Identifizieren von Angriffspfaden und Drosselpunkten
Die Analyse des Angriffspfads in Defender CSPM zeigt die realistischen Ausbeutungsketten an, die es einem Angreifer ermöglichen könnten, Ihre kritischen Ressourcen zu erreichen. Für Contoso Healthcare ist das Verständnis von Angriffspfaden unerlässlich. Wenn eine im Internet verfügbar gemachte VM mit einer Sicherheitslücke in der Umgebung vorhanden ist, muss das Sicherheitsteam wissen, ob ein Angreifer ihn verwenden könnte, um den Patiententriage-Assistenten oder das Dataset für medizinische Aufzeichnungen zu erreichen, das die KI-Modelle begründet. Hier erfahren Sie, wie die Analyse des Angriffspfads funktioniert, im Defender-Portal navigieren, einzelne Pfade untersuchen und verstehen, wie Angriffspfade auf KI-Workloads ausgedehnt werden.
| Angriffspfadelement | Beschreibung |
|---|---|
| Eingangsstelle | Externer Zugriffspunkt, an dem ein Angriff beginnen könnte – z. B. eine im Internet verfügbar gemachte VM oder öffentlich zugänglicher Speicher |
| Zielressource | Die kritische Ressource, die ein Angreifer erreichen möchte – z. B. eine Datenbank mit Patientendatensätzen oder einen Azure KI-Modellendpunkt |
| Drosselungspunkt | Ein Knoten, in dem mehrere Angriffspfade zusammengeführt werden – durch das Beheben eines Drosselpunkts können mehrere Angriffspfade gleichzeitig abgebrochen werden. |
| Anfälliger Knoten | Eine Ressource mit einem Sicherheitsproblem, das die Lateralbewegung entlang des Pfads ermöglicht |
Verstehen, wie die Analyse des Angriffspfads funktioniert
Die Analyse des Angriffspfads verwendet einen proprietären Algorithmus, um realistische Ausbeutungsketten in Ihrer Umgebung zu identifizieren. Der Algorithmus konzentriert sich auf echte, extern gesteuerte und ausnutzbare Bedrohungen – Pfade, die außerhalb Ihrer Organisation beginnen und zu geschäftskritischen Zielen führen.
Der Algorithmus berücksichtigt nur, was tatsächlich erreichbar und aus externen Einstiegspunkten ausgenutzt werden kann. Eine liste mit kurzen oder leeren Angriffspfaden bedeutet, dass der Algorithmus keine bestätigten extern ausnutzbaren Pfade zu Ihren kritischen Ressourcen gefunden hat – ein positives Sicherheitssignal, kein Plattformproblem.
Für die Angriffspfadanalyse muss der Defender CSPM-Plan mit agentloser Überprüfung aktiviert sein. Standardmäßig werden Angriffspfade nach Risikostufe – Hoch, Mittel oder Niedrig – mit demselben kontextabhängigen Risikopriorisierungsmodul organisiert, das Sicherheitsempfehlungen bewertet. Die Risikostufe spiegelt Umweltfaktoren wie Internetexposition, Identitätsberechtigungen und die Kritischität von Zielressourcen wider.
Hinweis
Die Analyse des Angriffspfads befindet sich derzeit in der Vorschau. Vorschaufeatures können geändert werden und haben möglicherweise eine eingeschränkte Verfügbarkeit.
Navigieren in der Angriffspfadanalyse im Defender-Portal
Sie greifen über den Abschnitt "Exposure Management" des Microsoft Defender-Portals auf die Analyse des Angriffspfads zu. Melden Sie sich bei security.microsoft.com beim Microsoft Defender-Portal an, und navigieren Sie dann zu Exposure Management>Attack surface>Attackpfade. Die Angriffspfaderfahrung bietet drei primäre Ansichten: die Registerkarte "Übersicht", die Registerkarte "Angriffspfade" und die Registerkarte "Engpässe".
Auf der Registerkarte "Übersicht" wird eine visuelle Zusammenfassung Ihrer Angriffspfaddaten angezeigt. Sie sehen ein Trenddiagramm mit Angriffspfaden im Laufe der Zeit, die obersten fünf Drosselpunkte, in denen mehrere Pfade zusammengeführt werden, die fünf nach Risiko sortierten Angriffspfadszenarien sowie Listen der obersten Ziele und der obersten Einstiegspunkte.
Auf der Registerkarte "Angriffspfadeliste" wird eine filterbare Tabelle aller erkannten Angriffspfade in Ihrer Umgebung angezeigt. Sie können nach Risikostufe (Hoch, Mittel, Niedrig), Objekttyp, Wartungsstatus oder Zeitrahmen wie die letzten 30 Tage filtern. Wählen Sie einen Angriffspfad aus der Liste aus, um die Angriffspfadkarte zu öffnen, eine graphbasierte Visualisierung, die anfällige Knoten, Einstiegspunkte, Zielressourcen und Drosselpunkte hervorhebt.
