Architektúrastratégiák monitorozáshoz és fenyegetésészleléshez

Az Azure Well-Architected-keretrendszer biztonsági ellenőrzőlistájára vonatkozó javaslat:

SE:10 Olyan holisztikus monitorozási stratégia implementálása, amely a platformmal integrálható modern fenyegetésészlelési mechanizmusokra támaszkodik. A mechanizmusoknak megbízhatóan riasztást kell küldeniük az osztályozáshoz, és jeleket kell küldeniük a meglévő SecOps-folyamatokba.

Ez az útmutató a monitorozásra és fenyegetésészlelésre vonatkozó javaslatokat ismerteti. A figyelés alapvetően a már megtörtént eseményekre vonatkozó információk lekérésének folyamata. A biztonsági monitorozás a számítási feladat különböző magasságában (infrastruktúra, alkalmazás, műveletek) található információk rögzítésének gyakorlata a gyanús tevékenységek megismerése érdekében. A cél az incidensek előrejelzése és a múltbeli eseményekből való tanulás. A monitorozási adatok az incidens utáni elemzés alapjául szolgálnak, és segítenek az incidensek elhárításában és a törvényszéki vizsgálatokban.

A monitorozás egy működési kiválósági megközelítés, amely az összes Well-Architected keretrendszer-pillérre vonatkozik. Ez az útmutató csak biztonsági szempontból nyújt javaslatokat. A monitorozás általános fogalmai, például a kódrendszerezés, az adatgyűjtés és az elemzés, nem tartoznak az útmutató hatókörébe. Az alapvető monitorozási fogalmakkal kapcsolatos információkért tekintse meg a megfigyelhetőségi keretrendszer tervezésére és létrehozására vonatkozó javaslatokat.

Terminology

Időszak Definition
Ellenőrzési naplók A rendszer tevékenységeinek rekordja.
Biztonsági információk és eseménykezelés (SIEM) Egy olyan megközelítés, amely beépített fenyegetésészlelési ésintelligencia-képességeket használ több forrásból összesített adatok alapján.
Fenyegetések észlelése A várt műveletektől való eltérések észlelésére szolgáló stratégia összegyűjtött, elemezett és korrelált adatok használatával.
Fenyegetésfelderítés Stratégia a fenyegetésészlelési adatok értelmezésére a gyanús tevékenységek vagy fenyegetések észleléséhez minták vizsgálatával.
Veszélyforrások megelőzése A számítási feladatokban különböző magasságokban elhelyezett biztonsági vezérlők az eszközök védelme érdekében.

A biztonsági monitorozás fő célja a fenyegetésészlelés. Az elsődleges cél a lehetséges biztonsági incidensek megelőzése és a biztonságos környezet fenntartása. Ugyanakkor ugyanilyen fontos felismerni, hogy nem minden fenyegetést lehet előre blokkolni. Ilyen esetekben a monitorozás mechanizmusként is szolgál a megelőzési erőfeszítések ellenére bekövetkezett biztonsági incidens okának azonosítására.

A monitorozás különböző szempontokból közelíthető meg:

  • Monitorozás különböző magasságokban. A különböző magasságokból való megfigyelés a felhasználói folyamatokról, az adathozzáférésről, az identitásról, a hálózatkezelésről és még az operációs rendszerről is információt kap. Mindegyik terület egyedi elemzéseket kínál, amelyek segítenek azonosítani a biztonsági alapkonfigurációval szemben megállapított elvárt viselkedéstől való eltéréseket. Ezzel szemben a rendszer és az alkalmazások folyamatos monitorozása segíthet megállapítani az alaphelyzetet. Előfordulhat például, hogy óránként körülbelül 1000 bejelentkezési kísérlet jelenik meg az identitásrendszerben. Ha a monitorozás rövid idő alatt 50 000 bejelentkezési kísérletet észlel, előfordulhat, hogy a támadó megpróbál hozzáférni a rendszerhez.

