實作威脅防護和 XDR

發行項
04/24/2024

作為零信任採用指引的一部分，本文說明如何保護貴組織免於網路攻擊及其可能造成的成本和信譽損失。本文是防止或減少違反商務案例造成的業務損害的一部分，並著重於如何建立威脅防護和 eXtended 偵測和響應基礎結構，以偵測和挫敗進行中的網路攻擊，並將缺口造成的業務損害降到最低。

針對假設缺口的元素零信任指導原則：

使用分析來取得可見度、推動威脅偵測，以及改善防禦

本文所述。
最小化爆炸半徑和區段存取

實作安全性外洩防護和復原基礎結構一文中所述。
驗證端對端加密

實作安全性外洩防護和復原基礎結構一文中所述。

本文假設您已將安全性狀態現代化。

實作威脅防護和 XDR 的採用週期

本文會逐步解說如何使用與 Azure 雲端採用架構相同的生命週期階段來實作威脅防護和 XDR 元素，以及防止或減少來自外泄商務案例的業務損失—定義策略、計劃、就緒、採用及控管及管理，但適用於零信任。

下表是圖例的可存取版本。

定義策略	計畫	就緒	採用	治理和管理
結果組織對齊戰略目標	項目關係人小組技術計劃技能整備程度	評價測試試驗	以累加方式在您的數字資產中實作	追蹤和測量監視和偵測反覆運算成熟度

在零信任採用架構概觀中深入瞭解零信任採用週期。

如需有關「防止或減少違反商務損害」商務案例的詳細資訊，請參閱：

概觀
實作安全性外洩防護和復原基礎結構的其他元素

定義策略階段

定義策略階段對於定義和正式化我們的工作至關重要，它會正式化此案例的「原因」。在此階段中，您會透過商務、IT、營運和策略觀點來瞭解案例。您可以定義在案例中測量成功的結果，瞭解安全性是累加式和反覆的旅程。

本文建議與許多組織相關的動機和結果。使用這些建議來根據您獨特的需求來磨練組織的策略。

實作威脅防護和 XDR 的動機

實作威脅防護和 XDR 的動機很簡單，但貴組織的不同部分對於執行這項工作有不同的獎勵。下表摘要說明其中一些動機。

區域	動機
商務需求	若要防止對貴組織執行正常商務活動或因贖金而造成影響或中斷，請降低網路保險的成本，並防止監管罰款。
IT 需求	協助安全性作業（SecOps）小組建立和維護整合式防禦工具組，以保護對企業而言重要的資產。整合和報告應該跨資產類別和技術進行，並降低提供可預測的安全性結果所需的工作。
作業需求	透過主動式偵測和即時回應攻擊，讓您的商務程式保持運作。
策略需求	將攻擊損害和成本降至最低，並維護貴組織的信譽與客戶和合作夥伴。

實作威脅防護和 XDR 的結果

將零信任的整體目標套用至「永不信任，永遠驗證」，為您的環境增添了重要的保護層。請務必清楚預期取得的結果，讓您可以為所有相關團隊提供適當的保護平衡。下表提供實作威脅防護和 XDR 的建議目標和結果。

目標	結果
業務成果	威脅防護會導致與業務中斷、贖金付款或法規罰款相關聯的最低成本。
治理	已部署威脅防護和 XDR 工具，而 SecOps 程式會針對不斷變化的網路安全環境、所遇到的威脅，以及事件回應的自動化進行更新。
組織復原能力	在安全性外洩防護與復原和主動式威脅防護之間，您的組織可以快速從攻擊中復原，並防止其類型的未來攻擊。
安全性	威脅防護已整合到整體安全性需求和原則中。

計劃階段

採用計劃會將零信任策略的原則轉換為可採取動作的計劃。您的集體小組可以使用採用計劃來引導其技術工作，並配合貴組織的商務策略。

您定義動機和成果，與您的企業領導者和團隊一起，為您的組織支援「為什麼？」，並成為您策略的北星。接下來是實現目標的技術規劃。

實作威脅防護和 XDR 的技術採用牽涉到：

設定 Microsoft 提供的 XDR 工具套件，以：
- 執行事件回應來偵測和挫敗攻擊。
- 主動搜尋威脅。
- 自動偵測並回應已知的攻擊。
整合 Microsoft Defender 全面偵測回應和 Microsoft Sentinel。
定義事件回應和復原的 SecOps 程式和程式。

