Bedreigingen in kaart brengen voor uw IT-omgeving

In dit artikel wordt beschreven hoe u de kern-IT-omgeving van uw organisatie kunt diagramen en een bedreigingsoverzicht kunt maken. Deze diagrammen zijn waardevolle hulpmiddelen voor het plannen en bouwen van een robuuste defensieve beveiligingslaag. Inzicht in uw IT-omgeving en de architectuur is van cruciaal belang voor het identificeren van de beveiligingsservices die nodig zijn om voldoende bescherming te bieden.

Computersystemen bevatten informatie die niet alleen waardevol is voor de organisaties die deze genereren, maar ook voor kwaadwillende actoren. Deze actoren, ongeacht of personen of groepen, maken gebruik van schadelijke activiteiten die gericht zijn op het in gevaar brengen of beschadigen van de computers, apparaten, systemen en netwerken van bedrijven. Hun doel is vaak gevoelige gegevens te stelen of te beschadigen met behulp van bedreigingen zoals malware of beveiligingsaanvallen.

In dit artikel verkennen we een methode voor het toewijzen van bedreigingen aan uw IT-omgeving, zodat u de implementatie van Microsoft-beveiligingsservices kunt plannen als onderdeel van uw beveiligingsstrategie.

Het goede nieuws is dat u geen volledig nieuwe bedreigingskaart hoeft te maken. De MITRE ATT&CK-matrix biedt een uitstekende resource om u te helpen er een te ontwikkelen. MITRE ATT&CK is een wereldwijde kennisbank die echte bedreigingen in kaart brengt op basis van waargenomen tactieken en technieken. De MITRE Corporation documenteert elke bekende bedreiging in detail en biedt waardevolle inzichten in hoe deze bedreigingen werken en hoe u zich kunt beschermen tegen hen. Deze openbaar toegankelijke resource is online beschikbaar op MITRE ATT&CK®.

In dit artikel gebruiken we een subset van deze bedreigingen om te laten zien hoe u bedreigingen aan uw IT-omgeving kunt toewijzen.

Potentiële gebruikscases

Sommige bedreigingen zijn gebruikelijk in alle branches, zoals ransomware, DDoS-aanvallen, scripts op meerdere sites en SQL-injectie. Veel organisaties hebben echter te maken met specifieke bedreigingen die uniek zijn voor hun branche of op basis van eerdere cyberaanvallen die ze hebben aangetroffen. In het diagram in dit artikel kunt u deze bedreigingen voor uw organisatie in kaart brengen door de gebieden te identificeren waarop kwaadwillende actoren zich het meest waarschijnlijk zullen richten. Door een bedreigingskaart te maken, kunt u de benodigde verdedigingslagen plannen voor een veiligere omgeving.

U kunt dit diagram aanpassen om verschillende combinaties van aanvallen te modelleren en beter te begrijpen hoe u deze kunt voorkomen en beperken. Hoewel het MITRE ATT&CK-framework een nuttige referentie is, is dit niet vereist. Microsoft Sentinel en andere Microsoft-beveiligingsservices werken ook samen met MITRE om waardevolle inzichten te bieden in verschillende bedreigingen.

Sommige organisaties gebruiken Cyber Kill Chain®, een methodologie van Lockheed Martin, om toe te wijzen en te begrijpen hoe een aanval of een reeks aanvallen worden uitgevoerd tegen een IT-omgeving. Cyber Kill Chain organiseert bedreigingen en aanvallen door minder tactieken en technieken te overwegen dan het MITRE ATT&CK-framework. Toch is het effectief om bedreigingen te begrijpen en hoe ze kunnen worden uitgevoerd. Zie Cyber Kill Chain voor meer informatie over deze methodologie.

Architectuur

Een Visio-bestand van deze architectuur downloaden.

©2021 De MITRE Corporation. Dit werk wordt gereproduceerd en gedistribueerd met de machtiging van The MITRE Corporation.

Voor de IT-omgeving van organisaties geven we alleen de onderdelen op voor Azure en Microsoft 365. Uw specifieke IT-omgeving kan apparaten, apparaten en technologieën van verschillende technologieproviders bevatten.

