กราฟการรักษาความปลอดภัยคืออะไร

เครื่องมือการรักษาความปลอดภัยทางไซเบอร์แบบดั้งเดิมใช้ข้อมูลในรูปแบบตารางเป็นอย่างมาก เช่น รายชื่อผู้ใช้ บันทึก การแจ้งเตือน และเหตุการณ์ต่างๆ แม้ว่าเครื่องมือเหล่านี้จะมีประโยชน์ในการจัดเก็บข้อมูล แต่ก็ยังไม่สามารถแสดงให้เห็นว่าข้อมูลเหล่านั้นเชื่อมโยงกันอย่างไร ข้อจำกัดนี้ทำให้ยากต่อการติดตามความเคลื่อนไหวของผู้โจมตี การเชื่อมโยงเหตุการณ์ หรือการคาดการณ์ผลกระทบของการละเมิด

กราฟการโจมตีทางไซเบอร์ช่วยแก้ปัญหาเหล่านี้ได้โดยการแมปความสัมพันธ์ระหว่างเอนทิตีต่างๆ เช่น ผู้ใช้ อุปกรณ์ เอกสาร และกิจกรรม มุมมองที่เชื่อมโยงกันนี้ให้:
 

• การรับรู้ตามบริบท—กราฟแอสเซทแสดงให้เห็นไม่เพียงแต่สิ่งที่เกิดขึ้น แต่ยังแสดงให้เห็นว่าสอดคล้องกับสภาพแวดล้อมที่กว้างขึ้นอย่างไร โดยการถามว่าใครเกี่ยวข้องบ้าง แอสเซทใดได้รับผลกระทบ และใช้เส้นทางใดบ้าง
• ความสัมพันธ์ระหว่างแหล่งข้อมูล—การเชื่อมโยงจุดข้อมูลที่แตกต่างกัน กราฟช่วยให้นักวิเคราะห์สามารถเชื่อมโยงเหตุการณ์ที่ดูเหมือนไม่เกี่ยวข้องกันได้
• การตรวจหาการเชื่อมโยงที่ซ่อนอยู่—กราฟแสดงเส้นทางสิทธิ์การเข้าถึงระดับสูง การหาช่องโหว่รอบด้าน และสถานการณ์ขอบเขตความเสียหาย ซึ่งแทบเป็นไปไม่ได้เลยที่จะค้นพบโดยใช้เครื่องมือแบบดั้งเดิม

การเปลี่ยนจากข้อมูลคงที่ไปสู่ความสัมพันธ์แบบไดนามิกนี้จะเปลี่ยนแปลงเฟรมเวิร์กด้านความปลอดภัย เช่น การพัฒนา การรักษาความปลอดภัย และการดำเนินงาน (DevSecOps) การจัดการการแจ้งเตือนเชิงรับ และการค้นพบภัยคุกคามเชิงรุก

กราฟการรักษาความปลอดภัยช่วยเพิ่มศักยภาพให้กับทีมตอบสนองต่อเหตุการณ์ด้วยการมองเห็นที่ละเอียดยิ่งขึ้น การคัดกรองที่เร็วขึ้น และการแก้ไขที่แม่นยำยิ่งขึ้น การแมปความสัมพันธ์และกิจกรรมช่วยให้ผู้ป้องกันเปลี่ยนจากการจัดการการแจ้งเตือนเชิงรับไปสู่การตรวจสอบและการรับมือเชิงรุก

ความสัมพันธ์ของการแจ้งเตือน
แทนที่จะเชื่อมโยงบันทึกหรือเรียกใช้คิวรีที่ซับซ้อนด้วยตนเอง กราฟเหตุการณ์ใน Microsoft Defender จะเชื่อมโยงการแจ้งเตือนและเอนทิตีที่เกี่ยวข้องโดยอัตโนมัติ ซึ่งช่วยให้ทีมศูนย์การดำเนินการรักษาความปลอดภัย (SOC) เข้าใจขอบเขตทั้งหมดของเหตุการณ์และจัดลำดับความสำคัญของระบบที่จะต้องรับมือและแก้ไขก่อน ซึ่งจะช่วยลดเวลาตอบสนองและจำกัดผลกระทบทางธุรกิจ

