Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Gestione dell'esposizione in Microsoft Security consolida i dati del comportamento di sicurezza di tutti gli asset digitali che consentono di mappare la superficie di attacco e concentrare le attività di sicurezza sulle aree a maggior rischio. I dati dei prodotti Microsoft vengono inseriti automaticamente dopo la connessione a Exposure Management ed è possibile aggiungere altri connettori dati da origini dati esterne.
Asset e tipi di dati importati
Lo scopo della connessione a prodotti esterni è quello di creare una visibilità completa su tutti gli asset digitali e qualsiasi contesto di sicurezza che potrebbe influire sulla superficie di attacco.
Nota
Al momento, i dispositivi vengono caricati nell'inventario unificato solo quando includono attributi di identificazione sufficienti (ad esempio, indirizzo MAC, identificatori di risorse cloud o altri identificatori univoci supportati). Se queste informazioni non sono presenti o incomplete, il sistema potrebbe non essere in grado di trovare una corrispondenza sicura o rappresentare tali asset nella pagina Inventario dispositivi.
In questi casi, le risorse potrebbero essere ancora visibili in Advanced Hunting. Si tratta di una limitazionenota del processo di onboarding e normalizzazione corrente e stiamo lavorando attivamente per migliorare la copertura dei dati e migliorare il modo in cui questi asset sono rappresentati tra esperienze.
A questo scopo, vengono inseriti i tipi di asset, l'arricchimento del contesto e le informazioni sulla vulnerabilità seguenti:
- Dispositivi
- Risorse Cloud
- Vulnerabilità
- Informazioni sulla criticità degli asset
- Valutazione del rischio di asset
- Dettagli della rete
- Informazioni dettagliate sull'esposizione (ad esempio, esposizione a Internet)
- Utenti (futuro)
- App SaaS (futuro)
Le informazioni sugli asset e il contesto di sicurezza vengono importati in Exposure Management e consolidati per fornire una visione completa del comportamento di sicurezza in tutti gli asset digitali. Le origini dati esterne attualmente supportate includono Qualys, Rapid7 InsightVM, Tenable Vulnerability Management e ServiceNow CMDB.
I dati inseriti dai connettori vengono normalizzati e incorporati in Exposure Graph e Device Inventory. Gestione dell'esposizione usa il contesto prezioso e le informazioni dettagliate acquisite per generare una valutazione più accurata della superficie di attacco e fornire una comprensione più approfondita del rischio di esposizione. Questi dati possono essere utilizzati nell'inventario dei dispositivi, negli strumenti di esplorazione di Exposure Graph, ad esempio la mappa della superficie di attacco e la ricerca avanzata, e all'interno di percorsi di attacco individuati in base ai dati di arricchimento inseriti dai connettori.
Alla fine, questi dati serviranno anche a migliorare le metriche di sicurezza che misurano il rischio di esposizione in base a criteri specifici e influiranno anche su iniziative aziendali più ampie che misurano il rischio di esposizione in un carico di lavoro o correlate a un'area di minaccia specifica.
I vantaggi dell'uso dei connettori dati esterni includono:
- Normalizzato all'interno del grafico di esposizione
- Miglioramento dell'inventario dei dispositivi
- Mapping di relazioni
- Rivelare nuovi percorsi di attacco
- Visibilità completa della superficie di attacco
- Integrazione della criticità degli asset
- Arricchimento del contesto con applicazione aziendale o appartenenza operativa
- Visualizzazione con lo strumento Mappa di attacco
- Esplorazione tramite query di ricerca avanzate tramite KQL
Nota
Attualmente le vulnerabilità recuperate dai connettori dati vengono visualizzate solo nel grafico di esposizione e possono essere esplorate nella mappa di superficie di attacco o usando Ricerca avanzata.