Auf der Registerkarte "Drosselpunkte" werden Knoten aufgelistet, auf denen sich mehrere Angriffspfade schneiden. Hierbei handelt es sich um die Behebungsziele mit dem höchsten Nutzen – das Beheben eines Sicherheitsproblems an einem Drosselungspunkt kann mehrere Angriffspfade gleichzeitig unterbrechen.
Hinweis
Möglicherweise wird eine liste leerer Angriffspfade angezeigt. Dies ist ein erwartetes Verhalten und gibt an, dass der Algorithmus keine bestätigten extern ausnutzbaren Pfade zu Ihren kritischen Ressourcen gefunden hat – ein positives Sicherheitssignal.
Angriffspfadkarte untersuchen
Wenn Sie einen Angriffspfad aus der Liste auswählen, wird die Angriffspfadkarte geöffnet, um Ihnen die vollständige Ausbeutungskette anzuzeigen. Betrachten Sie z. B. einen Angriffspfad mit dem Titel "Internet-exponierte VM kann Azure OpenAI-Endpunkt mit Zugriff auf Patientengesundheitsdaten erreichen." Die Karte zeigt diese Kette visuell an: ein Einstiegspunkt (Internet-offene VM) stellt eine Verbindung mit einem anfälligen Knoten (VM mit CVE-Sicherheitsanfälligkeit) her, der eine Verbindung zu einem Engpass (Speicherkonto, das zwischen Diensten gemeinsam genutzt wird) herstellt, was letztendlich die Zielressource (Azure OpenAI-Dienst mit Zugriff auf Patientengesundheitsdaten) erreicht.
Wählen Sie einen beliebigen Knoten in der Karte aus, um den Detailbereich zu öffnen. Sie sehen die MITRE ATT&CK-Taktiken und -Techniken, die für diesen Schritt relevant sind, z. B. Initial Access für den Einstiegspunkt, Lateral Movement für Zwischenknoten oder Exfiltration für Knoten in der Nähe sensibler Daten. Das Panel listet auch Risikofaktoren auf, z. B. übermäßige Berechtigungen, Internetexposition oder nicht gepatchte Sicherheitsrisiken.
Der Detailbereich enthält einen Abschnitt "Empfehlungen " mit zwei Kategorien. Empfehlungen sind Sicherheitslösungen, die diesen Angriffspfad vollständig beseitigen — durch das Entfernen dieser wird der Pfad aus Ihrer Umgebung eliminiert. Zusätzliche Empfehlungen reduzieren das Ausbeutungsrisiko, brechen den Ausnutzungspfad aber nicht vollständig, wenn sie allein gelöst werden – sie sind immer noch wertvoll, um als Verteidigung in der Tiefe Maßnahmen angegangen zu werden. Jede Empfehlung umfasst das Risikoniveau, die betroffenen Ressourcen und anleitungen zur Behebung.
Nachdem Sie die erforderlichen Empfehlungen behoben haben, kann es bis zu 24 Stunden dauern, bis der aufgelöste Pfad aus der Liste entfernt wird.
So erweitern sich Angriffspfade auf KI-Workloads
Defender CSPM Angriffspfadanalyse erstreckt sich auf KI-Workloads, die auf Azure OpenAI Service, Azure AI Foundry , Azure Machine Learning, Amazon Bedrock und Google Vertex AI bereitgestellt werden.
Die Analyse des Angriffspfads identifiziert Szenarien, in denen KI-Modellschulungsdaten, Feinjustierungsdaten und Inferenzdaten während Modellverankerungsvorgängen gefährdet sind. Eine im Internet veröffentlichte Rechenressource mit überhöhten verwalteten Identitätsberechtigungen könnte beispielsweise ein Projekt in Azure AI Foundry erreichen, das auf den medizinischen Datensatz zugreift, der zur Modellverankerung verwendet wird.
Die Analyse des Angriffspfads zeigt diese Ausbeutungskette an und hebt die spezifischen Sicherheitsprobleme hervor, die die laterale Bewegung ermöglichen , z. B. übermäßig eingeschränkte Rollenzuweisungen oder öffentlich zugängliche KI-Dienstendpunkte.
KI-spezifische Angriffspfad-Ergebnisse werden in derselben Liste der Angriffspfade und in der Kartenansicht angezeigt, die Sie für herkömmliche Infrastruktur verwenden. Zielressourcen werden als KI-Modelldaten oder AI-Dienstendpunkte bezeichnet, wodurch deutlich wird, wenn ein Angriffspfad KI-Workloads bedroht.
Die Analyse des Angriffspfads zeigt Ihnen die Ausbeutungsketten, die bereits in Ihrer Umgebung vorhanden sind.