Identifier les chemins d’attaque et les points d’étranglement

L’analyse du chemin d’attaque dans CSPM Defender révèle les chaînes d’exploitation réalistes qui pourraient permettre à un attaquant d’atteindre vos ressources critiques. Pour Contoso Healthcare, la compréhension des chemins d’attaque est essentielle. Si une machine virtuelle exposée sur Internet avec une vulnérabilité existe dans l’environnement, l’équipe de sécurité doit savoir si un attaquant peut l’utiliser pour atteindre l’assistant de triage des patients ou le jeu de données des dossiers médicaux qui rend les modèles IA. Ici, vous explorez le fonctionnement de l’analyse des chemins de cyberattaque, parcourez l’expérience des chemins d'attaque dans le portail de Defender, analysez les chemins individuels, et comprenez comment les chemins d’attaque s’étendent aux charges de travail liées à l'IA.

Comprendre le fonctionnement de l’analyse des chemins d’attaque

L’analyse des chemins d’attaque utilise un algorithme propriétaire pour identifier les chaînes d’exploitation réalistes dans votre environnement. L’algorithme se concentre sur des menaces réelles, pilotées par l’extérieur et exploitables , des chemins qui commencent à l’extérieur de votre organisation et progressent vers des cibles critiques pour l’entreprise.

L’algorithme considère uniquement ce qui est réellement accessible et exploitable à partir de points d’entrée externes. Une liste de chemins d’accès d’attaque court ou vide signifie que l’algorithme n’a trouvé aucun chemin d’accès exploitable en externe confirmé à vos ressources critiques , un signal de sécurité positif, et non un problème de plateforme.

L’analyse du chemin d’attaque nécessite que le plan CSPM Defender avec scanner sans agent soit activé. Par défaut, les chemins d’attaque sont organisés par niveau de risque ( Élevé, Moyen ou Faible) à l’aide du même moteur de hiérarchisation des risques prenant en charge le contexte qui note les recommandations de sécurité. Le niveau de risque reflète les facteurs environnementaux tels que l’exposition à Internet, les autorisations d’identité et la criticité des ressources cibles.

Parcourir l’analyse du chemin d’attaque dans le portail Defender

Vous accédez à l’analyse du chemin d’attaque via la section Gestion de l’exposition du portail Microsoft Defender. Connectez-vous au portail Microsoft Defender sur security.microsoft.com, puis accédez à Exposure Management>Surface d'attaque>Chemins d'attaque. L’expérience du chemin d’attaque fournit trois vues principales : l’onglet Vue d’ensemble, l’onglet Liste des chemins d’attaque et l’onglet Points de choke.

L’onglet Vue d’ensemble affiche un résumé visuel de vos données de chemin d’attaque. Vous voyez un graphique de tendance montrant les chemins d’attaque au fil du temps, les cinq premiers points d’étranglement où plusieurs chemins convergent, les cinq principaux scénarios de chemin d’accès d’attaque triés par risque et les listes de cibles principales et de points d’entrée principaux.

L’onglet Liste des chemins d’attaque affiche une table filtrable de tous les chemins d’attaque détectés dans votre environnement. Vous pouvez filtrer par niveau de risque (élevé, moyen, faible), type de ressource, état de correction ou période de temps tel que les 30 derniers jours. Sélectionnez un chemin d’attaque dans la liste pour ouvrir le mappage de chemins d’attaque, une visualisation basée sur un graphique qui met en évidence les nœuds vulnérables, les points d’entrée, les ressources cibles et les points d’étranglement.

L’onglet Points de choke répertorie les nœuds dans lesquels plusieurs chemins d’attaque se croisent. Il s’agit des cibles de correction les plus exploitées : la résolution d’un problème de sécurité à un point d’étranglement peut interrompre plusieurs chemins d’attaque simultanément.

Analyser une carte de chemin d'attaque

Lorsque vous sélectionnez un chemin d’attaque dans la liste, la carte du chemin d'attaque s'ouvre pour afficher la chaîne d’exploitation complète. Par exemple, considérez un chemin d’accès d’attaque intitulé « Une machine virtuelle exposée à Internet peut atteindre Azure point de terminaison OpenAI avec accès aux données d’intégrité des patients ». La carte affiche cette chaîne visuellement : un point d’entrée (machine virtuelle exposée à Internet) se connecte à un nœud vulnérable (machine virtuelle avec vulnérabilité CVE), qui se connecte à un point de choke (compte de stockage partagé entre les services), qui atteint finalement la ressource cible (Azure Service OpenAI avec accès aux données de santé des patients).

Sélectionnez n’importe quel nœud dans la carte pour ouvrir son panneau de détails. Vous voyez les tactiques et techniques MITRE ATT&CK pertinentes pour cette étape, par exemple l’accès initial pour le point d’entrée, le mouvement latéral pour les nœuds intermédiaires ou l’exfiltration pour les nœuds proches des données sensibles. Le panneau répertorie également les facteurs de risque tels que les autorisations excessives, l’exposition à Internet ou les vulnérabilités non corrigées.

Le panneau de détails comprend une section Recommandations avec deux catégories. Recommandations sont des correctifs de sécurité qui éliminent complètement cette voie d'attaque — en les appliquant, vous supprimez cette voie de votre environnement. D’autres recommandations réduisent le risque d’exploitation, mais ne rompent pas complètement le chemin lorsqu’elles sont résolues seules , elles sont toujours précieuses à traiter en tant que mesures de défense en profondeur. Chaque recommandation inclut son niveau de risque, ses ressources affectées et les conseils de correction.

Une fois que vous avez corrigé les recommandations nécessaires, la suppression du chemin résolu peut prendre jusqu’à 24 heures.

Comment les chemins d’attaque s'appliquent aux charges de travail en intelligence artificielle

L'analyse du chemin d'attaque de CSPM Defender s'étend aux charges de travail IA déployées sur Azure OpenAI Service, Azure AI Foundry, Azure Machine Learning, Amazon Bedrock et Google Vertex AI.

L’analyse du chemin d’attaque identifie les scénarios dans lesquels les données d’apprentissage du modèle IA, les jeux de données de réglage précis et les données d’inférence sont à risque pendant les opérations de mise au point du modèle. Par exemple, une ressource de calcul exposée sur Internet avec des autorisations excessives d’identité managée peut atteindre un projet Azure AI Foundry avec accès au jeu de données des dossiers médicaux utilisé pour l’ancrage du modèle.

L’analyse des chemins d’attaque fait apparaître cette chaîne d’exploitation et met en évidence les problèmes de sécurité spécifiques qui permettent le mouvement latéral, tels que les attributions de rôles trop permissives ou les points de terminaison de l'IA exposés publiquement.

Les résultats des chemins d’attaque spécifiques à l’IA apparaissent dans la même liste de chemins d’attaque et la vue cartographique que vous utilisez pour l’infrastructure traditionnelle. Les ressources cibles sont étiquetées comme des données de modèle IA ou des points de terminaison de service IA, ce qui permet de clarifier lorsqu’un chemin d’attaque menace les charges de travail IA.

L’analyse du chemin d’attaque vous montre les chaînes d’exploitation qui existent déjà dans votre environnement.