Überwachen Microsoft Sentinel Abfragen und Aktivitäten

In diesem Artikel wird beschrieben, wie Sie Überwachungsdaten für Ausgeführte Abfragen und Aktivitäten in Ihrem Microsoft Sentinel Arbeitsbereich anzeigen können, z. B. für interne und externe Complianceanforderungen in Ihrem SoC-Arbeitsbereich (Security Operations).

Microsoft Sentinel bietet Zugriff auf:

• Die Tabelle AzureActivity enthält Details zu allen Aktionen, die in Microsoft Sentinel ausgeführt werden, z. B. das Bearbeiten von Warnungsregeln. Die AzureActivity-Tabelle protokolliert keine spezifischen Abfragedaten. Weitere Informationen finden Sie unter Überwachung mit Azure Aktivitätsprotokollen.

• Die Tabelle LAQueryLogs, die Details zu den in Log Analytics ausgeführten Abfragen enthält, einschließlich Abfragen, die über Microsoft Sentinel ausgeführt werden. Weitere Informationen finden Sie unter Überwachung mit LAQueryLogs.

Voraussetzungen

• Bevor Sie die Beispielabfragen in diesem Artikel erfolgreich ausführen können, müssen Sie über relevante Daten in Ihrem Microsoft Sentinel Arbeitsbereich verfügen, um abfragen und auf Microsoft Sentinel zugreifen zu können.

  Weitere Informationen finden Sie unter Konfigurieren von Microsoft Sentinel Inhaltenund Rollen und Berechtigungen in Microsoft Sentinel.

Überwachung mit Azure Aktivitätsprotokollen

die Überwachungsprotokolle von Microsoft Sentinel werden in den Azure Aktivitätsprotokollen verwaltet, wobei die AzureActivity-Tabelle alle Aktionen enthält, die in Ihrem Microsoft Sentinel Arbeitsbereich ausgeführt werden.

Verwenden Sie die AzureActivity-Tabelle, wenn Sie Aktivitäten in Ihrer SOC-Umgebung mit Microsoft Sentinel überwachen.

So fragen Sie die AzureActivity-Tabelle ab:

1. Installieren Sie die Azure-Aktivitätslösung für Sentinel Lösung, und verbinden Sie den Azure Activity-Datenconnector, um das Streamen von Überwachungsereignissen in eine neue Tabelle namens AzureActivityzu starten.

2. Fragen Sie die Daten wie jede andere Tabelle mit Kusto-Abfragesprache (KQL) ab:

   • Fragen Sie im Azure-Portal diese Tabelle auf der Seite Protokolle ab.
   • Fragen Sie diese Tabelle im Defender-Portal auf der Seite Untersuchung & Reaktion > Hunting >Erweiterte Suche ab.

   Die AzureActivity-Tabelle enthält Daten aus vielen Diensten, einschließlich Microsoft Sentinel. Verwenden Sie die folgende Abfrage, um die AzureActivity-Tabelle so zu filtern, dass nur Microsoft Sentinel-Operationen angezeigt werden:

    AzureActivity
   | where OperationNameValue startswith "MICROSOFT.SECURITYINSIGHTS"
   

   Um beispielsweise herauszufinden, wer der letzte Benutzer war, der eine bestimmte Analyseregel bearbeitet hat, verwenden Sie die folgende Abfrage (ersetzen xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx Sie durch die Regel-ID der Regel, die Sie überprüfen möchten):

   AzureActivity
   | where OperationNameValue startswith "MICROSOFT.SECURITYINSIGHTS/ALERTRULES/WRITE"
   | where Properties contains "alertRules/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   | project Caller , TimeGenerated , Properties
   

Fügen Sie Ihrer Abfrage weitere Parameter hinzu, um die AzureActivities-Tabelle weiter zu untersuchen, je nachdem, was Sie melden müssen. Die folgenden Abschnitte enthalten weitere Beispielabfragen, die bei der Überwachung mit AzureActivity-Tabellendaten verwendet werden können.

Weitere Informationen finden Sie unter In Azure-Aktivitätsprotokollen enthaltene Microsoft Sentinel-Daten.

Suchen aller Aktionen, die von einem bestimmten Benutzer in den letzten 24 Stunden ausgeführt wurden

Die folgende AzureActivity-Tabellenabfrage listet alle Aktionen auf, die von einem bestimmten Microsoft Entra Benutzer in den letzten 24 Stunden ausgeführt wurden.

