Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Dotyczy:
- Microsoft Defender XDR
Każdy raport analizy zagrożeń zawiera sekcje dynamiczne i kompleksową pisemną sekcję o nazwie raport analityka. Aby uzyskać dostęp do tej sekcji, otwórz raport o śledzonym zagrożeniu i wybierz kartę Raport analityka .
Sekcja raportu analitycznego w raporcie analizy zagrożeń
Poznanie różnych typów raportów analityków
Raport analizy zagrożeń można sklasyfikować w jednej z następujących kategorii:
- Działanie — zawiera informacje o konkretnej kampanii ataku, która jest często skojarzona z aktorem zagrożeń. W tym raporcie omówiono, jak doszło do ataku, dlaczego warto się nim zająć i jak firma Microsoft chroni przed nim swoich klientów. Raport aktywności może również zawierać szczegółowe informacje, takie jak oś czasu zdarzeń, łańcuchy ataków oraz zachowania i metodologie.
- Aktor — zawiera informacje o konkretnym aktorze zagrożeń śledzonym przez firmę Microsoft, który stoi za znaczącymi cyberatakami. W tym raporcie omówiono motywacje aktora zagrożeń, cele branżowe i/lub geograficzne oraz ich taktykę, techniki i procedury (TTP). Raport o sprawcy zagrożenia może również zawierać informacje o infrastrukturze ataków tego sprawcy, złośliwym oprogramowaniu (niestandardowym lub otwartoźródłowym) i exploitach, które wykorzystywał, a także o istotnych zdarzeniach lub kampaniach, w których uczestniczył.
- Główne zagrożenie — podsumowuje wiele raportów profilowych w spójną narrację, która przedstawia szerszy obraz zagrożenia opisanego w tych raportach lub z nimi powiązanego. Na przykład podmioty stanowiące zagrożenie używają różnych technik do kradzieży poświadczeń środowiska lokalnego, a przegląd zagrożeń dotyczący kradzieży poświadczeń środowiska lokalnego może zawierać odwołania do raportów dotyczących technik, takich jak ataki metodą brute force, ataki na protokół Kerberos lub złośliwe oprogramowanie wykradające informacje. Usługa Microsoft Threat Intelligence używa swoich czujników do najpopularniejszych zagrożeń wpływających na środowiska klientów, aby ocenić, które zagrożenie może zasługiwać na ten typ raportu.
- Technika — zawiera informacje o konkretnej technice używanej przez podmioty zagrożeń — na przykład złośliwym użyciu programu PowerShell lub zbieraniu poświadczeń w przypadku naruszenia zabezpieczeń poczty e-mail (BEC) w firmie — oraz sposobu, w jaki firma Microsoft chroni swoich klientów, wykrywając działania związane z tą techniką.
- Narzędzie — zawiera informacje o określonym narzędziu niestandardowym lub open source, które jest często skojarzone z aktorem zagrożeń. W tym raporcie omówiono możliwości narzędzia, cele, które może osiągnąć aktor zagrożeń, oraz sposób, w jaki firma Microsoft chroni swoich klientów poprzez wykrywanie skojarzonych z nim działań.
- Podatność — zawiera informacje o określonym identyfikatorze CVE (Common Vulnerabilities and Exposures) lub grupie podobnych luk CVE wpływających na produkt. Raport o lukach w zabezpieczeniach zazwyczaj omawia godne uwagi luki w zabezpieczeniach, takie jak te używane przez podmioty zagrożeń i znaczące kampanie ataków. Obejmuje co najmniej jeden z następujących rodzajów informacji: typ luki w zabezpieczeniach, usługi, których dotyczy problem, wykorzystanie luki typu zero-day lub aktywne wykorzystanie, ocena ważności i potencjalny wpływ oraz zakres ochrony zapewnianej przez firmę Microsoft.
