This is the Trace Id: 56fb42b23e2ccc41dc22a078e5e311f1
Перейти до основного Microsoft Defender Microsoft Entra Microsoft Intune Project Perception Microsoft Purview Microsoft Sentinel SIEM Переглянути всі продукти Кібербезпека на основі ШІ Безпека в хмарі Безпеки й система керування даними Доступ до ідентичностей і мережі Захист для ШІ Для малого та середнього бізнесу Інтегровані SecOps Нульова довіра Ціни Послуги Партнери Переваги Захисного комплексу Microsoft Поінформованість про кібербезпеку Історії клієнтів Основи безпеки Ознайомлювальні версії продуктів Визнання в галузі Microsoft Security Insider Звіт про цифровий захист (Digital Defense Report) від корпорації Майкрософт Центр реагування на кіберзагрози Блоґ про Захисний комплекс Microsoft Заходи, присвячена Захисному комплексу Microsoft Спільнота технічних спеціалістів Microsoft Документація Бібліотека технічного вмісту Навчання та сертифікація Програма забезпечення відповідності вимогам для Microsoft Cloud Центр безпеки та конфіденційності Microsoft Портал надійності Microsoft Ініціатива щодо безпечного майбутнього Центр рішень для бізнесу Зв’язатися з відділом збуту Почати безкоштовне ознайомлення Захисний комплекс Microsoft Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space Гібридна реальність Microsoft HoloLens Microsoft Viva Квантові обчислення Освіта Автомобілі Фінансові послуги Державні установи Охорона здоров’я Виробництво Торгівля Знайти партнера Стати партнером Мережа партнерів Microsoft Marketplace Компанії з розробки ПЗ Блоґ Microsoft Advertising Центр розробників Документація Заходи Ліцензування Microsoft Learn Дослідження Microsoft Переглянути карту сайту

Що таке граф безпеки?

Дізнайтеся, як графи безпеки зіставляють середовища та зв’язки, щоб надавати розширені аналітичні відомості з безпеки.
Спробуйте Microsoft Sentinel
Граф безпеки — це зв’язана схема, яка ілюструє взаємодію між користувачами, пристроями та діями. Він надає аналітичні відомості й візуалізації на основі ШІ, які допомагають службам безпеки розслідувати загрози та оцінювати можливі шляхи атак. До реальних прикладів належать графи інцидентів, графи відстеження загроз і графи ризиків даних.
  • Графи безпеки зіставляють зв’язки між користувачами, пристроями, програмами та ресурсами, надаючи аналітичні відомості на основі ШІ, які покращують виявлення й розслідування загроз, а також реагування на них.
  • Вони забезпечують виконання важливих робочих процесів безпеки, наприклад аналізу радіуса ураження під час інциденту, пошуку загроз і оцінювання ризиків для даних, візуалізуючи взаємодію сутностей і виділяючи потенційні шляхи атаки.
  • Графи безпеки пропонують збагачені візуалізації та масштабоване зіставлення вашого середовища, допомагаючи командам безпеки оцінювати ризики й ефективно реагувати на загрози.
  • Кожен компонент графа безпеки – вузли, що представляють користувачів, пристрої, програми та ресурси, – містить детальні властивості, що дає змогу дізнатися більше про вразливості вашого середовища та конфіденційні дані.

Компоненти графа безпеки

Граф безпеки – це зв’язана карта вашого середовища, яка сприяє розширеному виявленню й розслідуванню загроз, а також реагуванню на них. Він складається з трьох основних елементів:

Вузли
Вузли представляють сутності у вашому середовищі, такі як:
 
  • Користувачі – окремі облікові записи, ідентичності або ролі.
  • ⁠Пристрої – кінцеві точки, як-от ноутбуки, сервери або мобільні пристрої.
  • ⁠Програми – хмарні служби, внутрішні програми або сторонні інструменти.
  • ⁠Документи й ресурси – файли, папки та об’єкти конфіденційних даних.
Кожен вузол містить властивості, які описують його атрибути, наприклад ролі користувачів, типи пристроїв або рівні конфіденційності документів.

