Schermatura predittiva in Microsoft Defender (anteprima)

La schermatura predittiva (anteprima) è una strategia di difesa proattiva progettata per anticipare e attenuare le minacce come parte di un attacco in corso. La schermatura predittiva amplia lo stack di protezione autonoma di Microsoft Defender, potenziando le funzionalità di interruzione automatica degli attacchi con misure proattive.

Questo articolo offre una panoramica della schermatura predittiva in modo da comprenderne le funzionalità e il modo in cui migliora il comportamento di sicurezza.

Informazioni sul funzionamento della schermatura predittiva o su come gestire la schermatura predittiva in Microsoft Defender.

Perché la schermatura predittiva è importante

In un attacco tipico, i difensori reagiscono dopo il rilevamento di attività dannose, ma gli utenti malintenzionati si muovono rapidamente. Quando viene identificato un dispositivo compromesso, lo spostamento laterale o l'esfiltrazione dei dati potrebbe essere già in corso. La schermatura predittiva sposta gli equilibri intervenendo durante un attacco, prima che l'attaccante arrivi al suo obiettivo successivo.

Quando la schermatura predittiva diventa rilevante:

• Viene rilevato un attacco attivo nell'ambiente, ad esempio un dispositivo o credenziali compromesse.
• Defender identifica altri asset che sono probabilmente destinazioni in base ai dati di esposizione, ai modelli di comportamento degli utenti malintenzionati e alla topologia dell'organizzazione.
• Invece di aspettare che l'attaccante raggiunga tali asset, la schermatura predittiva applica in modo proattivo restrizioni mirate — come il contenimento degli account utente a rischio, l'irrigidimento delle impostazioni dei Criteri di gruppo (GPO) o l'applicazione di Safeboot — per interrompere il percorso di attacco.

Ciò significa che i team di sicurezza ottengono tempi di risposta critici. Invece di correre per isolare manualmente ogni asset potenzialmente interessato, Defender restringe in modo autonomo le opzioni dell'utente malintenzionato mentre gli analisti indagano.

Come si espande la schermatura predittiva in caso di interruzione automatica degli attacchi

Il panorama delle minacce in continua evoluzione crea uno squilibrio: i difensori devono proteggere ogni asset, mentre gli utenti malintenzionati hanno bisogno di un'unica apertura. Le difese tradizionali sono reattive e rispondono dopo l'avvio di attività dannose. Questo approccio costringe i difensori a inseguire gli attaccanti, che spesso agiscono troppo rapidamente o in modo troppo discreto per essere rilevati in tempo reale. Anche se alcuni comportamenti degli utenti malintenzionati devono essere bloccati in modo definitivo, la prevenzione statica interrompe la produttività e aggiunge un sovraccarico operativo.

Per affrontare queste sfide, la schermatura predittiva migliora lo stack di protezione autonoma di Defender, espandendo le interruzioni degli attacchi per includere misure proattive durante un attacco, anticipando i rischi e applicando protezioni mirate solo dove necessario.

Questo approccio proattivo riduce l'inseguimento reattivo, riduce al minimo il carico operativo, mantiene l'usabilità e protegge l'ambiente prima che gli utenti malintenzionati possano avanzare.

Mentre l'interruzione degli attacchi identifica e contiene asset compromessi, la schermatura predittiva anticipa la potenziale progressione degli attacchi e limita in modo proattivo gli asset o i percorsi vulnerabili. Ad esempio, mentre l'interruzione automatica degli attacchi isola un dispositivo compromesso, la schermatura predittiva potrebbe limitare in modo proattivo l'accesso ai dati sensibili per i dispositivi a rischio.

Poiché la schermatura predittiva fa parte dello stesso stack di protezione autonoma, i principi del modello di attendibilità e intelligenza artificiale descritti per l'interruzione degli attacchi si applicano anche alla schermatura predittiva. Per altre informazioni, vedere Come Defender stabilisce la fiducia per l'azione automatica e Come l'interruzione degli attacchi usa l'intelligenza artificiale.

Come funziona la schermatura predittiva

La schermatura predittiva usa l'analisi predittiva e le informazioni dettagliate in tempo reale per identificare dinamicamente i rischi emergenti e applicare protezioni mirate.

La schermatura predittiva integra il contesto di postura, attività e scenario per identificare potenziali percorsi e destinazioni di attacco, rafforzare in modo selettivo gli asset critici o vincolare i percorsi di attacco appena in tempo.

