Analizzare le raccomandazioni sulla sicurezza con la definizione delle priorità dei rischi
Il team di sicurezza di Contoso Healthcare ha abilitato Defender CSPM ed ha esaminato il punteggio di sicurezza cloud. Con centinaia di raccomandazioni sulla sicurezza ora generate nei carichi di lavoro Azure, ovvero macchine virtuali, account di archiviazione, database, contenitori e servizi di intelligenza artificiale, hanno bisogno di un approccio sistematico per classificare in ordine di priorità le attività di correzione.
| Fattore di rischio | Cosa valuta | Esempio |
|---|---|---|
| Esposizione a Internet | Indica se la risorsa è raggiungibile dalla rete Internet pubblica | Azure endpoint OpenAI con accesso pubblico abilitato |
| Riservatezza dei dati | Presenza di dati sensibili, riservati o regolamentati | Account di archiviazione contenente le cartelle cliniche dei pazienti |
| Potenziale di spostamento laterale | Indica se un utente malintenzionato potrebbe usare questa risorsa per raggiungere altri asset | Macchina virtuale con regole di rete eccessivamente permissive |
| Coinvolgimento del percorso di attacco | Se il problema si verifica in una catena che porta ad asset critici | Identità non configurata correttamente che concede l'accesso ai database sensibili |
Comprendere in che modo i fattori di rischio determinano la priorità delle raccomandazioni
Defender per il cloud valuta le raccomandazioni di sicurezza usando un motore di rischio dinamico che considera più fattori ambientali per ogni asset, non solo la gravità della configurazione errata o della vulnerabilità sottostante. Questo approccio compatibile con il contesto significa che due risorse con problemi di sicurezza identici possono ricevere livelli di rischio diversi in base al contesto operativo.
Defender per il cloud assegna ogni raccomandazione uno dei cinque livelli di risk: critico, alto, medio, basso o non valutato. Le raccomandazioni critiche e elevate richiedono un'attenzione immediata perché combinano gravi errori di configurazione con fattori ambientali ad alto rischio. Le raccomandazioni medie e basse indicano problemi che è possibile risolvere durante i normali cicli di manutenzione. Lo stato Non valutato viene visualizzato per le risorse non coperte dal piano di Defender CSPM o per le nuove raccomandazioni ancora valutate dal motore.
Si consideri un esempio concreto dell'ambiente di Contoso Healthcare. Un'istanza Azure OpenAI con un endpoint pubblico e l'accesso alle cartelle cliniche dei pazienti riceve un livello di rischio "Critical" per la raccomandazione che il servizio Azure AI dovrebbe utilizzare la connettività privata. La stessa configurazione errata in un'istanza di sviluppo non con connessione Internet con dati sintetici riceve un livello di rischio basso .
Annotazioni
Le colonne di definizione delle priorità dei rischi vengono visualizzate solo quando il piano di Defender CSPM è abilitato. Senza questo piano, le colonne a livello di rischio e fattore di rischio vengono visualizzate sfocate nell'interfaccia delle raccomandazioni.
Esplorare e filtrare la pagina delle raccomandazioni
La pagina raccomandazioni nel portale di Microsoft Defender offre una visualizzazione centralizzata di tutti i risultati della sicurezza nell'ambiente multicloud. Per accedere alle raccomandazioni, accedere al portale di Microsoft Defender all'indirizzo security.microsoft.com, passare a Esposizione>Recommendations e selezionare la scheda Cloud.
Nella parte superiore della pagina, tre schede di riepilogo offrono una panoramica immediata del comportamento di sicurezza. La scheda Cloud Secure Score visualizza la salute complessiva della sicurezza in base alle raccomandazioni attive. La scheda Cronologia punteggio tiene traccia delle modifiche apportate al punteggio di sicurezza negli ultimi sette giorni, consentendo di identificare le tendenze e misurare il miglioramento. La scheda Raccomandazioni per livello di rischio riepiloga il numero di raccomandazioni attive classificate in base alla gravità: Critico, Alto, Medio e Basso.
Il riquadro di spostamento a sinistra organizza le raccomandazioni in tre categorie di sicurezza. Errori di configurazione mostra problemi di sicurezza correlati alla configurazione, ad esempio controlli di accesso eccessivamente permissivi o impostazioni di crittografia mancanti. Le vulnerabilità visualizzano vulnerabilità software che richiedono patch o aggiornamenti. I segreti esposti identificano le credenziali e i segreti che potrebbero essere compromessi. La selezione di una categoria aggiorna sia l'elenco delle raccomandazioni che le schede di riepilogo per riflettere solo i risultati della categoria.
