodeId (string) - Knoten-ID der Quelle der Kante. Beispiel: "12346aa0-10a5-587e-52f4-280bfc014a08"
  • SourceNodeName (string) – Der Anzeigename des Quellknotens. Beispiel: "mdvmaas-win-123"
  • SourceNodeLabel (string) – Die Bezeichnung des Quellknotens. Beispiel: "microsoft.compute/virtualmachines"
  • SourceNodeCategories (Dynamic (json)): Die Kategorienliste des Quellknotens.
  • TargetNodeId (string) - Die Knoten-ID des Ziels der Kante. Beispiel: "45676aa0-10a5-587e-52f4-280bfc014a08"
  • TargetNodeName (string) – Anzeigename des Zielknotens. Beispiel: gke-test-cluster-1
  • TargetNodeLabel (string) – Die Zielknotenbezeichnung. Beispiel: "compute.instances"
  • TargetNodeCategories (Dynamic (json)) – Die Kategorienliste des Zielknotens.
  • EdgeProperties (Dynamic (json)) – Optionale Daten, die für die Beziehung zwischen den Knoten relevant sind. Beispiel: Stellen Sie für das EdgeLabel „routes traffic to“ mit EdgeProperties von networkReachability Informationen zu den Port- und Protokollbereichen bereit, die zum Übertragen von Datenverkehr von Punkt A nach B verwendet werden.
{   
 "rawData": {
  "networkReachability": {
    "type": "NetworkReachability",
    "routeRules": [
      {
        "portRanges": [
          "8083"
        ],
        "protocolRanges": [
          "6"
        ]
      },
      {
        "portRanges": [
          "80"
        ],
        "protocolRanges": [
          "6"
        ]
      },
      {
        "portRanges": [
          "443"
        ],
        "protocolRanges": [
          "6"
        ]
      }
    ]
  }
}
}

KQL-Operatoren (Graph Kusto-Abfragesprache)

Microsoft Security Exposure Management basiert auf Belichtungsdiagrammtabellen und eindeutigen Belichtungsdiagrammoperatoren, um Vorgänge über Graphstrukturen zu ermöglichen. Das Diagramm wird mithilfe des make-graph -Operators aus tabellarischen Daten erstellt und dann mithilfe von Graphoperatoren abgefragt.

Der Operator „make-graph“

Das make-graph operator erstellt eine Graphstruktur aus tabellarischen Eingaben für Kanten und Knoten. Weitere Informationen zur Verwendung und Syntax finden Sie unter Make-Graph-Operator.

Der Graphabgleichsoperator

Der graph-match Operator sucht nach allen Vorkommen eines Graphmusters in einer Eingabegraphquelle. Weitere Informationen finden Sie unter Graph-Match-Operator.

Nächste Schritte

Fragen Sie das Enterprise-Expositionsdiagramm ab.

  • Last updated on