בנוף המתפתח של איומי סייבר אפשר לראות מידי תקופה את השינויים ואת קצב ההתפתחות של אותם איומים, לעיתים יכול להיות מהיר עם שינויים עם מגמת עליה, ולעיתים הרבה פחות. הנוף המפתחת הוא לא רק הסביבה הקרובה אלינו (אותה סביבת לקוחות שאנו מטפלים בה) אלא הרבה מעבר לכך. הדוח של Verizon נותן נקודת מבט טובה.
מדי שנה, Verizon מפרסמת את דוח Verizon Data Breach Investigations (DBIR), שהוא התקווה הטובה ביותר שלנו לסרוק עדויות מהעולם האמיתי להתקפות והשפעותיהן. מעבר לתקריות ואירועים שטיפלנו ותחקרנו או שמענו עליהם.
לרוב, הדוח של Verizon מביא את הנתונים בצורה יחסית מדויקת, ושנת 2024 איננה יוצאת מן הכלל. באופן כללי, התעשייה מורעבת לנתונים והם זורקים את כל נפשם בניסיון להתיר את הבלגן של דיווחי תקריות ופריצות למשהו אינפורמטיבי שהוא ניתן לצריכה.
שוב, לחוסר ההפתעה המוחלט… שוב יש אזכור לכך שאבטחת סייבר עוסקת בעיקר בפשעים פיננסיים. מניעים פיננסיים נותרו המניע של 93% מכל ההפרות. כן, הריגול עלה ל 5% בשנה שעברה ל 7%, אך מרוכז מאוד בהפרות של מינהל ציבורי (ממשלתי). וכפי שצוין בדוח, ריגול גם מזכיר מקרים בהם אנשי מכירות שמורידים את פרטי הקשר של הלקוחות שלהם כדי להעביר אותם למעסיק החדש שלהם…
המאמר, "Microsoft Security Exposure Management: נוף האבטחה וניהול משטחי תקיפה" מתמקד באפשרויות של Microsoft Security Exposure Management.
בעידן של התרחבות משטחי התקפות מקושרים, ארגונים מתמודדים עם דאגה גוברת לגבי מספר עצום של חשיפות, כולל פרצות בתהליכי פיתוח ואפליקציות, הגדרות שגויות, גישה מועדפת ואיומים מתפתחים המובילים לחשיפת נתונים רגישים. לכן, ניווט והבנת נוף האיומים, והיכן עלולים להיחשף יכול להיות קשה, יקר ומורכב ביותר.
חשוב להגביר את הנראות ברחבי האחוזה הדיגיטלית, כך שתוכל לא רק לזהות איומים פוטנציאליים, אלא גם לנקוט באמצעים יזומים כדי למנוע אותם. סביר מאוד להניח שיש לך עשרות כלים הקשורים לתנוחת אבטחה, שכל אחד מהם מנהל היקף מוגבל של הסביבה.
הנתונים בנוף האבטחה והתובנות בכלים אלה הם לרוב מכוסים, או במקרה הטוב, משולבים באופן רופף, מה שמקשה על הבנה ונימוקים לגבי איומים והשפעתם האפשרית על נכסים קריטיים.
הכלי החדש Exposure Management בא לעשות סדר בניהול משטחי תקיפה, כך שארגונים יכולים לשפר את הנוף באופן יזום ולהפחית את החשיפות, מהר יותר מאשר התוקפים מסוגלים לנצל אותם. יומרני, אבל ככל שנקטין חשיפות כך נוכל להיות פחות שבירים.
מי אתה Exposure Management?
שמירה על איומים פוטנציאליים היא בראש סדר העדיפויות של כל ארגון בנוף הסייבר שמתפתח ללא הרף. הגנות אבטחת סייבר מודרניות ואפקטיביות בנויות על מספר עמודי תווך חיוניים, שבהם ניהול נוף האבטחה משחק תפקיד חשוב.
