Panoramica della risposta agli eventi imprevisti per Azure

La risposta agli eventi imprevisti è la pratica di analisi e correzione di campagne di attacco attive nell'organizzazione. Una risposta efficace agli eventi imprevisti per gli ambienti Azure richiede la comprensione del modello di responsabilità condivisa, delle funzionalità di analisi nativa di Azure e degli strumenti di risposta automatizzati.

Questo articolo è incentrato sulle considerazioni sulla risposta agli eventi imprevisti specifici di Azure. Per indicazioni complete e indipendenti dalla piattaforma sulla risposta agli incidenti, inclusi manuali dettagliati per phishing, password spray, furto di token e altri tipi di attacco, consulta la panoramica della risposta agli incidenti nella documentazione Microsoft Security.

Questo articolo è in linea con le fasi NIST SP 800-61 : preparazione, rilevamento e analisi, contenimento e recupero, e attività post-incidente. Per i controlli di sicurezza prescrittivi con l'imposizione di Criteri di Azure, vedere Microsoft Cloud Security Benchmark v2 - Risposta agli eventi imprevisti.

Preparare la risposta agli eventi imprevisti

Stabilire piani, procedure e funzionalità prima che si verifichino eventi imprevisti.

Sviluppare piani di risposta agli eventi imprevisti specifici di Azure. I piani tradizionali spesso non riescono negli ambienti cloud in cui il modello di responsabilità condivisa, la raccolta di prove basate su API e la collaborazione del provider di servizi differiscono dalla gestione degli eventi imprevisti del data center. I piani devono soddisfare:

• Delineare chiaramente le responsabilità tra Microsoft e l'organizzazione per i servizi IaaS, PaaS e SaaS
• Indagine nativa del cloud tramite i log di Monitoraggio di Azure, i log di controllo di Microsoft Entra e i log di flusso NSG
• Procedure per snapshot di macchine virtuali, dump della memoria e acquisizioni pacchetti di rete
• Processi di collaborazione Microsoft, inclusi supporto tecnico Microsoft e Microsoft Security Response Center (MSRC)

Configurare i contatti di sicurezza in Microsoft Defender per il cloud. Designare i contatti che Microsoft può raggiungere durante gli eventi imprevisti che richiedono la collaborazione. Includere 24/7 contatti primari raggiungibili, contatti di backup per copertura globale e contatti basati sui ruoli per diversi tipi di eventi imprevisti. Per altre informazioni, vedere Configurare i contatti di sicurezza.

Implementare flussi di lavoro di notifica automatizzati. La notifica manuale introduce ritardi critici. Usare App per la logica di Azure e playbook di Microsoft Sentinel per instradare automaticamente gli avvisi agli stakeholder appropriati in base alla gravità degli eventi imprevisti, ai requisiti normativi e alle risorse interessate. Configurare le procedure di escalation con trigger basati sul tempo per incidenti critici non riconosciuti.

Testare regolarmente le procedure di risposta. Le organizzazioni individuano lacune durante gli eventi imprevisti effettivi anziché i test controllati. Effettua esercitazioni trimestrali da tavolo utilizzando scenari di attacco come ransomware, esfiltrazione di dati e minacce interne.

Rilevare e analizzare gli eventi imprevisti

Implementare funzionalità di generazione di avvisi di alta qualità e analisi sistematica.

Abilitare il rilevamento unificato delle minacce

Distribuire Microsoft Defender XDR come piattaforma di sicurezza unificata principale. Defender XDR correla automaticamente gli avvisi provenienti da endpoint, identità, posta elettronica e app cloud in eventi imprevisti unificati, offrendo analisi e risposta automatizzate a velocità del computer. Per altre informazioni, vedere Microsoft Defender XDR.

Configurare Microsoft Defender per il cloud con i piani di Defender appropriati per i carichi di lavoro (server, archiviazione, contenitori, Key Vault). Ottimizzare le soglie di avviso e creare regole di eliminazione per falsi positivi noti mantenendo al contempo la copertura delle minacce. Per maggiori informazioni, consultare la sezione Microsoft Defender per il cloud.

Implementare Microsoft Sentinel per funzionalità SIEM e SOAR centralizzate. Configurare le regole analitiche per la creazione automatica degli incidenti con raggruppamento intelligente di avvisi e arricchimento delle entità. Usare il grafico di indagine e l'analisi del comportamento delle entità per un'analisi completa. Per altre informazioni, vedere Microsoft Sentinel.

Stabilire una registrazione completa

I dati di log completi sono essenziali per costruire sequenze temporali degli attacchi e comprendere l'ambito. Raccogliere:

• Microsoft Entra ID logs: log di accesso, audit log e rilevamenti rischiosi degli utenti.
• Azure Activity Logs: operazioni sul piano di controllo, incluse modifiche alle risorse e modifiche alle policy.
• Log dei flussi NSG: traffico di rete con mappatura di origine e destinazione per il rilevamento del movimento laterale.
• Log diagnostici delle risorse: Archiviazione di Azure, Key Vault, SQL, Firewall e log del Gateway applicativo.

