Le combinazioni tossiche sono un gruppo di problemi di sicurezza che, quando si verificano insieme in un determinato pattern, creano un percorso verso una o più risorse di alto valore che un attaccante determinato potrebbe potenzialmente utilizzare per compromettere queste risorse.
Il motore di rischio rileva le combinazioni tossiche durante le simulazioni dei percorsi di attacco che esegue. Per ogni combinazione tossica rilevata dal motore di rischio, viene generato un risultato. Ogni combinazione tossica include un punteggio di esposizione agli attacchi univoco, chiamato punteggio delle combinazioni tossiche, che misura il rischio della combinazione tossica per il set di risorse di valore elevato nel tuo ambiente cloud. Il motore di rischio genera anche una visualizzazione del percorso di attacco che la combinazione tossica crea per le risorse nel tuo set di risorse di alto valore.
I chokepoint sono simili alle combinazioni tossiche, ma si concentrano su risorse o gruppi di risorse comuni in cui convergono più percorsi di attacco. Di conseguenza, la correzione di un chokepoint può correggere più combinazioni tossiche.
Le combinazioni dannose e i chokepoint vengono rilevati per le seguenti piattaforme di provider di servizi cloud:
- Google Cloud. Disponibile per i livelli di servizio Premium ed Enterprise (ritirato).
- Amazon Web Services (AWS) (anteprima). Disponibile per il livello di servizio Enterprise (deprecato).
- Microsoft Azure (anteprima). Disponibile per il livello di servizio Enterprise (deprecato).
Per l'elenco delle risorse supportate, consulta Supporto delle funzionalità del motore di rischio.
Visualizza combinazioni dannose e chokepoint
Le combinazioni dannose e i chokepoint con il rischio più elevato vengono visualizzati come problemi nelle pagine Panoramica dei rischi e Problemi di Security Command Center nella console.
Nel livello di servizio Enterprise (obsoleto), puoi anche visualizzare le combinazioni tossiche nella pagina Casi della console di Security Operations.
Le combinazioni tossiche possono essere visualizzate anche nella pagina Richieste nel livello di servizio Enterprise (deprecato).
Per visualizzare i risultati correlati a combinazioni tossiche e chokepoint nella consoleGoogle Cloud , vai alla pagina Risultati e filtra in base alla classe di risultati Combinazione tossica o Chokepoint.
I risultati relativi a combinazioni tossiche e chokepoint vengono acquisiti nei report sui rischi. Per saperne di più, consulta la panoramica dei report sui rischi.
Punteggi di esposizione agli attacchi su combinazioni dannose e chokepoint
Il motore di rischio calcola un punteggio di esposizione agli attacchi per ogni combinazione dannosa e chokepoint. Questo punteggio misura in che misura una combinazione tossica o un chokepoint espone una o più risorse del tuo set di risorse di alto valore a potenziali attacchi. Più alto è il punteggio, maggiore è il rischio.
Calcolo del punteggio di esposizione agli attacchi
I punteggi di esposizione agli attacchi per le combinazioni tossiche e i chokepoint derivano da quanto segue:
- Il numero di risorse nel set di risorse di alto valore esposte, i valori di priorità e i punteggi di esposizione agli attacchi di queste risorse.
- La probabilità che un utente malintenzionato determinato riesca a raggiungere una risorsa di alto valore sfruttando la combinazione tossica o il chokepoint.
In base al punteggio di esposizione agli attacchi, alle combinazioni tossiche può essere assegnata una delle seguenti gravità:
- Critico: combinazioni tossiche con un punteggio di esposizione agli attacchi ≥ 10.
- Alto: combinazioni tossiche con un punteggio di esposizione agli attacchi < 10.
I punti di strozzatura hanno sempre un punteggio di esposizione agli attacchi ≥ 10 e, di conseguenza, hanno sempre una valutazione di gravità critica.
Per saperne di più, consulta Punteggi di esposizione agli attacchi.
Visualizzazioni dei percorsi di attacco per combinazioni dannose e chokepoint
Il motore di rischio fornisce una rappresentazione visiva della combinazione tossica e dei percorsi di attacco dei chokepoint che portano al tuo set di risorse di alto valore. Un percorso di attacco rappresenta una serie di passaggi di attacco che includono problemi di sicurezza e risorse correlati che un potenziale utente malintenzionato potrebbe utilizzare per raggiungere le tue risorse.
I percorsi di attacco ti aiutano a comprendere le relazioni tra i singoli problemi di sicurezza in una combinazione tossica o un chokepoint e il modo in cui formano percorsi verso le risorse nel tuo set di risorse di alto valore. La visualizzazione del percorso mostra anche quante risorse di valore sono esposte e la loro importanza relativa per il tuo ambiente cloud.
Le risorse in un percorso di attacco sono distinte per colore nel seguente modo:
- Le risorse con problemi di sicurezza che contribuiscono a una combinazione tossica sono evidenziate con un bordo giallo.
- Le risorse identificate come punto di strozzatura sono evidenziate con un bordo rosso.
Esistono diversi punti in cui puoi visualizzare i percorsi di attacco.
