Aanvalspaden en verstikkingspunten identificeren

Analyse van aanvalspaden in Defender CSPM toont de realistische exploitatieketens waarmee een aanvaller uw kritieke assets kan bereiken. Voor Contoso Healthcare is het begrijpen van aanvalspaden essentieel. Als er een virtuele machine met internet beschikbaar is met een beveiligingsprobleem in de omgeving, moet het beveiligingsteam weten of een aanvaller deze kan gebruiken om de assistent voor patiënt triage of de gegevensset met medische records te bereiken die de AI-modellen ermee verband houdt. Hier verkent u hoe analyse van aanvalspaden werkt, navigeert u door de aanvalspadervaring in de Defender-portal, onderzoekt u afzonderlijke paden en begrijpt u hoe aanvalspaden zich uitbreiden naar AI-workloads.

Begrijpen hoe analyse van aanvalspaden werkt

Analyse van aanvalspaden maakt gebruik van een eigen algoritme om realistische exploitatieketens in uw omgeving te identificeren. Het algoritme richt zich op echte, extern aangestuurde en exploiteerbare bedreigingen: paden die buiten uw organisatie beginnen en vooruitgang boeken voor bedrijfskritieke doelen.

Het algoritme beschouwt alleen wat daadwerkelijk bereikbaar en exploiteerbaar is vanaf externe toegangspunten. Een lijst met korte of lege aanvalspaden betekent dat het algoritme geen extern exploiteerbare paden naar uw kritieke assets heeft gevonden: een positief beveiligingssignaal, geen platformprobleem.

Voor analyse van aanvalspaden is het Defender CSPM-plan vereist met scannen zonder agent ingeschakeld. Standaard worden aanvalspaden ingedeeld op risiconiveau ( hoog, gemiddeld of laag) met behulp van dezelfde contextbewuste engine voor risico-prioriteitstelling die beveiligingsaanbeveling beoordeelt. Het risiconiveau weerspiegelt omgevingsfactoren zoals blootstelling aan internet, identiteitsmachtigingen en de kritieke kenmerken van doelassets.

Navigeren in analyse van aanvalspaden in de Defender-portal

U opent een aanvalspadanalyse via de sectie Blootstellingsbeheer van de Microsoft Defender-portal. Meld u aan bij de Microsoft Defender-portal op security.microsoft.com en navigeer vervolgens naar Exposurbeheer>Aanvalsoppervlak>Aanvalspaden. De aanvalspadervaring biedt drie primaire weergaven: het tabblad Overzicht, het tabblad Lijst met aanvalspaden en het tabblad Choke-punten.

Op het tabblad Overzicht wordt een visueel overzicht van uw aanvalspadgegevens weergegeven. U ziet een trenddiagram met aanvalspaden in de loop van de tijd, de vijf belangrijkste chokepunten waarbij meerdere paden convergeren, de vijf beste aanvalspadscenario's gesorteerd op risico en lijsten met de belangrijkste doelen en de belangrijkste toegangspunten.

Op het tabblad Lijst met aanvalspaden ziet u een filterbare tabel met alle gedetecteerde aanvalspaden in uw omgeving. U kunt filteren op risiconiveau (hoog, gemiddeld, laag), assettype, herstelstatus of tijdsbestek, zoals de afgelopen 30 dagen. Selecteer een aanvalspad uit de lijst om de Aanvalspadkaart te openen, een grafiekgebaseerde visualisatie die kwetsbare knooppunten, toegangspunten, doelgerichte activa en chokepunten benadrukt.

Het tabblad Choke-punten bevat knooppunten waarin meerdere aanvalspaden elkaar kruisen. Dit zijn de hoogste doelen voor herstel. Het oplossen van een beveiligingsprobleem op een chokepunt kan verschillende aanvalspaden tegelijkertijd verbreken.

Een kaart van een aanvalspad onderzoeken

Wanneer u een aanvalspad in de lijst selecteert, wordt de map Aanvalspad geopend om u de volledige exploitatieketen weer te geven. Denk bijvoorbeeld aan een aanvalspad met de titel 'Met internet blootgestelde VM kan Azure OpenAI-eindpunt bereiken met toegang tot patiëntstatusgegevens'. Op de kaart wordt deze keten visueel weergegeven: een toegangspunt (via internet blootgestelde VM) maakt verbinding met een kwetsbaar knooppunt (VM met CVE-beveiligingsprobleem), dat verbinding maakt met een chokepunt (opslagaccount gedeeld tussen services), dat uiteindelijk de doelasset bereikt (Azure OpenAI-service met toegang tot gezondheidsgegevens van patiënten).

Selecteer een knooppunt in de kaart om het detailvenster te openen. U ziet de MITRE ATT&CK-tactieken en -technieken die relevant zijn voor die stap, bijvoorbeeld Initiële toegang voor het toegangspunt, Laterale Verplaatsing voor tussenliggende knooppunten of Exfiltratie voor knooppunten in de buurt van gevoelige gegevens. In het deelvenster worden ook risicofactoren vermeld, zoals overmatige machtigingen, internetblootstelling of niet-gepatchte beveiligingsproblemen.

Het detailvenster bevat een sectie Aanbevelingen met twee categorieën. Aanbevelingen zijn beveiligingsoplossingen die dit aanvalspad volledig verbreken. Als u dit oplost, wordt het pad uit uw omgeving verwijderd. Aanvullende aanbevelingen verminderen het exploitatierisico, maar breken het pad niet volledig af wanneer ze alleen worden opgelost. Ze zijn nog steeds waardevol om te worden aangepakt als diepgaande maatregelen. Elke aanbeveling omvat het risiconiveau, de betrokken resources en de richtlijnen voor herstel.

Nadat u de benodigde aanbevelingen hebt hersteld, kan het tot 24 uur duren voordat het opgeloste pad uit de lijst wordt verwijderd.

Hoe aanvalspaden worden uitgebreid naar AI-workloads

Defender CSPM aanvalspadanalyse is een uitbreiding op AI-workloads die zijn geïmplementeerd op Azure OpenAI Service, Azure AI Foundry, Azure Machine Learning, Amazon Bedrock en Google Vertex AI.

Analyse van aanvalspaden identificeert scenario's waarbij trainingsgegevens voor AI-modellen, verfijningsdatasets en inferentiegegevens risico lopen tijdens modelgrondslagoperaties. Een rekenresource die via internet beschikbaar is met overmatige machtigingen voor beheerde identiteiten, kan bijvoorbeeld een Azure AI Foundry project bereiken met toegang tot de gegevensset voor medische records die wordt gebruikt voor modelgronding.

Analyse van aanvalspaden maakt deze exploitatieketen zichtbaar en markeert de specifieke beveiligingsproblemen die de laterale verplaatsing mogelijk maken, zoals overmissieve roltoewijzingen of openbaar blootgestelde AI-service-eindpunten.

Bevindingen van ai-specifieke aanvalspaden worden weergegeven in dezelfde lijst met aanvalspaden en kaartweergave die u gebruikt voor traditionele infrastructuur. Doelassets worden gelabeld als AI-modelgegevens of AI-service-eindpunten, waardoor het duidelijk wordt wanneer een aanvalspad AI-workloads bedreigt.

Analyse van aanvalspaden toont u de exploitatieketens die al bestaan in uw omgeving.