Omówienie modyfikacji zasobów

W tym artykule opisano sposób modyfikowania zasobów spisu. Możesz zmienić stan zasobu, przypisać identyfikator zewnętrzny lub zastosować etykiety, aby ułatwić podanie kontekstu i użycie danych spisu. Możesz również oznaczyć cve i inne obserwacje jako nie dotyczy, aby usunąć je ze zgłoszonych liczników. Można również zbiorczo usuwać zasoby z ich spisu w oparciu o metodę, za pomocą której zostały odnalezione. Na przykład użytkownicy mogą usunąć materiał inicjowania z grupy odnajdywania i zdecydować się na usunięcie wszystkich zasobów odnalezionych za pośrednictwem połączenia z tym materiałem inicjacyjnym. W tym artykule opisano wszystkie opcje modyfikacji dostępne w ZZOPA w usłudze Defender i opisano sposób aktualizowania zasobów i śledzenia wszelkich aktualizacji za pomocą Menedżera zadań.

Zasoby etykiet

Etykiety ułatwiają organizowanie obszaru ataków i stosowanie kontekstu biznesowego w możliwy do dostosowania sposób. Możesz zastosować dowolną etykietę tekstową do podzestawu zasobów w celu grupowania zasobów i lepszego wykorzystania spisu. Klienci często kategoryzują zasoby, które:

• Niedawno zostały objęte własnością organizacji poprzez fuzję lub przejęcie.
• Wymagaj monitorowania zgodności.
• Należą do określonej jednostki biznesowej w organizacji.
• Określona luka w zabezpieczeniach wymaga ograniczenia ryzyka.
• Odnoszą się do konkretnej marki należącej do organizacji.
• Zostały dodane do spisu w określonym zakresie czasu.

Etykiety są polami tekstowymi w postaci bezpłatnej, dzięki czemu można utworzyć etykietę dla każdego przypadku użycia, który dotyczy Twojej organizacji.

Zmienianie stanu zasobu

Użytkownicy mogą również zmienić stan zasobu. Stany ułatwiają kategoryzowanie spisu na podstawie ich roli w organizacji. Użytkownicy mogą przełączać się między następującymi stanami:

• Zatwierdzony spis: część posiadanej powierzchni ataku; element, za który ponosisz bezpośrednią odpowiedzialność.
• Zależność: infrastruktura należąca do innej firmy, ale jest częścią obszaru ataków, ponieważ bezpośrednio obsługuje działanie posiadanych zasobów. Na przykład możesz polegać na dostawcy IT do hostowania zawartości internetowej. Chociaż domena, nazwa hosta i strony będą częścią "zatwierdzonego spisu", możesz traktować adres IP z uruchomionym hostem jako "zależność".
• Tylko monitorowanie: zasób, który jest odpowiedni dla obszaru ataków, ale nie jest bezpośrednio kontrolowany przez organizację ani zależność techniczna. Na przykład niezależni franczyzobiorcy lub aktywa należące do powiązanych firm mogą być oznaczone jako "Tylko monitorowanie", a nie "Zatwierdzony spis", aby oddzielić grupy do celów raportowania.
• Kandydat: zasób, który ma pewną relację ze znanymi zasobami inicjałowymi organizacji, ale nie ma wystarczająco silnego połączenia, aby natychmiast oznaczyć go jako "Zatwierdzony spis". Te zasoby kandydujące muszą zostać ręcznie poddane przeglądowi w celu określenia własności.
• Wymaga badania: stan podobny do stanu "Kandydat", ale ta wartość jest stosowana do zasobów, które wymagają ręcznego badania w celu zweryfikowania. Jest to określane na podstawie wewnętrznych wyników ufności, które oceniają siłę wykrytych połączeń między zasobami. Nie wskazuje dokładnej relacji infrastruktury z organizacją, ponieważ oznacza to, że ten zasób został oflagowany jako wymagający dodatkowego przeglądu w celu określenia sposobu kategoryzowania.