הפתרון Exposure Management (גם XSPM) מביא בשורות בתחום ניהול איומים בנוף האבטחה. ניתן לדמיין את זה כשילוב של פתרון ניהול הפגיעות וניהול נוף האבטחה (posture management) של הדור הבא, המחדש את ניהול נוף האבטחה באותו האופן שבו XDR מוריד את ניהול האיומים. כאשר XDR (זיהוי, חקירה ותגובה) מספק ניהול איומים מאוחד לוורקולדים, הפתרון של XSPM (זיהוי והגנה) מספק ניהול חשיפה מאוחד עבור אותם וורקלודים.
הכלי החדש של Exposure Management מאפשר:
- בניית תוכנית אפקטיבית לניהול חשיפה עם תהליך ניהול חשיפת איומים מתמשך (CTEM).
- צמצום סיכונים עם ראייה ברורה של כל נכס והערכת זמן אמת של חשיפות פוטנציאליות הן מבפנים החוצה והן מבחוץ פנימה.
- זיהוי וסיווג נכסים קריטיים, תוך הבטחה שהם מוגנים מפני מגוון רחב של איומים.
- גילוי והדמיה של נתיבי חדירה פוטנציאליים, כולל תנועה לרוחב במטרה לזהות ולהפסיק פעילות תקיפה באופן יזום.
- תיקשור סיכוני החשיפה לבעלי עניין עם מדדי KPI ברורים ותובנות ניתנות לפעולה.
- שיפור וניתוח החשיפה וכן תיקון על ידי שילוב עם כלים מובנים וכלים של צד שלישי.
מה ההבדל בין XSPM, לבין Vulnerability Management, לבין Secure Score? בגלל המורכבות של XSPM מאחורי הקלעים, החלטתי ליצור על זה סדרת מאמרים (כמו תמיד). בחלק הראשון של הסדרה, אכסה את האפשרויות, היכולותו ומספר יתרונות של מינוף הפתרון וכיצד לטפל ביוזמות, מדדים, המלצות ואירועים.
מסגרת ניהול חשיפה
תמיד חייבים איזה פריימוורק עם מסגרות כלשהן, לא? אז גם ב XSPM נרצה לעבוד עם מודל ומסגרות, אחרת נמצא את עצמינו משוטטים בים המידע מבלי להבין את הערך והמטרה.
נראות לתוך כל משטח ההתקפה
מופעל על ידי גרף החשיפה הארגוני, Microsoft Security Exposure Management מסייע בחשיפה ויפקח על משטח התקיפה.
באמצעות אינטגרציה עם כלי האבטחה והתשתית של מיקרוסופט וגם כאלה שאינם מיקרוסופט, הגרף יאסוף וינרמל בקפידה נתוני נכסים, ימפה את הנכסים ומערכות היחסים ביניהם, ויספק נראות מקיפה אל פני השטח של התקיפה. גישה הוליסטית זו מאפשרת זיהוי, תעדוף ותיקון של חשיפות קריטיות ברמת דיוק ויעילות מירבית.
מרכיבי המפתח של מסגרת ניהול חשיפות האבטחה של XSPM נועדו לספק גישה מקיפה לנוף אבטחה סביבתית, תוך התייחסות בראייה הוליסטית של נקודות תורפה ואיומים פוטנציאליים. מצרף מספר אינטגרציות זמינות לניהול חשיפות אבטחה:
- Vulnerability Management (VRM)
- Microsoft Defender Vulnerability Management (MDVM)
- Qualys Vulnerability Management (Preview)
- Rapid7 Vulnerability Management (Preview)
- External Attack Surface Management (EASM)
- Microsoft Defender External Attack Surface Management
- Cloud Security (CSPM)
- Microsoft Defender Cloud Security Posture Management (CSPM)
- Endpoint Security (Device Security Posture)
- Microsoft Defender for Endpoint (MDE)
- Identity Security (ISPM)
- Microsoft Defender for Identity (MDI)
- Microsoft Entra ID
- SaaS Security Posture (SSPM)
- Microsoft Defender for Cloud Apps (MDA)
- Email Security
- Microsoft Defender for Office (MDO)
- OT/IOT Security
- Microsoft Defender for IoT
- Asset & Configuration Management
- ServiceNow CMDB
- Secure Score
XSPM מאחד נתונים על פני כל תשתיות וכלי האבטחה. הוא מכיל תריסרים רבים של אינטגרציות עם פתרונות אבטחה צד שלישי (ורבים אחרים צפויים להגיע בקרוב). עם XSPM ניתן לחבר את פתרונות האבטחה, כלי התשתית שלך ופתרונות צד שלישי כדי להביא נראות לתוך ענן ואל מול נכסים מקומיים.