Ребра
Ребра визначають, як вузли з’єднано та як вони взаємодіють. Вони представляють:
 
  • Зв’язки – наприклад, "користувач є учасником групи" або "пристрій належить користувачу".
  • ⁠Шляхи доступу – хто отримував доступ, до чого, коли і як.
  • ⁠Цикли дій – послідовності дій, як-от події входу, спільний доступ до файлів або обмін електронними листами.
Ці зв’язки дають командам безпеки змогу відстежувати дії зловмисників, наприклад постійні серйозні загрози (APT), оцінювати радіус ураження та візуалізувати потенційні шляхи атак.

Джерела даних
Графи кібербезпеки створюються на основі багатих і різноманітних джерел даних, як-от:
 
  • ⁠Уніфіковані контрольні журнали дій у службах Microsoft 365.
  • ⁠Журнали Microsoft Entra ID – події входу, виявлення ризикованих користувачів.
  • ⁠Дані продуктів Microsoft Defender – оповіщення й телеметрія з Defender для кінцевих точок, Defender для захисту ідентичності та Defender for Cloud.
  • ⁠З’єднувачі сторонніх розробників – інтегровані дані із зовнішніх інструментів безпеки, наприклад керування захистом інформації (SIEM).
  • ⁠Канали даних про загрози – індикатори компрометації й тактики зловмисників.
Ці джерела надходять у механізм графа, який автоматично будує граф і оновлює його кожні чотири години в підтримуваних сценаріях у Microsoft Defender і Microsoft Purview.

Використання графів для безпеки

Традиційні інструменти кібербезпеки сильно залежить від табличних даних – списків користувачів, журналів, оповіщень і подій. Хоча вони корисні для зберігання фактів, ці інструменти не дають змоги легко побачити, як ці факти пов’язані між собою. Через це важко відстежувати переміщення зловмисників, зіставляти інциденти або передбачати наслідки порушення безпеки.

Графи кібератак допомагають подолати ці проблеми, зіставляючи зв’язки між сутностями,такими як користувачі, пристрої, документи та дії. Це з’єднане подання надає такі переваги:
 
  • ⁠Контекстна обізнаність – графи ресурсів показують не лише те, що сталося, а й те, як це вписується в ширший контекст середовища, відповідаючи на запитання, хто був залучений, які ресурси постраждали та які шляхи було використано.
  • ⁠Кореляція між джерелами даних – зв’язуючи розрізнені точки даних, графи допомагають аналітикам поєднувати, здавалося б, непов’язані події.
  • ⁠Виявлення прихованих зв’язків – графи виявляють шляхи привілейованого доступу, бічне зміщення та сценарії радіуса ураження, які майже неможливо виявити за допомогою традиційних інструментів.
Цей перехід від статичних даних до динамічних зв’язків змінює структури безпеки, такі як розробка, безпека й операції (DevSecOps), реактивна обробка сповіщень і проактивне виявлення загроз.

Розширене виявлення загроз

Графи безпеки трансформуються виявлення загроз і реагування на них (TDR), розкриваючи приховані зв’язки та шляхи атаки, які традиційні інструменти часто пропускають. Візуалізуючи взаємодію сутностей у вашому середовищі, графи надають швидші, глибші та більш проактивні аналітичні відомості щодо безпеки.

Аналіз шляхів атак
Графи безпеки підтримують аналіз радіуса ураження, даючи службам безпеки змогу оцінити вразливі шляхи зі скомпрометованої сутності, якими може скористатися зловмисник. Це допомагає командам безпеки передбачати наступні кроки та визначати пріоритетність дій з локалізації загроз, щоб зменшити вплив на бізнес.

Виявлення бічного зміщення
Завдяки відстеженню на основі графів аналітики можуть візуально досліджувати складну мережу зв’язків між користувачами, пристроями та іншими сутностями. Це дає змогу виявляти шляхи привілейованого доступу й тактики бічного зміщення, які зловмисники використовують, щоб розширити свій доступ у середовищі.

Виявлення аномалій
Графи загроз об’єднують дані з контрольних журналів, інструментів керування ідентичністю та доступом (IAM), а також аналіз загроз, щоб виявляти незвичні моделі, наприклад неочікуваний доступ до файлів або ризиковану поведінку користувачів. Ці відомості допомагають командам безпеки вчасно виявляти аномалії та реагувати до того, як загрози посиляться.

Ефективніше реагування на інциденти

Графи безпеки допомагають командам із реагування на інциденти отримати повнішу картину ситуації, швидше проводити сортування та вживати точніших заходів з усунення проблем. Зіставлення зв’язків і дій дає змогу перейти від реактивної обробки сповіщень до проактивного розслідування та локалізації загроз.