Stosowanie Tożsamość zewnętrzna

Użytkownicy mogą również zastosować identyfikator zewnętrzny do zasobu. Ta akcja jest przydatna w sytuacjach, gdy stosuje się wiele rozwiązań do śledzenia zasobów, działań korygowania lub monitorowania własności; Wyświetlanie wszelkich identyfikatorów zewnętrznych w ZZOPA w usłudze Defender ułatwia dopasowanie tych różnych informacji o zasobach. Tożsamość zewnętrzna wartości mogą być liczbowe lub alfanumeryczne i muszą być wprowadzone w formacie tekstowym. Identyfikatory zewnętrzne są również wyświetlane w sekcji Szczegóły zasobu.

Oznaczanie obserwacji jako nie dotyczy

Wiele ZZOPA w usłudze Defender pulpitów nawigacyjnych zawiera dane CVE, co zwraca uwagę na potencjalne luki w zabezpieczeniach oparte na infrastrukturze składników sieci Web, która obsługuje obszar ataków. Na przykład cve są wyświetlane na pulpicie nawigacyjnym podsumowania urządzenia Attack Surface, które są podzielone na kategorie według ich potencjalnej ważności. Podczas badania tych CVE można ustalić, że niektóre z nich nie są istotne dla Twojej organizacji. Może to być spowodowane tym, że używasz niezakłóconej wersji składnika internetowego lub twoja organizacja dysponuje różnymi rozwiązaniami technicznymi, które chronią Cię przed tą określoną luką w zabezpieczeniach.

W widoku przechodzenia do szczegółów dowolnego wykresu związanego z CVE obok przycisku "Pobierz raport CSV" masz teraz możliwość ustawienia obserwacji jako nie dotyczy. Kliknięcie tej wartości powoduje skierowanie do listy spisu wszystkich zasobów skojarzonych z tą obserwacją, a następnie wybranie opcji oznaczania wszystkich obserwacji jako niestosujących się na tej stronie. Rzeczywista zmiana jest wykonywana w widoku listy Spis lub na stronie Szczegóły zasobu dla określonego zasobu.

Jak modyfikować zasoby

Zasoby można modyfikować zarówno ze stron listy spisu, jak i ze stron szczegółów zasobów. Zmiany w pojedynczym zasobie można wprowadzić na stronie szczegółów zasobu. Zmiany w pojedynczym zasobie lub wielu zasobach można wprowadzić na stronie listy spisu. W poniższych sekcjach opisano sposób stosowania zmian z dwóch widoków spisu w zależności od przypadku użycia.

Strona listy spisu

Należy zmodyfikować zasoby na stronie listy spisu, jeśli chcesz zaktualizować wiele zasobów jednocześnie. Listę zasobów można uściślić na podstawie parametrów filtru. Ten proces pomaga zidentyfikować zasoby, które powinny zostać skategoryzowane za pomocą etykiety, identyfikatora zewnętrznego lub żądanej zmiany stanu. Aby zmodyfikować zasoby z tej strony:

1. W lewym okienku zasobu Zarządzanie zewnętrznym obszarem podatnym na ataki w usłudze Microsoft Defender (ZZOPA w usłudze Defender) wybierz pozycję Spis.

2. Zastosuj filtry, aby wygenerować zamierzone wyniki. W tym przykładzie szukamy domen, które wygasają w ciągu 30 dni, które wymagają odnowienia. Zastosowana etykieta pomaga szybciej uzyskać dostęp do wygasających domen, aby uprościć proces korygowania. Aby uzyskać wymagane wyniki, można zastosować dowolną liczbę filtrów. Aby uzyskać więcej informacji na temat filtrów, zobacz Omówienie filtrów spisu. W przypadku wystąpień, w których chcesz oznaczyć cve jako nie dotyczy, odpowiednie przechodzenie do szczegółów wykresu pulpitu nawigacyjnego zawiera link, który bezpośrednio kieruje Cię do tej strony Spis z odpowiednimi zastosowanymi filtrami.