การติดตามสาเหตุหลัก
กราฟการรักษาความปลอดภัยช่วยให้นักวิเคราะห์สามารถติดตามต้นกำเนิดของเหตุการณ์ได้โดยการแสดงภาพขอบเขตความเสียหายของข้อมูลประจำตัวหรือแอสเซทที่มีช่องโหว่ ความสามารถนี้ช่วยให้ทีมสามารถคาดการณ์การเคลื่อนไหวของผู้โจมตีและค้นหาจุดเริ่มต้นของช่องโหว่ ซึ่งจะช่วยให้การวิเคราะห์สาเหตุหลักมีประสิทธิภาพมากขึ้น

การแสดงภาพกราฟ
มุมมองกราฟแบบโต้ตอบใน Defender และ Microsoft Purview ให้รูปภาพผู้ใช้ แอสเซท และกิจกรรมในเวลาจริงแบบครบวงจร การแสดงภาพเหล่านี้ช่วยให้ผู้ตรวจสอบไม่เพียงแค่เห็นสิ่งที่เกิดขึ้น แต่ยังเห็นลำดับเหตุการณ์ที่เกิดขึ้น โดยเผยให้เห็นเส้นทางการเข้าถึง การเคลื่อนย้ายข้อมูล และพฤติกรรมเสี่ยงในหน้าจอเดียว

การดำเนินการรักษาความปลอดภัยมักจะต้องใช้การแมปความสัมพันธ์ที่ซับซ้อน ซึ่งเป็นสาเหตุที่ฐานข้อมูลแบบดั้งเดิมเหล่านี้จึงประสบปัญหาในกระบวนการนี้:

ฐานข้อมูลเชิงสัมพันธ์ (การรวมที่ช้า)

• เก็บข้อมูลในตารางที่มีโครงสร้าง
• จำเป็นต้องมีการรวมหลายรายการเพื่อเชื่อมต่อเอนทิตีที่เกี่ยวข้อง
• ประสิทธิภาพลดลงเมื่อความสัมพันธ์เพิ่มขึ้น
• ไม่เหมาะสำหรับการสร้างแบบจำลองสภาพแวดล้อมความปลอดภัยแบบไดนามิกหรือเส้นทางการโจมตี

ฐานข้อมูลเอกสารหรือฐานข้อมูลคีย์-ค่า (ความสัมพันธ์แบบจำกัด)

• ออกแบบมาสำหรับการจัดเก็บระเบียนหรือเอกสารแต่ละรายการ
• ขาดการสนับสนุนพื้นฐานสำหรับการสร้างแบบจำลองความสัมพันธ์
• เหมาะสำหรับการค้นหาข้อมูลแบบง่ายๆ แต่ไม่เหมาะสำหรับการแสดงความสัมพันธ์ระหว่างเอนทิตีต่างๆ
• ไม่สามารถติดตามการโต้ตอบระหว่างผู้ใช้ อุปกรณ์ และไฟล์ได้อย่างง่ายดายในกรณีที่เกิดการละเมิด

ในทางกลับกัน ฐานข้อมูลกราฟได้รับการปรับให้เหมาะสมสำหรับการเชื่อมต่อที่ซับซ้อนเหล่านี้

ฐานข้อมูลกราฟ

• จัดเก็บเอนทิตีเป็นโหนดและความสัมพันธ์เป็นเส้นเชื่อม
• ช่วยให้สามารถส่งผ่านข้อมูลที่เชื่อมต่อได้อย่างรวดเร็ว
• เหมาะสำหรับรูปแบบการใช้ด้านความปลอดภัย เช่น การรับรองความถูกต้อง การไล่ล่าภัยคุกคาม และการตรวจสอบความเสี่ยงด้านข้อมูล
• เปิดประสบการณ์ใช้งานกราฟขั้นสูงใน Microsoft Sentinel, Defender และ Purview

กราฟการรักษาความปลอดภัยมอบความสามารถอันทรงพลังตลอดวงจรชีวิตด้านความปลอดภัยทั้งหมด รวมถึงการประเมินความเสี่ยง การตรวจหาภัยคุกคาม และการตอบสนองต่อเหตุการณ์ ด้านล่างนี้คือรูปแบบการใช้หลักๆ ที่การวิเคราะห์การรักษาความปลอดภัยทางไซเบอร์ที่ใช้กราฟสามารถสร้างมูลค่าที่วัดผลได้

