Che cos'è un grafico della sicurezza?

Gli strumenti tradizionali di cybersecurity si affidano fortemente ai dati tabulari - elenchi di utenti, log, avvisi ed eventi. Sebbene siano utili per memorizzare fatti, questi strumenti faticano a rivelare il modo in cui tali fatti sono collegati. Questa limitazione rende difficile tracciare lo spostamento degli aggressori, correlare gli incidenti o prevedere l'impatto di una violazione.

I grafici dei cyberattacchi superano queste difficoltà mappando le relazioni tra entità come utenti, dispositivi, documenti e attività. Questa visualizzazione connessa offre:
 

• Consapevolezza contestuale:i grafici degli asset mostrano non solo cosa è successo, ma anche come si inserisce nell'ambiente più ampio, chiedendo chi è stato coinvolto, quali asset sono stati toccati e quali percorsi sono stati seguiti.
• Correlazione tra origini dati:collegando punti dati diversi, i grafici aiutano gli analisti a connettere i punti tra eventi apparentemente non correlati.
• Rilevamento di connessioni nascoste:i grafici consentono di visualizzare percorsi di accesso privilegiato, spostamento laterale e scenari di raggi di azione che sono quasi impossibili da scoprire usando gli strumenti tradizionali.

Questo passaggio dai dati statici alle relazioni dinamiche trasforma i framework di sicurezza, ad esempio sviluppo, sicurezza e operazioni (DevSecOps), gestione reattiva degli avvisi e individuazione proattiva delle minacce.

I grafici della sicurezza offrono ai team di risposta agli incidenti una visibilità più approfondita, una valutazione più rapida e una correzione più precisa. Il mapping di relazioni e attività consente ai difensori di passare dalla gestione reattiva degli avvisi all'indagine e al contenimento proattivi.

Correlazione degli avvisi
Anziché correlare manualmente i log o eseguire query complesse, il grafico degli incidenti in Microsoft Defender collega automaticamente avvisi ed entità correlati. Questo aiuta i team del centro operazioni per la sicurezza (SOC) a comprendere l'intera portata di un incidente e definire la priorità dei sistemi da contenere e correggere per primi, riducendo il tempo di risposta e limitando l'impatto aziendale.

Tracciamento della causa principale
I grafici di sicurezza consentono agli analisti di tracciare l'origine di un incidente visualizzando il raggio di azione delle credenziali o delle risorse compromesse. Questa funzionalità aiuta i team ad anticipare i movimenti degli aggressori e individuare il punto iniziale di compromissione, fornendo un'analisi della causa principale più efficace.

Visualizzazione a grafico
Le visualizzazioni a grafo interattive in Defender e Microsoft Purview offrono un quadro unificato e in tempo reale di utenti, risorse e attività. Queste visualizzazioni aiutano gli investigatori a vedere non solo cosa è successo, ma anche come si è svolto, rivelando percorsi di accesso, spostamento dati e comportamento rischioso in un unico riquadro.

Le operazioni per la sicurezza spesso richiedono di mappare relazioni complesse, motivo per cui questi database tradizionali hanno difficoltà con questo processo:

Database relazionali (join lenti)

• Archiviano i dati in tabelle strutturate.
• Richiedono più join per connettere entità correlate.
• Le prestazioni peggiorano all'aumentare delle relazioni.
• Non sono ideali per modellare ambienti di sicurezza dinamici o percorsi di attacco.

Database di documenti o chiave-valore (relazioni limitate)

• Progettati per l'archiviazione di singoli record o documenti.
• Non hanno supporto nativo per modellare le relazioni.
• Sono adatti per ricerche semplici, ma scarsi nel rivelare le connessioni tra entità.
• Non sono in grado di tracciare facilmente il modo in cui utenti, dispositivi e file interagiscono in una violazione.

I database a grafo, d'altro canto, sono ottimizzati per queste connessioni complesse.

Database a grafo

• Archiviano le entità come nodi e le relazioni come archi.
• Consentono l'attraversamento rapido tra i dati connessi.
• Ideali per i casi d'uso della sicurezza, come l’autenticazione, la rilevazione delle minacce informatiche e l'indagine sul rischio dei dati.
• Offrono esperienze avanzate basate su grafi in Microsoft Sentinel, Defender e Purview.

I grafici della sicurezza offrono potenti funzionalità per l'intero ciclo di vita della sicurezza, tra cui valutazione del rischio, rilevamento delle minacce e risposta agli incidenti. Di seguito sono riportati i principali casi d’uso in cui l’analisi della cybersecurity offre un valore misurabile.

Rischio di identità e accessi
I grafici della sicurezza aiutano a visualizzare le relazioni tra utenti, gruppi e risorse. Ciò consente alle organizzazioni di:
 

• Identificare i percorsi di accesso privilegiato.
• ⁠Rilevare comportamenti rischiosi degli utenti.
• Valutare il raggio di azione di identità compromesse.

Queste informazioni dettagliate sono fondamentali per la Gestione dell'esposizione in Microsoft Security, che usa grafici di esposizione per la gestione della superficie di attacco e per proteggere gli asset critici.

Rilevazione delle minacce
Il grafico di ricerca in Microsoft Defender consente agli analisti di:
 

• Attraversare reti complesse di relazioni tra utenti, dispositivi e attività.
• Rivelare percorsi nascosti che gli aggressori potrebbero sfruttare.
• Assegnare priorità agli incidenti in base al rischio di accesso e alla prossimità agli asset sensibili.

Ciò trasforma la rilevazione delle minacce da gestione reattiva degli avvisi reattivi a gestione delle vulnerabilità e individuazione proattiva.

Sicurezza dei dati
Il grafico dei rischi dei dati in IRM e DSI di Microsoft Purview supporta obiettivi simili tramite:
 

• Mapping dell'attività degli utenti in SharePoint e OneDrive.
• Identificazione di accessi e spostamenti sospetti dei dati.
• Visualizzazione di potenziali percorsi di esfiltrazione e comportamenti rischiosi.

Queste funzionalità aiutano a rilevare le minacce interne ed evitare fughe di dati.

Sicurezza del cloud
I grafici della sicurezza integrano dati da Microsoft Defender per il cloud e altri servizi Microsoft per:
 

• Visualizzare relazioni tra risorse cloud.
• Rilevare configurazioni errate e rischi di esposizione.
• Fornire consigli per proteggere gli ambienti cloud.

Ciò supporta la difesa continua e proattiva nelle configurazioni ibride e multi-cloud.

Efficienza del SOC
Il grafico degli incidenti in Defender migliora i flussi di lavoro del SOC tramite:
 

• Correlazione automatica di avvisi ed entità.
• Visualizzazione di scenari di raggi di azione.
• Comprensione del modo in cui gli aggressori operano con il framework MITRE ATT&CK.
• Aiuto ai team per assegnare priorità al contenimento e alla correzione.

Ciò riduce il tempo di risposta e migliora il processo decisionale durante gli incidenti attivi.