Pobieranie wartości z łączników danych

Zarządzanie stopniem zagrożenia bezpieczeństwa przez firmę Microsoft konsoliduje dane dotyczące stanu zabezpieczeń ze wszystkich zasobów cyfrowych, umożliwiając mapowanie obszaru ataków i skoncentrowanie wysiłków w zakresie bezpieczeństwa na obszarach o największym ryzyku. Dane z produktów firmy Microsoft są pozyskiwane automatycznie po nawiązaniu połączenia z usługą Exposure Management i można dodać więcej łączników danych z zewnętrznych źródeł danych.

Zaimportowane zasoby i typy danych

Celem połączenia z produktami zewnętrznymi jest zapewnienie pełnego wglądu we wszystkie zasoby cyfrowe i kontekst zabezpieczeń, który może mieć wpływ na powierzchnię ataku.

Uwaga

Obecnie urządzenia są dołączane do ujednoliconego spisu tylko wtedy, gdy zawierają wystarczające atrybuty identyfikujące (takie jak adres MAC, identyfikatory zasobów w chmurze lub inne obsługiwane unikatowe identyfikatory). Jeśli te informacje nie są obecne lub są niekompletne, system może nie być w stanie bezpiecznie dopasować lub reprezentować tych zasobów na stronie Spis urządzeń.

W takich przypadkach zasoby mogą być nadal widoczne w Zaawansowanym wyszukiwaniu zagrożeń. Jest to znaneograniczenie bieżącego procesu dołączania i normalizacji. Aktywnie pracujemy nad ulepszaniem pokrycia danych i ulepszaniem sposobu przedstawiania tych zasobów w różnych środowiskach.

W tym celu pozyskiwane są następujące typy zasobów, wzbogacanie kontekstu i informacje o lukach w zabezpieczeniach:

  • Urządzenia
  • Zasoby w chmurze
  • Luki
  • Informacje o krytyczności zasobu
  • Ocena ryzyka związanego z zasobami
  • Szczegóły sieci
  • Szczegółowe informacje o ekspozycji (na przykład ekspozycja w Internecie)
  • Użytkownicy (w przyszłości)
  • Aplikacje SaaS (w przyszłości)

Informacje o zasobach i kontekst zabezpieczeń są importowane do usługi Exposure Management i konsolidowane w celu zapewnienia kompleksowego widoku stanu zabezpieczeń we wszystkich zasobach cyfrowych. Obecnie obsługiwane zewnętrzne źródła danych to Qualys, Rapid7 InsightVM, Tenable Vulnerability Management i ServiceNow CMDB.

Dane pozyskane z łączników są znormalizowane i włączone do wykresu ekspozycji i spisu urządzeń. Rozwiązanie Exposure Management korzysta z cennego kontekstu i szczegółowych informacji uzyskanych w celu wygenerowania dokładniejszej oceny powierzchni ataku i zapewnienia dokładniejszego zrozumienia ryzyka narażenia. Te dane mogą być wykorzystywane w Inwentaryzacji urządzeń, w narzędziach do eksploracji grafu ekspozycji, takich jak Mapa powierzchni ataku i Zaawansowane wyszukiwanie, oraz w ścieżkach ataku wykrywanych na podstawie danych wzbogacających pobieranych przez łączniki.

Ostatecznie te dane będą dodatkowo służyć ulepszaniu metryk zabezpieczeń, które mierzą ryzyko narażenia na określone kryteria, a także będą miały wpływ na szersze inicjatywy organizacyjne, które mierzą ryzyko narażenia w obciążeniu lub związane z określonym obszarem zagrożenia.

Zrzut ekranu spisu urządzeń ze źródłem wykrywania

Zalety korzystania z zewnętrznych łączników danych obejmują:

  • Znormalizowano w obrębie wykresu ekspozycji
  • Zwiększanie spisu urządzeń
  • Mapowanie relacji
  • Ujawnianie nowych ścieżek ataku
  • Zapewnianie kompleksowej widoczności powierzchni ataków
  • Uwzględnianie krytyczności zasobu
  • Wzbogacanie kontekstu o aplikację biznesową lub przynależność operacyjną
  • Wizualizowanie za pomocą narzędzia Mapa ataków
  • Eksplorowanie przy użyciu zaawansowanych zapytań wyszukiwania zagrożeń za pośrednictwem języka KQL

Uwaga

Obecnie luki w zabezpieczeniach pobierane z łączników danych są wyświetlane tylko w grafie ekspozycji i można je eksplorować na mapie powierzchni ataków lub przy użyciu zaawansowanego wyszukiwania zagrożeń.