   

3. Po przefiltrowaniu listy spisu zaznacz listę rozwijaną według pola wyboru obok nagłówka tabeli zasobów . Ta lista rozwijana umożliwia wybranie wszystkich wyników zgodnych z zapytaniem lub wyników na tej określonej stronie (maksymalnie 25). Opcja Brak czyści wszystkie zasoby. Możesz również wybrać tylko określone wyniki na stronie, wybierając poszczególne znaczniki wyboru obok każdego zasobu.

   

4. Wybierz pozycję Modyfikuj zasoby.

   

5. W okienku Modyfikuj zasoby otwierane po prawej stronie ekranu możesz szybko zmienić różne pola dla wybranych zasobów. W tym przykładzie utworzysz nową etykietę. Wybierz pozycję Utwórz nową etykietę.

6. Określ nazwę etykiety i wyświetl wartości tekstowe. Nie można zmienić nazwy etykiety po początkowym utworzeniu etykiety, ale tekst wyświetlany można edytować później. Nazwa etykiety jest używana do wykonywania zapytań dotyczących etykiety w interfejsie produktu lub za pośrednictwem interfejsu API, więc zmiany są wyłączone, aby upewnić się, że te zapytania działają prawidłowo. Aby edytować nazwę etykiety, musisz usunąć oryginalną etykietę i utworzyć nową.

   Wybierz kolor nowej etykiety i wybierz pozycję Dodaj. Ta akcja spowoduje powrót do ekranu Modyfikuj zasoby .

   

7. Zastosuj nową etykietę do zasobów. Kliknij wewnątrz pola tekstowego Dodaj etykiety , aby wyświetlić pełną listę dostępnych etykiet. Możesz też wpisać wewnątrz pola, aby wyszukać według słowa kluczowego. Po wybraniu etykiet, które chcesz zastosować, wybierz pozycję Aktualizuj.

   

8. Zaczekaj kilka chwil na zastosowanie etykiet. Po zakończeniu procesu zostanie wyświetlone powiadomienie "Ukończono". Strona automatycznie odświeża i wyświetla listę zasobów z widocznymi etykietami. Baner w górnej części ekranu potwierdza, że etykiety zostały zastosowane.

   

Strona szczegółów zasobu

Można również zmodyfikować pojedynczy zasób na stronie szczegółów zasobu. Ta opcja jest idealna w sytuacjach, gdy zasoby muszą zostać dokładnie przejrzane przed zastosowaniem etykiety lub zmiany stanu.

1. W lewym okienku zasobu ZZOPA w usłudze Defender wybierz pozycję Spis.

2. Wybierz konkretny zasób, który chcesz zmodyfikować, aby otworzyć stronę szczegółów zasobu.

3. Na tej stronie wybierz pozycję Modyfikuj zasób.

   

4. Wykonaj kroki od 5 do 7 w sekcji "Lista spisu".

5. Strona szczegółów zasobu zostanie odświeżona i zostanie wyświetlona nowo zastosowana etykieta lub zmiana stanu. Baner wskazuje, że zasób został pomyślnie zaktualizowany.

Modyfikowanie, usuwanie lub usuwanie etykiet

Użytkownicy mogą usunąć etykietę z zasobu, uzyskując dostęp do tego samego okienka Modyfikuj zasób z listy spisu lub widoku szczegółów zasobu. W widoku listy spisu możesz wybrać wiele zasobów jednocześnie, a następnie dodać lub usunąć odpowiednią etykietę w jednej akcji.

Aby zmodyfikować samą etykietę lub usunąć etykietę z systemu:

1. W lewym okienku zasobu ZZOPA w usłudze Defender wybierz pozycję Etykiety (wersja zapoznawcza).

   

   Na tej stronie są wyświetlane wszystkie etykiety w spisie ZZOPA w usłudze Defender. Etykiety na tej stronie mogą istnieć w systemie, ale nie mogą być aktywnie stosowane do żadnych zasobów. Możesz również dodać nowe etykiety z tej strony.

