Identifiera attackvägar och chokepunkter

Analys av attackvägar i Defender CSPM visar de realistiska exploateringskedjor som kan göra det möjligt för en angripare att nå dina kritiska tillgångar. För Contoso Healthcare är det viktigt att förstå angreppsvägar. Om det finns en internetexponerad virtuell dator med en säkerhetsrisk i miljön måste säkerhetsteamet veta om en angripare kan använda den för att nå patienttriageassistenten eller datamängden för medicinska journaler som ligger till grund för AI-modellerna. Här utforskar du hur analys av attackvägar fungerar, navigerar i angreppsvägsupplevelsen i Defender-portalen, undersöker enskilda sökvägar och förstår hur angreppsvägar utökas till AI-arbetsbelastningar.

Förstå hur analys av attackvägar fungerar

Analys av attackvägar använder en egenutvecklad algoritm för att identifiera realistiska exploateringskedjor i din miljö. Algoritmen fokuserar på verkliga, externt drivna och exploaterbara hot – vägar som börjar utanför organisationen och går mot affärskritiska mål.

Algoritmen tar bara hänsyn till vad som faktiskt kan nås och utnyttjas från externa startpunkter. En kort eller tom lista över attacksökvägar innebär att algoritmen inte hittade några bekräftade externt exploaterbara sökvägar till dina kritiska tillgångar – en positiv säkerhetssignal, inte ett plattformsproblem.

Analys av attackvägar kräver Defender CSPM plan med agentlös genomsökning aktiverat. Som standard organiseras attackvägar efter risknivå – hög, medel eller låg – med samma sammanhangsmedvetna riskprioriteringsmotor som poängsätter säkerhetsrekommendationer. Risknivån återspeglar miljöfaktorer som internetexponering, identitetsbehörigheter och måltillgångarnas allvarlighetsgrad.

Navigera i analys av attackvägar i Defender-portalen

Du får åtkomst till analys av attackvägar via avsnittet Exponeringshantering i Microsoft Defender portalen. Logga in på Microsoft Defender-portalen på security.microsoft.com och gå sedan till Exposure Management>Attack surface>Attack paths. Attacksökvägsupplevelsen innehåller tre primära vyer: fliken Översikt, listfliken Attacksökvägar och fliken Choke-punkter.

Fliken Översikt visar en visuell sammanfattning av dina attacksökvägsdata. Du ser ett trenddiagram som visar attackvägar över tid, de fem främsta chokepunkterna där flera vägar konvergerar, de fem främsta attackvägsscenarierna sorterade efter risk samt listor över de främsta målen och de främsta startpunkterna.

Listfliken Attacksökvägar visar en filterbar tabell med alla identifierade attacksökvägar i din miljö. Du kan filtrera efter risknivå (hög, medel, låg), tillgångstyp, reparationsstatus eller tidsram, till exempel de senaste 30 dagarna. Välj en attackväg i listan för att öppna kartan över attackväg, en grafbaserad visualisering som markerar sårbara noder, startpunkter, måltillgångar och chokepunkter.

Fliken Choke-punkter visar noder där flera attackvägar korsar varandra. Det här är de mest använda reparationsmålen – att lösa ett säkerhetsproblem vid en stryppunkt kan bryta flera attackvägar samtidigt.

Undersöka en karta över attacksökvägar

När du väljer en attackväg i listan öppnas kartan över attacksökvägar för att visa hela exploateringskedjan. Tänk dig till exempel en attackväg med titeln "Internetexponerad virtuell dator kan nå Azure OpenAI-slutpunkt med åtkomst till patienthälsodata." Kartan visar den här kedjan visuellt: en startpunkt (internetexponerad virtuell dator) ansluter till en sårbar nod (virtuell dator med CVE-sårbarhet), som ansluter till en stryppunkt (lagringskonto som delas mellan tjänster) som slutligen når måltillgången (Azure OpenAI-tjänst med åtkomst till patienthälsodata).

Välj valfri nod på kartan för att öppna dess informationspanel. Du ser MITRE ATT&CK-taktiker och tekniker som är relevanta för det steget– till exempel Initial Åtkomst för startpunkten, Lateral förflyttning för mellanliggande noder eller Exfiltrering för noder nära känsliga data. Panelen visar också riskfaktorer som överdriven behörighet, internetexponering eller okopplade säkerhetsrisker.

Informationspanelen innehåller avsnittet Rekommendationer med två kategorier. Rekommendationer är säkerhetskorrigeringar som bryter den här attackvägen helt och hållet – om du löser dessa tas sökvägen bort från din miljö. Ytterligare rekommendationer minskar exploateringsrisken men eliminerar inte problemet helt när de åtgärdas ensamma – de är fortfarande värdefulla att adressera som försvar-i-djupet-åtgärder. Varje rekommendation innehåller dess risknivå, berörda resurser och reparationsvägledning.

När du har åtgärdat de rekommendationer som krävs kan det ta upp till 24 timmar innan den lösta sökvägen tas bort från listan.

Hur attackeringsvägar utökas till AI-arbetsbelastningar

Defender CSPM attackvägsanalys omfattar AI-arbetsbelastningar som distribueras på Azure OpenAI Service, Azure AI Foundry, Azure Machine Learning, Amazon Bedrock och Google Vertex AI.

Analys av attackvägar identifierar scenarier där AI-modellträningsdata, finjustering av datamängder och slutsatsdragningsdata är i riskzonen under modellgrundningsåtgärder. Till exempel kan en internetexponerad beräkningsresurs med överdrivna hanterade identitetsbehörigheter nå ett Azure AI Foundry projekt med åtkomst till den datauppsättning för medicinska journaler som används för modellgrundning.

Analys av attackvägar visar den här exploateringskedjan och belyser de specifika säkerhetsproblem som möjliggör lateral förflyttning – till exempel övergivna rolltilldelningar eller offentligt exponerade AI-tjänstslutpunkter.

AI-specifika attacksökvägsresultat visas i samma lista över attackvägar och kartvyn som du använder för traditionell infrastruktur. Måltillgångar är märkta som AI-modelldata eller AI-tjänstslutpunkter, vilket gör det tydligt när en attackväg hotar AI-arbetsbelastningar.

Analys av attackvägar visar de exploateringskedjor som redan finns i din miljö.