  • Figyelés különböző hatástartományokban. Kritikus fontosságú az alkalmazás és a platform megfigyelése. Tegyük fel, hogy egy alkalmazásfelhasználó véletlenül eszkalált jogosultságokat kap, vagy biztonsági incidens történik. Ha a felhasználó a kijelölt hatókörön kívül hajt végre műveleteket, a hatás a más felhasználók által végrehajtható műveletekre korlátozódhat.

    Ha azonban egy belső entitás feltör egy adatbázist, a lehetséges kár mértéke bizonytalan.

    Ha az Azure-erőforrás oldalán biztonsági rés lép fel, a hatás globális lehet, ami hatással van az erőforrást használó összes entitásra.

    A robbanási sugár vagy az ütközés hatóköre jelentősen eltérő lehet attól függően, hogy ezek közül melyik fordul elő.

  • Speciális monitorozási eszközök használata. Kritikus fontosságú olyan speciális eszközökbe fektetni, amelyek folyamatosan képesek olyan rendellenes viselkedést keresni, amely támadásra utalhat. Ezeknek az eszközöknek a többsége fenyegetésfelderítési képességekkel rendelkezik , amelyek nagy mennyiségű adat és ismert fenyegetés alapján képesek prediktív elemzést végezni. A legtöbb eszköz nem állapot nélküli, és a telemetriai adatok alapos megértését foglalja magában egy biztonsági környezetben.

    Az eszközöknek platform integrálva kell lenniük, vagy legalább platformérzékenynek kell lenniük ahhoz, hogy mély jeleket kapjanak a platformtól, és magas megbízhatóságú előrejelzéseket készítsenek. Képesnek kell lenniük arra, hogy időben riasztásokat generáljanak, és elegendő információval rendelkezzenek a megfelelő osztályozás elvégzéséhez. A túl sok különböző eszköz használata összetettséghez vezethet.

  • Használjon monitorozást incidensmegoldáshoz. Az aggregált adatok használható intelligenciává alakítva lehetővé teszik az incidensekre való gyors és hatékony reagálást. A monitorozás segít az incidens utáni tevékenységekben. A cél az, hogy elegendő adatot gyűjtsön a történtek elemzéséhez és megértéséhez. A monitorozási folyamat rögzíti a múltbeli események adatait a reaktív képességek javítása és a jövőbeli incidensek potenciális előrejelzése érdekében.

A következő szakaszok olyan ajánlott eljárásokat tartalmaznak, amelyek tartalmazzák az előző figyelési perspektívákat.

Adatok rögzítése a tevékenységek nyomon követése érdekében

A cél a biztonsági szempontból jelentős események átfogó ellenőrzési nyomvonalának fenntartása. A naplózás a hozzáférési minták rögzítésének leggyakoribb módja. Naplózást kell végezni az alkalmazáshoz és a platformhoz.

Az auditnaplókhoz meg kell állapítania, hogy mi, mikor és ki van társítva a műveletekkel. A műveletek végrehajtásakor meg kell határoznia az adott időkereteket. Végezze el ezt az értékelést a fenyegetésmodellezésben. Az elutasítási fenyegetés elhárításához erős naplózási és naplózási rendszereket kell létrehoznia, amelyek tevékenység- és tranzakciórekordot eredményeznek.

A következő szakaszok a számítási feladatok egyes gyakori magasságainak használati eseteit ismertetik.

Alkalmazás felhasználói folyamatai

Az alkalmazást úgy kell megtervezni, hogy futásidejű láthatóságot biztosítson események bekövetkezésekor. Azonosítsa az alkalmazás kritikus pontjait, és hozzon létre naplózást ezekhez a pontokhoz. Ha például egy felhasználó bejelentkezik az alkalmazásba, rögzítse a felhasználó identitását, forráshelyét és egyéb releváns adatait. Fontos elismerni a felhasználói jogosultságok eszkalálódását, a felhasználó által végrehajtott műveleteket, valamint azt, hogy a felhasználó hozzáfért-e bizalmas információkhoz egy biztonságos adattárban. Nyomon követheti a felhasználó és a felhasználói munkamenet tevékenységeit.

