Risico's opsporen met Cloud Security Explorer
Het beveiligingsteam van Contoso Healthcare heeft aanbevelingen en aanvalspaden beoordeeld om inzicht te krijgen in bekende risico's. Nu willen ze verder gaan: proactief zoeken naar risicopatronen die mogelijk nog niet naar voren komen in de lijst met standaardaanbevelingen. Zijn er bijvoorbeeld VM's met bekende beveiligingsproblemen die ook internetblootstelling en toegang hebben tot gevoelige opslagaccounts? Zijn er identiteitsmachtigingen die laterale verplaatsing naar de AI-services mogelijk kunnen maken? Hier leert u hoe u Cloud Security Explorer kunt gebruiken om aangepaste op grafieken gebaseerde query's te bouwen waarmee verborgen risicocombinaties in uw omgeving worden ontdekt.
| Queryonderdeel | Purpose | Voorbeeld |
|---|---|---|
| Hulpmiddeltype | Beginpunt voor uw query | Virtuele machines, opslagaccounts, Azure AI-diensten |
| Filtervoorwaarden | Criteria die resultaten beperken | Internet blootgesteld, heeft beveiligingsproblemen, bevat gevoelige gegevens |
| Relatiefilters | Verbindingen tussen middelen | VM heeft toegang tot opslagaccount |
| Results | Assets die overeenkomen met alle voorwaarden | Specifieke middelen waarvoor een herstelactie is vereist |
Inzicht in cloudbeveiligingsverkenner en de beveiligingsgrafiek
Cloud Security Explorer maakt gebruik van de cloudveiligheidsgrafiek, de contextengine van Defender voor Cloud die relaties tussen resources, identiteiten, gegevens, netwerkblootstelling en beveiligingsresultaten in kaart brengt. In tegenstelling tot aanbevelingen die algoritmisch bepaalde risico's onder de aandacht brengen, kunt u met de verkenner uw eigen vragen aan de data stellen.
De beveiligingsgrafiek wordt bijgewerkt via het publiceren van momentopnamen, een methode voor het regelmatig vernieuwen van gegevens. Het publiceren van momentopnamen zorgt ervoor dat uw workloadconfiguratiegegevens actueel blijven met dagelijkse updates.
Met deze basis bouwt u aangepaste query's voor meerdere resources om risicocombinaties te vinden die standaardaanbevelingen kunnen missen. U kunt bijvoorbeeld query's uitvoeren op 'zoek naar alle VM's met beveiligingsproblemen met hoge ernst die worden blootgesteld aan internet en toegang hebben tot opslagaccounts met gevoelige gegevens'. Dit type query geeft samengestelde risico's weer: situaties waarin meerdere factoren worden gecombineerd om aanzienlijke blootstelling te creëren.
Navigeren en zoekopdrachten bouwen in Cloud Security Explorer
Cloud Security Explorer wordt geopend via de Azure-portal en biedt een speciale interface voor proactieve opsporing van risico's.
Opmerking
Cloud Security Explorer is beschikbaar in de Azure-portal. Meld u aan bij portal.azure.com en navigeer naar Microsoft Defender voor Cloud>Cloud Security Explorer.
Het bouwen van een query volgt een gestructureerde werkstroom waarmee beveiligingsvragen worden omgezet in bruikbare resultaten:
- Selecteer een resourcetype in de vervolgkeuzelijst (bijvoorbeeld virtuele machines, opslagaccounts Azure AI-services).
- Selecteer de + knop om filtervoorwaarden toe te voegen (bijvoorbeeld internet blootgesteld, heeft beveiligingsproblemen met hoge ernst, verbonden met opslag).
- Voeg indien nodig extra resourcetypen en relatiefilters toe om gekoppelde voorwaarden te maken.
- Selecteer Zoeken om de query uit te voeren op de beveiligingsgrafiek.
- Bekijk de resultaten: elke rij vertegenwoordigt een asset die overeenkomt met alle opgegeven voorwaarden.
- Selecteer CSV-rapport downloaden om resultaten te exporteren voor herstel bijhouden of rapporteren aan belanghebbenden.
Filters worden gegroepeerd in logische categorieën, waaronder assettype, blootstelling, machtigingen, beveiligingsproblemen, netwerkverbindingen en potentieel voor laterale verplaatsing.
U kunt meerdere resourcetypen koppelen met behulp van relatiefilters om echte aanvalsscenario's te modelleren. Maak bijvoorbeeld een query voor een virtuele machine die toegang heeft tot een opslagaccount, dat gevoelige gegevens bevat. Deze ketenmogelijkheid weerspiegelt hoe aanvallers zich door omgevingen bewegen, waarbij ze gebruikmaken van relaties tussen resources om hoogwaardige doelen te bereiken.
Querysjablonen gebruiken voor veelvoorkomende risicopatronen
De onderkant van de pagina Cloud Security Explorer bevat vooraf gemaakte querysjablonen die betrekking hebben op veelvoorkomende risicoscenario's die vooraf zijn geconfigureerd voor direct gebruik. Met sjablonen hoeft u geen query's helemaal opnieuw samen te stellen. Dit biedt een praktisch uitgangspunt voor het vaststellen van regelmatige proactieve opsporingsprocedures.
Sjablonen hebben betrekking op scenario's zoals:
- Met internet blootgestelde VM's met beveiligingsproblemen met hoge ernst
- Opslagaccounts met gevoelige gegevens die toegankelijk zijn via internet
- Resources met blootgestelde geheimen (referenties, tokens of sleutels gevonden in omgevingsvariabelen of code)
- Resources met machtigingen voor beheerde identiteit die laterale beweging binnen de tenant mogelijk maken
Als u een sjabloon wilt gebruiken, zoekt u deze onder aan de pagina Cloud Security Explorer en selecteert u Query openen. De sjabloon vult de opbouwfunctie voor query's vooraf in met filters en voorwaarden, die u kunt wijzigen voordat u Zoeken selecteert.
Wanneer AWS- of GCP-cloudconnectors actief zijn en Defender CSPM is ingeschakeld voor deze accounts, biedt dezelfde explorer-interface ondersteuning voor query's met meerdere clouds. Organisaties met hybride cloudarchitecturen kunnen deze opsporingsprocedures uitbreiden op alle verbonden cloudplatforms.
Queryresultaten delen en exporteren
Query's kunnen worden gedeeld met teamleden met behulp van de knop Querykoppeling delen, waarmee een deelbare URL naar het Klembord wordt gekopieerd. Wanneer een query een risicocluster onthult, deelt u de koppeling met workloadeigenaren of governanceteams om gecoördineerde reacties te garanderen. Selecteer CSV-rapport downloaden om resultaten te exporteren voor herstel bijhouden of rapporteren.