Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
W tym artykule wyjaśniono, jak zarządzać zdarzeniami zabezpieczeń i zminimalizować ich wpływ przy użyciu zasad Zero Trust w ramach modelu wdrażania zabezpieczeń Microsoft.
Ten scenariusz biznesowy pomaga osiągnąć następujący wynik:
Minimalizuj szkody biznesowe przed zdarzeniami bezpieczeństwa
Jako lider biznesowy wiesz, że cyberataki są nieuniknione. Ważne jest, jak szybko możesz wykrywać incydenty bezpieczeństwa, ograniczać ich skutki i odzyskiwać sprawność po nich, aby zmniejszyć zakłócenia operacyjne, straty finansowe i szkody wizerunkowe.
Te wskazówki pomagają organizacji zmniejszyć wpływ zdarzeń zabezpieczeń na firmę, zwiększając odporność, zwiększając efektywność reakcji i przyspieszając odzyskiwanie w całym przedsiębiorstwie.
Jak działają te wskazówki
Ten artykuł jest częścią ustrukturyzowanego modelu wdrażania , który łączy strategię zabezpieczeń z implementacją:
Zacznij od scenariusza biznesowego , takiego jak ten, aby zdefiniować wynik, który chcesz osiągnąć.
Zidentyfikuj dyscypliny zabezpieczeń , które mają zastosowanie do tego scenariusza.
Te dyscypliny służą do definiowania wymaganej strategii, architektury, procesów i kontrolek dla scenariusza. Współpracuj z każdą dyscypliną, aby zrozumieć, co należy zaplanować, zaprojektować i zaimplementować w całej organizacji.
Użyj rozwiązań technicznych, aby zaimplementować te wymagania przy użyciu technologii Microsoft, stosując mechanizmy kontroli między filarami technologii, takimi jak tożsamość i dane.
Takie podejście zapewnia, że reagowanie na zdarzenia zabezpieczeń i odzyskiwanie są zintegrowane z ogólną architekturą Zero Trust, umożliwiając szybsze wykrywanie, ograniczanie i odzyskiwanie.
Dlaczego minimalizacja uszkodzeń ataków wymaga nowego podejścia
Powodzenie zabezpieczeń to niepowodzenie osoby atakującej, ale nie można zagwarantować zatrzymania każdego ataku. Ponieważ szkody wynikające z pomyślnych ataków cyberbezpieczeństwa są nieuniknione, skoncentruj się na budowaniu odporności, zapewniając, że możesz:
- Powstrzymaj jak najwięcej ataków.
- Skuteczne reagowanie w przypadku wystąpienia ataków w celu ograniczenia szkód i szybkiego odzyskiwania zasobów i usług biznesowych.
- Dowiedz się , jak stosować wnioski i stale zwiększać odporność.
Wartość biznesowa
Wartość inwestowania w minimalizowanie szkód biznesowych przynosi korzyści całej organizacji, ale różni się rolą.
| Role | Wartość |
|---|---|
| Kierownictwo firmy | Zmniejsza przerwy w działaniu firmy, przestoje i ryzyko zdarzeń związanych z bezpieczeństwem, ograniczając częstotliwość i ważność naruszeń oraz skracając szybkość odzyskiwania. Szybsze przywracanie operacji i integralności danych minimalizuje wpływ regulacyjny i reputacji przy jednoczesnym zmniejszeniu liczby zdarzeń wymagających publicznego ujawnienia. Bezpieczeństwo staje się czynnikiem umożliwiającym elastyczność biznesową, zapewnienie, że decyzje dotyczące wykonywania i inwestycji są informowane przez kontekst ryzyka, a nie ograniczane przez incydenty. |
| Role technologii | Zmniejsza tarcie operacyjne, spełniając wymagania dotyczące zabezpieczeń i technologii, automatyzując mechanizmy kontroli i standaryzację procesów dostępu i odzyskiwania. Niższa częstotliwość incydentów i mniejsze ich skutki zmniejszają nakład pracy wymagany do działań naprawczych i odtwarzania, umożliwiając zespołom skupienie się na dostarczaniu niezawodnych, skalowalnych usług wspierających pracę zdalną i hybrydową. |
| Role zabezpieczeń | Zwiększa trudność działania atakującego i zmniejsza jego zwrot z inwestycji poprzez wymuszanie spójnych mechanizmów kontroli opartych na tożsamości w odniesieniu do użytkowników, urządzeń i aplikacji. Lepsza widoczność i automatyzacja ograniczają liczbę powtarzających się incydentów, dzięki czemu zespoły ds. bezpieczeństwa mogą poświęcać mniej czasu na powtarzalne zadania związane z ograniczaniem skutków incydentów, a więcej na proaktywne ograniczanie ryzyka i wzmacnianie odporności. |
Dopasowywanie dyscyplin zabezpieczeń
Dyscypliny zabezpieczeń reprezentują ustrukturyzowane obszary odpowiedzialności wymagane do realizacji tego scenariusza biznesowego.
- Dyscypliny planowania i nadzoru definiują wymaganą strategię, ład i koordynację między organizacjami.
- Dyscypliny strategii technicznej definiują wymagane możliwości architektury, działania i kontroli.
- Dyscypliny operacyjne zapewniają, że mechanizmy kontroli zabezpieczeń pozostają skuteczne w czasie dzięki monitorowaniu, reagowaniu i ciągłym ulepszaniu. Wykrywają nieprawidłowe użycie, reagują na zagrożenia i prowadzą do ciągłych ulepszeń stanu zabezpieczeń.
Planowanie i dyscypliny nadzoru
| Discipline | Action |
|---|---|
| Strategia, integracja i ład | Skonfiguruj między zespołami procesy i ład, aby kierować się zapobieganiem, reagowaniem i uczeniem się w zespołach ds. zabezpieczeń, technologii i biznesu. |
| Kompleksowa architektura zabezpieczeń | Upewnij się, że mechanizmy kontroli technicznej i możliwości są zintegrowane, aby szybko zastosować wnioski wyciągnięte w całej organizacji. Integracja ta obejmuje ustanowienie skutecznych mechanizmów kontroli zabezpieczeń we wszystkich procesach, osobach i technologii — zarówno istniejącej technologii, jak i nowej technologii, takiej jak sztuczna inteligencja. Wymagaj rejestrowania aktywności i wykrywania nietypowych działań (potencjalnych ataków), aby umożliwić skuteczną reakcję i odzyskiwanie. Określanie priorytetów działań zabezpieczeń przy użyciu szczegółowych informacji analizy zagrożeń z secOps. |
Dyscypliny strategii technicznej
| Discipline | Action |
|---|---|
| Dostęp i tożsamość | Ustanów silne mechanizmy kontroli, takie jak uwierzytelnianie wieloskładnikowe i poświadczenia odporne na wyłudzanie informacji, aby zapobiec znanym technikom ataków. Obsługa rejestrowania aktywności i wykrywania nietypowych działań (potencjalnych ataków) w celu umożliwienia efektywnej reakcji i odzyskiwania. Określanie priorytetów działań zabezpieczeń przy użyciu szczegółowych informacji analizy zagrożeń z secOps. |
| Zabezpieczenia infrastruktury | Ustanów silne mechanizmy kontroli, aby zapobiec znanym technikom ataków we wszystkich zasobach infrastruktury w majątku technicznym, w tym wielochmurowych i lokalnych centrach danych. Obsługa rejestrowania aktywności i wykrywania nietypowych działań (potencjalnych ataków) w celu umożliwienia efektywnej reakcji i odzyskiwania. Określanie priorytetów działań zabezpieczeń przy użyciu szczegółowych informacji analizy zagrożeń z secOps. |
| Zabezpieczenia programistyczne | Ustanów silne mechanizmy kontroli, aby zapobiec znanym technikom ataków we wszystkich nowych aplikacjach programistycznych i istniejących. Obsługa rejestrowania aktywności i wykrywania nietypowych działań (potencjalnych ataków) w celu umożliwienia efektywnej reakcji i odzyskiwania. Ustanów procesy, aby szybko obsługiwać badania ataków, odzyskiwanie i integrację poprawek pod kątem luk w zabezpieczeniach. Określanie priorytetów działań zabezpieczeń przy użyciu szczegółowych informacji analizy zagrożeń z secOps. |
| Zabezpieczenia danych | Ustanów silne mechanizmy kontroli, aby zapobiec utracie, szyfrowaniu, zmianie lub innego wpływu na bezpieczeństwo lub prywatność zasobów danych, które przechowują własność intelektualną, tajemnice handlowe, regulowane dane i inne poufne informacje. Obsługa rejestrowania aktywności i wykrywania nietypowych działań (potencjalnych ataków) w celu umożliwienia efektywnej reakcji i odzyskania Określanie priorytetów działań zabezpieczeń przy użyciu szczegółowych informacji analizy zagrożeń z secOps. |
| Zabezpieczenia OT i IoT | Ustanów silne mechanizmy kontroli, aby zapobiec pomyślnym atakom na te aktywa, które bezpośrednio wchodzą w interakcje z procesami fizycznymi i światem fizycznym oraz mogą powodować życie, bezpieczeństwo, finanse i inne negatywne skutki. Obsługa rejestrowania aktywności i wykrywania nietypowych działań (potencjalnych ataków) w celu umożliwienia efektywnej reakcji i odzyskiwania. Określanie priorytetów działań zabezpieczeń przy użyciu szczegółowych informacji analizy zagrożeń z secOps. |
Dyscypliny operacyjne
| Discipline | Action |
|---|---|
| SecOps | Wdróż podejście oparte na ciągłym uczeniu się, aby usprawnić reagowanie SecOps i dzielić się wnioskami z analizy zagrożeń dotyczącymi najważniejszych technik ataków i sprawców zagrożeń. Takie podejście pozwala ulepszyć skupienie się na atakach mających największy wpływ na działalność biznesową, najczęściej spotykanych atakach i innych, które nieproporcjonalnie wpływają na pracowników secOps, bezpieczeństwa i technologii. |
| Zarządzanie stanem zabezpieczeń | Wprowadź podejście oparte na ciągłym uczeniu się, aby integrować wnioski z analizy zagrożeń pochodzące z SecOps oraz kontekst biznesowy w celu monitorowania podatności o wysokim poziomie krytyczności i dużym wpływie na działalność firmy oraz wspierania zespołów technologicznych w ograniczaniu tych podatności, które w nieproporcjonalnie dużym stopniu zwiększają ryzyko biznesowe. |
Wymagane filary technologii
Filary technologii reprezentują podstawowe Microsoft możliwości zabezpieczeń, które obsługują ten scenariusz biznesowy.