A nyomon követés megkönnyítése érdekében a kódot strukturált naplózáson keresztül kell rendszerezni. Ez lehetővé teszi a naplók egyszerű és egységes lekérdezését és szűrését.

Fontos

A rendszer titkosságának és integritásának fenntartása érdekében a felelős naplózást kell kikényszerítenie. Titkos kódok és bizalmas adatok nem jelennek meg a naplókban. A naplóadatok rögzítésekor vegye figyelembe a személyes adatok kiszivárgását és egyéb megfelelőségi követelményeket.

Identitás- és hozzáférés-figyelés

Az alkalmazás hozzáférési mintáinak és a platformerőforrások módosításának részletes nyilvántartása. Robusztus tevékenységnaplókkal és fenyegetésészlelési mechanizmusokkal rendelkezik, különösen az identitással kapcsolatos tevékenységekhez, mivel a támadók gyakran megpróbálják manipulálni az identitásokat, hogy jogosulatlan hozzáféréshez jussanak.

Átfogó naplózás implementálása az összes elérhető adatpont használatával. Adja meg például az ügyfél IP-címét, hogy különbséget tegyen a rendszeres felhasználói tevékenység és a váratlan helyektől való lehetséges fenyegetések között. A kiszolgálónak minden naplózási eseményt időbélyeggel kell ellátnia.

Rögzítse az összes erőforrás-hozzáférési tevékenységet, és rögzítse, hogy ki mit és mikor végez. A jogosultságok eszkalálása jelentős adatpont, amelyet naplózni kell. A fiók alkalmazás általi létrehozásával vagy törlésével kapcsolatos műveleteket is rögzíteni kell. Ez a javaslat az alkalmazás titkos kódjaira terjed ki. Figyelheti, hogy ki fér hozzá a titkos kódokhoz, és hogy mikor vannak elforgatva.

Bár a sikeres műveletek naplózása fontos, biztonsági szempontból szükséges a hibák rögzítése. Dokumentálja a szabálysértéseket, például a műveletet megkísérlő felhasználókat, de hitelesítési hibába ütköznek, nem létező erőforrások hozzáférési kísérleteit és egyéb gyanúsnak tűnő műveleteket.

Hálózatfigyelés

A hálózati csomagok és azok forrásainak, célhelyeinek és struktúráinak monitorozásával betekintést nyerhet a hálózati szintű hozzáférési mintákba.

A szegmentálási tervnek lehetővé kell tennie a határmegfigyelési pontokat, hogy megfigyelje, mi keresztezi őket, és naplózza az adatokat. Figyelheti például azokat az alhálózatokat, amelyek hálózati biztonsági csoportokkal rendelkeznek, amelyek folyamatnaplókat hoznak létre. Emellett monitorozza az engedélyezett vagy elutasított folyamatokat megjelenítő tűzfalnaplókat is.

Vannak hozzáférési naplók a bejövő kapcsolatkérésekhez. Ezek a naplók rögzítik a kéréseket kezdeményező forrás IP-címeket, a kérés típusát (GET, POST) és a kérések részét képező összes egyéb információt.

A DNS-folyamatok rögzítése számos szervezet számára jelentős követelmény. A DNS-naplók például segíthetnek azonosítani, hogy melyik felhasználó vagy eszköz kezdeményezett egy adott DNS-lekérdezést. A DNS-tevékenység és a felhasználói/eszközhitelesítési naplók összekapcsolásával nyomon követheti az egyes ügyfelek tevékenységeit. Ez a felelősség gyakran kiterjed a számítási feladatokért felelős csapatra, különösen akkor, ha bármit üzembe helyeznek, ami a DNS-kéréseket a művelet részévé teszi. A DNS-forgalom elemzése a platformbiztonság megfigyelhetőségének kulcsfontosságú eleme.