Voor de Azure-omgeving toont het diagram de onderdelen die worden vermeld in de volgende tabel.

Het diagram vertegenwoordigt Microsoft 365 via de onderdelen die worden vermeld in de volgende tabel.

Werkproces

Het architectuurdiagram in dit artikel is gebaseerd op een typische IT-omgeving voor een organisatie met on-premises systemen, een Microsoft 365-abonnement en een Azure-abonnement om u te helpen begrijpen welk deel van uw IT-omgeving deze bedreigingen waarschijnlijk zullen aanvallen. De resources in elk van deze lagen zijn services die veel bedrijven gemeen hebben. Ze worden geclassificeerd in het diagram op basis van de pijlers van Microsoft Zero Trust: netwerk, infrastructuur, eindpunt, toepassing, gegevens en identiteit. Zie Proactieve beveiliging met Zero Trust omarmen voor meer informatie over Zero Trust.

Het architectuurdiagram bevat de volgende lagen:

1. Ter plaatse

   Het diagram bevat enkele essentiële services, zoals servers (VM's), netwerkapparaten en Domain Name System (DNS). Het omvat veelgebruikte toepassingen die worden gevonden in de meeste IT-omgevingen en worden uitgevoerd op virtuele machines (VM's) of fysieke servers. Het bevat ook verschillende typen databases, zowel SQL als niet-SQL. Organisaties hebben meestal een bestandsserver die bestanden deelt in het hele bedrijf. Ten slotte verwerkt de Active Directory-domein Service, een wijdverspreid infrastructuuronderdeel, gebruikersreferenties. Het diagram bevat al deze onderdelen in de on-premises omgeving.

2. Office 365-omgeving

   Deze voorbeeldomgeving bevat traditionele Office-toepassingen, zoals Word, Excel, PowerPoint, Outlook en OneNote. Afhankelijk van het type licentie kan het ook andere toepassingen bevatten, zoals OneDrive, Exchange, Sharepoint en Teams. In het diagram worden deze weergegeven door een pictogram voor Microsoft 365-apps (voorheen Office 365) en een pictogram voor Microsoft Entra-id. Gebruikers moeten worden geverifieerd om toegang te krijgen tot Microsoft 365-toepassingen en Microsoft Entra-id fungeert als id-provider. Microsoft 365 verifieert gebruikers met hetzelfde type Microsoft Entra-id dat azure gebruikt. In de meeste organisaties is de Microsoft Entra ID-tenant hetzelfde voor Zowel Azure als Microsoft 365.

3. Azure-omgeving

   Deze laag vertegenwoordigt openbare Azure-cloudservices, waaronder VM's, virtuele netwerken, platforms als services, webtoepassingen, databases, opslag, identiteitsservices en meer. Zie de Documentatie van Azure voor meer informatie over Azure.

4. MITRE ATT&CK-tactieken en -technieken

   Dit diagram toont de top 16 bedreigingen, volgens de tactieken en technieken zoals gepubliceerd door The MITRE Corporation. In rode lijnen ziet u een voorbeeld van een gemengde aanval, wat betekent dat een kwaadwillende actor meerdere aanvallen tegelijk kan coördineren.

Het MITRE ATT&CK-framework gebruiken

U kunt beginnen met een eenvoudige zoekopdracht naar de naam van de bedreiging of van de aanvalscode op de hoofdwebpagina, MITRE ATT&CK®.

U kunt ook bedreigingen bekijken op de pagina's over tactieken en technieken.

• Ondernemingstactieken
• Bedrijfstechnieken

U kunt nog steeds MITRE ATT&CK® Navigator gebruiken, een intuïtief hulpprogramma van MITRE waarmee u tactieken, technieken en details over bedreigingen kunt ontdekken.

Onderdelen

In de voorbeeldarchitectuur in dit artikel worden de volgende Azure-onderdelen gebruikt:

• Microsoft Entra ID is een cloudservice voor identiteits- en toegangsbeheer die veilige toegang tot interne en externe resources mogelijk maakt. In deze architectuur worden gebruikers geverifieerd voor zowel Azure- als Microsoft 365-services. Het fungeert als de centrale id-provider in de hele omgeving.