- OSINT (wersja zapoznawcza) — zapewnia wyselekcjonowaną analizę zagrożeń pochodzącą z publicznie dostępnych źródeł analizy open source (OSINT), takich jak blogi z badaniami nad zabezpieczeniami, ujawnianie luk w zabezpieczeniach i zaufane kanały informacyjne OSINT. Każdy artykuł OSINT zazwyczaj zawiera zwięzłe podsumowanie oryginalnego raportu, odnośnik do oryginalnego źródła, automatycznie wyodrębnione wskaźniki kompromitacji (IOC), odwzorowane taktyki i techniki MITRE ATT&CK oraz, jeśli są dostępne, analizę specyficzną dla firmy Microsoft lub zalecane działania. Artykuły OSINT są wyświetlane w tym samym środowisku analizy zagrożeń co analiza firmy Microsoft, ale niektóre karty specyficzne dla środowiska, takie jak powiązane zdarzenia, zasoby,narażenie punktów końcowych i zalecane akcje, mogą jeszcze nie zawierać danych.
Skanowanie raportu analityka
Każda sekcja raportu analityka zawiera praktyczne informacje. Chociaż raporty są różne, większość raportów zawiera sekcje opisane w poniższej tabeli.
| Sekcja raportu | Opis |
|---|---|
| Podsumowanie dla kierownictwa | Przegląd zagrożenia, który może obejmować informacje o tym, kiedy zostało ono po raz pierwszy zaobserwowane, jakie są jego motywacje, ważne wydarzenia, główne cele oraz charakterystyczne narzędzia i techniki. Te informacje umożliwiają ocenę priorytetyzacji zagrożenia w kontekście branży, lokalizacji geograficznej i sieci. |
| Omówienie | Analiza techniczna zagrożenia, która w zależności od typu raportu może zawierać szczegóły ataku i sposób, w jaki osoby atakujące mogą korzystać z nowej techniki lub powierzchni ataku. Ta sekcja zawiera również różne nagłówki i dalsze podsekcje, w zależności od typu raportu, aby podać więcej kontekstu i szczegółów. Na przykład profil podatności ma osobną sekcję zawierającą listę technologii, których dotyczy, natomiast profil aktora może zawierać sekcje Narzędzia i TTP oraz Atrybucja. |
| Wykrycia/zapytania do wyszukiwania zagrożeń | Specyficzne i ogólne wykrycia udostępniane przez rozwiązania zabezpieczeń firmy Microsoft, które mogą eksplorować działania lub składniki skojarzone z zagrożeniem. Ta sekcja zawiera również zapytania dotyczące wyszukiwania zagrożeń w celu proaktywnego identyfikowania możliwych działań związanych z zagrożeniami. Większość zapytań uzupełnia wykrywanie, szczególnie w przypadku lokalizowania potencjalnie złośliwych składników lub zachowań, których nie można dynamicznie ocenić jako złośliwych. |
| Zaobserwowane techniki MITRE ATT&CK | Jak obserwowane techniki są mapowane na strukturę ataków MITRE ATT&CK |
| Zalecenia | Kroki umożliwiające podjęcie działań, które mogą zatrzymać lub zmniejszyć wpływ zagrożenia. Ta sekcja zawiera również środki zaradcze, które nie są śledzone dynamicznie w ramach raportu analizy zagrożeń. |
| Informacje | Publikacje firmy Microsoft i innych firm, do których odwołują się analitycy podczas tworzenia raportu. Zawartość analizy zagrożeń jest oparta na danych zweryfikowanych przez badaczy firmy Microsoft. Informacje z publicznie dostępnych źródeł innych firm są wyraźnie identyfikowane jako takie. |
| Dziennik zmian | Czas publikacji raportu i czas wprowadzania istotnych zmian w raporcie. |
Dowiedz się, jak można wykryć każde zagrożenie
Raport analityka zawiera również informacje z różnych rozwiązań firmy Microsoft, które mogą pomóc w wykrywaniu zagrożenia. Zawiera ono listę wykryć specyficznych dla tego zagrożenia z każdego z produktów wymienionych w poniższych sekcjach, stosownie do potrzeb. Alerty z tych wykryć specyficznych dla zagrożeń są wyświetlane na kartach stanu alertów na stronie Analiza zagrożeń.