Fontos figyelemmel kísérni a váratlan vagy az ismert parancs- és vezérlési végpontok felé irányuló DNS-kéréseket.

Kompromisszum: Az összes hálózati tevékenység naplózása nagy mennyiségű adatot eredményezhet. A 3. réteg minden kérése rögzíthető egy folyamatnaplóban, beleértve az alhálózati határt átlépő összes tranzakciót is. Sajnos nem lehet csak a káros eseményeket rögzíteni, mert csak azok bekövetkezése után azonosíthatók. Hozzon stratégiai döntéseket a rögzítendő események típusáról, és hogy mennyi ideig tárolja őket. Ha nem körültekintő, az adatok kezelése túl sok lehet. Az adatok tárolásának költsége is kompromisszumot jelent.

A kompromisszumok miatt érdemes megfontolni, hogy a számítási feladat hálózati monitorozásának előnyei elegendőek-e a költségek igazolásához. Ha nagy kérésmennyiséggel rendelkező webalkalmazás-megoldással rendelkezik, és a rendszer széles körben használja a felügyelt Azure-erőforrásokat, a költségek meghaladják az előnyöket. Ha viszont olyan megoldással rendelkezik, amelyet különböző portokkal és alkalmazásokkal rendelkező virtuális gépek használatára terveztek, fontos lehet a hálózati naplók rögzítése és elemzése.

Rendszerváltozások rögzítése

A rendszer integritásának fenntartása érdekében pontos és naprakész nyilvántartással kell rendelkeznie a rendszerállapotról. Ha változások történnek, ezzel a rekorddal azonnal elháríthatja a felmerülő problémákat.

A buildfolyamatoknak telemetriát is ki kell bocsátaniuk. Az események biztonsági kontextusának megértése kulcsfontosságú. Ha tudja, mi váltotta ki a buildelési folyamatot, ki aktiválta, és mikor aktiválta, értékes megállapításokat adhat.

Nyomon követheti , hogy mikor jönnek létre az erőforrások, és mikor leszerelik őket. Ezeket az információkat a platformról kell kinyerni. Ezek az információk értékes megállapításokat nyújtanak az erőforrás-kezeléshez és az elszámoltathatósághoz.

Az erőforrás-konfiguráció eltérésének figyelése. Meglévő erőforrás módosításainak dokumentálása. Emellett kövesse nyomon azokat a módosításokat, amelyek nem fejeződnek be az erőforrások flottájának bevezetésének részeként. A naplóknak rögzítenie kell a változás sajátosságait és a pontos időpontot.

Átfogó képet kap a frissítés szempontjából arról, hogy a rendszer naprakész és biztonságos-e. A rutinfrissítési folyamatok monitorozása annak ellenőrzéséhez, hogy a tervek szerint befejeződnek-e. A nem befejezett biztonsági javításokat biztonsági résnek kell tekinteni. Olyan leltárt is kell fenntartania, amely rögzíti a javítás szintjét és minden egyéb szükséges részletet.

A változásészlelés az operációs rendszerre is vonatkozik. Ez magában foglalja a szolgáltatások hozzáadásának vagy kikapcsolt állapotának nyomon követését. Emellett figyeli az új felhasználók hozzáadását a rendszerbe. Olyan eszközök léteznek, amelyek kifejezetten egy operációs rendszerre vannak tervezve. Segítenek a környezet nélküli monitorozásban abban az értelemben, hogy nem a számítási feladat funkcióit célzik meg. A fájlintegritási monitorozás például egy kritikus eszköz, amely lehetővé teszi a rendszerfájlok változásainak nyomon követését.

Riasztásokat kell beállítania ezekhez a változásokhoz, különösen akkor, ha nem számít arra, hogy gyakran fordulnak elő.