משטי תקיפה – כדי לנווט במשטח התקיפה, Exposure Management מספק גם חקר גרפי אינטראקטיבי אינטואיטיבי וגם את חוויית קוסטו (KQL). מפת ההדמיה של משטח התקיפה מאפשרת לצוותי אבטחה להבין את קשרי הנכסים, לזהות את רדיוס שבו חשיפות יכולות להתפוצץ, ולאתר נקודות חולשה בהמשך ובצורה רציפה לגמישות משופרת בגישה והבנת החשיפה לנכסים.
זיהוי ופתרון נתיבי תקיפה
כיצד ניהול חשיפות מסייעות בזיהוי וסגירת פערים של נתיבי תקיפה? בין היתר אפשר למנות את האפשרויות הבאות:
- יצירת נתיב תקיפה: ניהול חשיפת אבטחה מייצר באופן אוטומטי נתיבי תקיפה על סמך הנתונים שנאספו על פני נכסים, ועל סמך נתונים אלה הוא מדמה תרחישי תקיפה, ומזהה נקודות תורפה וחולשות שתוקף יכול לנצל.
- נראות נתיב התקפה: נראות של נתיב ההתקפה משתמשת בנתוני גרף כדי להעריך את נתיב ההתקפה ובכדי להבין כיצד עלולים להתפתח איומים פוטנציאליים.
- מפת החשיפה הארגונית מרחיבה את האופן שבו ניתן להעריך נתיבי התקפה. יחד עם נתונים אחרים, יוצגו נתיבי התקפה.
- ניהול חשיפת אבטחה מספק דרך לאגד הקשרים בין נכסים שדרכם יש נתיבי תקיפה מרובים, או שבהם נתיבי תקיפה מרובים מצטלבים בדרך לנכס קריטי.
בנוסף, נתוני גרף משולבים בצורה חלקה עם קוסטו ועם טבלאות ייעודיות. זה מאפשר למשתמשים ליצור שאילתות קוסטו ולחפש בין כמויות המידע, מה שמקל על השילוב של נתוני גרפים עם כל שאר הנתונים הזמינים בממשק Advanced Hunting.
דרישות מוקדמות
סביבת העבודה של Microsoft Security Exposure Management מגיעה היישר לפורטל הניהול של Defender XDR. בשלב ראשון תניב תוצאות מתוך משפחת הדפנדרים והכלים המחוברים, כולל צד שלישי. בקיצור, ככל שהפריסה מקיפה יותר, כך הכיסוי רחב יותר. לדוגמה, כדי לקבל נתונים מלאים מתוך Defender for Cloud, צריכים להפעיל את DCSPM.
כמו כן, אתה צריך הרשאה לגשת לנתונים כדי לראות את כל התוכן והקשרים בין הנתונים. לסיכום, אתה זקוק לאחת מההרשאות הבאות:
- Global Admin (read and write permissions)
- Global Reader (read permissions)
- Security Admin (read and write permissions)
- Security Operator (read and limited write permissions)
- Security Reader (read permissions)
פרטים נוספים הרשאות ודלגציות בקישור הבא Microsoft Security Exposure Management Prerequisites and support
סקירה כללית של XSPM
הפורטל של Microsoft Security Posture Management (XSPM) מספק תצוגה מרוכזת של נוף האבטחה הארגוני, תוך הבנת הסיכונים הקריטיים ביותר בתצוגה אחת. הוא משלב רכיבים שונים (מוזכרים קודם לכן) של נתוני אבטחה, ומאפשר ניהול יעיל ותעדוף יעיל של סיכוני אבטחה.