2. Aby edytować etykietę, wybierz ikonę ołówka w kolumnie Akcje etykiety, którą chcesz edytować. Po prawej stronie ekranu zostanie otwarte okienko, w którym można zmodyfikować nazwę lub kolor etykiety. Wybierz pozycję Aktualizuj.

3. Aby usunąć etykietę, wybierz ikonę kosza z kolumny Akcje etykiety, którą chcesz usunąć. Wybierz pozycję Usuń etykietę.

   

Strona Etykiety jest automatycznie odświeżana. Etykieta zostanie usunięta z listy, a także usunięta ze wszystkich zasobów, dla których zastosowano etykietę. Baner potwierdza usunięcie.

Oznaczanie obserwacji jako niestosowalnych

Obserwacje mogą być oznaczone jako nie dotyczy z tych samych ekranów "Modyfikuj zasoby" dla innych ręcznych zmian, ale można również wprowadzić te aktualizacje na karcie Obserwacje w szczegółach zasobu. Karta Obserwacje zawiera dwie tabele: obserwacje i obserwacje niezauwłaszczane. Wszystkie aktywne obserwacje uznane za "ostatnie" w obszarze ataków znajdują się w tabeli Obserwacje, podczas gdy tabela Obserwacje nie dotyczy zawiera wszelkie obserwacje, które zostały ręcznie oznaczone jako nie dotyczy lub zostały określone przez system, aby nie mieć już zastosowania. Aby oznaczyć obserwacje jako nie dotyczy i w związku z tym wykluczyć tę konkretną obserwację z liczby pulpitów nawigacyjnych, po prostu wybierz żądane obserwacje i kliknij pozycję "Ustaw jako nie dotyczy". Obserwacje te natychmiast znikają z aktywnej tabeli Obserwacje i zamiast tego pojawiają się w tabeli "Nie dotyczy obserwacji". Tę zmianę można przywrócić w dowolnym momencie, wybierając odpowiednie obserwacje z tej tabeli i wybierając pozycję "Ustaw jako odpowiednią".

Menedżer zadań i powiadomienia

Po przesłaniu zadania powiadomienie potwierdza, że aktualizacja jest w toku. Na dowolnej stronie w Azure wybierz ikonę powiadomienia (dzwonek), aby wyświetlić więcej informacji o ostatnich zadaniach.

Aktualizacja kilku zasobów lub minut w systemie ZZOPA w usłudze Defender może potrwać kilka sekund. Za pomocą Menedżera zadań możesz sprawdzić stan wszelkich zadań modyfikacji w toku. W tej sekcji opisano sposób uzyskiwania dostępu do Menedżera zadań i używania go w celu lepszego zrozumienia ukończenia przesłanych aktualizacji.

1. W lewym okienku zasobu ZZOPA w usłudze Defender wybierz pozycję Menedżer zadań.

   

2. Na tej stronie są wyświetlane wszystkie ostatnie zadania i ich stan. Zadania są wymienione jako Ukończone, Zakończone niepowodzeniem lub W toku. Zostanie również wyświetlony procent ukończenia i pasek postępu. Aby wyświetlić więcej szczegółów dotyczących określonego zadania, wybierz nazwę zadania. Po prawej stronie ekranu zostanie otwarte okienko, które zawiera więcej informacji.

3. Wybierz pozycję Odśwież , aby wyświetlić najnowszy stan wszystkich elementów w Menedżerze zadań.

Filtrowanie etykiet

Po oznaczeniu zasobów w spisie możesz użyć filtrów spisu, aby pobrać listę wszystkich zasobów z zastosowaną określoną etykietą.

