Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Microsoft Security Exposure Management konsolidiert Sicherheitsstatusdaten aus all Ihren digitalen Ressourcen, sodass Sie Ihre Angriffsfläche zuordnen und Ihre Sicherheitsbemühungen auf Bereiche mit dem größten Risiko konzentrieren können. Daten aus Microsoft-Produkten werden automatisch übernommen, sobald sie mit Exposure Management verbunden sind, und Sie können weitere Datenkonnektoren aus externen Datenquellen hinzufügen.
Importierte Ressourcen und Datentypen
Die Absicht, eine Verbindung mit externen Produkten herzustellen, besteht darin, vollständige Sichtbarkeit für alle Ihre digitalen Ressourcen und alle Sicherheitskontexte zu schaffen, die sich auf Ihre Angriffsfläche auswirken könnten.
Hinweis
Zu diesem Zeitpunkt werden Geräte nur dann in den einheitlichen Bestand integriert, wenn sie ausreichende Identifizierungsattribute enthalten (z. B. MAC-Adresse, Cloudressourcenbezeichner oder andere unterstützte eindeutige Bezeichner). Wenn diese Informationen nicht vorhanden oder unvollständig sind, kann das System diese Objekte möglicherweise nicht auf der Seite "Gerätebestand" zuordnen oder darstellen.
In solchen Fällen sind Ressourcen möglicherweise weiterhin in Advanced Hunting sichtbar. Dies ist eine bekannteEinschränkung des aktuellen Onboarding- und Normalisierungsprozesses, und wir arbeiten aktiv daran, die Datenabdeckung zu verbessern und zu verbessern, wie diese Ressourcen über Erfahrungen hinweg dargestellt werden.
Zu diesem Zweck werden die folgenden Ressourcentypen, Kontextanreicherungen und Sicherheitsrisikoinformationen erfasst:
- Geräte
- Cloudressourcen
- Schwachstellen
- Informationen zur Asset-Kritikalität
- Bewertung des Anlagenrisikos
- Netzwerkdetails
- Erkenntnisse zur Exposition (z. B. Internet-Exposition)
- Benutzer (zukünftig)
- SaaS-Apps (zukünftig)
Die Ressourceninformationen und der Sicherheitskontext werden in das Exposure Management importiert und konsolidiert, um einen umfassenden Überblick über den Sicherheitsstatus aller digitalen Ressourcen zu erhalten. Zu den derzeit unterstützten externen Datenquellen gehören Qualys, Rapid7 InsightVM, Tenable Vulnerability Management und ServiceNow CMDB.
Über die Konnektoren erfasste Daten werden normalisiert und in den Exposure Graphen sowie das Geräteinventar integriert. Das Exposure Management nutzt den wertvollen Kontext und die gewonnenen Erkenntnisse, um eine genauere Bewertung Ihrer Angriffsfläche zu generieren und Ihnen ein tieferes Verständnis Ihres Expositionsrisikos zu ermöglichen. Diese Daten können im Geräteinventar, in Exposure Graph-Erkundungstools wie der Attack Surface Map und Advanced Hunting sowie innerhalb von Angriffspfaden verwendet werden, die auf der Grundlage der von den Konnektoren erfassten Anreicherungsdaten ermittelt werden.
Schließlich dienen diese Daten zusätzlich dazu, Sicherheitsmetriken zu verbessern, die Ihr Gefährdungsrisiko anhand eines bestimmten Kriteriums messen, und sie wirken sich auch auf breitere Organisationsinitiativen aus, die das Expositionsrisiko für eine Workload oder einen bestimmten Bedrohungsbereich messen.
Zu den Vorteilen der Verwendung externer Datenkonnektoren gehören:
- Normalisiert innerhalb des Belichtungsdiagramms
- Verbessern des Gerätebestands
- Zuordnen von Beziehungen
- Aufdecken neuer Angriffspfade
- Bereitstellen einer umfassenden Sichtbarkeit der Angriffsfläche
- Berücksichtigung der Kritikalität von Assets
- Anreicherung des Kontexts mit geschäftlicher Anwendung oder betrieblicher Zuordnung
- Visualisierung mit dem Attack-Map-Tool
- Erkundung mithilfe erweiterter Suchabfragen über KQL
Hinweis
Derzeit werden Sicherheitsrisiken, die über Datenkonnektoren ermittelt werden, nur im Exposure Graph angezeigt und lassen sich in der Attack Surface Map oder mit Advanced Hunting untersuchen.
