Konfigurieren von Regeln für die mehrstufige Angriffserkennung (Fusion) in Microsoft Sentinel

Microsoft Sentinel verwendet Fusion, eine Korrelations-Engine, die auf skalierbaren Machine Learning-Algorithmen basiert, um mehrstufige Angriffe automatisch zu erkennen, indem Kombinationen aus anomalen Verhaltensweisen und verdächtigen Aktivitäten identifiziert werden, die in verschiedenen Phasen der Angriffskette beobachtet werden. Basierend auf diesen erkannten Angriffsmustern erzeugt Microsoft Sentinel Vorfälle, die sonst schwer zu erkennen wären. Diese Vorfälle umfassen mindestens zwei Warnungen oder Aktivitäten. Standardmäßig handelt es sich bei diesen Vorfällen um ein geringes Volumen, eine hohe Genauigkeit und einen hohen Schweregrad.

Diese für Ihre Umgebung angepasste Erkennungstechnologie reduziert nicht nur falsch positive Raten, sondern kann auch Angriffe mit begrenzten oder fehlenden Informationen erkennen.

Konfigurieren von Fusion-Regeln

Die Fusion-Analyseregel ist in Microsoft Sentinel standardmäßig aktiviert. Verwenden Sie die folgenden Anweisungen, um den Status zu überprüfen oder zu ändern:

1. Melden Sie sich beim Azure-Portal an, und geben Sie Microsoft Sentinel ein.

2. Wählen Sie im Microsoft Sentinel Navigationsmenü die Option Analyse aus.

3. Wählen Sie die Registerkarte Aktive Regeln aus, und suchen Sie dann in der Spalte NAME nach Advanced Multistage Attack Detection, indem Sie die Liste nach dem Regeltyp Fusion filtern. Überprüfen Sie die Spalte STATUS , um zu bestätigen, ob diese Erkennung aktiviert oder deaktiviert ist.

   

4. Um den Status zu ändern, wählen Sie den Eintrag " Erweiterte Mehrstufige Angriffserkennung " aus. Wählen Sie im Bereich Erweiterte mehrstufige Angriffserkennung (Vorschau) die Option Bearbeiten aus.

5. Beachten Sie auf der Registerkarte Allgemein des Analyseregel-Assistenten den Status (Aktiviert/Deaktiviert), oder ändern Sie ihn, wenn Sie möchten.

   Wenn Sie den Status ändern, aber keine weiteren Änderungen vornehmen müssen, wählen Sie die Registerkarte Überprüfen und aktualisieren und dann Speichern aus.

   Um die Fusion-Erkennungsregel weiter zu konfigurieren, wählen Sie Weiter: Fusion konfigurieren aus.

   

6. Konfigurieren von Quellsignalen für die Fusion-Erkennung: Es wird empfohlen, alle aufgeführten Quellsignale mit allen Schweregraden einzubeziehen, um das beste Ergebnis zu erzielen. Standardmäßig sind sie bereits alle enthalten, aber Sie haben die Möglichkeit, Änderungen auf folgende Weise vorzunehmen:

   Hinweis

   Wenn Sie ein bestimmtes Quellsignal oder einen Warnungsschweregrad ausschließen, werden Fusion-Erkennungen, die auf Signalen aus dieser Quelle oder auf Warnungen basieren, die diesem Schweregrad entsprechen, nicht ausgelöst.

   • Schließen Sie Signale aus Fusion-Erkennungen aus, einschließlich Anomalien, Warnungen von verschiedenen Anbietern und rohen Protokollen.

     Anwendungsfall: Wenn Sie eine bestimmte Signalquelle testen, von der bekannt ist, dass sie laute Warnungen erzeugt, können Sie die Signale von dieser bestimmten Signalquelle für Fusion-Erkennungen vorübergehend deaktivieren.

   • Konfigurieren des Warnungsschweregrads für jeden Anbieter: Das Fusion ML-Modell korreliert standardmäßig Signale mit niedriger Genauigkeit zu einem einzelnen Incident mit hohem Schweregrad, basierend auf anomalen Signalen über die Kill-Chain aus mehreren Datenquellen. Warnungen, die in Fusion enthalten sind, weisen einen niedrigeren Schweregrad auf (mittel, niedrig, informativ), aber gelegentlich werden relevante Warnungen mit hohem Schweregrad eingeschlossen.

     Anwendungsfall: Wenn Sie über einen separaten Prozess zum Selektieren und Untersuchen von Warnungen mit hohem Schweregrad verfügen und diese Warnungen nicht in Fusion enthalten möchten, können Sie die Quellsignale so konfigurieren, dass Warnungen mit hohem Schweregrad von Fusion-Erkennungen ausgeschlossen werden.

   • Schließen Sie bestimmte Erkennungsmuster von der Fusion-Erkennung aus. Bestimmte Fusion-Erkennungen sind möglicherweise nicht auf Ihre Umgebung anwendbar oder neigen dazu, falsch positive Ergebnisse zu generieren. Wenn Sie ein bestimmtes Fusion-Erkennungsmuster ausschließen möchten, befolgen Sie die folgenden Anweisungen:

     1. Suchen und öffnen Sie einen Fusion-Vorfall der Art, die Sie ausschließen möchten.

     2. Wählen Sie im Abschnitt Beschreibung die Option Mehr anzeigen aus.

     3. Wählen Sie unter Dieses bestimmte Erkennungsmuster ausschließenden Ausschlusslink aus, der Sie zur Registerkarte Fusion konfigurieren im Analyseregel-Assistenten umleitet.

