Integracja EASM z Twoim stosem bezpieczeństwa: Sentinel, Copilot i nie tylko

By Mirko Peters · 2026-08-13

Witamy ponownie w kolejnym dogłębnym omówieniu ewoluującego świata bezpieczeństwa chmury i architektury Microsoft 365. W naszej serii podcastów wielokrotnie podkreślamy, że nowoczesne…

Automatically translated with AI from the original post. Read the English original

Witamy ponownie w kolejnym dogłębnym omówieniu ewoluującego świata bezpieczeństwa chmury i architektury Microsoft 365. W naszym cyklu podcastów wielokrotnie podkreślamy, że nowoczesne operacje bezpieczeństwa wymagają całościowego spojrzenia na cyfrowe otoczenie organizacji. W jednym z ostatnich odcinków omówiliśmy podstawy wykrywania zewnętrznych zasobów. Jeśli jeszcze go nie słuchałeś, koniecznie sprawdź powiązany odcinek Microsoft Defender EASM - Simply Explained, w którym pokazujemy, jak organizacje mogą zasadniczo zmienić sposób postrzegania swojego publicznego śladu w sieci.

Zrozumienie tego, co znajduje się w publicznym internecie, to ogromny krok naprzód, ale sama lista eksponowanych zasobów to za mało. Prawdziwa wartość pojawia się wtedy, gdy zintegrujesz informacje z zarządzania zewnętrzną powierzchnią ataku (EASM) z szerszym stosem bezpieczeństwa. W tym wpisie rozwiniemy te koncepcje i pokażemy, jak Microsoft Defender EASM przekazuje istotny kontekst do Microsoft Sentinel, Log Analytics, Azure Data Explorer oraz Security Copilot, aby znacząco podnieść ogólny poziom bezpieczeństwa Twojej organizacji.

Wprowadzenie do zarządzania zewnętrzną powierzchnią ataku

Zanim przejdziemy do integracji, pokrótce przedstawmy główne wyzwanie. Tradycyjne ramy bezpieczeństwa są w dużej mierze skoncentrowane na wnętrzu organizacji. Platformy zarządzania informacjami i zdarzeniami bezpieczeństwa, narzędzia do wykrywania zagrożeń i reagowania na nie na punktach końcowych oraz skanery podatności zazwyczaj opierają się na agentach zainstalowanych na zarządzanych urządzeniach lub skanowaniu sieci wewnętrznej. Atakujący jednak nie rozpoczynają kampanii z Twojej wewnętrznej sieci, lecz z otwartego internetu.

Defender EASM wypełnia tę lukę, działając jako narzędzie do gromadzenia informacji wywiadowczych, a nie tradycyjne narzędzie egzekwujące zasady w ruchu, takie jak zapora sieciowa czy program antywirusowy. W sposób ciągły mapuje domeny, subdomeny, certyfikaty SSL, publiczne adresy IP i otwarte porty z perspektywy z zewnątrz do wewnątrz. Odkrycie tych zasobów to jednak dopiero początek drogi. Aby wprowadzić znaczącą zmianę operacyjną, te zewnętrzne informacje muszą trafiać do narzędzi, z których na co dzień korzystają analitycy Centrum Operacji Bezpieczeństwa (SOC).

Zewnętrzna perspektywa a wewnętrzne inwentarze

Gdy zespoły bezpieczeństwa tworzą inwentarze zasobów, zwykle czerpią dane z baz danych zarządzania konfiguracją, historii zgłoszeń w systemie helpdesk i portali subskrypcji chmurowych. Niestety, takie wewnętrzne inwentarze notorycznie cierpią na martwe punkty wynikające z shadow IT, zapomnianych kampanii marketingowych, niemonitorowanych środowisk testowych i pozostałości infrastruktury po przejęciach firm.

Zewnętrzna perspektywa przebija się przez szum wewnętrznych silosów organizacyjnych. Nie interesuje jej, który dział uruchomił obciążenie w chmurze ani który dostawca wdrożył publiczny portal. Jeśli zasób jest dostępny z przeglądarki lub dla skanera IP w publicznej sieci, EASM go znajdzie. Przekładając te surowe dane zewnętrzne na uporządkowane obserwacje, organizacje mogą wreszcie porównać, co uważają za wystawione na zewnątrz, z tym, co faktycznie jest dostępne dla świata zewnętrznego.