實作威脅防護和 XDR 也涉及一些相關活動，包括：

使用 XDR 工具來監視業務關鍵和 Honeypot 資源，您在安全性缺口防護和復原一文中實作，以吸引攻擊者在攻擊您的實際資源之前顯示其存在。
不斷演進您的 SecOps 小組，瞭解最新的攻擊及其方法。

下表摘要說明許多組織可以針對這些部署目標採取四個階段的方法。

階段 1	階段 2	階段 3	階段 4
開啟 XDR 工具： - 適用於端點的 Defender - 適用於 Office 365 的 Defender - Microsoft Entra ID Protection - 適用於身分識別的Defender - 適用於雲端的 Defender 應用程式使用 Microsoft Defender 全面偵測回應調查和回應威脅	開啟適用於雲端的 Defender 定義 SecOps 的內部程式使用 XDR 工具監視業務關鍵和 honeypot 資源	開啟適用於IoT的Defender 設計 Microsoft Sentinel 工作區並內嵌 XDR 訊號主動搜捕威脅	將 SecOps 發展為貴組織中的專業領域利用自動化來減少 SecOps 分析師的負載

如果這個分段方法適用於您的組織，您可以使用：

這個可下載的PowerPoint投影片組，可讓您透過這些階段和目標，呈現及追蹤商務領導者和其他專案關係人進度。以下是此商務案例的投影片。
此 Excel 活頁簿可指派擁有者，並追蹤這些階段、目標和其工作的進度。以下是此商務案例的工作表。

瞭解您的組織

這個適用於技術實作的建議分段方法有助於提供內容，讓您了解組織。

每個商務案例零信任採用生命週期中的基礎步驟包括清查並判斷 SecOps 小組的目前狀態。針對此商務案例，您需要：

清查您目前的 XDR 工具、其整合，以及針對事件回應使用自動化。
檢閱您的事件回應和復原程序和程式。
檢閱您的 honeypot 資源的部署。
判斷安全性分析師的整備狀態，以及他們是否需要額外的技能訓練或開發。

組織規劃和對齊

實作威脅防護和 XDR 的技術工作屬於貴組織負責威脅偵測和回應的安全性小組，主要由瞭解目前威脅環境且可以使用 XDR 工具快速偵測和回應攻擊的前線安全性分析師所負責。

下表摘要說明建置贊助計劃和專案管理階層時建議的角色，以判斷並推動結果。

計劃領導者和技術擁有者	當責
CISO、CIO 或數據安全性主管	執行贊助
資料安全性的計劃負責人	推動結果和跨小組共同作業
安全性架構師	建議事件回應策略和做法、XDR 工具和基礎結構，以及 SecOps 小組演進
SecOps 潛在客戶	在您的組織中實作事件回應程式、XDR 基礎結構設定、事件回應自動化和 SecOps 專業領域
IT 潛在客戶的安全性	建議、實作及管理業務關鍵和 honeypot 資源

此採用內容的PowerPoint檔組包含下列投影片，其中包含專案關係人檢視，您可以為自己的組織自定義。

技術規劃和技能整備

開始技術工作之前，Microsoft 建議您先了解這些功能、共同運作方式，以及處理這項工作的最佳做法。

因為零信任假設有缺口，您必須為缺口做好準備。採用以 NIST、ISO 27001 、CIS 或 MITRE 為基礎的缺口回應架構，以降低缺口或網路攻擊對貴組織的影響。