Кореляція оповіщень
Замість того, щоб вручну зіставляти журнали або виконувати складні запити, граф інцидентів у Microsoft Defender автоматично пов’язує споріднені оповіщення та сутності. Це допомагає командам центру безпекових операцій (SOC) оцінити весь масштаб інциденту та визначити пріоритетні системи, які необхідно локалізувати й відновити в першу чергу, що скорочує час реагування та мінімізує вплив на бізнес.

Відстеження першопричин
Графи безпеки дають аналітикам змогу відстежити джерело інциденту, візуалізуючи радіус ураження скомпрометованих облікових даних або ресурсів. Ця здатність допомагає командам передбачити переміщення зловмисника та виявити початкову точку компрометації, забезпечуючи ефективніший аналіз першопричини.

Візуалізація графа
Інтерактивні подання графів у Defender і Microsoft Purview надають уніфіковане уявлення про користувачів, ресурси та дії в реальному часі. Ці візуалізації допомагають розслідувачам не лише зрозуміти, що сталося, а й як це відбувалося, демонструючи шляхи доступу, переміщення даних та ризиковану поведінку в єдиному вікні.

Використання графової бази даних

Графові бази даних створено спеціально для зберігання та запитів до зв’язків, тому вони ідеально підходять для сучасних безпекових операцій. На відміну від традиційних баз даних, яким важко працювати зі складними об’єднаннями та реляційним зіставленням, графові бази даних пропонують інтуїтивніший і масштабованіший спосіб моделювати взаємопов’язані сутності та поведінку.

Сховище, де головне – зв’язки
Графові бази даних ставлять зв’язки на перше місце. Це дає змогу командам з безпеки:
 
  • ⁠Зберігати такі сутності, як користувачі, пристрої та документи, у вигляді вузлів.
  • ⁠Представляти взаємодії та шляхи доступу у вигляді ребер.
  • ⁠Збагачувати як вузли, так і ребра властивостями для додаткового контексту.
Ця структура відображає реальні середовища, забезпечуючи точніше моделювання шляхів атаки, поведінки користувачів і потоків даних.

Вбудовані мови запитів
Графові бази даних підтримують спеціалізовані мови запитів, призначені для обходу зв’язків:
 
  • ⁠Cypher (використовується в Neo4j) – забезпечує зіставлення шаблонів між вузлами та ребрами.
  • ⁠Gremlin (використовується в Apache TinkerPop) – підтримує обходи графа та фільтрування.
Ці мови дають змогу аналітикам і агентам ШІ ставити складні запитання, наприклад:
 
  • "Які скомпрометовані користувачі отримували доступ до сервера A та надсилали файл X електронною поштою?"
  • "Який радіус ураження від витоку документа?"
Аналіз у реальному часі
Графові бази даних дають змогу швидко та динамічно виконувати запити до мільярдів зв’язків. У Microsoft Sentinel графи автоматично створюються та оновлюються кожні чотири години, надаючи в реальному часі такі можливості:
 
  • ⁠Аналіз радіуса ураження інциденту.
  • ⁠Відстеження загроз у графі.
  • ⁠Дослідження ризиків даних у Microsoft Purview IRM і DSI.
Ця можливість у реальному часі допомагає командам безпеки швидше реагувати, виявляти приховані загрози та мінімізувати вплив на бізнес.

Порівняння графових баз даних і традиційних баз даних

Безпекові операції часто потребують зіставлення складних зв’язків, а наведені нижче традиційні бази даних не дуже добре справляються із цим процесом.

Реляційні бази даних (повільні об’єднання).
  • Зберігають дані в структурованих таблицях.
  • Щоб поєднати пов’язані сутності, потрібно виконати кілька об’єднань.
  • Продуктивність погіршується, коли зростає кількість зв’язків.
  • Не підходять для моделювання динамічних середовищ безпеки або шляхів атаки.
Бази даних документів або пар "ключ – значення" (обмежені зв’язки).
  • ⁠Призначені для зберігання окремих записів або документів.
  • ⁠Не мають вбудованої підтримки моделювання зв’язків.
  • ⁠Добре підходять для простих зіставлень, але погано виявляють зв’язки між сутностями.
  • ⁠Не можуть легко відстежити, як користувачі, пристрої та файли взаємодіють під час зламу.
Графові бази даних, навпаки, оптимізовано для цих складних зв’язків.