ความเสี่ยงด้านข้อมูลประจำตัวและการเข้าถึง
กราฟการรักษาความปลอดภัยช่วยแสดงแผนภาพความสัมพันธ์ระหว่างผู้ใช้ กลุ่ม และแอสเซท ซึ่งช่วยให้องค์กรสามารถ:
 

• ระบุเส้นทางสิทธิ์การเข้าถึงระดับสูง
• ตรวจหาพฤติกรรมผู้ใช้ที่มีความเสี่ยง
• ประเมินขอบเขตความเสียหายของข้อมูลประจำตัวที่มีช่องโหว่

ข้อมูลเชิงลึกเหล่านี้เป็นพื้นฐานของการจัดการความเสี่ยงการรักษาความปลอดภัยของ Microsoft ซึ่งใช้กราฟความเสี่ยงสำหรับการจัดการพื้นหน้าของการโจมตีและปกป้องแอสเซทที่สำคัญ

การไล่ล่าภัยคุกคาม
กราฟการไล่ล่าใน Microsoft Defender ช่วยให้นักวิเคราะห์สามารถ:
 

• ส่งผ่านเครือข่ายความสัมพันธ์ที่ซับซ้อนระหว่างผู้ใช้ อุปกรณ์ และกิจกรรมต่างๆ
• เปิดเผยเส้นทางที่ซ่อนอยู่ซึ่งผู้โจมตีอาจใช้ประโยชน์ได้
• จัดลำดับความสำคัญของเหตุการณ์ตามความเสี่ยงในการเข้าถึงและความใกล้ชิดกับแอสเซทที่ละเอียดอ่อน

ซึ่งจะเปลี่ยนการไล่ล่าภัยคุกคามจากการจัดการการแจ้งเตือนเชิงรับไปสู่การจัดการช่องโหว่และการค้นพบเชิงรุก

การรักษาความปลอดภัยของข้อมูล
กราฟความเสี่ยงด้านข้อมูลใน Microsoft Purview IRM และ DSI สนับสนุนเป้าหมายที่คล้ายกันโดย:
 

• การแมปกิจกรรมของผู้ใช้ทั่วทั้ง SharePoint และ OneDrive
• การระบุการเข้าถึงและการเคลื่อนไหวของข้อมูลที่น่าสงสัย
• การแสดงภาพเส้นทางการลักลอบถ่ายโอนที่อาจเกิดขึ้นและพฤติกรรมที่มีความเสี่ยง

ความสามารถเหล่านี้ช่วยตรวจหาภัยคุกคามภายในและป้องกันการรั่วไหลของข้อมูล

การรักษาความปลอดภัยระบบคลาวด์
กราฟการรักษาความปลอดภัยรวมข้อมูลจาก Microsoft Defender for Cloud และบริการอื่นๆ ของ Microsoft เพื่อ:
 

• แสดงแผนภาพความสัมพันธ์ของแอสเซทระบบคลาวด์
• ตรวจหาการกำหนดค่าที่ไม่ถูกต้องและความเสี่ยงในการเปิดเผยข้อมูล
• ให้คำแนะนำเพื่อรักษาความปลอดภัยของสภาพแวดล้อมระบบคลาวด์

ซึ่งช่วยสนับสนุนการป้องกันเชิงรุกอย่างต่อเนื่องในการตั้งค่าไฮบริดและมัลติคลาวด์

ประสิทธิภาพด้าน SOC
กราฟเหตุการณ์ใน Defender ปรับปรุงเวิร์กโฟลว์ SOC โดย:
 

• การเชื่อมโยงการแจ้งเตือนและข้อมูลต่างๆ โดยอัตโนมัติ
• การแสดงภาพสถานการณ์ขอบเขตความเสียหาย
• ทำความเข้าใจวิธีการทำงานของผู้โจมตีด้วย เฟรมเวิร์ก MITRE ATT&CK
• ช่วยให้ทีมจัดลำดับความสำคัญของการรับมือและการแก้ไข

ซึ่งจะลดเวลาตอบสนองและปรับปรุงการตัดสินใจระหว่างเหตุการณ์ที่ใช้งานอยู่