下表包含數個 Microsoft 訓練資源，可協助您的安全性小組獲得技能。

資源	描述
課程模組：使用 Microsoft Defender 全面偵測回應減輕事件	瞭解 Microsoft Defender 全面偵測回應入口網站如何從 Microsoft Defender 全面偵測回應系列產品提供事件和警示的統一檢視。
學習路徑：使用 Microsoft Defender 全面偵測回應減輕威脅	使用 Microsoft 365 Defender XDR 的內建協調流程和自動化，分析跨網域的威脅資料，並快速補救威脅。
課程模組：使用新式作業做法改善可靠性：事件回應	了解有效事件回應的基礎，以及使其成為可能的 Azure 工具。
課程模組：訓練： Microsoft Sentinel 中的安全性事件管理	瞭解 Microsoft Sentinel 事件和實體，並探索解決事件的方法。

階段 1

階段 1 部署目標包括啟用主要 Microsoft XDR 工具，以及使用 Microsoft Defender 全面偵測回應，以將工具的訊號整合到單一入口網站，以進行事件回應。

開啟 XDR 工具

從 XDR 工具的核心套件開始，保護您的組織免於對裝置、身分識別和雲端式應用程式的攻擊。

資源	描述
適用於端點的 Microsoft Defender	企業端點安全性平臺，可協助企業網路防止、偵測、調查及回應裝置的進階威脅，包括膝上型計算機、手機、平板電腦、計算機、存取點、路由器和防火牆。
適用於 Office 365 的 Defender	與您的 Microsoft 365 或 Office 365 訂閱緊密整合，可防範電子郵件、連結（URLS）、附件和共同作業工具中的威脅。
Microsoft Entra ID Protection	協助組織偵測、調查及補救身分識別型風險。這些身分識別型風險可以進一步饋送至 Entra 條件式存取之類的工具，以做出存取決策，或送回安全性資訊和事件管理（SIEM）工具，以進一步調查和相互關聯。
適用於身分識別的Defender	利用來自內部部署的 Active Directory 和雲端身分識別的訊號，協助您更清楚地識別、偵測及調查針對您組織的進階威脅。
適用於雲端的 Defender 應用程式	提供 SaaS 應用程式的完整保護，協助您監視和保護雲端應用程式數據。

使用 Microsoft Defender 全面偵測回應調查和回應威脅

既然您已啟用主要 XDR 工具，就可以開始使用 Microsoft Defender 全面偵測回應及其入口網站來分析警示和事件，並在可疑的網路攻擊上執行事件回應。

資源	描述
將 Microsoft 365 XDR 整合到安全性作業中	請仔細規劃與 SecOps 小組的整合，以優化 Microsoft Defender 全面偵測回應中工具的日常作業和生命週期管理。
事件回應與 Microsoft Defender 全面偵測回應	如何使用 Microsoft Defender 全面偵測回應來分析警示和事件，並將最佳做法納入您的 SecOps 程式和程式。
使用 Microsoft Defender 全面偵測回應調查事件	如何分析影響您網路的警示、瞭解它們的意義，並整理證據，以便設計有效的補救計劃。
課程模組：使用 Microsoft Defender 全面偵測回應減輕事件	瞭解 Microsoft Defender 全面偵測回應入口網站如何從 Microsoft Defender 全面偵測回應系列產品提供事件和警示的統一檢視。
學習路徑：使用 Microsoft Defender 全面偵測回應減輕威脅	使用 Microsoft 365 Defender XDR 的內建協調流程和自動化，分析跨網域的威脅資料，並快速補救威脅。

階段 2

在這個階段中，您會為 Azure 和內部部署資源啟用其他 XDR 工具、建立或更新 Microsoft 威脅防護和 XDR 服務的 SecOps 程式和程式，以及監視業務關鍵和蜜點資源，以在入侵初期偵測網路攻擊者。

開啟適用於雲端的 Microsoft Defender

適用於雲端的 Microsoft Defender 是雲端原生應用程式保護平臺（CNAPP），其設計目的是保護雲端式應用程式免於各種網路威脅和弱點。針對 Azure、混合式雲端和內部部署工作負載保護和安全性使用適用於雲端的 Microsoft Defender。

