Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
O gráfico de ataque de identidade no Microsoft Sentinel visualiza a forma como as identidades se ligam aos recursos do Azure através de permissões e associações a grupos. Os analistas de segurança podem utilizar o gráfico para identificar caminhos de movimento lateral, que são as rotas potenciais que um atacante pode seguir para mover de uma identidade ou recurso para outra ao explorar permissões existentes, associações a grupos ou relações de confiança, muitas vezes para escalar privilégios ou alcançar recursos confidenciais.
O gráfico de ataques de identidade predefinido representa o seu ambiente como entidades e relações interligadas, facilitando a resposta a perguntas complexas, tais como "Que recursos pode um atacante alcançar se esta conta estiver comprometida?" ou "Que identidades têm caminhos para recursos críticos?"
Os analistas do SOC, os caçadores de ameaças, os engenheiros de segurança da cloud e as equipas de IAM podem utilizar o gráfico para compreender e reduzir o risco de identidade no Azure e no Entra.
Como funciona o gráfico de ataque de identidade
O gráfico de ataque de identidade utiliza dados de recursos do recurso Entra ID do lago Do Microsoft Sentinel e conectores de gráficos de recursos do Azure para criar um modelo abrangente do seu ambiente:
- Identidades: utilizadores, principais de serviço, identidades geridas e grupos
- Recursos: subscrições do Azure, grupos de recursos, máquinas virtuais, contas de armazenamento e outros recursos
- Relações de acesso e permissão: atribuições de funções e associações a grupos que criam caminhos para recursos aos quais podem aceder
Após a configuração, utilize a Linguagem de Consulta Graph (GQL) para descobrir riscos ocultos difíceis de detetar com métodos tradicionais.
Pode consultar o grafo para:
- Caminhos de movimento lateral do Surface: localize todas as rotas que um atacante pode tomar a partir de uma identidade comprometida para alcançar recursos críticos
- Identificar contas com privilégios excessivos: detetar identidades com permissões excessivas ou caminhos indiretos para funções com privilégios
- Priorizar a remediação: concentre-se nos caminhos mais curtos para os seus recursos mais confidenciais
Pré-requisitos
Para configurar o gráfico de ataque de identidade, certifique-se de que cumpre os seguintes pré-requisitos:
- Data lake do Microsoft Sentinel ativado no seu ambiente
- Permissões para ativar ou atualizar os conectores do Microsoft Entra ID Assets e do Azure Resource Graph
- Administrador Global, Administrador de Segurança para criar o gráfico
Configurar o grafo de ataques à identidade
Siga estes passos para configurar o gráfico de ataque de identidade:
No portal do Microsoft Defender, navegue para Microsoft Sentinel>Graphs.
Encontre o cartão do gráfico de ataques de identidade e selecione Configurar o gráfico.
Siga os passos de configuração e ative ou atualize os conectores necessários.
Selecione Ativar gráfico para criar o gráfico.
Selecione Gráfico de consulta no mosaico do gráfico para ver a página de consulta de grafos.
Depois de ativar o gráfico, o gráfico começa a ingerir dados e a criar relações. O processamento inicial pode demorar até 48 horas.
Explorar e consultar o grafo de ataque à identidade
Siga estes passos para consultar o gráfico quando o gráfico estiver pronto para ser utilizado:
Utilize o separador Esquema para compreender os tipos de entidades e relações no gráfico.
Selecione qualquer nó para ver os metadados detalhados.
Utilize o separador Gráfico para visualizar relações e caminhos de privilégios. Escreva as suas próprias consultas GQL ou utilize as consultas predefinidas para começar.
Nota
Recomenda-se que comece com as consultas predefinidas, que foram concebidas para apresentar cenários de investigação comuns e de alto valor. Estas consultas ajudam-no a obter valor imediato sem escrever GQL do zero.
Selecione Executar consulta GQL para ver os resultados.