Niektóre raporty analityków wspominają również o alertach, które są przeznaczone do ogólnego oznaczania podejrzanych zachowań i mogą nie być skojarzone ze śledzonym zagrożeniem. W takich przypadkach raport wyraźnie stwierdza, że alert może być wyzwalany przez niepowiązane działania związane z zagrożeniami i że nie jest monitorowany na kartach stanu podanych na stronie Analiza zagrożeń.
Program antywirusowy Microsoft Defender
Wykrywanie oprogramowania antywirusowego jest dostępne na urządzeniach z włączonym programem antywirusowym Microsoft Defender w systemie Windows. Te wykrycia łączą się z odpowiednimi opisami encyklopedii złośliwego oprogramowania w analizie zabezpieczeń firmy Microsoft, jeśli są dostępne.
Microsoft Defender dla punktów końcowych
Alerty wykrywania i reagowania na punkty końcowe (EDR) są wywoływane dla urządzeń dołączonych do usługi Ochrona punktu końcowego w usłudze Microsoft Defender. Te alerty opierają się na sygnałach zabezpieczeń zbieranych przez czujnik punktu końcowego usługi Defender for Endpoint i innych możliwościach punktów końcowych, takich jak oprogramowanie antywirusowe, ochrona sieci, ochrona przed naruszeniami, które służą jako zaawansowane źródła sygnału.
Ochrona usługi Office 365 w usłudze Microsoft Defender
Raporty analityków obejmują również wykrywanie i środki zaradcze z usługi Defender dla usługi Office 365. Usługa Ochrona usługi Office 365 w usłudze Defender bezproblemowo integruje się z subskrypcjami platformy Microsoft 365 i chroni przed zagrożeniami w wiadomościach e-mail, linkach (adresach URL), załącznikach plików i narzędziach do współpracy.
Microsoft Defender for Identity
Defender for Identity to oparte na chmurze rozwiązanie zabezpieczeń, które pomaga zabezpieczyć monitorowanie tożsamości w całej organizacji. Używa ona sygnałów z lokalnej usługi Active Directory i tożsamości w chmurze, aby ułatwić identyfikowanie, wykrywanie i badanie zaawansowanych zagrożeń skierowanych do organizacji.
Microsoft Defender for Cloud Apps - ochrona aplikacji w chmurze.
Usługa Defender for Cloud Apps zapewnia pełną ochronę aplikacji SaaS. Ułatwia ona monitorowanie i ochronę danych aplikacji w chmurze przy użyciu podstawowych funkcji brokera zabezpieczeń dostępu do chmury (CASB), funkcji SaaS Security Posture Management (SSPM), zaawansowanej ochrony przed zagrożeniami i ochrony aplikacji do aplikacji.
Microsoft Defender dla Chmury
Defender dla Chmury to natywna dla chmury platforma ochrony aplikacji (CNAPP) składająca się ze środków i rozwiązań w zakresie zabezpieczeń, które mają na celu ochronę aplikacji opartych na chmurze przed różnymi zagrożeniami i lukami w zabezpieczeniach.
Znajdowanie subtelnych artefaktów zagrożeń przy użyciu zaawansowanego wyszukiwania zagrożeń
Chociaż wykrywanie umożliwia automatyczne identyfikowanie i zatrzymywanie śledzonych zagrożeń, wiele działań związanych z atakiem pozostawia subtelne ślady, które wymagają większej inspekcji. Niektóre działania w ramach ataku wykazują cechy, które mogą być również uznawane za normalne, więc ich dynamiczne wykrywanie może generować szum operacyjny, a nawet wyniki fałszywie dodatnie. Zapytania dotyczące wyszukiwania zagrożeń umożliwiają proaktywne lokalizowanie tych potencjalnie złośliwych składników lub zachowań.