למשל, מציג את מספר הנכסים, יוזמות, מדדים מובילים, מפת משטח תקיפה, אירועי אבטחה אחרונים, סיכום נכסים קריטיים וציוני דרך ונקודות ענין ומפתח לאורך זמן.
תובנות חשיפה
הבנה וחשיפה של נכסי הארגון הם חלק חשוב בהגנות אבטחה מודרניות. על ידי ניצול תובנות חשיפה, מקבלי החלטות, בעלי סיכונים וצוותי אבטחה יכולים להשיג הקשר בעל ערך סביב מצב האבטחה של מלאי הנכסים. לדוגמה, יש סביבות שבהן יש את פתרון Defender XDR, ובכל זאת, התצורה לא הושלמה סופית ואינה מעודכנת. במקרים כאלה XSPM יכול לסייע.
תובנות חשיפה כוללות אירועי אבטחה, המלצות, מדדים ויוזמות. רכיבים אלה מספקים תצוגה מפורטת של נוף האבטחה, ומאפשרים לארגונים להפחית באופן יזום סיכונים פוטנציאליים. תובנות חשיפה מאפשרות:
- חלקות נוף האבטחה ליוזמות עם עדיפויות ומטרות.
- מדידה ומעקב אחר חשיפה של מרכיבי אבטחה מרכזיים בתוך כל יוזמה.
- תעדוף תחומי מיקוד אבטחה על סמך יוזמות ומדדים.
- מעקב אחר שלבי תיקון כדי לשפר את נוף האבטחה ולהפחית סיכונים.
- מעקב אחר שיפורים ביוזמות אבטחה כדי לעקוב אחר הפחתת סיכוני אבטחה.
יוזמות
במהלך השנים האחרונות, הייתי מעורב במקרים רבים ומגוונים של ניטור, ביצוע בדיקות והנחיות של נוף האבטחה ענני, ואפשר לומר שניהול מצב האבטחה יכול להיות מסובך ומורכב, ולכן, כלים כדוגמת XSPM והשייום שלהם יחד עם האפשרויות השונות הבנת נוף האבטחה וכן עבודה עם יוזמות אבטחה יכול לפשט את התהליך.
יוזמות XSPM יכולות לסייע בכך שהם יכולות להעריך את המוכנות והבשלות שלהם באזורי סיכון אבטחה ספציפיים. הרעיון מאחורי היוזמות הוא לפשט את ניהול נוף האבטחה וחשיפות ולסייע לארגונים להעריך את המוכנות והבשלות.
XSMP מספק יוזמות מוגדרות מראש, שכל אחת מהן מכילה מדדי אבטחה אחד או יותר הרלוונטיים ליוזמה זו. יוזמות אלו יכולות להתמקד בוורקלודים ספציפיים, כגון נקודות קצה, זהות ואבטחת ענן, או שהן יכולות להתייחס לאיומים ספציפיים על פני מספר קטגוריות, כגון הגנה מפני תוכנות כופר או הגנה על נכסים קריטיים. בנוסף, יוזמות יכולות גם לעזור לך לעמוד בתקני Compliance ספציפיים.
כאשר אתה מתעמק ביוזמות בודדות, אתה יכול להעריך את כל מדדי האבטחה, ההמלצות וההיסטוריה מדף היוזמה. זוהי דרך מצוינת להתחיל לשפר את עמדת האבטחה בארגון, ועל ידי שימוש ביוזמות, ניתן לעקוב בקלות רבה יותר אחר אובייקטים רבים מאשר באמצעות ניהול נוף האבטחה והקשחות באמצעות Secure Score.
