Arbeiten mit Angriffspfaden

Microsoft Security Exposure Management hilft Ihnen bei der Verwaltung der Angriffsfläche und des Risikorisikos Ihres Unternehmens. Angriffspfade kombinieren Assets und Techniken, um durchgängige Pfade darzustellen, die Angreifer aufbauen können, um von einem Einstiegspunkt einer Organisation zu kritischen Assets zu gelangen.

Funktionsweise von Angriffspfaden

• Generierung von Angriffspfaden: Security Exposure Management generiert automatisch Angriffspfade auf Grundlage der über Assets und Workloads hinweg erfassten Daten. Es simuliert Angriffsszenarien und identifiziert Sicherheitsrisiken und Schwachstellen, die ein Angreifer ausnutzen könnte. Wichtige Datenquellen umfassen Microsoft Defender for Endpoint für Geräte- und Endpunktdaten, Microsoft Defender Vulnerability Management für den Sicherheitsrisikokontext und Microsoft Defender for Cloud für Cloudressourcendaten.
  • Die Anzahl der im Portal sichtbaren Angriffspfade kann aufgrund der dynamischen Natur von IT-Umgebungen schwanken. Unser System generiert dynamisch Angriffspfade basierend auf den Echtzeitbedingungen der jeweiligen Kundenumgebung. Änderungen wie das Hinzufügen oder Entfernen von Ressourcen, Aktualisierungen von Konfigurationen, das Ein- oder Abmelden eines Benutzers auf einem Computer, das Hinzufügen oder Entfernen eines Benutzers zu einer Gruppe sowie die Implementierung neuer Netzwerksegmentierungs- oder Sicherheitsrichtlinien können sich auf die Anzahl und die Typen der identifizierten Angriffspfade auswirken.
  • Dieser Ansatz stellt sicher, dass der von uns bereitgestellte Sicherheitsstatus sowohl genau ist als auch den aktuellen Umgebungszustand widerspiegelt, sodass die in den heutigen IT-Umgebungen erforderliche Agilität gewährleistet ist.
• Sichtbarkeit des Angriffspfads: Die Graphansicht des Angriffspfads verwendet Daten aus dem Unternehmens-Expositionsgraphen, um den Angriffspfad zu visualisieren und zu verdeutlichen, wie sich potenzielle Bedrohungen entfalten könnten.
  • Wenn Sie auf jedes Knoten- und Verbindersymbol zeigen, erhalten Sie zusätzliche Informationen dazu, wie der Angriffspfad erstellt wird. Beispielsweise von einer ursprünglichen virtuellen Maschine mit TLS/SSL-Schlüsseln bis hin zu Berechtigungen für Speicherkonten.
  • Die Enterprise Exposure Map erweitert, wie Sie Angriffspfade visualisieren können. Zusammen mit anderen Daten werden mehrere Angriffspfade und Drosselungspunkte angezeigt, Knoten, die Engpässe im Diagramm oder in der Karte verursachen, wo Angriffspfade konvergieren. Es visualisiert Offenlegungsdaten, sodass Sie sehen können, welche Ressourcen gefährdet sind und wo Sie Ihren Fokus priorisieren müssen.
• Sicherheitsempfehlungen: Erhalten Sie handlungsrelevante Empfehlungen, um potenzielle Angriffspfade zu entschärfen.
• Drosselungspunkte: Der Angriffspfad Dashboard zeigt kritische Ressourcen, bei denen sich mehrere Angriffspfade überschneiden, und identifiziert sie als wichtige Sicherheitsrisiken.
  • Identifizierung: Zeigt eine Liste der Engpässe im Dashboard für Angriffspfade an.
  • Gruppierung: Security Exposure Management gruppiert Engpassknoten, an denen mehrere Angriffspfade zusammenlaufen oder sich auf dem Weg zu einem kritischen Asset kreuzen.
  • Strategische Entschärfung: Die Sichtbarkeit von Drosselungspunkten ermöglicht es Ihnen, die Maßnahmen zur Risikominderung strategisch zu konzentrieren und mehrere Angriffspfade zu adressieren, indem Sie diese kritischen Punkte sichern.
• Auswirkungsbereich: Ermöglicht Nutzern, ausgehend von einem Engpass die risikoreichsten Pfade visuell zu erkunden. Es bietet eine detaillierte Visualisierung, die zeigt, wie sich die Gefährdung einer Ressource auf andere auswirken könnte, sodass Sicherheitsteams die umfassenderen Auswirkungen eines Angriffs bewerten und Strategien zur Risikominderung effektiver priorisieren können.