Invia log a uno spazio di lavoro Log Analytics per la conservazione a lungo termine e la centralizzazione delle interrogazioni. Per altre informazioni, vedere Monitoraggio di Azure.

Classificare in ordine di priorità gli eventi imprevisti in base all'impatto aziendale

Assegnare tag alle risorse di Azure con livelli di criticità in base all'impatto aziendale, alla dipendenza dei ricavi e all'ambito normativo. Configurare l'assegnazione automatica dei punteggi di gravità in Microsoft Sentinel che considera la criticità degli asset, la riservatezza dei dati e l'attendibilità dell'intelligence sulle minacce. Escalare automaticamente gli incidenti che coinvolgono dati protetti da normative o sistemi aziendali critici. Per altre informazioni, vedere Risorse con tag.

Contenere e ripristinare dagli incidenti

Automatizzare la risposta in modo che corrisponda alla velocità degli attacchi automatizzati.

Conservare immediatamente le prove

La raccolta di prove ritarda e la gestione impropria compromette l'integrità forense. Automatizzare la conservazione delle prove:

• Snapshot delle macchine virtuali: creare snapshot in un determinato momento per le macchine virtuali compromesse prima della correzione.
• Archiviazione immutabile: Esporta log e prove su Archiviazione di Azure utilizzando politiche di archiviazione immutabili e mantenimento legale.
• Network packet capture: Usa Azure Network Watcher per la forense di rete.
• Dump di memoria: raccogliere prove volatili utilizzando le estensioni di Azure.

Mantieni la catena di custodia utilizzando funzioni hash crittografiche e la registrazione degli accessi per i procedimenti legali.

Automatizzare le azioni di contenimento

Il contenimento manuale richiede ore mentre gli attacchi automatizzati completano gli obiettivi in pochi minuti. Distribuire i playbook di Microsoft Sentinel per:

• Risposta dell'account utente: Disabilita account, reimposta le password, termina le sessioni e revoca i privilegi.
• Isolamento di rete: modificare le regole NSG per isolare le VM preservando l'accesso alle indagini.
• Quarantena dei dispositivi: Isolare gli endpoint compromessiti tramite Microsoft Defender per endpoint.
• Risposta al malware: mettere in quarantena i file e bloccare gli hash in tutta l'organizzazione.

Configurare i flussi di lavoro di approvazione per azioni ad alto impatto per evitare danni falsi positivi. Per ulteriori informazioni, vedere Automatizzare la risposta alle minacce con i piani d'azione.

Usare le funzionalità di isolamento nativo di Azure

• Gruppi di Sicurezza di Rete: Aggiungono regole di negazione per bloccare il traffico degli attaccanti.
• Firewall di Azure: Distribuisci regole che bloccano IP e domini dannosi.
• Accesso condizionale di Microsoft Entra: Blocca l'accesso da account o località compromesse.
• Privileged Identity Management: revoca le assegnazioni di accesso privilegiato.

Informazioni e miglioramento dopo gli eventi imprevisti

Condurre attività sistematiche post-evento imprevisto per evitare la ricorrenza.

Documentare le lezioni apprese. Determinare cosa ha funzionato bene e quali sono le esigenze di miglioramento. Acquisire la sequenza temporale completa degli attacchi, l'efficacia della risposta e le lacune individuate durante l'evento imprevisto.

Conservare le prove in modo appropriato. Archiviare le prove in Archiviazione di Azure non modificabile con criteri di conservazione che soddisfano i requisiti normativi per diversi tipi di eventi imprevisti.

Funzionalità di rilevamento degli aggiornamenti. Aggiungere regole di rilevamento per le tecniche di attacco osservate durante l'evento imprevisto. Mappare le attività rilevate alle tecniche MITRE ATT&CK per identificare lacune nelle difese.

Migliorare le procedure di risposta. Aggiornare playbook e runbook in base alle lezioni apprese. Perfezionare l'automazione per risolvere i colli di bottiglia manuali individuati durante la risposta.

Manuale di risposta agli incidenti

Microsoft fornisce playbook dettagliati per scenari di attacco comuni:

Per altri playbook, vedere Playbook di risposta agli eventi imprevisti.

Passaggi successivi

• Consulta la panoramica della risposta agli incidenti per indicazioni complete.
• Scopri la protezione dalle minacce in Azure.
• Rivedere le migliori pratiche di sicurezza operativa.
• Esplora il Microsoft Cloud Security Benchmark v2 - Risposta agli incidenti.