Dane łączników w spisie urządzeń

W Inwentaryzacji urządzeń zobaczysz źródła wykrycia dla każdego urządzenia, czyli produkty, z których otrzymaliśmy jakikolwiek raport dotyczący tego urządzenia. Mogą one obejmować produkty microsoft security, takie jak MDE, MDC i MDI, a także zewnętrzne źródła danych, takie jak Qualys lub ServiceNow CMDB. Możesz filtrować co najmniej jedno źródło odnajdywania w spisie, aby wyświetlić urządzenia, które zostały odnalezione specjalnie przez te źródła.

Zrzut ekranu inwentarza urządzeń z wyróżnionym źródłem wykrywania

Krytyczne zarządzanie zasobami

Identyfikowanie krytycznych zasobów ma kluczowe znaczenie dla zapewnienia, że najważniejsze zasoby w organizacji są chronione przed ryzykiem naruszeń danych i zakłóceń operacyjnych.

Informacje rozszerzone dotyczące krytyczności zasobów są pobierane z konektorów danych na podstawie ocen krytyczności obliczanych w tych produktach zewnętrznych. Podczas pozyskiwania tych danych usługa Critical Asset Management zawiera wbudowane reguły przekształcania wartości krytyczności pobranej z produktu zewnętrznego na wartość krytyczności w module Exposure Management dla każdego zasobu. Te klasyfikacje można wyświetlić i włączyć lub wyłączyć w środowisku zarządzania zasobami krytycznymi.

Zrzut ekranu przedstawiający informacje o łączniku danych w krytycznym zarządzaniu zasobami

Wykres ekspozycji

Aby przeglądać zasoby i dane wzbogacające pobrane z zewnętrznych produktów danych, możesz również wyświetlić te informacje w Grafie ekspozycji. Na mapie Powierzchni ataków możesz wyświetlić węzły reprezentujące zasoby odnalezione przez łączniki, z wbudowanymi ikonami przedstawiającymi źródła odnajdywania dla każdego zasobu.

Zrzut ekranu przedstawiający konektory danych na wykresie ekspozycji

Otwierając okienko boczne zasobu, możesz również wyświetlić szczegółowe dane pobrane z łącznika dla każdego zasobu.

Zrzut ekranu przedstawiający łączniki danych na grafie ekspozycji

Zrzut ekranu przedstawiający łączniki danych w okienku po stronie wykresu ekspozycji

Zaawansowane wyszukiwanie

Aby przeglądać wykryte i zaimportowane dane z zewnętrznych źródeł danych, możesz wykonywać zapytania w grafie ekspozycji w module Zaawansowane wyszukiwanie zagrożeń.

Przykłady:

To zapytanie zwróci wszystkie zasoby pobrane z usługi ServiceNow CMDB i ich szczegółowe metadane.

ExposureGraphNodes
| where NodeProperties contains ("serviceNowCmdbAssetInfo")
| extend SnowInfo = NodeProperties.rawData.serviceNowCmdbAssetInfo

To zapytanie zwróci wszystkie zasoby pobrane z usługi Qualys.

ExposureGraphNodes
| where EntityIds contains ("QualysAssetId")

To zapytanie zwróci wszystkie luki w zabezpieczeniach (CVE) zgłoszone przez usługę Rapid7 w przypadku pozyskiwanych zasobów.

ExposureGraphEdges
| where EdgeLabel == "affecting" 
| where SourceNodeLabel == "Cve" 
| where isnotempty(EdgeProperties.rawData.rapid7ReportInfo)
| project AssetName = TargetNodeName, CVE = SourceNodeName

To zapytanie zwróci wszystkie luki w zabezpieczeniach (CVE) zgłoszone przez Tenable dla zaimportowanych zasobów.

ExposureGraphEdges
| where EdgeLabel == "affecting" 
| where SourceNodeLabel == "Cve" 
| where isnotempty(EdgeProperties.rawData.tenableReportInfo)
| project AssetName = TargetNodeName, CVE = SourceNodeName

Uwaga

Podczas rozwiązywania problemów z zapytaniami Advanced Hunting (AH), które nie działają lub nie zwracają żadnych wyników, należy pamiętać, że pole „reportedBy” uwzględnia wielkość liter. Na przykład prawidłowe wartości obejmują "rapid7", "tenable" itp.

Ścieżki ataku

Zarządzanie stopniem zagrożenia bezpieczeństwa automatycznie generuje ścieżki ataku na podstawie danych zebranych w zasobach i obciążeniach, w tym danych z łączników zewnętrznych. Symuluje scenariusze ataków oraz identyfikuje luki w zabezpieczeniach i słabości, które osoba atakująca może wykorzystać.

Uwaga

Ścieżki ataku nie są obecnie obsługiwane dla łączników danych OT.

Podczas eksplorowania ścieżek ataku w środowisku możesz wyświetlić źródła wykrycia, które przyczyniły się do wykrycia tej ścieżki ataku, na podstawie graficznego widoku tej ścieżki.

Zrzut ekranu ścieżki dołączania ze źródłem wykrywania

Następne kroki

  • Ostatnia aktualizacja o