AzureActivity
| where OperationNameValue contains "SecurityInsights"
| where Caller == "[AzureAD username]"
| where TimeGenerated > ago(1d)

Suchen aller Löschvorgänge

Um gelöschte Microsoft Sentinel-Ressourcen zu identifizieren, führen Sie die folgende Abfrage aus, um die Azure-Aktivitätsprotokolle auf erfolgreiche Löschoperationen in Ihrem Arbeitsbereich zu filtern.

AzureActivity
| where OperationNameValue contains "SecurityInsights"
| where OperationName contains "Delete"
| where ActivityStatusValue contains "Succeeded"
| project TimeGenerated, Caller, OperationName

In Azure-Aktivitätsprotokollen enthaltene Microsoft Sentinel-Daten

die Überwachungsprotokolle von Microsoft Sentinel werden in den Azure Aktivitätsprotokollen verwaltet und enthalten die folgenden Arten von Informationen:

Sie können auch die Azure Aktivitätsprotokolle verwenden, um nach Benutzerautorisierungen und Lizenzen zu suchen. In der folgenden Tabelle sind beispielsweise ausgewählte Vorgänge in Azure Aktivitätsprotokollen mit der spezifischen Ressource aufgeführt, aus der die Protokolldaten abgerufen werden.

Weitere Informationen finden Sie unter Azure Aktivitätsprotokollereignisschema.

Überprüfung mit LAQueryLogs

Die Tabelle LAQueryLogs enthält Details zu Protokollabfragen, die in Log Analytics ausgeführt werden. Da Log Analytics als zugrunde liegender Datenspeicher Microsoft Sentinel verwendet wird, können Sie Ihr System so konfigurieren, dass LAQueryLogs-Daten in Ihrem Microsoft Sentinel Arbeitsbereich gesammelt werden.

LAQueryLogs-Daten enthalten Informationen wie:

• Zeitpunkt der Ausführung von Abfragen
• Wer hat Abfragen in Log Analytics ausgeführt?
• Welches Tool wurde zum Ausführen von Abfragen in Log Analytics verwendet, z. B. Microsoft Sentinel
• Die Abfragetexte selbst
• Leistungsdaten bei jeder Abfrageausführung

So fragen Sie die LAQueryLogs-Tabelle ab:

1. Die Tabelle LAQueryLogs ist in Ihrem Log Analytics-Arbeitsbereich standardmäßig deaktiviert. Um LAQueryLogs-Daten bei der Überwachung in Microsoft Sentinel zu verwenden, aktivieren Sie zunächst die LAQueryLogs im Bereich Diagnoseeinstellungen Ihres Log Analytics-Arbeitsbereichs.

   Weitere Informationen finden Sie unter Überwachungsabfragen in Azure Monitor-Protokollen.

2. Fragen Sie dann die Daten wie jede andere Tabelle mithilfe von KQL ab.

   Die folgende Abfrage zeigt beispielsweise, wie viele Abfragen pro Tag in der letzten Woche ausgeführt wurden:

   LAQueryLogs
   | where TimeGenerated > ago(7d)
   | summarize events_count=count() by bin(TimeGenerated, 1d)
   

In den folgenden Abschnitten werden weitere Beispielabfragen für die LaQueryLogs-Tabelle beim Überwachen von Aktivitäten in Ihrer SOC-Umgebung mit Microsoft Sentinel gezeigt.

Die Anzahl der ausgeführten Abfragen, bei denen die Antwort nicht "OK" lautete

Verwenden Sie die folgende Abfrage, um Log Analytics-Anfragen zu zählen, die einen Nicht-Erfolgs-Antwortcode zurückgegeben haben. Diese Zählung umfasst Abfragen, die nicht ausgeführt wurden oder etwas anderes als eine HTTP-200-OK-Antwort zurückgaben.

LAQueryLogs
| where ResponseCode != 200 
| count 

Benutzer für CPU-intensive Abfragen anzeigen

Um die Benutzer oder Clients zu finden, die die ressourcenintensivsten Abfragen ausführen, verwenden Sie die folgende Abfrage, um die höchste CPU-Zeitanfrage pro Microsoft Entra-Client-ID anzuzeigen, sortiert nach CPU-Zeitaufwand.

LAQueryLogs
|summarize arg_max(StatsCPUTimeMs, *) by AADClientId
| extend User = AADEmail, QueryRunTime = StatsCPUTimeMs
| project User, QueryRunTime, QueryText
| sort by QueryRunTime desc

Anzeigen von Benutzern, die in der letzten Woche die meisten Abfragen ausgeführt haben

Verwenden Sie die folgende Abfrage, um zusammenzufassen, wie viele Abfragen jeder Nutzer in den letzten sieben Tagen durchgeführt hat, was hilft, die aktivsten Benutzer in Ihrem Arbeitsbereich für Audits oder Nutzungsanalysen zu identifizieren.

