Schemi e operatori

Gli schemi del grafico di esposizione aziendale in Gestione dell'esposizione in Microsoft Security forniscono informazioni sulla superficie di attacco per comprendere in che modo le potenziali minacce potrebbero raggiungere e compromettere asset preziosi. Questo articolo riepiloga le tabelle e gli operatori dello schema del grafico di esposizione.

Tabelle dello schema

Il grafico di esposizione si basa sulle tabelle seguenti:

  • ExposureGraphNodes
  • ExposureGraphEdges

Nodi del grafico di esposizione

ExposureGraphNodes contiene le entità aziendali e le relative proprietà. Queste includono entità come dispositivi, identità, gruppi di utenti e asset cloud, ad esempio macchine virtuali, archiviazione e contenitori. Ogni nodo corrisponde a una singola entità e incapsula informazioni sulle relative caratteristiche, attributi e informazioni dettagliate correlate alla sicurezza all'interno della struttura organizzativa.

Di seguito sono riportati i nomi, i tipi e le descrizioni delle colonne ExposureGraphNodes :

  • NodeId (string) - Identificatore univoco del nodo. Esempio: "650d6aa0-10a5-587e-52f4-280bfc014a08"
  • NodeLabel (string)- Etichetta del nodo. Esempi: "microsoft.compute/virtualmachines", "elasticloadbalancing.loadbalancer"
  • NodeName (string)- Nome visualizzato del nodo. Esempio: "nlb-test" (nome del servizio di bilanciamento del carico di rete)
  • Categories (Dynamic (json)) - Categorie del nodo. Esempio:
[
  "compute",
  "virtual_machine"
]
  • NodeProperties (Dynamic (json)) - Proprietà del nodo, incluse informazioni dettagliate correlate alla risorsa, ad esempio se la risorsa è esposta a Internet o vulnerabile all'esecuzione di codice remoto. I valori sono in formato dati non elaborati (non strutturati). Esempio:
{   
"rawData": {
"osType": "linux",   
"exposed to the internet": 
{     
"routes": [ { … } ]   
}
} 
}
  • EntityIds (Dynamic (json)): tutti gli identificatori di nodo noti. Esempio:
{ 
"AzureResourceId": "A1",  
"MdeMachineId": "M1", 
}

ExposureGraphEdges

Lo schema ExposureGraphEdges , insieme allo schema ExposureGraphNodes complementare, offre visibilità sulle relazioni tra entità e asset nel grafico. Molti scenari di ricerca richiedono l'esplorazione delle relazioni tra entità e dei percorsi di attacco. Ad esempio, durante la ricerca di dispositivi esposti a una vulnerabilità critica specifica, conoscere la relazione tra entità può individuare asset aziendali critici.

Di seguito sono riportati i nomi, le etichette e le descrizioni delle colonne ExposureGraphEdges :

  • EdgeId (string) - Identificatore univoco per relazione/perimetro.
  • EdgeLabel (string) - Etichetta perimetrale. Esempi: "interessa", "instrada il traffico verso", "è in esecuzione" e "contiene". È possibile visualizzare un elenco di etichette perimetrali eseguendo una query del grafico. Per maggiori informazioni, vedere Elencare tutte le etichette perimetrali nel tenant.
  • SourceNodeId (string) - ID nodo dell'origine del perimetro. Esempio: "12346aa0-10a5-587e-52f4-280bfc014a08"
  • SourceNodeName (string) - Nome visualizzato del nodo di origine. Esempio: "mdvmaas-win-123"
  • SourceNodeLabel (string) - Etichetta del nodo di origine. Esempio: "microsoft.compute/virtualmachines"
  • SourceNodeCategories (Dynamic (json)) - Elenco delle categorie del nodo di origine.
  • TargetNodeId (string) - L'ID noto della destinazione del perimetro. Esempio: "45676aa0-10a5-587e-52f4-280bfc014a08"
  • TargetNodeName (string) - Nome visualizzato del nodo di destinazione. Esempio: gke-test-cluster-1
  • TargetNodeLabel (string) - Etichetta del nodo di destinazione. Esempio: "compute.instances"
  • TargetNodeCategories (Dynamic (json)) - Elenco delle categorie del nodo di destinazione.
  • EdgeProperties (Dynamic (json)) - Dati facoltativi rilevanti per la relazione tra i nodi. Esempio: per il EdgeLabel "instrada traffico verso" con EdgePropertiesdinetworkReachability, fornire informazioni sugli intervalli di porte e protocolli utilizzati per trasferire il traffico dal punto A al punto B.
{   
 "rawData": {
  "networkReachability": {
    "type": "NetworkReachability",
    "routeRules": [
      {
        "portRanges": [
          "8083"
        ],
        "protocolRanges": [
          "6"
        ]
      },
      {
        "portRanges": [
          "80"
        ],
        "protocolRanges": [
          "6"
        ]
      },
      {
        "portRanges": [
          "443"
        ],
        "protocolRanges": [
          "6"
        ]
      }
    ]
  }
}
}

Grafico operatori del Linguaggio di query Kusto (KQL)

La Gestione dell’esposizione di Microsoft Security si basa su tabelle del grafo di esposizione e operatori univoci del grafo di esposizione per consentire operazioni su strutture a grafo. Il grafico viene compilato da dati tabulari usando l'operatore make-graph e quindi sottoposto a query usando gli operatori del grafo.

L'operatore make-graph

make-graph operator costruisce una struttura a grafo a partire da input tabellari di archi e nodi. Per altre informazioni sull'uso e sulla sintassi, vedere Operatore make-graph.

Operatore di corrispondenza dei grafi

L'operatore graph-match cerca tutte le occorrenze di un modello di grafico in un'origine del grafico di ingresso. Per altre informazioni, vedere Operatore graph-match.

Passaggi successivi

Eseguire query sul grafico dell'esposizione aziendale.

  • Last updated on