• Azure Virtual Network is een netwerkservice in Azure waarmee beveiligde communicatie tussen Azure-resources, internet en on-premises netwerken mogelijk is. In deze architectuur biedt het geïsoleerde en schaalbare netwerkinfrastructuur voor het hosten van workloads en het afdwingen van verkeerscontrole.

• Azure Load Balancer is een high-performance layer-4-taakverdelingsservice voor TCP-verkeer (Transmission Control Protocol) en UDP-verkeer (User Datagram Protocol). In deze architectuur zorgt deze voor hoge beschikbaarheid en schaalbaarheid door inkomend en uitgaand verkeer over VM's en services te distribueren.

• Azure Virtual Machines is een IaaS-aanbieding (Infrastructure as a Service) die flexibele rekenresources op aanvraag biedt. In deze architectuur hosten VM's toepassingen en services die deel uitmaken van de IT-omgeving van de organisatie en die onderhevig zijn aan bedreigingstoewijzing.

• Azure Kubernetes Service (AKS) is een beheerde Kubernetes-service voor het implementeren en beheren van toepassingen in containers. In deze architectuur worden toepassingen in containers uitgevoerd en worden beveiliging en governance op bedrijfsniveau ondersteund als onderdeel van het bedreigingsoppervlak.

• Virtual Desktop is een desktop- en app-virtualisatieservice die wordt uitgevoerd in de cloud om bureaubladen te bieden voor externe gebruikers. In deze architectuur biedt het beveiligde toegang voor externe gebruikers en wordt deze opgenomen in de bedreigingskaart als een mogelijke aanvalsvector.

• De functie Web Apps van Azure App Service fungeert als host voor webtoepassingen, REST API's en mobiele back-ends. U kunt ontwikkelen in uw gekozen taal. Toepassingen kunnen eenvoudig worden uitgevoerd en geschaald in op Windows en Linux gebaseerde omgevingen. In deze architectuur host Web Apps HTTP-toepassingen die worden beveiligd via geïntegreerde beveiligingsfuncties, zoals Transport Layer Security (TLS) en privé-eindpunten.

• Azure Storage is een schaalbare en veilige opslagservice voor verschillende gegevensobjecten in de cloud, waaronder object, blob, bestand, schijf, wachtrij en tabelopslag. Azure Storage versleutelt alle gegevens die naar een Opslagaccount zijn geschreven. Het biedt nauwkeurige controle over de toegang tot uw gegevens. In deze architectuur worden toepassings- en systeemgegevens opgeslagen en opgenomen in de bedreigingstoewijzing vanwege de rol in gegevensbescherming en toegangsbeheer.

• SQL Database is een beheerde relationele database-engine waarmee patches, back-ups en bewaking worden geautomatiseerd. In deze architectuur worden gestructureerde gegevens opgeslagen en worden ingebouwde beveiligings- en nalevingsfuncties ondersteund om bedreigingen te beperken.

Bijdragers

Dit artikel wordt onderhouden door Microsoft. De tekst is oorspronkelijk geschreven door de volgende Inzenders.

Hoofdauteur:

• Rudnei Oliveira | Senior Azure Security Engineer

Andere Inzenders:

• Gary Moore | Programmeur/schrijver
• Andrew Nathan | Senior Customer Engineering Manager

Volgende stappen

Dit document verwijst naar sommige services, technologieën en terminologie. Meer informatie hierover vindt u in de volgende bronnen:

• MITRE ATT&CK®
• ATT&CK® Navigator)
• De Cyber Kill Chain®
• Proactieve beveiliging omarmen met Zero Trust
• Gecombineerde bedreiging op Wikipedia
• Hoe cyberaanvallen veranderen volgens het nieuwe Microsoft Digital Defense-rapport van Microsoft Security Blog

Verwante bronnen

Zie de andere artikelen in deze reeks voor meer informatie over deze referentiearchitectuur:

• Deel 2: de eerste verdedigingslaag bouwen met Azure Security-services
• Deel 3: de tweede verdedigingslaag bouwen met Microsoft Defender XDR-beveiligingsservices
• Deel 4: Azure- en Microsoft Defender XDR-beveiligingsservices integreren