Fontos

Amikor a termelési környezetbe vezetik be a rendszert, győződjön meg arról, hogy a riasztások úgy legyenek beállítva, hogy észleljék az alkalmazás erőforrásain és a felépítési folyamatban észlelt rendellenes tevékenységeket.

A tesztelési tervekben szerepeljen a naplózás és a riasztás ellenőrzése prioritásos tesztesetként.

Adatok tárolása, összesítése és elemzése

Az ezekből a figyelési tevékenységekből gyűjtött adatokat olyan adatgyűjtőkben kell tárolni, ahol azokat alaposan meg lehet vizsgálni, normalizálni és korrelálni. A biztonsági adatokat a rendszer saját adattárán kívül kell tárolni. A monitorozási gyűjtőknek, legyenek azok helyi vagy központi, túl kell élniük az adatforrásokat. A fogadók nem lehetnek rövid élettartamúak , mert a betörésészlelési rendszerek forrása a fogadó.

A hálózati naplók részletesek lehetnek, és tárhelyet is igénybe vehetnek. Tárrendszerek különböző szintjeinek felfedezése. A naplók idővel természetesen áttérhetnek a hidegebb tárolásra. Ez a megközelítés azért előnyös, mert a régebbi folyamatnaplókat általában nem használják aktívan, és csak igény szerint szükségesek. Ez a módszer hatékony tároláskezelést biztosít, ugyanakkor biztosítja, hogy szükség esetén hozzáférhessen az előzményadatokhoz.

A számítási feladat folyamatai általában több naplózási forrásból állnak. A monitorozási adatokat intelligensen kell elemezni az összes forrásban. A tűzfal például csak az azt elérő forgalmat blokkolja. Ha olyan hálózati biztonsági csoport van, amely már blokkolt bizonyos forgalmat, az a forgalom nem látható a tűzfalon. Az események sorozatának rekonstruálásához összesítenie kell az összes folyamatban lévő összetevő adatait, majd összesítenie kell az összes folyamat adatait. Ezek az adatok különösen hasznosak az incidens utáni válaszforgatókönyvekben, amikor megpróbálják megérteni, hogy mi történt. A pontos időmérés elengedhetetlen. Biztonsági okokból minden rendszernek hálózati időforrást kell használnia, hogy mindig szinkronban legyenek.

Központosított fenyegetésészlelés korrelált naplókkal

Egy olyan rendszer, mint a biztonsági információk és az eseménykezelés (SIEM) segítségével összevonhatja a biztonsági adatokat egy központi helyen , ahol különböző szolgáltatások között korrelálhat. Ezek a rendszerek beépített fenyegetésészlelési mechanizmusokkal rendelkeznek. Külső hírcsatornákhoz csatlakozhatnak a fenyegetésfelderítési adatok lekéréséhez. A Microsoft például közzéteszi a veszélyforrás-felderítési adatokat, amelyeket felhasználhat. Fenyegetésfelderítési hírcsatornákat is vásárolhat más szolgáltatóktól, például az Anomalitól és a FireEye-től. Ezek a hírcsatornák értékes elemzéseket nyújtanak, és javítják a biztonsági helyzetedet. A Microsoft fenyegetéselemzéseit lásd: Security Insider.

A SIEM-rendszerek korrelált és normalizált adatok alapján hozhatnak létre riasztásokat . Ezek a riasztások jelentős erőforrást jelentenek egy incidenskezelési folyamat során.

Kompromisszum: A SIEM rendszerek költségesek, összetettek és speciális készségeket igényelnek. Ha azonban nincs ilyenje, előfordulhat, hogy önállóan kell korrelálnia az adatokat. Ez időigényes és összetett folyamat lehet.

A SIEM-rendszereket általában a szervezet központi csapatai kezelik. Ha a szervezetének nincs ilyenje, fontolja meg ennek javaslatát. Enyhítheti a manuális naplóelemzés és korreláció terheit a hatékonyabb és hatékonyabb biztonságkezelés érdekében.

