Scheman och operatorer

Diagramscheman för företagsexponering i Microsoft Security Exposure Management tillhandahålla information om attackytan för att hjälpa dig att förstå hur potentiella hot kan nå och kompromettera värdefulla tillgångar. Den här artikeln sammanfattar schematabeller och operatorer för exponeringsdiagram.

Schematabeller

Exponeringsdiagrammet förlitar sig på följande tabeller:

  • ExposureGraphNodes
  • ExposureGraphEdges

Exponeringsgrafnoder

ExposureGraphNodes innehåller organisationsentiteter och deras egenskaper. Dessa omfattar entiteter som enheter, identiteter, användargrupper och molntillgångar som virtuella datorer (VM), lagring och containrar. Varje nod motsvarar en enskild entitet och kapslar in information om dess egenskaper, attribut och säkerhetsrelaterade insikter i organisationsstrukturen.

Följande är namn, typer och beskrivningar för kolumnerna i ExposureGraphNodes:

  • NodeId (string) – En unik nodidentifierare. Exempel: "650d6aa0-10a5-587e-52f4-280bfc014a08"
  • NodeLabel (string)- Nodens etikett. Exempel: "microsoft.compute/virtualmachines", "elasticloadbalancing.loadbalancer"
  • NodeName (string)- Nodens visningsnamn. Exempel: "nlb-test" (ett namn på nätverkslastbalanseraren)
  • Categories (Dynamic (json)) – Nodens kategorier. Exempel:
[
  "compute",
  "virtual_machine"
]
  • NodeProperties (Dynamic (json)) – Nodens egenskaper, inklusive insikter relaterade till resursen, till exempel om resursen exponeras för Internet eller är sårbar för fjärrkodkörning. Värdena är i rådataformat (ostrukturerade). Exempel:
{   
"rawData": {
"osType": "linux",   
"exposed to the internet": 
{     
"routes": [ { … } ]   
}
} 
}
  • EntityIds (Dynamic (json)) – Alla kända nodidentifierare. Exempel:
{ 
"AzureResourceId": "A1",  
"MdeMachineId": "M1", 
}

Exponeringsgrafkanter

Schemat ExposureGraphEdges ger tillsammans med det kompletterande ExposureGraphNodes-schemat insyn i relationer mellan entiteter och tillgångar i diagrammet. Många jaktscenarier kräver utforskning av entitetsrelationer och attackvägar. När du till exempel letar efter enheter som exponeras för en specifik kritisk sårbarhet kan du upptäcka viktiga organisationstillgångar med vetskap om relationen mellan entiteter.

Följande är kolumnnamn, etiketter och beskrivningar för ExposureGraphEdges:

  • EdgeId (string) – Den unika identifieraren för relationen/gränsen.
  • EdgeLabel (string) - Kantetiketten. Exempel: "påverkar", "dirigerar trafik till", "kör" och "innehåller". Du kan visa en lista med kantetiketter genom att köra en fråga mot grafen. Mer information finns i Lista alla Edge-etiketter i din tenantorganisation.
  • SourceNodeId (string) – Nod-ID för gränsens källa. Exempel: "12346aa0-10a5-587e-52f4-280bfc014a08"
  • SourceNodeName (string) – Källnodens visningsnamn. Exempel: "mdvmaas-win-123"
  • SourceNodeLabel (string) – källnodetiketten. Exempel: "microsoft.compute/virtualmachines"
  • SourceNodeCategories (Dynamic (json)) – kategorilistan för källnoden.
  • TargetNodeId (string) – Nod-ID för gränsens mål. Exempel: "45676aa0-10a5-587e-52f4-280bfc014a08"
  • TargetNodeName (string) – Målnodens visningsnamn. Exempel: gke-test-cluster-1
  • TargetNodeLabel (string) - etiketten för målnoden. Exempel: "compute.instances"
  • TargetNodeCategories (Dynamic (json)) – kategorilistan för målnoden.
  • EdgeProperties (Dynamic (json)) – Valfria data som är relevanta för relationen mellan noderna. Exempel: För EdgeLabel "dirigerar trafik till" med EdgeProperties av networkReachability anger du information om port- och protokollintervallen som används för att överföra trafik från punkt A till B.
{   
 "rawData": {
  "networkReachability": {
    "type": "NetworkReachability",
    "routeRules": [
      {
        "portRanges": [
          "8083"
        ],
        "protocolRanges": [
          "6"
        ]
      },
      {
        "portRanges": [
          "80"
        ],
        "protocolRanges": [
          "6"
        ]
      },
      {
        "portRanges": [
          "443"
        ],
        "protocolRanges": [
          "6"
        ]
      }
    ]
  }
}
}

Operatorer för Graph Kusto-frågespråk (KQL)

Microsoft Security Exposure Management förlitar sig på graftabeller för exponering och unika exponeringsgrafoperatorer för att aktivera åtgärder över grafstrukturer. Diagrammet skapas från tabelldata med operatorn make-graph och efterfrågas sedan med hjälp av grafoperatorer.

Operatorn make-graph

make-graph operator Skapar en grafstruktur från tabellindata för kanter och noder. Mer information om dess användning och syntax finns i operatorn make-graph.

graph-match-operatorn

Operatorn graph-match söker efter alla förekomster av ett diagrammönster i en indatagrafkälla. Mer information finns i grafmatchningsoperatorn.

Nästa steg

Fråga företagets exponeringsdiagram.

  • Last updated on