Informazioni sull'analisi comportamentale

Identificare le minacce all'interno dell'organizzazione e il loro potenziale impatto, sia che si tratti di un'entità compromessa o di un utente malintenzionato, è un processo dispendioso e intensivo del lavoro. Quando si analizzano gli avvisi, si collegano i punti e si è attivamente impegnati nella ricerca, questo si traduce in enormi quantità di tempo e sforzi spesi con rendimenti minimi. Inoltre, la possibilità che minacce sofisticate sfuggano all'individuazione. Le minacce elusive come le minacce zero-day, mirate e persistenti avanzate possono essere le più pericolose per la tua organizzazione, rendendo ancora più critico il loro rilevamento.

La funzionalità di Comportamento delle Entità in Microsoft Sentinel elimina le incombenze noiose dai carichi di lavoro degli analisti e l'incertezza nel loro lavoro. Fornisce intelligence utile e affidabile, per consentire agli analisti di concentrarsi sull'indagine e sulla correzione.

Come Microsoft Sentinel raccoglie log e avvisi da tutte le origini dati connesse, analizza e crea profili comportamentali di base delle entità dell'organizzazione (utenti, host, indirizzi IP, applicazioni e così via). L'analisi si estende sull'orizzonte temporale e del gruppo di pari. Microsoft Sentinel usa varie tecniche e funzionalità di Machine Learning e può quindi identificare le attività anomale e determinare se un asset è compromesso. Non solo, ma può anche determinare la sensibilità relativa di determinati asset, identificare i gruppi peer di asset e valutare il potenziale impatto di qualsiasi asset compromesso (il relativo "raggio di esplosione"). Con queste informazioni, è possibile classificare in ordine di priorità l'indagine e la gestione degli eventi imprevisti in modo efficace.

Panoramica dell'architettura

Analisi basata sulla sicurezza

Microsoft ha adottato il paradigma di Gartner per le soluzioni UEBA, Microsoft Sentinel fornisce un approccio "esterno-interno," basato su tre prospettive di riferimento.

Casi d'uso: Microsoft Sentinel assegna priorità a vettori di attacco e scenari pertinenti in base alla ricerca sulla sicurezza allineata con il framework MITRE ATT&CK di tattiche, tecniche e sottotecniche. La definizione delle priorità identifica varie entità come vittime, responsabili o punti pivot nella catena di uccisioni. Microsoft Sentinel è incentrata in particolare sui log più importanti che ogni origine dati può fornire.

Origini dati: Supportando in primo luogo origini dati Azure, Microsoft Sentinel seleziona in modo ponderato origini dati di terze parti per fornire dati corrispondenti agli scenari di minaccia.

Analytics: Microsoft Sentinel usa algoritmi di Machine Learning (ML) e identifica le attività anomale che presentano prove chiaramente e concise sotto forma di arricchimenti contestuali. Vedere gli esempi seguenti.

Microsoft Sentinel presenta elementi che aiutano gli analisti della sicurezza a comprendere chiaramente le attività anomale nel contesto e rispetto al profilo di base dell'utente. Le azioni eseguite da un utente (o un host o un indirizzo) vengono valutate contestualmente, dove un risultato "true" indica un'anomalia identificata:

• Attraverso posizioni geografiche, dispositivi e ambienti.

• Tra orizzonti di tempo e frequenza (confrontati alla cronologia dell'utente).

• Rispetto al comportamento dei pari.

• Rispetto al comportamento organizzativo.

Punteggio

Ogni attività viene assegnata un "Punteggio di priorità di indagine". Il punteggio determina la probabilità di un utente specifico che esegue un'attività specifica in base all'apprendimento comportamentale dell'utente e dei peer. Le attività identificate come più anomale ricevono i punteggi più alti (su una scala di 0-10).