Графові бази даних
  • ⁠Зберігають сутності як вузли, а зв’язки – як ребра.
  • Це дає змогу швидко переходити між пов’язаними даними.
  • ⁠Ідеально підходить для сценаріїв безпеки, таких як автентифікація, відстеження кіберзагроз і дослідження ризиків даних.
  • ⁠Забезпечують розширені можливості на основі графів у Microsoft Sentinel, Defender і Purview.

Масштабованість і продуктивність

Графіки безпеки розроблено з урахуванням масштабів і складності сучасних корпоративних середовищ. Microsoft Sentinel Graph, наприклад, забезпечує графові можливості в Defender і Microsoft Purview, даючи змогу створити високопродуктивну платформу, розраховану на великі обсяги даних і аналітику в реальному часі.

Обробка мільярдів зв’язків
Графи безпеки моделюють користувачів, пристрої, ресурси та дії як взаємопов’язані вузли та ребра. Ця структура дає змогу графу відображати мільярди зв’язків у межах організації – забезпечуючи кращу видимість шляхів атаки, керування доступом і поширення ризику.

Розподілені графові бази даних
Основні можливості графів у Microsoft Sentinel базуються на розподіленій інфраструктурі. Це забезпечує:
 
  • Високу доступність і відмовостійкість.
  • ⁠Масштабоване надходження даних із різних джерел, таких як Defender, Microsoft Purview і Microsoft Entra.
  • ⁠Ефективну побудову графів і збагачення даних у кількох продуктах безпеки.
Запити в реальному часі
Графи в Microsoft Sentinel автоматично створюються та оновлюються кожні чотири години, що дає змогу виконувати аналіз майже в реальному часі. Команди безпеки можуть:
 
  • ⁠Миттєво візуалізувати радіус ураження в графах інцидентів.
  • ⁠Обходити шляхи доступу в графах для відстеження загроз.
  • ⁠Досліджувати переміщення даних у Microsoft Purview IRM і DSI.
Ця можливість, що працює в реальному часі, допомагає фахівцям із захисту швидше та ефективніше реагувати на загрози, що постійно вдосконалюються.

Приклади з реального життя

Графи безпеки забезпечують потужні можливості протягом усього циклу безпеки – включно з оцінюванням ризиків, виявленням загроз і реагуванням на інциденти. Нижче наведено основні сценарії використання, у яких аналітика кібербезпеки на основі графів забезпечує відчутну користь.

Ризики, пов’язані з ідентифікацією та доступом
Графи безпеки допомагають візуалізувати зв’язки між користувачами, групами та ресурсами. Це дає організаціям змогу:
 
  • Визначати шляхи привілейованого доступу.
  • Виявляти ризиковану поведінку користувачів.
  • ⁠Оцінювати радіус ураження скомпрометованих ідентичностей.
Ці відомості є основою рішення "Керування вразливостями захисного комплексу Microsoft ", яке використовує графи для керування векторами атаки та захисту критично важливих ресурсів.

Відстеження загроз
Граф відстеження в Microsoft Defender дає аналітикам змогу:
 
  • ⁠Обходити складні мережі зв’язків між користувачами, пристроями та діями.
  • Виявляти приховані шляхи, якими можуть скористатися зловмисники.
  • ⁠Пріоритизувати інциденти на основі ризику доступу та близькості до конфіденційних ресурсів.
Це перетворює процес відстеження загроз із реактивної обробки оповіщень на проактивне керування вразливостями та їх виявлення.

Безпека даних
Граф ризиків даних у Microsoft Purview IRM і DSI підтримує схожі цілі, допомагаючи:
 
  • Відстежувати дії користувачів у SharePoint і OneDrive.
  • Визначати підозрілий доступ до даних і їх переміщення.
  • Візуалізувати потенційні шляхи ексфільтрації даних і ризиковану поведінку.
Ці можливості допомагають виявляти внутрішні загрози й запобігати витокам даних.

Безпека в хмарі
Графи безпеки об’єднують дані з Microsoft Defender for Cloud та інших служб Microsoft, допомагаючи:
 
  • Візуалізувати зв’язки між хмарними ресурсами.
  • Виявляти помилки в налаштуваннях і ризики розкриття даних.
  • Надавати рекомендації щодо захисту хмарних середовищ.
Це сприяє безперервному проактивному захисту в гібридних і багатохмарних конфігураціях.