Jak Microsoft Defender EASM wykrywa publiczne zasoby

Aby zrozumieć, jak te dane integrują się z resztą Twojego stosu bezpieczeństwa, warto poznać działanie silnika wykrywania. Wykrywanie zaczyna się od prostego punktu wyjścia, takiego jak główna domena firmowa, numer systemu autonomicznego (ASN) lub znany publiczny blok adresów IP. Od tego momentu system prowadzi rekurencyjne wykrywanie.

System podąża za cyfrowymi śladami: domena główna wskazuje na certyfikat, certyfikat odwołuje się do alternatywnych subdomen, te subdomeny rozwiązują się do konkretnych hostów, a hosty znajdują się pod publicznymi adresami IP powiązanymi z określonymi usługami sieciowymi. Gdy Defender EASM odwzorowuje te zależności, tworzy bogaty graf zasobów. Eksport tej mapy opartej na relacjach do dalszych narzędzi bezpieczeństwa daje analitykom niespotykany dotąd kontekst podczas dochodzenia.

Integracja informacji EASM z Microsoft Sentinel

Microsoft Sentinel jest centralnym układem nerwowym nowoczesnych operacji bezpieczeństwa, gromadzącym dzienniki, alerty i informacje o zagrożeniach z całego przedsiębiorstwa. Gdy zintegrujesz informacje Defender EASM z Sentinel, połączysz zewnętrzną ekspozycję z wewnętrzną telemetrią.

Wyobraź sobie, że w Sentinel uruchamia się alert dotyczący podejrzanych prób uwierzytelnienia wobec aplikacji internetowej. Jeśli dane EASM są pozyskiwane do Twojego obszaru roboczego Sentinel, reguły analityczne i zapytania korelacyjne mogą natychmiast określić, czy atakowana aplikacja webowa jest oficjalnym, zatwierdzonym systemem produkcyjnym, czy zapomnianym, niezarządzanym serwerem testowym wykrytym podczas skanowania zewnętrznej powierzchni ataku. To natychmiastowe wzbogacenie o kontekst pomaga analitykom szybciej triażować incydenty i oddzielać zagrożenia o wysokim priorytecie dotyczące krytycznych zasobów od szumu generowanego przez przestarzałą infrastrukturę shadow IT.

Wykorzystanie Log Analytics i Azure Data Explorer do analizy danych EASM

Duże organizacje często zarządzają rozległą publiczną obecnością, obejmującą tysiące domen, certyfikatów i zakresów adresów IP. Analiza tak dużej ilości danych o zewnętrznej powierzchni ataku wymaga wydajnych platform danych. Właśnie tutaj do gry wchodzą Log Analytics i Azure Data Explorer.

Eksportując dane inwentaryzacyjne i obserwacyjne EASM do obszarów roboczych Log Analytics, zespoły inżynierii bezpieczeństwa mogą tworzyć niestandardowe skoroszyty i pulpity monitorowania. Możesz śledzić metryki, takie jak liczba certyfikatów SSL wygasających w ciągu najbliższych trzydziestu dni, liczba nowych, niesklasyfikowanych publicznych adresów IP, które pojawiły się w tym tygodniu, czy też to, które jednostki biznesowe gromadzą największą liczbę zagrożeń wysokiego ryzyka związanych z ekspozycją zewnętrzną.

W przypadku organizacji działających na dużą skalę w wielu globalnych spółkach zależnych Azure Data Explorer zapewnia moc obliczeniową potrzebną do wykonywania złożonych, błyskawicznych zapytań obejmujących miliony historycznych punktów danych o powierzchni ataku. Architekci bezpieczeństwa mogą przeprowadzać analizy trendów w ciągu miesięcy lub lat, śledząc, jak zewnętrzne położenie ewoluuje wraz z rozwojem firmy, fuzjami i przejęciami.

Przyspieszanie dochodzeń dzięki Security Copilot

Wraz z rozwojem zaawansowanych narzędzi bezpieczeństwa obciążenie poznawcze analityków SOC stale rośnie. Pisanie złożonej składni Kusto Query Language w celu korelowania danych o zewnętrznych zasobach z wewnętrznymi źródłami logów może spowalniać bieżące reagowanie na incydenty. Właśnie tutaj Microsoft Security Copilot zmienia sposób pracy.

Security Copilot działa jako interfejs w języku naturalnym dla całego ekosystemu bezpieczeństwa, w tym dla danych EASM. Analityk obsługujący aktywny incydent może zadać Copilotowi pytania w formie rozmowy, na przykład: "Pokaż mi wszystkie zewnętrzne adresy IP powiązane z naszą główną marką, które mają otwarte porty zdalnego zarządzania oraz ostatnie alerty dotyczące ataków brute-force w Sentinel."