資源	描述
適用於雲端的 Microsoft Defender	開始使用檔集。
適用於雲端的 Microsoft Defender的安全性警示和事件	使用適用於雲端的 Microsoft Defender 安全性為您的 Azure、混合式雲端和內部部署工作負載執行事件回應。
模組：使用適用於雲端的 Microsoft Defender 補救安全性警示	瞭解如何尋找威脅，並補救 Azure、混合式雲端和內部部署工作負載的風險。
學習路徑：使用適用於雲端的 Microsoft Defender 減輕威脅	瞭解如何偵測、調查及回應 Azure、混合式雲端和內部部署工作負載上的進階威脅。

定義 SecOps 的內部程式

有了 Microsoft XDR 工具，請確定其使用已整合到您的 SecOps 程式和程式中。

資源	描述
事件回應概觀	主動調查並補救貴組織的主動式攻擊活動。
事件回應規劃	使用本文作為檢查清單，以準備您的 SecOps 小組以響應網路安全事件。
常見的攻擊事件回應劇本	如需惡意使用者每天採用常見攻擊方法的詳細指引，請使用這些文章。
將 Microsoft 365 XDR 整合到安全性作業中	請仔細規劃與 SecOps 小組的整合，以優化 Microsoft Defender 全面偵測回應中的日常作業和生命週期管理工具。
六個桌面練習可協助您準備網路安全小組	請使用因特網安全性中心所提供的這些練習來準備您的 SecOps 小組。

使用 XDR 工具監視業務關鍵和 honeypot 資源

您部署的 Honeypot 資源可作為網路攻擊者的目標，並可用來在他們提前進入實際目標並造成業務損失之前偵測其活動。將威脅偵測和搜捕的一部分放在監視業務關鍵和 Honeypot 資源上。

資源	描述
事件回應與 Microsoft Defender 全面偵測回應	使用 Microsoft Defender 全面偵測回應來找出事件，其中包含影響您業務關鍵和蜜罐資源的警示。
適用於雲端的 Microsoft Defender的安全性警示和事件	使用適用於雲端的 Microsoft Defender 搜尋由進階偵測觸發的警示，以取得業務關鍵和 Honeypot 資源，例如 Azure、混合式雲端和內部部署工作負載。

階段 3

在此階段中，您會啟用適用於IoT的Defender、整合Microsoft Defender 全面偵測回應與 Microsoft Sentinel，然後使用結合的威脅防護和 XDR 基礎結構主動搜捕威脅。

開啟適用於IoT的Defender

物聯網 (IoT) 支援數十億個使用操作技術 (OT) 及 IoT 網路的連線裝置。 IoT/OT 裝置和網路通常會使用特製化通訊協定來建置，而且可能會優先處理安全性方面的操作挑戰。適用於 IoT 的 Microsoft Defender 是專為識別 IoT 和 OT 裝置、弱點和威脅而建置的統一安全性解決方案。

資源	描述
適用於 IoT 的 Microsoft Defender	開始使用檔集。
課程模組：適用於IoT的 Microsoft Defender 簡介	瞭解適用於IoT的Defender元件和功能，以及其如何支援OT和IoT裝置安全性監視。
學習路徑：使用適用於IoT的 Microsoft Defender 增強IoT解決方案安全性	瞭解可在IoT解決方案的每個層級套用的安全性考慮，以及可設定為從頭解決安全性考慮的 Azure 服務和工具。

設計 Microsoft Sentinel 工作區並內嵌 XDR 訊號

Microsoft Sentinel 是雲端原生解決方案，可提供安全性資訊和事件管理（SIEM）和安全性協調流程、自動化和回應（SOAR）功能。 Microsoft Sentinel 和 Microsoft Defender 全面偵測回應一起提供完整的解決方案，以協助貴組織抵禦新式網路攻擊。