1. W lewym okienku zasobu ZZOPA w usłudze Defender wybierz pozycję Spis.

2. Wybierz pozycję Dodaj filtr.

3. Wybierz pozycję Etykiety z listy rozwijanej Filtr . Wybierz operator i wybierz etykietę z listy rozwijanej opcji. W poniższym przykładzie pokazano, jak wyszukać pojedynczą etykietę. Operator In umożliwia wyszukiwanie wielu etykiet. Aby uzyskać więcej informacji na temat filtrów, zobacz omówienie filtrów spisu.

   

4. Wybierz pozycję Zastosuj. Strona listy spisu ponownie ładuje i wyświetla wszystkie zasoby zgodne z kryteriami.

Zarządzanie oparte na łańcuchu zasobów

W niektórych przypadkach można usunąć wiele zasobów jednocześnie na podstawie środków, za pomocą których zostały odnalezione. Można na przykład określić, że określone ziarno w grupie odnajdywania pobiera zasoby, które nie są istotne dla Organizacji, lub może być konieczne usunięcie zasobów odnoszących się do jednostki zależnej, która nie jest już objęta twoim zakresem. Z tego powodu ZZOPA w usłudze Defender oferuje możliwość usunięcia jednostki źródłowej i wszelkich zasobów "podrzędnych" w łańcuchu odnajdywania. Połączone zasoby można usunąć za pomocą następujących trzech metod:

• Zarządzanie oparte na nasionach: użytkownicy mogą usunąć materiał inicjujący, który został kiedyś uwzględniony w grupie odnajdywania, usuwając wszystkie zasoby wprowadzone do spisu za pośrednictwem zaobserwowanego połączenia z określonym materiałem inicjałowym. Ta metoda jest przydatna, gdy można określić, że określone ręcznie wprowadzone ziarno spowodowało dodanie niepożądanych zasobów do spisu.
• Zarządzanie łańcuchem odnajdywania: użytkownicy mogą zidentyfikować zasób w łańcuchu odnajdywania i usunąć go, jednocześnie usuwając wszystkie zasoby odnalezione przez tę jednostkę. Odnajdywanie jest procesem cyklicznym; skanuje nasiona, aby zidentyfikować nowe zasoby bezpośrednio związane z tymi wyznaczonymi nasionami, a następnie kontynuuje skanowanie nowo odkrytych jednostek, aby odsłonić więcej połączeń. Ta metoda usuwania jest przydatna, gdy grupa odnajdywania jest prawidłowo skonfigurowana, ale należy usunąć nowo odnaleziony zasób i wszystkie zasoby wprowadzone do spisu według skojarzenia z tą jednostką. Należy wziąć pod uwagę ustawienia grupy odnajdywania i wyznaczone nasiona jako "szczyt" łańcucha odnajdywania; To podejście usuwania umożliwia usunięcie zasobów ze środka.
• Zarządzanie grupami odnajdywania: użytkownicy mogą usuwać całe grupy odnajdywania i wszystkie zasoby wprowadzone do spisu za pośrednictwem tej grupy odnajdywania. Jest to przydatne, gdy cała grupa odnajdywania nie ma już zastosowania do Twojej organizacji. Na przykład możesz mieć grupę odnajdywania, która w szczególności wyszukuje zasoby związane z jednostką zależną. Jeśli ta jednostka zależna nie ma już znaczenia dla Twojej organizacji, możesz użyć zarządzania opartego na łańcuchu zasobów, aby usunąć wszystkie zasoby wprowadzone do spisu za pośrednictwem tej grupy odnajdywania.

Nadal można wyświetlać usunięte zasoby w ZZOPA w usłudze Defender. Wystarczy przefiltrować listę spisu pod kątem zasobów w stanie "Zarchiwizowane".

Usuwanie na podstawie nasion

Możesz zdecydować, że jeden z początkowo wyznaczonych nasion odnajdywania nie powinien być już uwzględniony w grupie odnajdywania. Materiał inicjowany może nie być już istotny dla Twojej organizacji lub może przynosić więcej wyników fałszywie dodatnich niż uzasadnione zasoby będące własnością. W takiej sytuacji możesz usunąć materiał inicjujący z grupy odnajdywania, aby zapobiec jego użyciu w przyszłych przebiegach odnajdywania, jednocześnie usuwając wszystkie zasoby, które zostały wprowadzone do spisu za pośrednictwem wyznaczonego materiału inicjałowego w przeszłości.

