Cercare i rischi con Cloud Security Explorer
Il team di sicurezza di Contoso Healthcare ha esaminato le raccomandazioni e i percorsi di attacco, ottenendo informazioni dettagliate sui rischi noti. Ora vogliono proseguire, cercando in modo proattivo modelli di rischio che potrebbero non essere ancora visualizzati nell'elenco delle raccomandazioni standard. Ad esempio, esistono macchine virtuali con vulnerabilità note che presentano anche l'esposizione a Internet e l'accesso agli account di archiviazione sensibili? Sono disponibili autorizzazioni di identità che potrebbero abilitare lo spostamento laterale ai servizi di intelligenza artificiale? In questa unità si apprenderà come usare Cloud Security Explorer per creare query personalizzate basate su gragrafi che individuano combinazioni di rischio nascoste nell'ambiente in uso.
| Componente query | Scopo | Esempio |
|---|---|---|
| Tipo di risorsa | Punto di partenza per la query | Macchine virtuali, account di archiviazione, Servizi di Azure AI |
| Condizioni di filtro | Criteri che restringeno i risultati | Internet esposto, presenta vulnerabilità, contiene dati sensibili |
| Filtri delle relazioni | Connessioni tra risorse | La macchina virtuale "ha accesso all'account di archiviazione" |
| Results | Asset che corrispondono a tutte le condizioni | Risorse specifiche che richiedono la correzione |
Informazioni su Cloud Security Explorer e sul grafico della sicurezza
Cloud Security Explorer usa il grafico della sicurezza cloud, il motore di contesto di Defender per il cloud che esegue il mapping delle relazioni tra risorse, identità, dati, esposizione di rete e risultati della sicurezza. A differenza delle raccomandazioni che illustrano rischi determinati in modo algoritmico, l'esploratore ti consente di portare le tue domande personali ai dati.
Il grafico di sicurezza viene aggiornato tramite la pubblicazione snapshot, un metodo di aggiornamento dei dati a intervalli regolari. La pubblicazione snapshot garantisce che i dati di configurazione del carico di lavoro rimangano aggiornati con gli aggiornamenti giornalieri.
Partendo da questa base, è possibile creare query personalizzate su più risorse per individuare combinazioni di rischio che le raccomandazioni standard potrebbero non rilevare. Ad esempio, è possibile eseguire una query su "trovare tutte le macchine virtuali con vulnerabilità con gravità elevata esposte da Internet e avere accesso agli account di archiviazione contenenti dati sensibili". Questo tipo di query rivela rischi composti, situazioni in cui più fattori si combinano per creare un'esposizione significativa.
Esplorare e compilare query in Cloud Security Explorer
Cloud Security Explorer è accessibile tramite il portale di Azure, fornendo un'interfaccia dedicata per la ricerca proattiva dei rischi.
Annotazioni
Cloud Security Explorer è disponibile nel portale di Azure. Accedere al portal.azure.com e passare a Microsoft Defender per il cloud>Cloud Security Explorer.
La compilazione di una query segue un flusso di lavoro strutturato che trasforma le domande di sicurezza in risultati interattivi:
- Selezionare un tipo di risorsa dal menu a discesa, ad esempio Macchine virtuali, Account di archiviazione Servizi di Azure AI.
- Selezionare il pulsante + per aggiungere condizioni di filtro, ad esempio esposto a Internet, con vulnerabilità ad alta gravità, connesso all'archiviazione.
- Aggiungere altri tipi di risorse e filtri di relazione in base alle esigenze per creare condizioni concatenati.
- Selezionare Cerca per eseguire la query sul grafico di sicurezza.
- Esaminare i risultati: ogni riga rappresenta un asset corrispondente a tutte le condizioni specificate.
- Selezionare Scarica report CSV per esportare i risultati per il rilevamento delle correzioni o la creazione di report agli stakeholder.
I filtri vengono raggruppati in categorie logiche, tra cui tipo di asset, esposizione, autorizzazioni, vulnerabilità, connessioni di rete e potenziale di spostamento laterale.
È possibile concatenare più tipi di risorse usando filtri di relazione per modellare scenari di attacco reali. Ad esempio, creare una query per una macchina virtuale che abbia accesso a un account di archiviazione, che "contiene" dati sensibili. Questa funzionalità di concatenamento rispecchia il modo in cui gli utenti malintenzionati si spostano attraverso ambienti, sfruttando le relazioni tra le risorse per raggiungere obiettivi di alto valore.
Usare modelli di query per modelli di rischio comuni
Nella parte inferiore della pagina Cloud Security Explorer sono disponibili modelli di query predefiniti che coprono scenari di rischio comuni preconfigurati per l'uso immediato. I modelli eliminano la necessità di costruire query da zero, offrendo un punto di partenza pratico per stabilire procedure di ricerca proattive regolari.
I modelli riguardano scenari come:
- Macchine virtuali esposte a Internet con vulnerabilità con gravità elevata
- Account di archiviazione con dati sensibili accessibili da Internet
- Risorse con segreti esposti (credenziali, token o chiavi presenti nelle variabili di ambiente o nel codice)
- Risorse con autorizzazioni di identità gestite che potrebbero abilitare lo spostamento laterale nel tenant
Per usare un modello, trovarlo nella parte inferiore della pagina Cloud Security Explorer e selezionare Apri query. Il modello prepopola il generatore di query con filtri e condizioni, che è possibile modificare prima di selezionare Cerca.
Quando i connettori cloud AWS o GCP sono attivi e Defender CSPM è abilitato in tali account, la stessa interfaccia explorer supporta le query multicloud. Le organizzazioni con architetture cloud ibride possono estendere queste procedure di ricerca in tutte le piattaforme cloud connesse.
Condividere ed esportare i risultati delle query
Le query possono essere condivise con i membri del team utilizzando il pulsante Condividi collegamento query, che copia un URL condivisibile negli Appunti. Quando una query rivela un cluster di rischio, condividere il collegamento con i proprietari del carico di lavoro o i team di governance per garantire una risposta coordinata. Selezionare Scarica report CSV per esportare i risultati per il rilevamento o la creazione di report di correzione.