Nel livello di servizio Premium, visualizza il percorso di attacco completo nella pagina Percorsi di attacco. Per saperne di più, consulta Percorsi di attacco. Inoltre, puoi visualizzare una versione semplificata del percorso di attacco nelle seguenti posizioni:
- La pagina Panoramica dei rischi, per gli elementi nel widget Problemi più rischiosi.
- La pagina Problemi, quando viene selezionato un problema. Puoi accedere al percorso di attacco semplificato nella scheda Panoramica del problema.
Nel livello di servizio Enterprise (obsoleto), visualizza una versione semplificata del percorso di attacco nelle seguenti posizioni:
- La pagina Rischio > Panoramica, per gli elementi nel widget Problemi più rischiosi.
- La pagina Rischio > Problemi, quando viene selezionato un problema. Puoi accedere al percorso di attacco semplificato nella scheda Panoramica del problema.
- La pagina Rischio > Casi, quando viene selezionato un caso. Puoi accedere al percorso di attacco semplificato nella scheda
Panoramica del caso.
Per visualizzare la versione completa di un percorso di attacco, visualizza la versione semplificata e poi fai clic su Esplora percorsi di attacco completi.
Lo screenshot seguente è un esempio di un percorso di attacco semplificato per una combinazione tossica:
Lo screenshot seguente è un esempio di un percorso di attacco semplificato per un punto di strozzatura:
Risultati correlati
Molti dei singoli rischi che compongono combinazioni tossiche e punti di strozzatura vengono rilevati anche da altri servizi di rilevamento di Security Command Center. Questi altri servizi di rilevamento generano risultati separati per questi rischi, che sono elencati nei problemi e nei casi come risultati correlati. I risultati correlati vengono identificati anche nei percorsi di attacco.
Per le combinazioni tossiche, vengono aperti casi separati per i risultati correlati, vengono eseguiti playbook diversi e altri membri del tuo team potrebbero lavorare alla loro correzione indipendentemente dalla correzione del risultato della combinazione tossica. Controlla lo stato delle richieste per questi risultati correlati e, se necessario, chiedi ai proprietari delle richieste di dare priorità alla correzione per contribuire a risolvere la combinazione tossica.
Richieste
Nel livello di servizio Enterprise (deprecato), Security Command Center apre una richiesta per ogni risultato di combinazione tossica generato. I punti di blocco non generano richieste.
Nella visualizzazione dei dettagli della richiesta, puoi trovare le seguenti informazioni relative alle combinazioni tossiche:
- Una descrizione della combinazione tossica
- Il punteggio di esposizione agli attacchi della combinazione tossica
- Una visualizzazione del percorso di attacco creato dalla combinazione tossica
- Informazioni sulle risorse interessate
- Informazioni sui passaggi che puoi seguire per correggere la combinazione tossica
- Informazioni su eventuali risultati correlati di altri servizi di rilevamento di Security Command Center, inclusi i link ai casi associati
- Playbook applicabili
- Ticket associati
Nella pagina della console di Security Operations Rischio > Casi, puoi eseguire query o filtrare i casi di combinazione tossica utilizzando il tag Combinazione tossica. Puoi anche identificare visivamente le richieste relative alla combinazione tossica nell'elenco delle richieste tramite la seguente icona: 
.
Per ulteriori informazioni sulla visualizzazione dei casi di combinazioni tossiche, consulta Visualizza i casi di combinazioni tossiche.
Priorità della richiesta
Per impostazione predefinita, la priorità delle richieste relative alle combinazioni tossiche è impostata sullo stesso valore della gravità del risultato della combinazione tossica e dell'avviso associato nella richiesta correlata. Ciò significa che tutte le richieste relative alla combinazione tossica hanno inizialmente una priorità di Critical o High.
Dopo l'apertura di una richiesta, puoi modificare la priorità della richiesta o dell'avviso. La modifica della priorità di una richiesta o di un avviso non modifica la gravità del risultato.
Chiusura delle richieste
Quando viene generato per la prima volta un risultato per una combinazione tossica, lo stato è
Active.
Se correggi la combinazione tossica, Risk Engine rileva automaticamente la correzione durante la simulazione del percorso di attacco successivo e chiude la richiesta. Le simulazioni vengono eseguite circa ogni 48 ore.
In alternativa, se stabilisci che il rischio posto da una combinazione tossica è accettabile o inevitabile, puoi chiudere una richiesta disattivando l'audio del risultato.
Quando disattivi un risultato, questo rimane attivo, ma Security Command Center chiude la richiesta e omette il risultato dalle query e dalle visualizzazioni predefinite.
Per ulteriori informazioni, consulta le seguenti risorse:
- Come chiudere le richieste di combinazione tossica
- Panoramica delle richieste
- Disattivazione dei risultati in Security Command Center
Passaggi successivi
Scopri di più sui punteggi di esposizione agli attacchi e sui percorsi di attacco.
Scopri di più su come gestire combinazioni dannose e chokepoint.
Scopri di più sulle funzionalità supportate dal motore di rischio.
Scopri come definire e gestire il set di risorse di alto valore.