LAQueryLogs
| where TimeGenerated > ago(7d)
| summarize events_count=count() by AADEmail
| extend UserPrincipalName = AADEmail, Queries = events_count
| join kind= leftouter (
    SigninLogs)
    on UserPrincipalName
| project UserDisplayName, UserPrincipalName, Queries
| summarize arg_max(Queries, *) by UserPrincipalName
| sort by Queries desc

Konfigurieren von Warnungen für Microsoft Sentinel Aktivitäten

Möglicherweise möchten Sie Microsoft Sentinel Überwachungsressourcen verwenden, um proaktive Warnungen zu erstellen.

Wenn Sie zum Beispiel sensible Tabellen in Ihrem Microsoft Sentinel-Arbeitsbereich haben, können Sie erkennen, wann auf diese Tabellen zugegriffen wird. Die folgende Abfrage prüft den Zugriff auf eine bestimmte sensible Tabelle, indem sie Abfragen auflistet, die sie in den letzten 24 Stunden referenziert haben. Ersetzen Sie [Name of sensitive table] sie durch den Namen der Tabelle, die Sie überwachen möchten:

LAQueryLogs
| where QueryText contains "[Name of sensitive table]"
| where TimeGenerated > ago(1d)
| extend User = AADEmail, Query = QueryText
| project User, Query

Überwachen Microsoft Sentinel mit Arbeitsmappen, Regeln und Playbooks

Verwenden Sie Microsoft Sentinel eigenen Features, um Ereignisse und Aktionen zu überwachen, die in Microsoft Sentinel auftreten.

• Überwachen mit Arbeitsmappen. Mehrere integrierte Microsoft Sentinel Arbeitsmappen können Sie bei der Überwachung von Arbeitsbereichsaktivitäten unterstützen, einschließlich Informationen zu den Benutzern, die in Ihrem Arbeitsbereich arbeiten, den verwendeten Analyseregeln, den am meisten abgedeckten MITRE-Taktiken, der verzögerten oder beendeten Erfassungen und der Leistung des SOC-Teams.

  Weitere Informationen finden Sie unter Visualisieren und Überwachen von Daten mithilfe von Arbeitsmappen in Microsoft Sentinel und häufig verwendeten Microsoft Sentinel Arbeitsmappen.

• Achten auf Erfassungsverzögerungen. Wenn Sie Bedenken bezüglich der Erfassungsverzögerung haben, legen Sie eine Variable in einer Analyseregel fest, die die Verzögerung darstellt.

  Mit der folgenden Analyseregel kann beispielsweise sichergestellt werden, dass die Ergebnisse keine Duplikate enthalten und protokolle beim Ausführen der Regeln nicht übersehen werden:

  let ingestion_delay= 2min;let rule_look_back = 5min;CommonSecurityLog| where TimeGenerated >= ago(ingestion_delay + rule_look_back)| where ingestion_time() > (rule_look_back)
  - Calculating ingestion delay
    CommonSecurityLog| extend delay = ingestion_time() - TimeGenerated| summarize percentiles(delay,95,99) by DeviceVendor, DeviceProduct
  

  Weitere Informationen finden Sie unter Automatisieren der Incidentbehandlung in Microsoft Sentinel mit Automatisierungsregeln.

• Überwachen der Integrität von Datenconnectors mithilfe des Playbooks Connector Health Push Notification Solution, um auf blockierte oder beendete Erfassungen zu achten und Benachrichtigungen zu senden, wenn ein Connector die Datensammlung beendet hat oder Computer keine Berichte mehr senden.

Siehe die Kusto-Dokumentation für die Operatoren und Funktionen, die in den KQL-Beispielen in diesem Artikel verwendet werden:

• let-Anweisung
• Whereoperator
• Projektoperator
• count Operator
• sort Operator
• erweitern operator
• join Operator
• ZusammenfassenOperator
• ago() -Funktion
• ingestion_time() -Funktion
• count() -Aggregationsfunktion
• arg_max() -Aggregationsfunktion

Weitere Informationen zu KQL finden Sie unter übersicht über Kusto-Abfragesprache (KQL).

Weitere Ressourcen:

• KQL-Kurzübersicht
• Kusto-Abfragesprache Lernressourcen

Nächste Schritte

Verwenden Sie in Microsoft Sentinel die Arbeitsmappe "Arbeitsbereichsüberwachung", um die Aktivitäten in Ihrer SOC-Umgebung zu überwachen. Weitere Informationen finden Sie unter Visualisieren und Überwachen Ihrer Daten.