Aby przeprowadzić zbiorcze usuwanie na podstawie materiału inicjującego, przekieruj do odpowiedniej strony szczegółów grupy odnajdywania i kliknij pozycję "Edytuj grupę odnajdywania". Postępuj zgodnie z monitami, aby dotrzeć do strony Nasiona i usunąć problematyczne ziarno z listy. Po wybraniu pozycji "Przejrzyj i aktualizuj" zostanie wyświetlone ostrzeżenie wskazujące, że wszystkie zasoby odnalezione za pośrednictwem wyznaczonego materiału inicjałowego również zostaną usunięte. Wybierz pozycję "Aktualizuj" lub "Zaktualizuj & Uruchom", aby zakończyć usuwanie.

Usuwanie oparte na łańcuchu odnajdywania

W poniższym przykładzie załóżmy, że na pulpicie nawigacyjnym podsumowanie obszaru ataków wykryto niezabezpieczony formularz logowania. Badanie kieruje Cię do hosta, który wydaje się być własnością Twojej organizacji. Aby uzyskać więcej informacji, możesz wyświetlić stronę szczegółów zasobu. Po przejrzeniu łańcucha odnajdywania dowiesz się, że host został wprowadzony do spisu, ponieważ odpowiednia domena została zarejestrowana przy użyciu firmowego adresu e-mail pracownika, który był również używany do rejestrowania zatwierdzonych jednostek biznesowych.

W takiej sytuacji początkowy materiał inicjatora odnajdywania (domena firmowa) jest nadal uzasadniony, więc zamiast tego musimy usunąć problematyczny zasób z łańcucha odnajdywania. Chociaż możemy wykonać usunięcie łańcucha z kontaktowej wiadomości e-mail, zamiast tego zdecydujemy się usunąć wszystko skojarzone z domeną osobistą zarejestrowaną dla tego pracownika, aby ZZOPA w usłudze Defender powiadomił nas o innych domenach zarejestrowanych na tym adresie e-mail w przyszłości. W łańcuchu odnajdywania wybierz tę domenę osobistą, aby wyświetlić stronę szczegółów zasobu. W tym widoku wybierz pozycję "Usuń z łańcucha odnajdywania", aby usunąć zasób ze spisu, a także wszystkie zasoby wprowadzone do spisu z powodu zaobserwowanego połączenia z domeną osobistą. Musisz potwierdzić usunięcie zasobu i wszystkich zasobów podrzędnych, a następnie wyświetlić podsumowaną listę innych zasobów, które zostały usunięte za pomocą tej akcji. Wybierz pozycję "Usuń łańcuch odnajdywania", aby potwierdzić usunięcie zbiorcze.

Usuwanie grupy odnajdywania

Może być konieczne usunięcie całej grupy odnajdywania i wszystkich zasobów odnalezionych za pośrednictwem grupy. Na przykład firma mogła sprzedać spółkę zależną, która nie musi być już monitorowana. Użytkownicy mogą usuwać grupy odnajdywania ze strony zarządzania odnajdywaniem. Aby usunąć grupę odnajdywania i wszystkie powiązane zasoby, wybierz ikonę kosza obok odpowiedniej grupy na liście. Zostanie wyświetlone ostrzeżenie zawierające podsumowanie zasobów, które zostaną usunięte wraz z tą akcją. Aby potwierdzić usunięcie grupy odnajdywania; i wszystkie powiązane zasoby, wybierz pozycję "Usuń grupę odnajdywania".

Następne kroki

• Omówienie filtrów spisu
• Omówienie zasobów spisu
• Omówienie szczegółów zasobu