資源	描述
為零信任實作 Microsoft Sentinel 和 Microsoft Defender 全面偵測回應	開始使用此解決方案檔，其中也包含零信任原則。
模組：連線 Microsoft Defender 全面偵測回應至 Microsoft Sentinel	了解適用於 Microsoft Defender XDR 的 Microsoft Sentinel 連接器所提供的設定選項及資料。
架構您的 Microsoft Sentinel 工作區	瞭解如何設計和實作 Microsoft Sentinel 工作區。
在 Microsoft Sentinel 中內嵌數據源並設定事件偵測	瞭解如何設定數據連接器以將數據擷取至 Microsoft Sentinel 工作區。
模組：使用數據連接器將數據連線至 Microsoft Sentinel	取得 Microsoft Sentinel 可用數據連接器的概觀。

主動搜捕威脅

現在，您的 XDR 和 SIEM 基礎結構已就緒，您的 SecOps 小組可以主動並主動尋找環境中進行中的威脅，而不是回應已造成損害的攻擊。

資源	描述
在 Microsoft Defender 全面偵測回應中主動搜捕進階搜捕威脅	開始使用檔集，以使用 Microsoft Defender 全面偵測回應進行威脅搜捕。
使用 Microsoft Sentinel 搜捕威脅	開始使用 Microsoft Sentinel 進行威脅搜捕的檔集。
模組：使用 Microsoft Sentinel 進行威脅搜捕	瞭解如何使用 Microsoft Sentinel 查詢主動識別威脅行為。

階段 4

在這個階段中，您會將 SecOps 發展為組織中的專業領域，並使用 Microsoft Defender 全面偵測回應和 Microsoft Sentinel 的功能，將已知或先前攻擊的事件回應自動化。

將 SecOps 發展為貴組織中的專業領域

多個複雜的惡意事件、屬性和內容資訊包括進階的網路安全攻擊。找出並決定哪些活動符合可疑資格，可能是一項具挑戰性的工作。您對業界特定已知屬性和異常活動的知識，是瞭解何時判斷觀察到行為可疑的基礎。

為了發展您的 SecOps 小組和專業領域，超越事件響應和復原的日常工作，專家或資深成員應該瞭解更大的威脅環境，並在整個小組中傳播該知識。

資源	描述
Microsoft Defender 全面偵測回應中的威脅分析	針對與您組織最相關的報告，請使用 Microsoft Defender 全面偵測回應入口網站中的威脅分析儀錶板（需要登入）。
Microsoft Defender 威脅情報（Defender TI）	使用此內建平臺，在進行威脅基礎結構分析和收集威脅情報時，使用這個內建平臺簡化分級、事件回應、威脅搜捕、弱點管理和網路威脅情報分析師工作流程。
Microsoft 安全性部落格	取得 Microsoft Defender 全面偵測回應和 Microsoft Sentinel 的安全性威脅和新功能和更新的最新消息。

利用自動化來減少 SecOps 分析師的負載

使用 Microsoft Defender 全面偵測回應和 Microsoft Sentinel 的功能，將事件回應自動化，以偵測及復原已知和預期的事件，並更妥善地將 SecOps 小組聚焦於非預期的攻擊和新的攻擊方法。

資源	描述
Microsoft Defender 全面偵測回應中的自動化調查和回應	開始使用 Microsoft Defender 全面偵測回應檔集。
設定自動化調查和補救功能	如需裝置的攻擊，請開始使用適用於端點的 Microsoft Defender 檔集。
使用 Microsoft Sentinel 中的劇本將威脅回應自動化	開始使用在 Microsoft Sentinel 中使用劇本的檔集。

雲端採用方案

採用方案是成功採用雲端的重要需求。成功採用計劃以實作威脅防護和 XDR 的主要屬性包括：

策略和規劃一致： 當您在內部部署和雲端基礎結構之間制定測試、試驗和推出威脅防護和攻擊復原功能的計劃時，請務必重新流覽您的策略和目標，以確保您的計劃一致。這包括攻擊偵測和回應和使用自動化目標的優先順序和目標里程碑。
方案是反覆的： 當您開始推出方案時，您將瞭解許多有關 XDR 環境和您使用的工具。在推出的每個階段，重新瀏覽結果與目標比較，並微調計劃。例如，這包括重新流覽先前的工作，以微調程序和原則。
訓練您的 SecOps 員工是精心規劃的： 從您的安全性架構設計人員到您的前線安全性分析師，每個人都經過訓練，能夠成功履行威脅防護、偵測、緩和復原責任。