Néhány költséghatékony lehetőséget a Microsoft biztosít. Számos Microsoft Defender-termék biztosítja a SIEM-rendszerek riasztási funkcióit, de adatösszesítési funkció nélkül.

Több kisebb eszköz kombinálásával emulálhatja a SIEM-rendszerek egyes funkcióit. Azonban tudnia kell, hogy ezek a makeshift-megoldások nem képesek korrelációs elemzést végezni. Ezek az alternatívák hasznosak lehetnek, de előfordulhat, hogy nem teljesen helyettesítik a dedikált SIEM-rendszerek funkcióit.

Visszaélés észlelése

Legyen proaktív a fenyegetésészleléssel kapcsolatban , és legyen éber a visszaélések jeleiért, például egy SSH-összetevőre vagy EGY RDP-végpontra irányuló identitás-találgatásos támadásokra. Bár a külső fenyegetések nagy zajt okozhatnak, különösen akkor, ha az alkalmazás ki van téve az internetnek, a belső fenyegetések gyakran nagyobb aggodalomra adnak okot. Egy megbízható hálózati forrásból érkező váratlan találgatásos támadást vagy egy véletlen helytelen konfigurációt például azonnal meg kell vizsgálni.

Folytassa a biztonsági gyakorlatok fenntartását. A monitorozás nem helyettesíti a környezet proaktív megerősítését. A nagyobb felület több támadásra hajlamos. A vezérlők szigorítása a gyakorlatnak megfelelően. Észleli és letiltja a nem használt fiókokat, eltávolítja a nem használt portokat, és például webalkalmazási tűzfalat használ. A megkeményítési technikákkal kapcsolatos további információkért lásd a biztonsági megkeményítésre vonatkozó ajánlásokat.

Az aláírásalapú észlelés részletesen megvizsgálhatja a rendszert. Ehhez olyan jeleket vagy összefüggéseket kell keresnie a tevékenységek között, amelyek potenciális támadásra utalhatnak. Az észlelési mechanizmus azonosíthat bizonyos jellemzőket, amelyek egy adott támadástípusra utalnak. Előfordulhat, hogy nem mindig lehet közvetlenül észlelni a támadás parancs- és vezérlési mechanizmusát. Egy adott parancs- és vezérlési folyamathoz azonban gyakran vannak tippek vagy minták. Előfordulhat például, hogy egy támadást egy adott folyamat sebessége jelez egy kérés szempontjából, vagy gyakran hozzáfér bizonyos végződésű tartományokhoz.

Észlelheti a rendellenes felhasználói hozzáférési mintákat , így azonosíthatja és megvizsgálhatja a várt mintáktól való eltéréseket. Ez magában foglalja az aktuális felhasználói viselkedés és a múltbeli viselkedés összehasonlítását az anomáliák észlelése érdekében. Bár előfordulhat, hogy ez a feladat manuálisan nem hajtható végre, fenyegetésfelderítési eszközökkel is elvégezheti. Fektesse be a felhasználói és entitás viselkedéselemzési (UEBA) eszközöket , amelyek a felhasználói viselkedést gyűjtik az adatok monitorozásából és elemzéséből. Ezek az eszközök gyakran végeznek prediktív elemzést, amely a gyanús viselkedéseket potenciális támadástípusokra térképezi fel.

Fenyegetések észlelése az üzembe helyezés előtti és az üzembe helyezés utáni szakaszokban. Az üzembe helyezés előtti fázisban a biztonságirés-vizsgálat folyamatba való beépítése és a szükséges műveletek elvégzése az eredmények alapján. Az üzembe helyezés után folytassa a biztonságirés-vizsgálat elvégzését. Használhat olyan eszközöket, mint a Microsoft Defender for Containers, amely tárolólemezképeket vizsgál. Adja meg az eredményeket az összegyűjtött adatokban. A biztonságos fejlesztési eljárásokról további információt a biztonságos üzembehelyezési eljárások használatára vonatkozó javaslatokban talál.

