Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Il grafico degli attacchi di identità in Microsoft Sentinel visualizza il modo in cui le identità si connettono alle risorse di Azure tramite autorizzazioni e appartenenze ai gruppi. Gli analisti della sicurezza possono usare il grafico per identificare i percorsi di spostamento laterale, ovvero le possibili route che un utente malintenzionato potrebbe intraprendere per passare da un'identità o una risorsa a un'altra sfruttando le autorizzazioni, le appartenenze ai gruppi o le relazioni di trust esistenti, spesso per inoltrare privilegi o raggiungere asset sensibili.
Il grafico degli attacchi di identità predefinito rappresenta l'ambiente come entità e relazioni interconnesse, rendendo più semplice rispondere a domande complesse, ad esempio "Quali risorse potrebbero raggiungere un utente malintenzionato se questo account viene compromesso?" o "Quali identità hanno percorsi per gli asset critici?"
Gli analisti SOC, i cacciatori di minacce, i tecnici della sicurezza cloud e i team di IAM possono usare il grafico per comprendere e ridurre il rischio di identità in Azure e Entra.
Funzionamento del grafico degli attacchi di identità
Il grafico degli attacchi di identità usa i dati degli asset dell'asset Entra ID di Microsoft Sentinel Lake e dei connettori di Azure Resource Graph per creare un modello completo dell'ambiente:
- Identità: utenti, entità servizio, identità gestite e gruppi
- Risorse: sottoscrizioni di Azure, gruppi di risorse, macchine virtuali, account di archiviazione e altri asset
- Relazioni di accesso e autorizzazione: assegnazioni di ruolo e appartenenze a gruppi che creano percorsi per le risorse a cui possono accedere
Dopo l'installazione, usare Graph Query Language (GQL) per individuare i rischi nascosti difficili da rilevare con i metodi tradizionali.
È possibile eseguire query sul grafico per:
- Percorsi di movimento laterale di Surface: Trova tutti i percorsi che un attaccante potrebbe seguire da un'identità compromessa per raggiungere risorse critiche
- Identificare gli account con privilegi eccessivi: individuare le identità con autorizzazioni eccessive o percorsi indiretti per i ruoli con privilegi
- Priorità della correzione: concentrarsi sui percorsi più brevi per gli asset più sensibili
Prerequisiti
Per configurare il grafico degli attacchi di identità, assicurarsi di soddisfare i prerequisiti seguenti:
- Data lake di Microsoft Sentinel abilitato nell'ambiente
- Autorizzazioni per attivare o aggiornare gli asset ID di Microsoft Entra e i connettori di Azure Resource Graph
- Amministratore globale, Amministratore della sicurezza per creare il grafico
Configurare il grafico degli attacchi alle identità
Segui questi passaggi per impostare il grafo degli attacchi alle identità:
Nel portale di Microsoft Defender passare a Microsoft Sentinel>Graphs.
Trovare la scheda del grafico degli attacchi alle identità e selezionare Configura grafico.
Seguire la procedura di installazione e attivare o aggiornare i connettori necessari.
Selezionare Attiva grafico per creare il grafico.
Selezionare Query grafico nel riquadro del grafico per visualizzare la pagina della query del grafico.
Dopo aver attivato il grafico, il grafico inizia a inserire i dati e a creare relazioni. L'elaborazione iniziale può richiedere fino a 48 ore.
Esplora e interroga il grafico degli attacchi alle identità
Seguire questa procedura per eseguire query sul grafico quando il grafico è pronto per l'uso:
Usare la scheda Schema per comprendere i tipi di entità e relazioni nel grafico.
Selezionare qualsiasi nodo per visualizzare i metadati dettagliati.
Usare la scheda Graph per visualizzare le relazioni e i percorsi dei privilegi. Scrivi le tue query GQL o usa le query predefinite per iniziare.
Nota
È consigliabile iniziare con le query predefinite, progettate per creare scenari di analisi comuni e di alto valore. Queste query consentono di ottenere valore immediato senza scrivere GQL da zero.
Selezionare Esegui query GQL per visualizzare i risultati.
