Интеграция EASM в ваш стек безопасности: Sentinel, Copilot и не только

By Mirko Peters · 2026-08-13

Automatically translated with AI from the original post. Read the English original

Cover: Microsoft Defender EASM - Simply Explained

Добро пожаловать в очередной глубокий разбор развивающегося мира облачной безопасности и архитектуры Microsoft 365. В нашем подкасте мы постоянно подчёркиваем, что современным операциям безопасности нужен целостный взгляд на ваш цифровой ландшафт. В одном из недавних выпусков мы разобрали основы обнаружения внешних активов. Если вы его ещё не слушали, обязательно посмотрите связанный выпуск Microsoft Defender EASM - Simply Explained, где мы рассказываем, как организации могут принципиально изменить взгляд на свой публичный периметр.

Понимание того, что находится в публичном интернете, — огромный шаг вперёд, но одного инвентаря открытых активов недостаточно. Настоящая польза появляется, когда разведданные External Attack Surface Management (EASM) интегрируются в более широкий стек безопасности. В этом посте мы подробнее разберём эти идеи и покажем, как Microsoft Defender EASM передаёт важный контекст в Microsoft Sentinel, Log Analytics, Azure Data Explorer и Security Copilot, существенно повышая общий уровень защищённости.

Введение в управление внешней поверхностью атаки

Прежде чем перейти к интеграции, коротко обозначим основную проблему. Традиционные подходы к безопасности в первую очередь ориентированы на внутреннюю инфраструктуру. Платформы управления событиями и информацией безопасности, средства обнаружения и реагирования на конечных точках, а также сканеры уязвимостей, как правило, опираются на агенты, установленные на управляемых устройствах, или на сканирование внутренней сети. Однако атакующие начинают свои кампании не из вашей внутренней сети, а из открытого интернета.

Defender EASM закрывает этот разрыв, работая как сборщик разведданных, а не как традиционный инструмент инлайн-защиты вроде межсетевого экрана или антивируса. Он непрерывно картографирует домены, поддомены, SSL-сертификаты, публичные IP-адреса и открытые порты с внешней перспективы. Но обнаружение этих активов — только начало пути. Чтобы добиться значимых изменений в работе, эти внешние данные нужно передавать в инструменты, которыми каждый день пользуются аналитики центра операций безопасности (SOC).

Внешняя перспектива и внутренние инвентари: в чём разница

Когда команды безопасности формируют инвентари активов, они обычно берут данные из систем управления конфигурациями, истории ИT-заявок и порталов облачных подписок. К сожалению, внутренние инвентари известны слепыми зонами, которые создают теневые ИТ, забытые маркетинговые кампании, неконтролируемые тестовые среды и инфраструктура, оставшаяся после поглощений.

Внешняя перспектива отсекает шум внутренних организационных silo. Ей неважно, какой отдел развернул облачную нагрузку или какой подрядчик запустил публичный портал. Если актив доступен из браузера или может быть найден IP-сканером в публичной сети, EASM его обнаружит. Превращая сырые внешние данные в структурированные наблюдения, организации наконец могут сравнить то, что, по их мнению, открыто, с тем, что на самом деле доступно внешнему миру.

Как Microsoft Defender EASM обнаруживает публичные активы

Чтобы понять, как эти данные интегрируются с остальным стеком безопасности, полезно разобраться, как работает механизм обнаружения. Обнаружение начинается с простой отправной точки — например, основного корпоративного домена, номера автономной системы (Autonomous System Number) или известного блока публичных IP-адресов. Оттуда система запускает рекурсивное обнаружение.

Она идёт по цифровым следам: корневой домен указывает на сертификат, сертификат ссылается на альтернативные поддомены, эти поддомены разрешаются в конкретные хосты, а хосты находятся на публичных IP-адресах, связанных с определёнными веб-сервисами. По мере того как Defender EASM строит эти связи, он формирует богатый граф активов. Экспорт такой карты связей в последующие инструменты безопасности даёт аналитикам беспрецедентный контекст во время расследования.

Интеграция данных EASM с Microsoft Sentinel

Microsoft Sentinel — это центральная нервная система современных операций безопасности: он собирает журналы, оповещения и данные об угрозах со всего предприятия. Когда вы интегрируете данные Defender EASM в Sentinel, вы сокращаете разрыв между внешней уязвимостью и внутренней телеметрией.

Представьте, что в Sentinel срабатывает оповещение о подозрительных попытках аутентификации к веб-приложению. Если данные EASM поступают в вашу рабочую область Sentinel, ваши правила аналитики и корреляционные запросы мгновенно определят, является ли атакованное веб-приложение официально утверждённой производственной системой или неуправляемым, забытым тестовым сервером, обнаруженным при сканировании внешней поверхности атаки. Такое немедленное обогащение контекстом помогает аналитикам быстрее сортировать инциденты, отделяя высокоприоритетные угрозы для критичных активов от шума, создаваемого устаревшей теневой ИТ-инфраструктурой.

Использование Log Analytics и Azure Data Explorer для данных EASM

Крупные организации часто управляют огромным внешним периметром, состоящим из тысяч доменов, сертификатов и диапазонов IP-адресов. Анализ такого объёма данных о поверхности атаки требует надёжных платформ для работы с данными. Здесь на помощь приходят Log Analytics и Azure Data Explorer.

