O que é o grafo de ataques à identidade? (pré-visualização)

O gráfico de ataque de identidade no Microsoft Sentinel visualiza a forma como as identidades se ligam aos recursos do Azure através de permissões e associações a grupos. Os analistas de segurança podem utilizar o gráfico para identificar caminhos de movimento lateral, que são as rotas potenciais que um atacante pode seguir para mover de uma identidade ou recurso para outra ao explorar permissões existentes, associações a grupos ou relações de confiança, muitas vezes para escalar privilégios ou alcançar recursos confidenciais.

O gráfico de ataques de identidade predefinido representa o seu ambiente como entidades e relações interligadas, facilitando a resposta a perguntas complexas, tais como "Que recursos pode um atacante alcançar se esta conta estiver comprometida?" ou "Que identidades têm caminhos para recursos críticos?"

Os analistas do SOC, os caçadores de ameaças, os engenheiros de segurança da cloud e as equipas de IAM podem utilizar o gráfico para compreender e reduzir o risco de identidade no Azure e no Entra.

Como funciona o gráfico de ataque de identidade

O grafo de ataque de identidade usa dados de ativos do ativo Entra ID do Microsoft Sentinel Lake e de conectores de gráfico de recursos do Azure para criar um modelo abrangente do seu ambiente.

  • Identidades: utilizadores, principais de serviço, identidades geridas e grupos
  • Recursos: subscrições do Azure, grupos de recursos, máquinas virtuais, contas de armazenamento e outros recursos
  • Relações de acesso e permissão: atribuições de funções e associações a grupos que criam caminhos para recursos aos quais podem aceder

Após a configuração, utilize a Linguagem de Consulta Graph (GQL) para descobrir riscos ocultos difíceis de detetar com métodos tradicionais.

Você pode consultar o grafo para:

  • Caminhos de movimento lateral do Surface: localize todas as rotas que um atacante pode tomar a partir de uma identidade comprometida para alcançar recursos críticos
  • Identificar contas com privilégios excessivos: detetar identidades com permissões excessivas ou caminhos indiretos para funções com privilégios
  • Priorizar a remediação: concentre-se nos caminhos mais curtos para os seus recursos mais confidenciais

Pré-requisitos

Para configurar o gráfico de ataque de identidade, certifique-se de que cumpre os seguintes pré-requisitos:

  • Data lake do Microsoft Sentinel ativado no seu ambiente
  • Permissões para ativar ou atualizar os conectores do Microsoft Entra ID Assets e do Azure Resource Graph
  • Administrador Global, Administrador de Segurança para criar o gráfico

Configurar o gráfico de ataque de identidade

Siga estes passos para configurar o gráfico de ataque de identidade:

  1. No portal do Microsoft Defender, navegue para Microsoft Sentinel>Graphs.

  2. Localize o cartão de grafo de ataque de identidade e selecione Configurar grafo.

  3. Siga os passos de configuração e ative ou atualize os conectores necessários.

  4. Selecione Ativar gráfico para criar o gráfico.

  5. Selecione Consulta de gráfico no bloco do gráfico para ver a página de consulta do gráfico.

    Captura de ecrã a mostrar o painel de descrição geral do gráfico de ataques de identidades do Microsoft Sentinel.

Depois de ativar o gráfico, o gráfico começa a ingerir dados e a criar relações. O processamento inicial pode demorar até 48 horas.

Explorar e consultar o grafo de ataques à identidade

Siga estes passos para consultar o gráfico quando o gráfico estiver pronto para ser utilizado:

  1. Utilize o separador Esquema para compreender os tipos de entidades e relações no gráfico.

    Captura de tela mostrando a aba de esquema na página de consulta de grafo.

  2. Selecione qualquer nó para visualizar os metadados detalhados.

  3. Utilize o separador Gráfico para visualizar relações e caminhos de privilégios. Escreva as suas próprias consultas GQL ou utilize as consultas predefinidas para começar.

    Captura de ecrã a mostrar a consulta predefinida no gráfico.

    Observação

    Recomenda-se que comece com as consultas predefinidas, que foram concebidas para apresentar cenários de investigação comuns e de alto valor. Essas consultas ajudam você a obter valor imediato sem escrever GQL do zero.

  4. Selecione Executar consulta GQL para ver os resultados.

    Captura de tela mostrando a aba Gráfico para visualizar a consulta.

Conteúdo relacionado

  • Última atualização em