Cloud- und lokale Angriffspfade

Cloudangriffspfade

Cloud-Angriffspfade veranschaulichen Wege, die Angreifer ausnutzen könnten, um sich innerhalb Ihrer Umgebung seitlich fortzubewegen – ausgehend von einer externen Angriffsfläche bis hin zu erheblichen Auswirkungen innerhalb Ihrer Umgebung. Sie helfen Sicherheitsteams dabei, reale Risiken auf ihrer Angriffsfläche zu visualisieren und zu priorisieren und sich auf extern gesteuerte, ausnutzbare Bedrohungen zu konzentrieren, die Angreifer nutzen könnten, um Ihre organization zu kompromittieren. Mit der Integration von Defender für Cloud in das Defender-Portal bieten Cloudangriffspfade erweiterte Visualisierungs- und Analysefunktionen für Azure-, AWS- und GCP-Umgebungen.

Cloudangriffspfade spiegeln reale, extern gesteuerte und ausnutzbare Risiken wider, sodass Sie das Rauschen vermeiden und schneller handeln können. Die Pfade konzentrieren sich auf externe Einstiegspunkte und darauf, wie Angreifer ihre Umgebung durchlaufen können, um unternehmenskritische Ziele zu erreichen.

Umfassende Cloudabdeckung: Angriffspfade erweitern die Erkennung von Cloudbedrohungen, um eine breite Palette von Cloudressourcen abzudecken, darunter Speicherkonten, Container, serverlose Umgebungen, ungeschützte Repositorys, nicht verwaltete APIs und KI-Agents. Jeder Angriffspfad basiert auf einer echten, ausnutzbaren Schwäche wie offengelegten Endpunkten, falsch konfigurierten Zugriffseinstellungen oder kompromittierten Anmeldeinformationen, sodass sichergestellt wird, dass identifizierte Bedrohungen echte Risikoszenarien widerspiegeln.

Erweiterte Überprüfung: Durch die Analyse von Cloudkonfigurationsdaten und die Durchführung aktiver Scans zur Erreichbarkeit überprüft das System, ob Auffälligkeiten von außerhalb der Umgebung zugänglich sind, wodurch falsch positive Ergebnisse reduziert und Bedrohungen hervorgehoben werden, die sowohl real als auch umsetzbar sind.

Lokale Angriffspfade

Angriffspfade werden jetzt automatisch beendet, wenn sie End Game-Ressourcen (Domänenadministratoren, Unternehmensadministratoren, Administratoren oder Domänencontroller) erreichen. Diese Ressourcen bieten vollständige Domänenkontrolle, wenn sie kompromittiert werden. Die Visualisierung und Priorisierung von Angriffspfadrisiken für die lokale Infrastruktur sorgt für konsistente Klarheit, sodass sich Sicherheitsteams auf Szenarien mit hohen Auswirkungen konzentrieren und Rauschen reduzieren können.

Voraussetzungen

• Überprüfen Sie die erforderlichen Berechtigungen für die Arbeit mit Angriffspfaden.
• Der Wert von Angriffspfaden steigt basierend auf den Daten, die als Quelle verwendet werden. Wenn keine Daten verfügbar sind oder die Daten nicht die Umgebung Ihres organization widerspiegeln, werden möglicherweise keine Angriffspfade angezeigt. Angriffspfade sind möglicherweise nicht vollständig repräsentativ:
  • Wenn Sie keine Lizenzen für integrierte und im Angriffspfad dargestellte Workloads definiert haben.
  • Wenn Sie kritische Ressourcen nicht vollständig definieren.
• Möglicherweise wird eine leere Seite für den Cloudangriffspfad angezeigt, da sich Angriffspfade auf reale, extern gesteuerte und ausnutzbare Bedrohungen statt auf explorative Szenarien konzentrieren. Dies hilft, Lärm zu reduzieren und bevorstehende Risiken zu priorisieren.