ניקוד
ציון היוזמה מחושב על סמך הערך והמשקל של המדדים הקשורים. זה עולה ככל שהמדדים משתפרים, ומשקפים נראות ואכיפה טובה יותר בתחום היוזמה. מספר נקודות שיכולות להשפיע:
- המדדים השתפרו במידה רבה על ידי יישום ההמלצות הקשורות ליוזמה.
- ההמלצות קבועות – המדדים עולים וציוני היוזמה עולים כדי לשקף מצב אבטחה משופר.
- שינויים במדדים – כולל הוצאה משימוש/הסרה, ערך ומאפיינים מדדים, יכולים להשפיע על ציון היוזמה.
צוותי אבטחה יכולים גם לקבוע ציון יעד לכל יוזמה כפי שניתן לראות בדוגמה של יוזמת BEC.
מדדים (מטריקות)
מדדים מקבצים המלצות לנכסים דומים ומודדים את החשיפה לאבטחה סביב אותם נכסים, ישירה ועקיפה, וכן, ממצבים של חשיפה גבוהה מאוד ועד למצבים שבהם לא זוהתה חשיפה.
לדוגמה:
- % מהמשתמשים ללא אימות רב-גורמי (MFA) מופעל
- % מהמשתמשים ללא מדיניות בקרת גישה מבוססת סיכון משתמש
כל מדד מציג:
- אחוז הנכסים המושפעים, החשיבות היחסית של המדד והמדד משפיע על יוזמה.
- יציג את חשיבותו של המדד והשפעתו על ציון היוזמה כערל מספרי. אחד הוא הנמוך ביותר, ו 10 הוא הגבוה ביותר.
- מדד יכול להיות מותאם אישית כדי שיהיה לו השפעה גדולה או קטנה יותר בהתבסס על סדרי עדיפויות עסקיים ארגוניים.
- עריכת ערך המדד משפיעה על כל היוזמות הקשורות.
- לרוב המדדים יש לפחות המלצה אחת משויכת אך יכולה להיות יותר.
נקודות עניין נוספות:
המלצות – טכנולוגיות אחרות של מיקרוסופט, כגון, Defender for Cloud שעובדות עם DCSPM, Defender XDR Secure Score ופתרונות אחרים צד שלישי שבהם XSPM יכול להטמיע נתונים, הם מקורות להמלצות. תיעוד Secure Score של מיקרוסופט קובע כי נכסים וכן וורקלודים (עומסי עבודה) מוערכים מול מדידות ותקני אבטחה, והמלצות אבטחה מונפקות על סמך הערכות אלו.
אירועי אבטחה – אירועי אבטחה ב Microsoft Security Exposure Management עוקבים אחר אירועי יוזמה וירידה במדדים כדי לקבוע כיצד הם משפיעים על מצב האבטחה הארגוני. מי שמשתמש ב XSPM יכול לעקוב ביעילות אחר נוף האבטחה, מדדים, ניקוד האפשרויות ונתונים נוספים שמדרגים ומשפיעים על אירועים.
תמיכת API – נכון לכתיבת מסמך זה, תמיכת API אינה זמינה כעת אבל תגיע בהמשך.
סיכום
המאמר נגע באפשרויות וסיפק סקירה כללית של פתרון ניהול חשיפות האבטחה של מיקרוסופט. XSPM עושה את הצעדים המוקדמים ונמצאת בשלב התצוגה המקדימה הציבורית. בהחלט יש למה לחכות, ואני מחכה בקוצר רוח לראות איך הפתרון ישתפר. לדוגמה, אינך יכול לבצע הפרדות (אי הכללות), כפי שניתן ב Secure Score ב MDC או Defender XDR. זו תהיה תכונה שימושית מכיוון שהדרך הנוכחית של הוספת כל האובייקטים עשויה לתת רושם שגוי של מצב נוף האבטחה הכללי.
מאמרים נוספים בעברית של Defender XDR