Konnektordaten im Gerätebestand
Im Gerätebestand werden die Ermittlungsquellen für jedes Gerät angezeigt. Dabei handelt es sich um die Produkte, von denen wir einen Bericht auf diesem Gerät erhalten haben. Dazu können Microsoft-Sicherheitsprodukte wie MDE, MDC und MDI sowie externe Datenquellen wie Qualys oder ServiceNow CMDB gehören. Sie können nach einer oder mehreren Ermittlungsquellen innerhalb des Bestands filtern, um Geräte anzuzeigen, die speziell von diesen Quellen ermittelt wurden.
Verwaltung kritischer Ressourcen
Die Identifizierung kritischer Ressourcen ist entscheidend, um sicherzustellen, dass die wichtigsten Ressourcen in Ihrem organization vor dem Risiko von Datenschutzverletzungen und Betriebsunterbrechungen geschützt sind.
Anreicherungsinformationen zur Kritikalität von Assets werden aus den Datenkonnektoren abgerufen, auf Grundlage der in diesen externen Produkten berechneten Kritikalitätsbewertungen. Während diese Daten erfasst werden, enthält critical Asset Management integrierte Regeln, mit denen der vom Drittanbieterprodukt abgerufene Wichtigkeitswert in den Exposure Management-Kritischitätswert für jede Ressource transformiert werden kann. Sie können diese Klassifizierungen anzeigen und sie in der Benutzeroberfläche Kritische Ressourcenverwaltung aktivieren oder deaktivieren.
Belichtungsdiagramm
Um Ihre Ressourcen und Anreicherungsdaten zu untersuchen, die aus externen Datenprodukten abgerufen wurden, können Sie diese Informationen auch im Expositionsdiagramm anzeigen. Innerhalb der Angriffsflächenkarte können Sie die Knoten anzeigen, die die von Ihren Konnektoren erkannten Assets darstellen, wobei integrierte Symbole die Erkennungsquellen für jedes Asset anzeigen.
Indem Sie den Seitenbereich für die Ressource öffnen, können Sie auch die detaillierten Daten anzeigen, die vom Connector für jede Ressource abgerufen wurden.
Erweiterte Suche
Um die ermittelten und aufgenommenen Daten aus den externen Datenquellen zu untersuchen, können Sie im Expositionsdiagramm in Advanced Hunting Abfragen ausführen.
Beispiele:
Diese Abfrage gibt alle aus ServiceNow CMDB abgerufenen Ressourcen und ihre detaillierten Metadaten zurück.
ExposureGraphNodes
| where NodeProperties contains ("serviceNowCmdbAssetInfo")
| extend SnowInfo = NodeProperties.rawData.serviceNowCmdbAssetInfo
Diese Abfrage gibt alle aus Qualys abgerufenen Ressourcen zurück.
ExposureGraphNodes
| where EntityIds contains ("QualysAssetId")
Diese Abfrage gibt alle von Rapid7 gemeldeten Sicherheitsrisiken (CVEs) für erfasste Ressourcen zurück.
ExposureGraphEdges
| where EdgeLabel == "affecting"
| where SourceNodeLabel == "Cve"
| where isnotempty(EdgeProperties.rawData.rapid7ReportInfo)
| project AssetName = TargetNodeName, CVE = SourceNodeName
Diese Abfrage gibt alle von Tenable gemeldeten Sicherheitsrisiken (CVEs) für erfasste Ressourcen zurück.
ExposureGraphEdges
| where EdgeLabel == "affecting"
| where SourceNodeLabel == "Cve"
| where isnotempty(EdgeProperties.rawData.tenableReportInfo)
| project AssetName = TargetNodeName, CVE = SourceNodeName
Hinweis
Beachten Sie bei der Problembehandlung von AH-Abfragen (Advanced Hunting), die nicht funktionieren oder keine Ergebnisse liefern, dass beim Feld "reportedBy" die Groß-/Kleinschreibung beachtet wird. Gültige Werte sind z. B. "rapid7", "tenable" usw.
Angriffspfade
Security Exposure Management generiert automatisch Angriffspfade basierend auf den Daten, die über Ressourcen und Workloads hinweg gesammelt werden, einschließlich Daten von externen Connectors. Es simuliert Angriffsszenarien und identifiziert Sicherheitsrisiken und Schwachstellen, die ein Angreifer ausnutzen könnte.
Hinweis
Angriffspfade werden derzeit nicht für OT-Datenkonnektoren unterstützt.
Wenn Sie Angriffspfade in Ihrer Umgebung untersuchen, können Sie die Ermittlungsquellen anzeigen, die zu diesem Angriffspfad beigetragen haben, basierend auf der grafischen Ansicht des Pfads.