Dati dei connettori nell'inventario dei dispositivi
Nell'inventario dei dispositivi saranno visibili le fonti di rilevamento per ciascun dispositivo, ovvero i prodotti da cui abbiamo ricevuto una segnalazione su quel dispositivo. Questi possono includere prodotti Microsoft Security come MDE, MDC e MDI e anche origini dati esterne come Qualys o ServiceNow CMDB. È possibile filtrare in base a una o più origini di individuazione all'interno dell'inventario per visualizzare i dispositivi individuati in modo specifico da tali origini.
Gestione degli asset critici
Identificare gli asset critici è fondamentale per garantire che gli asset più importanti dell'organizzazione siano protetti dal rischio di violazioni dei dati e interruzioni operative.
Le informazioni di arricchimento relative alla criticità degli asset vengono recuperate dai connettori di dati, in base alle valutazioni della criticità calcolate in tali prodotti esterni. Quando questi dati vengono inseriti, Critical Asset Management contiene regole predefinite per trasformare il valore di criticità recuperato dal prodotto di terze parti nel valore di criticità di Exposure Management per ogni asset. È possibile visualizzare queste classificazioni e abilitarle o disabilitarle nell'esperienza Gestione asset critici.
Grafico di esposizione
Per esplorare gli asset e i dati di arricchimento recuperati da prodotti dati esterni, è anche possibile visualizzare queste informazioni in Exposure Graph. All'interno della mappa di Superficie di attacco è possibile visualizzare i nodi che rappresentano gli asset individuati dai connettori, con icone predefinite che mostrano le origini di individuazione per ogni asset.
Aprendo il riquadro laterale per l'asset, è anche possibile visualizzare i dati dettagliati recuperati dal connettore per ogni asset.
Ricerca avanzata
Per esplorare i dati individuati e acquisiti dalle fonti di dati esterne, è possibile eseguire query sul grafo dell’esposizione in Ricerca avanzata.
Esempi:
Questa query restituirà tutti gli asset recuperati da ServiceNow CMDB e i relativi metadati dettagliati.
ExposureGraphNodes
| where NodeProperties contains ("serviceNowCmdbAssetInfo")
| extend SnowInfo = NodeProperties.rawData.serviceNowCmdbAssetInfo
Questa query restituirà tutti gli asset recuperati da Qualys.
ExposureGraphNodes
| where EntityIds contains ("QualysAssetId")
Questa query restituirà tutte le vulnerabilità segnalate da Rapid7 sugli asset inseriti.
ExposureGraphEdges
| where EdgeLabel == "affecting"
| where SourceNodeLabel == "Cve"
| where isnotempty(EdgeProperties.rawData.rapid7ReportInfo)
| project AssetName = TargetNodeName, CVE = SourceNodeName
Questa query restituirà tutte le vulnerabilità segnalate da Tenable sugli asset inseriti.
ExposureGraphEdges
| where EdgeLabel == "affecting"
| where SourceNodeLabel == "Cve"
| where isnotempty(EdgeProperties.rawData.tenableReportInfo)
| project AssetName = TargetNodeName, CVE = SourceNodeName
Nota
Quando si risolvono i problemi relativi alle query di Advanced Hunting (AH) che non funzionano o non restituiscono risultati, tenere presente che il campo "reportedBy" fa distinzione tra maiuscole e minuscole. Ad esempio, i valori validi includono "rapid7", "tenable" e così via.
Percorsi di attacco
Gestione dell'esposizione in Security genera automaticamente percorsi di attacco in base ai dati raccolti tra asset e carichi di lavoro, inclusi i dati provenienti da connettori esterni. Simula scenari di attacco e identifica le vulnerabilità e i punti deboli che un utente malintenzionato potrebbe sfruttare.
Nota
I percorsi di attacco non sono attualmente supportati per i connettori dati OT.
Mentre si esplorano i percorsi di attacco nell'ambiente, è possibile visualizzare le origini di individuazione che hanno contribuito a questo percorso di attacco in base alla visualizzazione grafica del percorso.
