什么是安全图谱？

传统网络安全工具在很大程度上依赖于表格数据 - 用户列表、日志、警报和事件。尽管这些工具可用于存储事实，但很难揭示这些事实是如何联系的。这一限制增加了跟踪攻击者移动、关联事件或预测泄露影响的难度。

网络攻击图谱通过映射用户、设备、文档和活动等实体之间的关系克服了这些挑战。此连接视图提供：
 

• 上下文感知 - 资产图谱不仅会显示发生的情况，还可通过询问涉及的人员、所接触的资产以及所采用的路径来显示它如何适应更广泛的环境。
• 跨数据源的关联 - 通过链接不同的数据点，图谱可帮助分析员在看似无关的事件之间建立关联。
• 隐藏连接检测 - 图谱可显示特权访问路径、横向移动和爆炸半径方案，这是传统工具几乎无法实现的。

这一从静态数据到动态关系的转变重塑了安全框架，例如开发、安全和运营 (DevSecOps)、被动警报处理和主动威胁发现。

安全图谱为事件响应团队提供更深入的可见性、更快的会审和更精确的修正。借助映射关系和活动，防御者可以从被动警报处理转向主动调查和遏制。

警报关联
Microsoft Defender 中的事件图谱可自动链接相关警报和实体，而无需手动关联日志或运行复杂查询。这有助于安全运营中心 (SOC) 团队了解事件的全部范围，并优先处理需要首先遏制和修正的系统，从而缩短响应时间并限制业务影响。

根本原因跟踪
借助安全图谱，分析员可以通过可视化被盗用凭据或资产的爆炸半径来跟踪事件的来源。此功能可帮助团队预测攻击者移动并发现初始入侵点，从而提供更有效的根本原因分析。

图谱可视化
Defender 和 Microsoft Purview 中的交互式图形视图可统一且实时提供有关用户、资产和活动的全貌。通过在统一视图中展示访问路径，数据移动和风险行为，这些可视化效果不仅可帮助调查人员了解发生的情况，还可帮助调查人员了解事件的发展方式。

安全运营通常需要映射复杂关系，这就是这些传统数据库难以处理此过程的原因所在：

关系数据库（慢速联接）

• 将数据存储在结构化表中。
• 需要多个联接才能连接相关实体。
• 随着关系的增加，性能会随之下降。
• 不适合为动态安全环境或攻击路径建模。

文档或键值数据库（有限关系）

• 专为存储单个记录或文档而设计。
• 缺乏对建模关系的本机支持。
• 适用于简单查找，但不擅长显示实体之间的连接。
• 无法轻松跟踪用户、设备和文件在入侵中的交互方式。

与此相反，图形数据库针对这些复杂连接进行了优化。

图形数据库

• 将实体存储为节点，将关系存储为边缘。
• 支持跨已连接数据进行快速遍历。
• 非常适合用于安全用例，例如身份验证、威胁搜寻和数据风险调查。
• 支持 Microsoft Sentinel、Defender 和 Purview 中基于图形的高级体验。

安全图谱在整个安全生命周期中提供强大的功能，包括风险评估、威胁检测和事件响应。下面是基于图形的网络安全分析提供可度量的值的关键用例。

身份管理风险
安全图谱有助于可视化用户、组和资产之间的关系。这允许组织：
 

• 确定特权访问路径。
• 检测风险用户行为。
• 评估被盗用标识的爆炸半径。

这些见解是 Microsoft 安全风险管理的基础，它使用风险图谱进行攻击面管理和保护关键资产。

威胁搜寻
借助 Microsoft Defender 中的搜寻图谱，分析员可以：
 

• 遍历用户、设备和活动之间的复杂关系网络。
• 揭示攻击者可能利用的隐藏路径。
• 根据访问风险和敏感资产的邻近度确定事件的优先级。

这会将威胁搜寻从被动警报处理转换为主动漏洞管理和发现。

数据安全
Microsoft Purview IRM 和 DSI 中的数据风险图谱支持类似的目标，其方法是：
 

• 跨 SharePoint 和 OneDrive 映射用户活动。
• 识别可疑的数据访问和移动。
• 可视化潜在的外泄路径和风险行为。

这些功能有助于检测内部威胁并防止数据泄露。

云安全
安全图谱可集成来自 Microsoft Defender for Cloud 和其他 Microsoft 服务的数据，以：
 

• 可视化云资产关系。
• 检测错误配置和暴露风险。
• 提供有关保护云环境的建议。

这支持在混合和多云设置中开展持续和主动防御。

SOC 效率
Defender 中的事件图谱可通过以下方式增强 SOC 工作流：
 

• 自动关联警报和实体。
• 可视化爆炸半径场景。
• 了解攻击者如何使用 MITRE ATT&CK 框架操作。
• 帮助团队确定遏制和修正的优先级。

这减少了响应时间，并改进了活动事件期间的决策。