Nella parte superiore dell'elenco di raccomandazioni è possibile applicare filtri per restringere la visualizzazione. Il filtro asset esposto mostra solo le risorse accessibili da Internet. Il filtro dei Fattori di rischio degli asset consente di selezionare contesti di rischio specifici, ad esempio la riservatezza dei dati o il potenziale di movimento laterale. Il filtro Environment consente di concentrarsi sulle risorse Azure, AWS o GCP. Il filtro Carico di lavoro isola tipi di carico di lavoro specifici, tra cui intelligenza artificiale, database, macchine virtuali e archiviazione. Il filtro Maturità delle raccomandazioni controlla la visualizzazione delle raccomandazioni disponibili in anteprima o generalmente disponibili.
La pagina delle raccomandazioni supporta tre opzioni di visualizzazione: la raccomandazione per asset mostra una riga per ogni risorsa interessata ordinata in base al livello di rischio, il titolo della raccomandazione aggrega tutte le istanze dello stesso tipo di raccomandazione con un conteggio delle risorse interessate e raggruppa tutti i risultati per lo stesso asset.
Quando si seleziona una riga di raccomandazione, viene aperto un pannello laterale con quattro schede chiave: Panoramica (descrizione della raccomandazione, esposizione di asset, distribuzione a livello di rischio), Remediation steps (guida alla configurazione praticabile), Map preview (percorsi di attacco correlati che passano attraverso questo asset) e Iniziative correlate (framework di conformità come Microsoft Cloud Security) Benchmark).
Annotazioni
Defender per il cloud è in corso la transizione da raccomandazioni raggruppate, in cui i risultati correlati sono apparsi in un singolo elemento padre, alle singole raccomandazioni per ogni risorsa. Durante questa transizione, nella pagina potrebbero essere visualizzati entrambi i formati. Le raccomandazioni contrassegnate come Anteprima non influiscono ancora sul punteggio di sicurezza. Questo comportamento è previsto e verrà risolto al termine della transizione.
Identificare le raccomandazioni di sicurezza specifiche dell'intelligenza artificiale
Defender CSPM genera raccomandazioni di sicurezza specifiche per i carichi di lavoro di intelligenza artificiale individuati nella distinta base di intelligenza artificiale, ovvero un inventario di tutti i componenti dell'applicazione di intelligenza artificiale, le origini dati e gli artefatti nell'ambiente. Per visualizzare i carichi di lavoro e i modelli di intelligenza artificiale inclusi nella distinta base per intelligenza artificiale, usare il modello di query predefinito "Carichi di lavoro e modelli di intelligenza artificiale in uso" in Cloud Security Explorer, che verrà esaminato in dettaglio nell'unità successiva.
Le raccomandazioni specifiche dell'intelligenza artificiale riguardano i controlli di identità e accesso per Servizi di Azure AI, le impostazioni di esposizione della rete e la configurazione dell'infrastruttura. Per visualizzare le raccomandazioni di intelligenza artificiale, selezionare la categoria Configurazioni errate nel riquadro di spostamento a sinistra e applicare il filtro Carico di lavoro con il valore intelligenza artificiale. Questo filtro visualizza raccomandazioni destinate a Servizio Azure OpenAI, Azure AI Foundry, Azure Machine Learning e servizi di intelligenza artificiale multicloud come Amazon Bedrock e Google Vertex AI.
Defender per il cloud esegue analisi IaC (Infrastructure as Code) durante il ciclo di vita di sviluppo e valuta continuamente le risorse di intelligenza artificiale distribuite. Le funzionalità di comportamento di sicurezza dell'intelligenza artificiale rilevano quattro configurazioni errate critiche di IaC:
- Usare endpoint privati del servizio di intelligenza artificiale Azure impedisce al traffico Internet pubblico di raggiungere i servizi di intelligenza artificiale richiedendo a tutte le connessioni di fluire attraverso collegamento privato di Azure
- Limitare gli endpoint del servizio Azure AI limita le reti che possono accedere al servizio configurando le regole di rete e i criteri del firewall.