Экспортируя данные инвентаризации и наблюдений EASM в рабочие области Log Analytics, команды инженеров по безопасности могут создавать пользовательские книги и панели мониторинга. Вы можете отслеживать такие показатели, как количество SSL-сертификатов, истекающих в ближайшие тридцать дней, число новых неклассифицированных публичных IP-адресов, появившихся на этой неделе, или то, какие бизнес-подразделения накапливают наибольшее количество высокорисковых внешних уязвимостей.

Для организаций, работающих в огромном масштабе и с несколькими глобальными дочерними компаниями, Azure Data Explorer обеспечивает необходимую производительность для выполнения сложных, молниеносных запросов к миллионам исторических данных о поверхности атаки. Архитекторы безопасности могут проводить анализ трендов за месяцы или годы, отслеживая, как внешний периметр меняется вместе с ростом компании, слияниями и поглощениями.

Ускорение расследований с Security Copilot

По мере того как инструменты безопасности становятся всё более сложными, когнитивная нагрузка на аналитиков SOC продолжает расти. Написание сложных запросов на языке Kusto Query Language для сопоставления данных о внешних активах с внутренними источниками логов может замедлить реагирование на активные инциденты. Именно здесь Microsoft Security Copilot меняет рабочий процесс.

Security Copilot выступает в роли интерфейса на естественном языке для всей вашей экосистемы безопасности, включая данные EASM. Аналитик, работающий с активным инцидентом, может задать Copilot вопросы в свободной форме, например: "Покажи все внешние IP-адреса, связанные с нашим основным брендом, на которых открыты порты удалённого управления и есть недавние оповещения о брутфорс-атаках в Sentinel."

Copilot объединяет данные о внешнем периметре из Defender EASM с внутренней телеметрией угроз и за считанные секунды формирует подробную сводку по инциденту. Специалисты по безопасности по-прежнему полностью контролируют процесс: они интерпретируют результаты и выполняют меры по устранению. Copilot же существенно сокращает время, которое уходит на переключение между разрозненными административными порталами.

Совместное использование EASM и Microsoft Security Exposure Management

Помимо традиционных SIEM и аналитических инструментов, Defender EASM играет важную роль в составе Microsoft Security Exposure Management. Если EASM показывает, что видно из публичного интернета, то Security Exposure Management объединяет данные по нескольким направлениям, включая облачную безопасность, состояние идентификации, соответствие требованиям на конечных точках и внешнюю поверхность атаки, в единый показатель безопасности и механизм приоритизации.

Когда вы объединяете EASM с инструментами управления состоянием безопасности, команды безопасности могут расставлять приоритеты в устранении уязвимостей на основе реальных рисков, а не догадок. Например, открытый веб-сервер, обнаруженный EASM, может быть помечен как высокорисковый не только потому, что он доступен публично, но и потому, что Defender for Cloud сообщает о неустранённой критической уязвимости, а Microsoft Entra ID отмечает отсутствие должным образом настроенной многофакторной аутентификации. Такой многоуровневый подход гарантирует, что усилия по устранению направлены туда, где они действительно важнее всего.

Лучшие практики для старта и действий

Интеграция EASM в общую систему безопасности — это постоянная операционная стратегия, а не разовый проект внедрения. Чтобы добиться успеха, следуйте этим практическим рекомендациям:

Начните с доверенных исходных данных: определите начальную область обнаружения, используя основные корпоративные домены, официальные бренды и проверенные номера ASN. Не пытайтесь охватить всё сразу в первый день.
Привлекайте межфункциональные команды: внешние активы касаются маркетинга, облачного инжиниринга, разработки и внешних подрядчиков. Делитесь данными EASM с этими бизнес-подразделениями, чтобы точно назначить владельцев активов.
Автоматизируйте конвейеры экспорта: настройте непрерывный экспорт данных из Defender EASM в Log Analytics и Microsoft Sentinel, чтобы ваши аналитики SOC всегда работали с актуальными картами поверхности атак.
Установите регулярность проверок: организуйте периодические операционные обзоры, чтобы оценивать новые находки, отсеивать ложные срабатывания и активы, не принадлежащие вашей организации, и превращать выявленное в конкретные заявки на устранение.

Заключение

Видимость — основа эффективной защиты. Microsoft Defender EASM меняет подход к безопасности, позволяя организациям видеть свою инфраструктуру глазами внешнего злоумышленника. Однако если хранить эти данные изолированно, их ценность ограничена. Передавая результаты EASM в Microsoft Sentinel, Log Analytics, Azure Data Explorer и Security Copilot и объединяя их в Microsoft Security Exposure Management, вы создаёте согласованный и интеллектуальный стек безопасности.

Чтобы узнать больше об основах обнаружения внешних активов и о том, как сделать первые шаги к картированию публичного периметра, обязательно послушайте наш полный разговор в соответствующем эпизоде: Microsoft Defender EASM - Simply Explained. Возьмите то, что вы узнали сегодня, выберите три публичных домена, связанных с вашей организацией, и начните задавать непростые вопросы о владении, назначении и устранении проблем уже сегодня.