如需 Azure 雲端採用架構的詳細資訊，請參閱規劃雲端採用。

就緒階段

使用本文所列的資源來排定方案的優先順序。實作威脅防護和 XDR 的工作代表多層式零信任部署策略中的其中一個層級。

本文中建議的分段方法包含跨數字資產以有條不紊的方式串連威脅防護工作。在這個階段，請重新瀏覽計畫的這些元素，以確定所有專案都已準備就緒：

您的 SecOps 小組會收到通知，Microsoft Defender 全面偵測回應和 Microsoft Sentinel 的事件回應程式變更迫在眉睫
您的 SecOps 小組會收到文件和訓練資源的資訊
分析人員已準備好使用威脅搜捕程式和指導方針和自動化技術
您的蜂蜜罐資源已就緒

規劃階段示範了您擁有的內容與想要身分之間的差距。使用此階段來實作及測試 XDR 工具及其用途。例如，SecOps 小組負責人可以：

啟用並使用 XDR 工具進行 Microsoft Defender 全面偵測回應，以針對目前的攻擊執行事件回應
使用數據連接器和工作區設定 Microsoft Defender 全面偵測回應與 Microsoft Sentinel 的整合
定義或精簡 SecOps 小組程式和程式
探索和測試威脅搜捕，以主動識別威脅和自動化，以偵測和復原已知攻擊

採用階段

Microsoft 建議實作威脅防護和 XDR 的串聯反覆方法。這可讓您在調整策略和原則時提高結果的正確性。在開始下一個階段之前，不需要等到一個階段完成。如果您逐一查看每個階段的元素，則結果會更有效率。

採用階段的主要元素應包括：

在 SecOps 小組中，將 Microsoft Defender 全面偵測回應您進行中的日常事件回應工作流程的一部分。
使用 Microsoft Sentinel 的功能搭配 Microsoft Defender 全面偵測回應整合。
實作自動化以解決已知攻擊、釋放您的 SecOps 小組以執行威脅搜捕，並不斷演進小組的專業領域，以前瞻性思維，併為網路攻擊的新趨勢做好準備

控管和管理階段

治理貴組織偵測威脅防護攻擊的能力，而 XDR 基礎結構是反覆程式。透過深思熟慮地建立您的實作計劃，並在整個 SecOps 小組中推出，您就建立了基礎。使用下列工作可協助您開始為此基礎建置初始治理計劃。

目標	工作
追蹤和測量	為擁有者指派重要動作和責任，例如事件回應程式、威脅情報收集和傳播，以及自動化維護。使用每個動作的日期和排程建立可採取動作的計劃。
監視和偵測	使用 Microsoft Defender 全面偵測回應和 Microsoft Sentinel 管理安全性威脅，並針對常見或先前的攻擊使用自動化。
反覆運算成熟度	持續重新評估風險和網路威脅環境，並變更 SecOps 程式、責任、原則和優先順序。

後續步驟

針對此商務案例：

零信任採用架構中的其他文章：

進度追蹤資源

針對任何零信任商務案例，您可以使用下列進度追蹤資源。

進度追蹤資源	這有助於您...	設計用途
採用案例方案階段方格可下載的 Visio 檔案或 PDF	輕鬆瞭解每個商務案例的安全性增強功能，以及規劃階段階段和目標的工作層級。	商務案例項目負責人、商務領導者和其他項目關係人。
零信任採用追蹤器可下載的PowerPoint投影片組	透過計畫階段和目標追蹤進度。	商務案例項目負責人、商務領導者和其他項目關係人。
商務案例目標和工作可下載的 Excel 活頁簿	指派擁有權並追蹤進度，並完成計劃階段的階段、目標和工作。	商務案例專案潛在客戶、IT 潛在客戶和IT實作者。

如需其他資源，請參閱零信任評量和進度追蹤資源。

共用方式為

實作威脅防護和 XDR

實作威脅防護和 XDR 的採用週期