Questo approccio riduce al minimo il sovraccarico operativo e offre ai team di sicurezza più tempo per rispondere. Ad esempio, la schermatura predittiva può limitare dinamicamente l'accesso ai dati sensibili per i dispositivi identificati come a rischio, riducendo la necessità di restrizioni generali a livello di ambiente.

La schermatura predittiva si basa su due pilastri:

• Previsione
  • Implica l'analisi dell'intelligence sulle minacce, del comportamento degli utenti malintenzionati, degli eventi imprevisti passati e dell'esposizione dell'organizzazione.
  • Defender usa questi dati di stima per identificare i rischi emergenti, comprendere la probabile progressione degli attacchi e dedurre il rischio sugli asset non compromessi.
• Applicazione applica controlli di protezione preventiva per interrompere in tempo reale i potenziali percorsi di attacco.

Questo doppio approccio garantisce che la protezione sia precisa e tempestiva.

Logica di stima

La stima consente alle organizzazioni di identificare gli asset a rischio e applicare protezioni personalizzate in tempo reale. La stima è incentrata sui rischi emergenti anziché sulla prevenzione statica, che riduce al minimo l'attrito operativo e garantisce che le misure di sicurezza vengano applicate esattamente dove necessario. Ad esempio, se viene rilevato uno specifico strumento di attacco, la protezione predittiva può dedurre quale sarà probabilmente l'obiettivo successivo sulla base dei modelli di attacco precedenti.

Defender usa più livelli di informazioni dettagliate per effettuare stime accurate:

• Intelligence sulle minacce allinea l'attività osservata con strumenti e tattiche di attacco noti.
• Le conoscenze degli eventi imprevisti passati vengono usate per riconoscere i modelli statistici ed estrapolare i passaggi successivi più probabili.
• I dati di esposizione dell'organizzazione vengono usati per eseguire il mapping del modo in cui l'ambiente è strutturato, ovvero quali asset e identità sono connessi, quali autorizzazioni hanno queste identità, quali vulnerabilità o configurazioni errate esistono e come il rischio può propagarsi tra di essi.

Insieme, queste informazioni dettagliate creano una comprensione dinamica dell'ambiente e dei relativi rischi.

Logica basata su grafo

La logica di previsione basata su grafico colma il divario tra i sistemi di pre-violazione e post-violazione, fornendo una visione unificata delle attività degli utenti malintenzionati nella topologia aziendale. Questa visualizzazione unificata include gli asset, le connessioni e le vulnerabilità dell'organizzazione. La logica basata su grafico combina i dati delle attività dinamiche con la mappa strutturale dell'ambiente.

Questa integrazione consente a Defender di regolare dinamicamente le protezioni in base alle vulnerabilità più critiche, abilitando la definizione delle priorità in tempo reale delle difese e bloccando gli utenti malintenzionati prima che raggiungano gli asset critici.

Il processo prevede tre fasi principali:

1. Defender sovrappone l'attività post-violazione al grafico di esposizione dell'organizzazione, creando una visualizzazione completa dei potenziali percorsi di attacco.
2. Defender identifica il raggio di esplosione, ovvero gli asset correlati che potrebbero interessare l'attività identificata.
3. I modelli di ragionamento stimano i percorsi che gli utenti malintenzionati sono più propensi a prendere, considerando i comportamenti passati, le caratteristiche degli asset e le vulnerabilità ambientali.

Questa comprensione dinamica consente a Defender di superare un approccio puramente reattivo, permettendo una protezione just-in-time che blocca gli attaccanti prima che raggiungano gli asset critici.

Azioni di schermatura predittiva

La protezione predittiva usa azioni basate su Defender for Endpoint. Per usare queste azioni, è necessaria una licenza di Defender per endpoint. Per un elenco delle azioni, vedere Azioni di risposta automatizzate.

Passaggi successivi

• Gestire la schermatura predittiva in Microsoft Defender: informazioni su come gestire le azioni di schermatura predittiva e analizzarne l'impatto nell'ambiente.
• Interruzione automatica degli attacchi in Microsoft Defender: informazioni sul funzionamento dell'interruzione automatica degli attacchi per identificare e neutralizzare le attività dannose confermate.
• Funzionalità di Microsoft Defender per endpoint - Scopri come la schermatura predittiva si inserisce nello stack completo di protezione di Defender for Endpoint.