Használja ki a platform által biztosított észlelési mechanizmusokat és mértékeket. Az Azure Firewall például elemezheti a forgalmat, és letilthatja a nem megbízható célhelyekkel való kapcsolatokat. Az Azure az elosztott szolgáltatásmegtagadási (DDoS) támadások észlelésére és elleni védelemre is lehetőséget nyújt.

Az Azure megkönnyítése

Az Azure Monitor a teljes környezetben megfigyelhető. Konfiguráció nélkül automatikusan lekérheti a platformmetrikákat, a tevékenységnaplókat és a diagnosztikai naplókat a legtöbb Azure-erőforrásból. A tevékenységnaplók részletes diagnosztikai és naplózási információkat tartalmaznak.

Megjegyzés:

A platformnaplók nem érhetők el határozatlan ideig. Meg kell őriznie őket, hogy később is áttekinthesse őket naplózási vagy offline elemzés céljából. Azure Storage-fiókok használata hosszú távú/archiválási tároláshoz. Az Azure Monitorban adja meg a megőrzési időtartamot, amikor engedélyezi az erőforrások diagnosztikai beállításait.

Előre definiált vagy egyéni metrikák és naplók alapján állíthat be riasztásokat, hogy értesítéseket kapjon, ha bizonyos biztonsági eseményeket vagy rendellenességeket észlel.

További információkért tekintse meg az Azure Monitor dokumentációját.

A Microsoft Defender for Cloud beépített képességeket biztosít a fenyegetésészleléshez. Az összegyűjtött adatokon működik, és naplókat elemez. Mivel tisztában van a létrehozott naplók típusaival, beépített szabályokkal megalapozott döntéseket hozhat. Ellenőrzi például a potenciálisan feltört IP-címek listáját, és riasztásokat hoz létre.

Azure-erőforrások beépített veszélyforrások elleni védelmi szolgáltatásainak engedélyezése. Például engedélyezze a Microsoft Defendert azure-erőforrásokhoz, például virtuális gépekhez, adatbázisokhoz és tárolókhoz az ismert fenyegetések észleléséhez és elleni védelemhez.

A Defender for Cloud felhőbeli számítási feladatvédelmi platformot (CWPP) biztosít az összes számítási feladat erőforrásának fenyegetésészleléséhez.

További információ: Mi az a Microsoft Defender for Cloud?

A Defender által létrehozott riasztások SIEM-rendszerekbe is beépülhetnek. A Microsoft Sentinel a natív ajánlat. Mesterséges intelligenciát és gépi tanulást használ a biztonsági fenyegetések valós idejű észlelésére és elhárítására. Központosított áttekintést nyújt a biztonsági adatokról, és elősegíti a proaktív fenyegetéskeresést és -vizsgálatot.

További információ: Mi a Microsoft Sentinel?.

A Microsoft Sentinel különböző forrásokból származó fenyegetésfelderítési hírcsatornákat is használhat. További információ: Fenyegetésfelderítési integráció a Microsoft Sentinelben.

A Microsoft Sentinel képes elemezni a felhasználói viselkedést a monitorozási adatokból. További információ: Speciális fenyegetések azonosítása a Microsoft Sentinel felhasználói és entitásviselkedési elemzésével (UEBA).

A Defender és a Microsoft Sentinel együttműködik, annak ellenére, hogy a funkciók átfedésben vannak. Ez az együttműködés az átfogó fenyegetésészlelés és -reagálás biztosításával javítja az általános biztonsági helyzetet.

Az Azure Üzletmenet-folytonossági központ segítségével azonosíthatja az üzletmenet-folytonossági tulajdonban lévő hiányosságokat, és megvédheti az olyan fenyegetéseket, mint a zsarolóvírus-támadások, a rosszindulatú tevékenységek és a rosszindulatú rendszergazdai incidensek. További információ: Mi az Azure Üzletmenet-folytonossági központ?

hálózat

Tekintse át a hálózati eszközökről származó összes naplót, beleértve a nyers forgalmat is.

