Identificar caminhos de ataque e pontos de estrangulamento
A análise do caminho de ataque em GPSN do Defender revela as cadeias de exploração realistas que podem permitir que um invasor alcance seus ativos críticos. Para a Contoso Healthcare, entender os caminhos de ataque é essencial. Se uma VM exposta à Internet com uma vulnerabilidade existir no ambiente, a equipe de segurança precisará saber se um invasor pode usá-la para alcançar o assistente de triagem do paciente ou o conjunto de dados de registros médicos que fundamenta os modelos de IA. Aqui, você explora como a análise de caminho de ataque funciona, navega pela experiência do caminho de ataque no portal Defender, investiga caminhos individuais e entende como os caminhos de ataque se estendem para cargas de trabalho de IA.
| Elemento do caminho de ataque | Descrição |
|---|---|
| Ponto de entrada | Ponto de acesso externo em que um ataque pode começar , por exemplo, uma VM exposta à Internet ou armazenamento acessível publicamente |
| Ativo de destino | O recurso crítico que um invasor está tentando acessar — por exemplo, um banco de dados com registros de saúde do paciente ou um endpoint do modelo de IA do Azure |
| Ponto de estrangulamento | Um nó onde convergem múltiplos caminhos de ataque — corrigir um ponto de estrangulamento pode interromper vários caminhos de ataque simultaneamente. |
| Nó vulnerável | Um recurso com um problema de segurança que permite a movimentação lateral ao longo do caminho |
Entender como funciona a análise do caminho de ataque
A análise de caminho de ataque usa um algoritmo proprietário para identificar cadeias de exploração realistas em seu ambiente. O algoritmo se concentra em ameaças reais, controladas externamente e exploráveis – caminhos que começam fora da sua organização e avançam em direção a destinos críticos aos negócios.
O algoritmo considera apenas o que é realmente acessível e explorável de pontos de entrada externos. Uma lista de caminhos de ataque curtos ou vazios significa que o algoritmo não encontrou caminhos externos exploráveis confirmados para seus ativos críticos : um sinal de segurança positivo, não um problema de plataforma.
A análise do caminho de ataque requer o plano GPSN do Defender com verificação sem agente habilitado. Por padrão, os caminhos de ataque são organizados por nível de risco – Alto, Médio ou Baixo – usando o mesmo mecanismo de priorização de risco com reconhecimento de contexto que pontua as recomendações de segurança. O nível de risco reflete fatores ambientais, como exposição à Internet, permissões de identidade e a criticidade dos ativos de destino.
Observação
A análise do caminho de ataque está atualmente em versão prévia. Os recursos de visualização estão sujeitos a alterações e podem ter disponibilidade limitada.
Navegar pela análise do caminho de ataque no portal do Defender
Você acessa a análise do caminho de ataque por meio da seção Gerenciamento de Exposições do portal Microsoft Defender. Entre no portal do Microsoft Defender em security.microsoft.com e navegue até Exposure Management>Superfície de ataque>Caminhos de ataque. A experiência de caminho de ataque oferece três visualizações principais: a guia Visão geral, a guia Lista de caminhos de ataque e a guia Pontos de estrangulamento.
A Guia de Visão Geral exibe um resumo visual dos dados do caminho de ataque. Você vê um gráfico de tendências mostrando caminhos de ataque ao longo do tempo, os cinco principais pontos de estrangulamento em que vários caminhos convergem, os cinco principais cenários de caminho de ataque classificados por risco e listas dos principais alvos e os principais pontos de entrada.
A guia Lista de caminhos de ataque exibe uma uma tabela filtrável de todos os caminhos de ataque detectados em seu ambiente. Você pode filtrar por nível de risco (Alto, Médio, Baixo), tipo de ativo, status de correção ou período de tempo, como os últimos 30 dias. Selecione um caminho de ataque na lista para abrir o Mapa do Caminho de Ataque, uma visualização baseada em grafo que realça nós vulneráveis, pontos de entrada, ativos de destino e pontos de estrangulamento.
A guia Pontos Críticos lista nós em que vários caminhos de ataque se cruzam. Esses são os alvos de remediação de maior prioridade – resolver um problema de segurança em um ponto crucial pode interromper vários caminhos de ataque simultaneamente.
Observação
Você pode ver uma lista vazia de caminhos de ataque. Esse é o comportamento esperado e indica que o algoritmo não encontrou caminhos externos exploráveis confirmados para seus ativos críticos – um sinal de segurança positivo.
Investigar um mapa de caminho de ataque
Quando você seleciona um caminho de ataque na lista, o Mapa do Caminho de Ataque é aberto para mostrar a cadeia de exploração completa. Por exemplo, considere um caminho de ataque intitulado "A VM exposta à Internet pode alcançar o endpoint Azure OpenAI com acesso aos dados de saúde do paciente". O mapa exibe essa cadeia visualmente: um ponto de entrada (VM exposta à Internet) conecta-se a um nó vulnerável (VM com vulnerabilidade CVE), que se conecta a um ponto de estrangulamento (conta de armazenamento compartilhada entre serviços), que finalmente atinge o ativo de destino (serviço Azure OpenAI com acesso aos dados de saúde do paciente).
Selecione qualquer nó no mapa para abrir seu painel de detalhes. Você verá as táticas e técnicas do MITRE ATT&CK relevantes para essa etapa: por exemplo, Acesso Inicial para o ponto de entrada, Movimentação Lateral para nós intermediários, ou Exfiltração para nós próximos a dados confidenciais. O painel também lista fatores de risco, como permissões excessivas, exposição à Internet ou vulnerabilidades não emparelhadas.
O painel de detalhes inclui uma seção Recomendações com duas categorias. As recomendações são correções de segurança que interrompem completamente essa via de ataque — a implementação dessas correções remove a via do seu ambiente. Recomendações adicionais reduzem o risco de exploração, mas não quebram totalmente o caminho quando resolvidas sozinhas – elas ainda são valiosas para serem tratadas como medidas de defesa em profundidade. Cada recomendação inclui seu nível de risco, recursos afetados e diretrizes de correção.
Depois de corrigir as recomendações necessárias, pode levar até 24 horas para que o caminho resolvido seja removido da lista.
Como os caminhos de ataque se estendem para cargas de trabalho de IA
A análise do caminho de ataque do GPSN do Defender se estende às cargas de trabalho de IA implantadas em Serviço OpenAI do Azure, Fábrica de IA do Azure, Azure Machine Learning, Amazon Bedrock e Google Vertex AI.
A análise do caminho de ataque identifica cenários em que dados de treinamento do modelo de IA, conjuntos de dados de ajuste fino e dados de inferência estão em risco durante operações de aterramento de modelo. Por exemplo, um recurso de computação exposto à rede com permissões excessivas de identidade em administração pode acessar um projeto do Fábrica de IA do Azure com acesso ao conjunto de dados de registros médicos usado para fundamentação do modelo.
A análise do caminho de ataque apresenta essa cadeia de exploração e destaca os problemas de segurança específicos que permitem a movimentação lateral, como atribuições de função excessivamente permissivas ou endpoints de serviços de IA expostos publicamente.
As descobertas de caminhos de ataque relacionadas à IA surgem na mesma lista de caminhos de ataque e na visão de mapa que você usa para a infraestrutura tradicional. Os ativos visados são rotulados como dados de modelo de IA ou endpoints de serviço de IA, deixando claro quando um caminho de ataque ameaça as cargas de trabalho de IA.
A análise do caminho de ataque mostra as cadeias de exploração que já existem em seu ambiente.