Copilot łączy dane o zewnętrznej ekspozycji z Defender EASM z wewnętrzną telemetrią zagrożeń, generując w kilka sekund kompleksowy raport o incydencie. Choć to specjaliści ds. bezpieczeństwa pozostają w pełnej kontroli, interpretując wyniki i wykonując działania naprawcze, Copilot znacząco ogranicza czas spędzany na przeskakiwaniu między rozproszonymi portalami administracyjnymi.

Łączenie EASM z Microsoft Security Exposure Management

Oprócz tradycyjnych narzędzi SIEM i analitycznych Defender EASM odgrywa kluczową rolę w ramach Microsoft Security Exposure Management. Podczas gdy EASM pokazuje, co jest widoczne w publicznym internecie, Security Exposure Management zestawia informacje z wielu obszarów, w tym z zabezpieczeń chmury, kondycji tożsamości, zgodności punktów końcowych i zewnętrznych powierzchni ataku, w jeden zunifikowany wynik bezpieczeństwa i silnik priorytetyzacji.

Gdy połączysz EASM z wewnętrznymi narzędziami do zarządzania kondycją, zespoły bezpieczeństwa mogą ustalać priorytety działań naprawczych na podstawie rzeczywistego ryzyka, a nie domysłów. Na przykład wystawiony na zewnątrz serwer WWW wykryty przez EASM może zostać oznaczony jako wysokie ryzyko nie tylko dlatego, że jest publicznie dostępny, ale także dlatego, że Defender for Cloud zgłasza w nim niezałatany krytyczny błąd, a Microsoft Entra ID wskazuje brak odpowiednich mechanizmów uwierzytelniania wieloskładnikowego. Ten wielowarstwowy obraz sprawia, że działania naprawcze są ukierunkowane tam, gdzie mają najwięcej znaczenia.

Najlepsze praktyki rozpoczęcia pracy i podejmowania działań

Włączenie EASM do szerszego stosu bezpieczeństwa jest raczej ciągłą strategią operacyjną niż jednorazowym projektem wdrożeniowym. Aby osiągnąć sukces, warto stosować się do poniższych, praktycznych zaleceń:

• Zacznij od zaufanych punktów startowych: Zdefiniuj początkowy zakres wykrywania, używając podstawowych domen firmowych, oficjalnych marek i zweryfikowanych numerów ASN. Nie staraj się objąć wszystkiego już pierwszego dnia.
• Angażuj zespoły międzyfunkcyjne: Zewnętrzne zasoby dotyczą działów marketingu, inżynierii chmury, programistów oraz zewnętrznych dostawców. Dziel się wynikami EASM z tymi jednostkami biznesowymi, aby precyzyjnie przypisać własność zasobów.
• Zautomatyzuj potoki eksportu: Skonfiguruj ciągły eksport danych z Defender EASM do Log Analytics i Microsoft Sentinel, aby analitycy SOC zawsze pracowali na aktualnych mapach powierzchni ataku.
• Ustal cykle przeglądów: Zaplanuj regularne przeglądy operacyjne, aby oceniać nowe obserwacje, usuwać fałszywe alarmy lub zasoby niebędące własnością organizacji oraz przekształcać odkrycia w konkretne zgłoszenia naprawcze.

Podsumowanie

Widoczność to podstawa skutecznej obrony. Microsoft Defender EASM zmienia paradygmat bezpieczeństwa, pozwalając organizacjom oglądać własną infrastrukturę oczami zewnętrznego atakującego. Trzymanie tych informacji w izolacji ogranicza jednak ich wartość. Przekazując wnioski z EASM do Microsoft Sentinel, Log Analytics, Azure Data Explorer i Security Copilot oraz łącząc te ustalenia w Microsoft Security Exposure Management, tworzysz spójny, inteligentny stos bezpieczeństwa.

Aby dowiedzieć się więcej o podstawach odkrywania zasobów zewnętrznych i o tym, jak zrobić pierwsze kroki w mapowaniu publicznego śladu cyfrowego, koniecznie posłuchaj pełnej rozmowy w powiązanym odcinku Microsoft Defender EASM - Simply Explained. Wykorzystaj dziś zdobytą wiedzę, wybierz trzy domeny publiczne powiązane z Twoją organizacją i już dziś zacznij zadawać trudne pytania o własność, cel i sposób naprawy.