  • Virtuális hálózati folyamatnaplók. Tekintse át a folyamatnaplókat és a diagnosztikai naplókat.

  • Azure Network Watcher. Használja ki a csomagrögzítési funkciót a riasztások beállításához és a valós idejű teljesítményadatokhoz való hozzáféréshez a csomag szintjén.

    A csomagrögzítés nyomon követi a virtuális gépek bejövő és kimenő forgalmát. Segítségével proaktív rögzítéseket futtathat meghatározott hálózati rendellenességek alapján, beleértve a hálózati behatolásokkal kapcsolatos információkat is.

    Példa: Hálózatok proaktív figyelése riasztásokkal és Azure Functions csomagrögzítéssel.

  • Forgalomelemzéssel elemezheti és gazdagíthatja a virtuális hálózati forgalom naplóit, és feltárhatja a forgalmi adatokat. A beépített lekérdezésekkel betekintést nyerhet a blokkolt forgalomba, a rosszindulatú folyamatokba és az interneten keresztül elérhető aktív portokba az Azure-infrastruktúrában. A forgalomelemzéssel támogatja a Teljes felügyelet biztonságot a szegmentálás, a forgalmi folyamatok áttekinthetősége, valamint a rendellenes vagy jogosulatlan tevékenységek észlelésének biztosításával.

  • Az AI-alapú biztonsági képességek használata a fenyegetésészlelés javításához. Az Azure Web Application Firewall és a Microsoft Security Copilot integrációja AI-alapú fenyegetéselemzési és -válaszképességeket biztosít az Azure Front Door és az Azure Application Gateway webalkalmazási tűzfaleseményeihez. Az Azure Firewall a Security Copilottal is integrálva vizsgálja a behatolásészlelési és -megelőzési rendszer (IDPS) szolgáltatás által észlelt rosszindulatú forgalmat.|

  • A virtuális hálózati folyamatnaplók natív Microsoft Sentinel összekötőjével exportálhatja a hálózati telemetriát közvetlenül a szervezet SIEM-jére. Ez az integráció ugyanabba az elemzési síkba helyezi a folyamatadatokat, mint az identitás- és végpontjelek, ami csökkenti a vakfoltokat, és javítja a korrelációt a fenyegetésvizsgálatok során. A bevezetési terv részeként szabályozhatja a naplók mennyiségét és megőrzési költségeit, és az SOC-észlelési szabályokat az új adatforráshoz igazíthatja.

Személyazonosság

Figyelje az identitásalapú kockázati eseményeket a potenciálisan kompromittált identitások esetében, és kezelje ezeket a kockázatokat. Tekintse át a jelentett kockázati eseményeket az alábbi módokon:

A Microsoft Entra ID adaptív gépi tanulási algoritmusokat, heurisztikusokat és ismert feltört hitelesítő adatokat (felhasználónév és jelszópárok) használ a felhasználói fiókokhoz kapcsolódó gyanús műveletek észleléséhez. Ezek a felhasználónevek és jelszópárok a nyilvános és sötét web figyelésével, valamint a biztonsági kutatókkal, a bűnüldöző hatóságokkal, a Microsoft biztonsági csapataival és másokkal együttműködve jelennek meg.

Azure Pipelines

A DevOps a számítási feladatok folyamatos integrációval és folyamatos teljesítéssel (CI/CD) történő változáskezelését támogatja. Ügyeljen arra, hogy biztonsági ellenőrzést adjon hozzá a folyamatokhoz. Kövesse az Azure Pipelines biztonságossá tételével kapcsolatos útmutatást.

Biztonsági ellenőrzőlista

Tekintse meg a javaslatok teljes készletét.

Biztonsági ellenőrzőlista

  • Utolsó frissítés időpontja: