Omówienie reagowania na zdarzenia dla platformy Azure

Reagowanie na zdarzenia to praktyka badania i korygowania aktywnych kampanii ataku w organizacji. Efektywna odpowiedź na zdarzenia dla środowisk platformy Azure wymaga zrozumienia wspólnego modelu odpowiedzialności, natywnych możliwości badania na platformie Azure i zautomatyzowanych narzędzi do reagowania.

Ten artykuł koncentruje się na zagadnieniach dotyczących reagowania na zdarzenia specyficzne dla platformy Azure. Kompleksowe, niezależne od platformy wytyczne dotyczące reagowania na incydenty, w tym szczegółowe podręczniki dotyczące phishingu, sprayu haseł, kradzieży tokenów i innych typów ataków, zobacz przegląd reakcji na incydenty w dokumentacji rozwiązania zabezpieczające firmy Microsoft.

Artykuł ten jest zgodny z fazami NIST SP 800-61 : przygotowanie, wykrywanie i analiza, kontrola i odzyskiwanie oraz działania po incydencie. Aby zapoznać się z nakazowymi kontrolami zabezpieczeń z użyciem wymuszania zasad przez Azure Policy, zobacz Microsoft Cloud Security Benchmark w wersji 2 — reagowanie na incydenty.

Przygotowanie do reagowania na zdarzenia

Ustanów plany, procedury i możliwości przed wystąpieniem zdarzeń.

Opracowywanie planów reagowania na zdarzenia specyficzne dla platformy Azure. Tradycyjne plany często kończą się niepowodzeniem w środowiskach w chmurze, w których współdzielony model odpowiedzialności, zbieranie dowodów opartych na interfejsie API i współpraca dostawcy usług różnią się od obsługi zdarzeń centrum danych. Plany powinny uwzględniać:

• Jasne rozdzielenie obowiązków między firmą Microsoft a organizacją w zakresie usług IaaS, PaaS i SaaS
• Dochodzenie natywne dla chmury z wykorzystaniem dzienników usługi Azure Monitor, dzienników inspekcji Microsoft Entra oraz dzienników przepływu NSG
• Procedury dotyczące migawek maszyn wirtualnych, zrzutów pamięci i przechwytywania pakietów sieciowych
• Procesy współpracy Microsoft, w tym pomoc techniczna firmy Microsoft i Centrum zabezpieczeń firmy Microsoft (MSRC)

Konfigurowanie kontaktów zabezpieczeń w usłudze Microsoft Defender dla Chmury. Wyznaczanie kontaktów, do których firma Microsoft może dotrzeć podczas incydentów wymagających współpracy. Dołącz kontakty podstawowe dostępne 24/7, kontakty zapasowe dla zasięgu globalnego oraz kontakty oparte na rolach dla różnych typów incydentów. Aby uzyskać więcej informacji, zobacz Konfigurowanie kontaktów zabezpieczeń.

Wdrożenie automatycznych procesów powiadomień. Powiadomienie ręczne wprowadza krytyczne opóźnienia. Użyj playbooków Azure Logic Apps i Microsoft Sentinel, aby automatycznie kierować alerty do odpowiednich zainteresowanych stron w oparciu o poważność zdarzenia, wymagania prawne i zasoby, których dotyczy problem. Skonfiguruj procedury eskalacji z wyzwalaczami opartymi na czasie dla niezaznaczonych zdarzeń krytycznych.

Regularnie testuj procedury odpowiedzi. Organizacje wykrywają luki podczas rzeczywistych zdarzeń zamiast kontrolowanych testów. Przeprowadzaj kwartalne ćwiczenia stołowe, wykorzystując scenariusze ataków takich jak ransomware, wydobycie danych i zagrożenia ze strony wewnętrznej.

Wykrywanie i analizowanie zdarzeń

Zaimplementuj wysokiej jakości generowanie alertów i systematyczne możliwości badania.

Włączanie ujednoliconego wykrywania zagrożeń

Wdróż usługę Microsoft Defender XDR jako podstawową ujednoliconą platformę zabezpieczeń. Usługa Defender XDR automatycznie koreluje alerty z punktów końcowych, tożsamości, poczty e-mail i aplikacji w chmurze w ujednolicone zdarzenia, zapewniając automatyczne badanie i reagowanie z szybkością maszyny. Aby uzyskać więcej informacji, zobacz Microsoft Defender XDR.

Skonfiguruj usługę Microsoft Defender dla chmury przy użyciu odpowiednich planów usługi Defender dla obciążeń (serwery, magazyn, kontenery, magazyn kluczy). Dostosowanie progów alertów i tworzenie reguł pomijania dla znanych wyników fałszywie dodatnich, z jednoczesnym zachowaniem pokrycia zagrożeń. Aby uzyskać więcej informacji, zobacz Microsoft Defender dla Chmury.

Zaimplementuj usługę Microsoft Sentinel w celu uzyskania scentralizowanych funkcji SIEM i SOAR. Konfigurowanie reguł analizy na potrzeby automatycznego tworzenia zdarzeń przy użyciu inteligentnego grupowania alertów i wzbogacania jednostek. Użyj wykresu badania i analizy zachowań jednostek w celu kompleksowego badania. Aby uzyskać więcej informacji, zobacz Microsoft Sentinel.

Ustawianie kompleksowego rejestrowania

Kompleksowe dane dziennika są niezbędne do konstruowania osi czasu ataków i rozumienia zakresu. Zbieraj:

• Dzienniki usługi Microsoft Entra ID: dzienniki logowań, dzienniki inspekcji i wykrycia ryzykownych użytkowników.
• Azure Activity Logs: operacje na płaszczyźnie sterowania, w tym modyfikacje zasobów i zmiany polityk.
• Dzienniki przepływów NSG: ruch sieciowy z mapowaniem adresów źródłowych i docelowych na potrzeby wykrywania ruchu lateralnego.
• Logi diagnostyczne zasobów: logi Azure Storage, Key Vault, SQL, Firewall i Application Gateway.

Wysyłanie dzienników do obszaru roboczego usługi Log Analytics w celu długoterminowego przechowywania i scentralizowanego wykonywania zapytań. Aby uzyskać więcej informacji, zobacz Azure Monitor.

Określanie priorytetów zdarzeń na podstawie wpływu na działalność biznesową

Tagowanie zasobów platformy Azure przy użyciu poziomów krytycznych na podstawie wpływu na działalność biznesową, zależności przychodów i zakresu regulacyjnego. Skonfiguruj automatyczne ocenianie ważności w usłudze Microsoft Sentinel, które uwzględnia krytyczne znaczenie zasobów, wrażliwość danych i pewność analizy zagrożeń. Automatyczne eskalowanie zdarzeń dotyczących danych chronionych przez przepisy lub krytycznych systemów biznesowych. Aby uzyskać więcej informacji, zobacz Tagowanie zasobów.

Opanowywanie i odzyskiwanie po incydentach

Automatyzuj reagowanie, aby dopasować szybkość automatycznych ataków.

Natychmiastowe zachowywanie dowodów

Opóźnienia związane ze zbieraniem dowodów i nieprawidłowe postępowanie z nimi naruszają integralność sądową. Automatyzowanie zachowywania dowodów:

• Migawki maszyn wirtualnych: Tworzenie migawek w czasie dla uszkodzonych maszyn wirtualnych przed ich naprawą.
• Niezmienne przechowywanie: Eksportuj logi i dowody do Azure Storage za pomocą polityk niezmiennych przechowywania i prawnego zabezpieczenia.
• Przechwytywanie pakietów sieci: Użyj Azure Network Watcher do analizy kryminalistyki sieciowej.
• Zrzuty pamięci: Zbieraj ulotne dowody za pomocą rozszerzeń Azure.

Utrzymuj łańcuch dowodowy, stosując kryptograficzne haszowanie i logowanie dostępu do postępowań prawnych.

Automatyzacja działań izolacyjnych

Ręczne powstrzymywanie trwa kilka godzin, a automatyczne ataki zakończą cele w ciągu kilku minut. Wdróż podręczniki usługi Microsoft Sentinel dla:

• Odpowiedź konta użytkownika: Wyłącz konta, zresetuj hasła, zakończ sesje i cofnij uprawnienia.
• Izolacja sieci: Zmodyfikuj reguły NSG, aby izolować maszyny wirtualne, jednocześnie zachowując dostęp do badań.
• Kwarantanna urządzeń: Izoluj zagrożone urządzenia końcowe za pomocą Ochrona punktu końcowego w usłudze Microsoft Defender.
• Odpowiedź na malware: Izoluj pliki i blokuj hashe w całej organizacji.

Skonfiguruj przepływy pracy zatwierdzania dla akcji o dużym wpływie, aby zapobiec fałszywie dodatnim uszkodzeniom. Aby uzyskać więcej informacji, zobacz Automatyzowanie reagowania na zagrożenia za pomocą podręczników.

Korzystanie z funkcji izolacji natywnej na platformie Azure

• Grupy Bezpieczeństwa Sieciowego: Dodaj reguły odmowy blokujące ruch atakującego.
• Azure Firewall: Wdrażaj reguły blokujące złośliwe adresy IP i domeny.
• Dostęp warunkowy usługi Microsoft Entra: Zablokuj dostęp z przejętych kont lub lokalizacji.
• Privileged Identity Management: Cofnij przypisania dostępu uprzywilejowanego.

Nauka i ulepszanie po zdarzeniach

Należy przeprowadzać systematyczne działania po zdarzeniu, aby zapobiec cyklowi.

Udokumentowanie wyciągniętych lekcji. Określ, co działa dobrze i co wymaga poprawy. Przechwyć pełną oś czasu ataku, skuteczność odpowiedzi i luki wykryte podczas zdarzenia.

Należy odpowiednio zachować dowody. Przechowuj dowody w niezmiennej usłudze Azure Storage z zasadami przechowywania spełniającymi wymagania prawne dotyczące różnych typów zdarzeń.

Aktualizuj możliwości wykrywania. Dodaj reguły wykrywania dla technik ataków obserwowanych podczas zdarzenia. Przypisz wykryte działania do technik MITRE ATT&CK w celu zidentyfikowania luk w obronie.

Ulepszanie procedur reagowania. Zaktualizuj podręczniki i elementy Runbook w oparciu o zdobyte wnioski. Uściślij automatyzację, aby rozwiązać problem z ręcznymi wąskimi gardłami wykrytymi podczas reagowania.

Podręczniki dotyczące reagowania na zdarzenia

Firma Microsoft udostępnia szczegółowe podręczniki dla typowych scenariuszy ataku:

Aby uzyskać więcej skryptów, zobacz Skrypty reagowania na incydenty.

Dalsze kroki

• Zapoznaj się z Omówieniem reagowania na incydenty, aby uzyskać szczegółowe wskazówki.
• Dowiedz się o ochronie przed zagrożeniami w Azure.
• Przeanalizuj najlepsze praktyki bezpieczeństwa operacyjnego.
• Poznaj Microsoft Cloud Security Benchmark v2 - Reagowanie na Incydenty.