Angriffspfad-Dashboard

Die Dashboard bietet eine allgemeine Übersicht über alle identifizierten Angriffspfade innerhalb der Umgebung. Dadurch können Sicherheitsteams wertvolle Einblicke in die arten der identifizierten Pfade, die wichtigsten Einstiegspunkte, die Zielressourcen und vieles mehr gewinnen und so die Bemühungen zur Risikominderung effektiv priorisieren. Die Übersicht umfasst Folgendes:

• Diagramm der Angriffspfade im Zeitverlauf
• Obere Würgepunkte
• Szenarien mit den wichtigsten Angriffspfaden
• Top-Ziele
• Wichtigste Einstiegspunkte

Anzeigen von Angriffspfaden

1. Greifen Sie über das Dashboard für Angriffspfade auf Angriffspfade zu, oder wählen Sie Angriffsfläche>Angriffspfad aus.

   

2. Um zu ändern, wie Angriffspfade angezeigt werden, wählen Sie einen Überschriftennamen aus, der nach dieser Spalte sortiert werden soll.

Gruppenangriffspfade

Wählen Sie "Gruppieren nach Angriffspfadname", "Einstiegspunkt", "Einstiegspunkt", " Zieltyp", "Risikostufe", "Status", " Zielkritischität" oder "Ziel" aus.

Anzeigen von Engpässen und des Explosionsradius

1. Wechseln Sie zur Registerkarte "Choke Points ", um eine Liste der Drosselpunkte auf dem Angriffspfad-Dashboard anzuzeigen. Indem Sie sich auf diese Drosselungspunkte konzentrieren, können Sie das Risiko reduzieren, indem Sie auf ressourcenreiche Ressourcen eingehen und so verhindern, dass Angreifer verschiedene Pfade durchlaufen.
2. Wählen Sie einen Engpass aus, um den Seitenbereich zu öffnen, wählen Sie Explosionsradius anzeigen aus, und untersuchen Sie die Angriffspfade von einem Engpass aus. Der Auswirkungsradius bietet eine detaillierte Visualisierung, die zeigt, wie sich die Kompromittierung einer Ressource auf andere auswirken könnte. Dadurch können Sicherheitsteams die umfassenderen Auswirkungen eines Angriffs bewerten und Strategien zur Entschärfung effektiver priorisieren.

Untersuchen eines Angriffspfads

1. Wählen Sie einen bestimmten Angriffspfad aus, um ihn auf potenzielle ausnutzbare Sicherheitsrisiken zu untersuchen.
2. Zeigen Sie im Diagramm Angriffspfad auf ein Knoten- oder Edgesymbol (Connector), um zusätzliche Informationen zur Erstellung des Angriffspfads anzuzeigen. Bei der Integration von Defender for Cloud im Defender-Portal werden möglicherweise Angriffspfade angezeigt, die sich über mehrere Umgebungen erstrecken, z. B. einen Angriffspfad, der von einer kompromittierten Cloud-VM beginnt, sich über eine zugeordnete Identität dreht und einen lokalen Domänencontroller erreicht. Das Portal zeigt diese Hybridpfade in der Graphansicht an, und Sie können jeden Knoten auswählen, um Details anzuzeigen und die Schritte zur Behebung für jede Gefährdung entlang des Pfads zu befolgen.

Überprüfen von Empfehlungen

1. Wählen Sie die Registerkarte Empfehlungen aus, um die Liste der handlungsrelevanten Empfehlungen zur Entschärfung der identifizierten Angriffspfade anzuzeigen.
2. Sortieren Sie Empfehlungen nach Überschrift, oder wählen Sie eine bestimmte Empfehlung aus, um den Empfehlungsbildschirm zu öffnen.
3. Überprüfen Sie die Empfehlungsdetails, und wählen Sie dann Verwalten aus, um die Empfehlung in der richtigen Workloadschnittstelle zu korrigieren.

Ein Asset eines Angriffspfads in der Gefährdungskarte anzeigen

1. Wählen Sie Angriffsfläche>Angriffspfad>Diagramm>In Karte anzeigen aus.

   Sie können in Karte auch nach einer Ressource im Angriffspfad suchen und sie auswählen. Oder wählen Sie bei einem Objekt im Geräteinventar die Option Auf Karte anzeigen aus.

2. Erkunden Sie die Verbindungen nach Bedarf.

Nächste Schritte

• Identifizieren und Verwalten kritischer Ressourcen
• Überprüfen der Sicherheitsempfehlungen