Zapytania zaawansowanego wyszukiwania zagrożeń w usłudze Microsoft Defender
Zaawansowane wyszukiwanie zagrożeń zapewnia interfejs zapytań oparty na języku zapytań Kusto, który upraszcza lokalizowanie subtelnych wskaźników aktywności zagrożeń. Umożliwia również wyświetlanie informacji kontekstowych oraz weryfikację, czy wskaźniki są powiązane z zagrożeniem.
Analitycy firmy Microsoft weryfikują zapytania zaawansowanego wyszukiwania zagrożeń w raportach analitycznych, a następnie można je uruchomić w edytorze zapytań zaawansowanego wyszukiwania zagrożeń. Możesz również użyć zapytań do tworzenia niestandardowych reguł wykrywania, które uruchamiają alerty po znalezieniu przyszłych dopasowań.
Zapytania usługi Microsoft Sentinel
Raporty analityków mogą również obejmować zapytania dotyczące wyszukiwania zagrożeń dla klientów usługi Microsoft Sentinel.
Usługa Microsoft Sentinel oferuje zaawansowane narzędzia wyszukiwania zagrożeń i zapytań do wyszukiwania zagrożeń bezpieczeństwa w źródłach danych organizacji. Aby ułatwić aktywne wyszukiwanie nowych anomalii, które nie są wykrywane przez aplikacje zabezpieczeń, a nawet przez reguły zaplanowanej analizy, zapytania dotyczące wyszukiwania zagrożeń w usłudze Sentinel prowadzą Cię do zadawania właściwych pytań w celu znalezienia problemów z danymi, które już masz w sieci.
Stosowanie dodatkowych środków zaradczych
Analiza zagrożeń dynamicznie śledzi stan niektórych aktualizacji zabezpieczeń i bezpiecznych konfiguracji. Te typy informacji są dostępne jako wykresy i tabele na kartach Ekspozycje punktów końcowych i Zalecane akcje . Te zalecenia są powtarzalne i mają zastosowanie do tego zagrożenia i mogą dotyczyć również innych zagrożeń.
Oprócz tych śledzonych zaleceń raport analityków może również omawiać środki zaradcze, które nie są dynamicznie monitorowane, ponieważ są specyficzne tylko dla zagrożenia lub sytuacji omawianej w raporcie. Oto kilka przykładów ważnych działań ograniczających ryzyko, które nie są śledzone na bieżąco:
- Blokuj wiadomości e-mail z załącznikami .lnk lub innymi podejrzanymi typami plików
- Losuj hasła lokalnego administratora
- Informowanie użytkowników końcowych o wiadomościach e-mail dotyczących wyłudzania informacji i innych wektorach zagrożeń
- Włączanie określonych reguł zmniejszania obszaru ataków
Chociaż do oceny stanu bezpieczeństwa przed zagrożeniem można użyć kart Ekspozycje punktów końcowych i Zalecane akcje , te zalecenia umożliwiają podjęcie innych kroków w kierunku poprawy stanu bezpieczeństwa. Uważnie przeczytaj wszystkie wskazówki dotyczące ograniczania ryzyka w raporcie analityka i zastosuj je zawsze, gdy jest to możliwe.
Zobacz też
- Analiza zagrożeń — omówienie
- Proaktywne znajdowanie zagrożeń przy użyciu zaawansowanego wyszukiwania zagrożeń
- Niestandardowe reguły wykrywania
Wskazówka
Chcesz dowiedzieć się więcej? Zaangażuj się w społeczność rozwiązań zabezpieczających firmy Microsoft w naszej społeczności technicznej Społeczność techniczna usługi Microsoft Defender XDR.