- Usare l'identità gestita per gli account del servizio di intelligenza artificiale Azure elimina le credenziali archiviate consentendo ai servizi di intelligenza artificiale di eseguire l'autenticazione usando identità gestite da Azure
- Usare l'autenticazione basata su identità per gli account del servizio di intelligenza artificiale Azure rimuove la dipendenza della chiave API richiedendo l'autenticazione Microsoft Entra ID
L'esposizione degli endpoint di intelligenza artificiale comporta rischi elevati perché i modelli di intelligenza artificiale possono essere sfruttati per esfiltrare i dati sensibili dai dati di base, ottimizzare i set di dati o gli output del modello, anche se i database sottostanti sono protetti correttamente. A causa di questo rischio, i consigli correlati all'intelligenza artificiale vengono spesso visualizzati nei percorsi di attacco e Defender per il cloud generano continuamente raccomandazioni per risolverle prima che possano essere sfruttate.
Lavorare con una raccomandazione: il flusso di lavoro di indagine
Quando si scopre una scoperta critica nel proprio ambiente, un flusso di lavoro di indagine strutturato aiuta a comprendere appieno l'ambito del rischio e a pianificare rimedi efficaci. Si consideri uno scenario in cui la pagina delle raccomandazioni di Contoso Healthcare visualizza una segnalazione critica: "Gli account di archiviazione devono limitare l'accesso alla rete pubblica", che influisce su quattro account di archiviazione nell'ambiente clinico e amministrativo.
Selezionare la riga di raccomandazione. Si apre il pannello laterale, fornendo un contesto dettagliato sulla ricerca.
Esaminare la scheda Panoramica. Vengono visualizzati gli account di archiviazione interessati e i motivi per cui ogni utente ha ricevuto il livello di rischio. L'account con esposizione a Internet e i record dei pazienti sensibili sono valutati come Critico; un altro con esposizione a Internet, ma solo i log operativi, è classificato come Alto. Gli account rimanenti sono medi e bassi in base alla minore esposizione e alla sensibilità dei dati.
Visualizzare la scheda Passaggi di correzione. Le indicazioni illustrano le operazioni da eseguire: disabilitare l'accesso alla rete pubblica in ogni account di archiviazione, configurare le regole del firewall per consentire solo reti attendibili e servizi Azure e controllare i token di firma di accesso condiviso per autorizzazioni eccessive. Per l'account Critical di Contoso Healthcare, ciò significa coordinare il team dei dati clinici per confermare la connettività dell'applicazione prima di disabilitare l'accesso pubblico.
Verificare la scheda Anteprima mappa. L'account di archiviazione critico è presente in due percorsi di attacco. Il primo percorso mostra un utente malintenzionato che usa credenziali compromesse per accedere direttamente all'account esposto a Internet ed esfiltrare direttamente i record dei pazienti. Il secondo percorso mostra lo spostamento laterale dall'account di archiviazione al livello di applicazione clinica tramite una connessione al servizio con regole di rete eccessivamente permissive. Poiché questo asset viene visualizzato nei percorsi di attacco attivi, l'urgenza di correzione aumenta significativamente.
Controllare la scheda Iniziative correlate. Verificare quali framework di conformità influiscono su questo aspetto. Il risultato si collega ai controlli Microsoft Cloud Security Benchmark per la sicurezza di rete e la protezione dei dati, oltre a requisiti specifici delle normative sanitarie vigenti. Questa documentazione consente di giustificare il lavoro di correzione durante i controlli di conformità.
Una volta completata l'indagine, è possibile assegnare la responsabilità della correzione e impostare le scadenze utilizzando le regole di governance di Defender CSPM. Le regole di governance consentono di instradare automaticamente le raccomandazioni a proprietari specifici in base ai tag delle risorse o assegnarle manualmente durante la valutazione. Per Contoso Healthcare, la ricerca dell'account di archiviazione critico viene assegnata al team della piattaforma dati con una scadenza di 48 ore, mentre la ricerca del token sas medio viene assegnata al team di sviluppo per la risoluzione durante la finestra di manutenzione successiva.
Comprendere come valutare le raccomandazioni in base al livello di rischio e analizzare il contesto completo di un problema di sicurezza, sia per i carichi di lavoro di archiviazione, calcolo, rete o intelligenza artificiale, costituisce la base per una correzione efficace.