| Filar technologii | Defender XDR | Microsoft Sentinel |
|---|---|---|
| Filar krzyżowy | Koreluje sygnały z usług Microsoft Defender for Endpoint, Microsoft Defender for Identity, Ochrona usługi Office 365 w usłudze Defender i Defender for Cloud Apps w celu wykrywania, badania i reagowania na zagrożenia jako skoordynowane incydenty. | Pozyskuje i analizuje dane z różnych filarów technologicznych firmy Microsoft i źródeł innych firm, aby umożliwić scentralizowane wykrywanie, dochodzenie i zautomatyzowane reagowanie. |
| Identity | Defender for Identity wykrywa zagrożenia związane z tożsamością hybrydową, takie jak niewłaściwe użycie poświadczeń, ruch lateralny i nadużycia uprawnień. Te sygnały tożsamości są skorelowane w Defender XDR w celu wykrywania ataków i reagowania na nie. | Pobiera dzienniki tożsamości z usługi Microsoft Entra i od dostawców zewnętrznych, aby identyfikować podejrzane próby uwierzytelniania i zachowania kont. |
| Punkty końcowe | Ochrona punktu końcowego w usłudze Microsoft Defender wykrywa, bada i reaguje na zagrożenia na urządzeniach. Te sygnały punktu końcowego są skorelowane w Defender XDR w celu wykrywania ataków i reagowania na nie. | Koreluje dane telemetryczne punktu końcowego z Microsoft i źródeł innych firm w celu wykrywania ataków i śledzenia aktywności na urządzeniach. |
| Networks | Koreluje sygnały związane z siecią między punktami końcowymi, tożsamościami, aplikacjami i infrastrukturą w celu wykrywania zagrożeń opartych na sieci. | Analizuje dzienniki sieciowe i dane przepływu z wielu źródeł w celu wykrywania działań poleceń i kontroli oraz ataków sieciowych. |
| Aplikacje | Ochrona usługi Office 365 w usłudze Microsoft Defender chroni narzędzia do obsługi poczty e-mail i współpracy przed atakami polegającymi na wyłudzaniu informacji, złośliwym oprogramowaniem i atakami zabezpieczeń poczty e-mail. Microsoft Defender for Cloud Apps zapewnia widoczność i kontrolę nad aplikacjami SaaS/w chmurze. | Monitoruje działania w aplikacjach SaaS Microsoft i innych firm w celu wykrywania nietypowych zachowań i zagrożeń. |
| Data | Microsoft Defender XDR koreluje sygnały z sygnałami z usługi Microsoft Purview, aby wykrywać narażenie poufnych danych i potencjalną eksfiltrację danych w różnych obciążeniach roboczych. | Analizuje wzorce dostępu do danych i ich przemieszczania między źródłami, aby wykrywać eksfiltrację oraz zagrożenia wewnętrzne. |
| Infrastruktura | Microsoft Defender dla Chmury wykrywa zagrożenia i błędy konfiguracji w obciążeniach chmurowych i hybrydowych. Te sygnały są skorelowane w Defender XDR w celu wykrywania ataków opartych na infrastrukturze. | Pozyskiwanie danych telemetrycznych infrastruktury w środowiskach chmurowych i lokalnych w celu wykrywania naruszonych zasobów i ataków. |
| AI | Wykorzystuje dochodzenie wspomagane przez SI oraz automatyczne przerywanie ataków na podstawie skorelowanych sygnałów, aby przyspieszyć wykrywanie i reagowanie. | Stosuje analizę i uczenie maszynowe w celu nadania priorytetów zagrożeniom i zmniejszenia szumu w dużych zestawach danych. |