Ефективність SOC
Граф інцидентів у Defender покращує робочі процеси SOC завдяки:
 
  • Автоматичній кореляції оповіщень і сутностей.
  • Візуалізації сценаріїв радіуса ураження.
  • Розуміння того, як зловмисники працюють із платформою MITRE ATT&CK.
  • ⁠Допомога командам у визначенні пріоритетів щодо локалізації та усунення проблем.
Це скорочує час реагування та покращує процес ухвалення рішень під час активних інцидентів.

Початок роботи з графами безпеки

Графіки безпеки символізують кардинальну зміну в підході організацій до виявлення, розслідування загроз та реагування на них. Чи то аналіз радіуса ураження, відстеження кіберзагроз, виявлення внутрішніх ризиків, чи хмарна безпека – аналітика на основі графів надає дані в реальному часі протягом усього циклу захисту.

Графи безпеки – це не просто інструмент, а основа сучасних операцій із розумного захисту. Ознайомтеся з Microsoft Sentinel і активуйте можливості на основі графів для своєї організації.
РЕСУРСИ

Дізнайтеся більше про Захисний комплекс Microsoft

  1.
Двоє колег співпрацюють за столом, обговорюючи інформацію, що відображається на моніторі комп’ютера.
Продукт

Захистіть своє багатохмарне багатоплатформне середовище за допомогою Microsoft Sentinel

Ознайомтеся з платформою з підтримкою ШІ, яка забезпечує найкращі в галузі можливості SIEM та інструменти інтелектуального аналізу.
Спробувати Sentinel
Людина сидить за столом, зосереджено дивлячись на екран ноутбука.
Блоґ

Представляємо Microsoft Sentinel Graph

Дізнайтеся, як Microsoft додає контекст з урахуванням зв’язків до Захисного комплексу Microsoft.
Читати історію
Люди за столами переглядають аналітичні панелі на моніторах комп’ютерів під час наради команди.
Блоґ

Виявляйте приховані ризики безпеки за допомогою Microsoft Sentinel Graph

Ознайомтеся зі спеціально створеними інструментами Sentinel, які роблять аналітичні дані на основі графів доступними для агентів ШІ.
Читати блоґ
Назад до елементів керування навігацією в каруселі

Запитання й відповіді

  • Граф безпеки – це пов’язана карта сутностей, таких як користувачі, пристрої та документи, і зв’язків між ними. Він надає аналітичні дані та візуалізації на основі ШІ, які допомагають командам безпеки розслідувати загрози, оцінювати радіус ураження та передбачати дії зловмисників.
  • Оповіщення графа безпеки – це сповіщення, згенероване на основі графового аналізу в Microsoft Sentinel. У ньому визначено підозрілі або ризиковані дії, щоб команди безпеки могли швидко оцінювати загрози та їхній потенційний вплив.
  • Граф загроз – це тип графа безпеки, який показує, як загрози поширюються в середовищі, зв’язуючи користувачів, пристрої та дії. Він виявляє шляхи атаки, бічне зміщення та вразливості, допомагаючи командам безпеки ефективніше виявляти й розслідувати кібератаки, а також реагувати на них.

Підпишіться на новини про Захисний комплекс Microsoft

Ознайомтеся з Copilot Microsoft 365 Ознайомтеся з продуктами Microsoft Програми для Windows 11 Профіль облікового запису Центр завантажень Повернення Відстеження замовлення Microsoft для освіти Пристрої для освіти Microsoft Teams для освіти Microsoft 365 Education Office Education Підвищення кваліфікації викладачів Спеціальні пропозиції для студентів і батьків Azure для студентів
ШІ від Microsoft Захисний комплекс Microsoft Azure Dynamics 365 Microsoft 365 Microsoft Advertising Microsoft Copilot Microsoft Teams Розробник Microsoft Microsoft Learn Підтримка ШІ-програм на Marketplace Технічна спільнота Microsoft Microsoft Marketplace Microsoft Power Platform Компанії з розробки ПЗ Visual Studio Вакансії Конфіденційність у Microsoft Інвестори
Українська (Україна) Конфіденційність інформації про здоров’я споживачів Звернутися до корпорації Microsoft Конфіденційність Керування файлами cookie Умови використання Товарні знаки Відомості про рекламу