        

     Auf der Registerkarte Fusion konfigurieren sehen Sie, dass das Erkennungsmuster – eine Kombination aus Warnungen und Anomalien in einem Fusion-Incident – der Ausschlussliste hinzugefügt wurde, zusammen mit dem Zeitpunkt, zu dem das Erkennungsmuster hinzugefügt wurde.

     Sie können ein ausgeschlossenes Erkennungsmuster jederzeit entfernen, indem Sie das Papierkorbsymbol für dieses Erkennungsmuster auswählen.

     

     Incidents, die mit ausgeschlossenen Erkennungsmustern übereinstimmen, werden zwar weiterhin ausgelöst, erscheinen aber nicht in der Warteschlange Ihrer aktiven Incidents. Sie werden automatisch mit den folgenden Werten aufgefüllt:

     • Status: "Geschlossen"

     • Schließende Klassifizierung: "Unbestimmt"

     • Kommentar: "Automatisch geschlossenes, ausgeschlossenes Fusion-Erkennungsmuster"

     • Tag: „ExcludedFusionDetectionPattern“ – Sie können dieses Tag abfragen, um alle Incidents anzuzeigen, die diesem Erkennungsmuster entsprechen.

       

Konfigurieren geplanter Analyseregeln für Fusion-Erkennungen

Fusion erkennt szenariobasierte mehrstufige Angriffe und neue Bedrohungen mithilfe von Warnungen, die von geplanten Analyseregeln generiert werden. Um die Fusion-Funktionen von Microsoft Sentinel optimal zu nutzen, führen Sie die folgenden Schritte aus, um diese Regeln zu konfigurieren und zu aktivieren.

1. Fusion für neue Bedrohungen verwendet Benachrichtigungen, die von Regeln für geplante Analysen generiert werden, die Kill-Chain (Taktiken) und Entitätszuordnungsinformationen enthalten. Um sicherzustellen, dass Fusion Warnungen aus einer geplanten Analyseregel nutzen kann, um neue Bedrohungen zu erkennen, überprüfen Sie die Entitätszuordnung und Taktikkonfiguration der Regel:

   • Überprüfen Sie die Entitätszuordnung für diese geplanten Regeln. Verwenden Sie den Abschnitt entitätszuordnungskonfiguration, um Parameter aus Ihren Abfrageergebnissen Microsoft Sentinel erkannten Entitäten zuzuordnen. Da Fusion Warnungen basierend auf Entitäten (z. B. Benutzerkonto oder IP-Adresse) korreliert, können die ML-Algorithmen keine Warnungsabgleiche ohne die Entitätsinformationen durchführen.

   • Überprüfen Sie die Taktiken und Techniken in den Details Ihrer Analyseregel. Der Fusion ML-Algorithmus verwendet MITRE ATT&CK-Informationen , um mehrstufige Angriffe zu erkennen, und die Taktiken und Techniken, mit denen Sie die Analyseregeln bezeichnen, werden in den resultierenden Vorfällen angezeigt. Fusionsberechnungen können beeinträchtigt werden, wenn bei eingehenden Warnungen Taktikinformationen fehlen.

2. Fusion kann auch szenariobasierte Bedrohungen mithilfe von Regeln erkennen, die auf den folgenden Vorlagen für geplante Analyseregeln basieren.

   Um die als Vorlagen verfügbaren Abfragen auf der Seite Analyse zu aktivieren, wechseln Sie zur Registerkarte Regelvorlagen , wählen Sie den Regelnamen im Vorlagenkatalog aus, und wählen Sie im Detailbereich Regel erstellen aus.

   • Cisco - Firewall blockiert, aber trotzdem erfolgreiche Anmeldung bei Microsoft Entra ID
   • Fortinet: Beaconmuster erkannt
   • IP mit mehreren fehlgeschlagenen Microsoft Entra Anmeldungen erfolgreich bei Palo Alto VPN angemeldet
   • Mehrfache Kennwortrücksetzung durch Benutzer
   • Seltene Anwendungsgenehmigung
   • SharePointFileOperation über zuvor nicht angezeigte IP-Adressen
   • Bereitstellung verdächtiger Ressourcen
   • Palo Alto-Bedrohungssignaturen von ungewöhnlichen IP-Adressen

   Informationen zum Hinzufügen von Abfragen, die im Katalog der Regelvorlagen nicht verfügbar sind, finden Sie unter Erstellen einer benutzerdefinierten Analyseregel von Grund auf neu.

   • Neue Aktivität eines Administratorkontos erkannt, die zuvor nicht beobachtet wurde

   Weitere Informationen finden Sie unter Erweiterte mehrstufige Angriffsszenarien-Erkennung in Fusion mit geplanten Analyseregeln.

   Hinweis

   Für den Satz geplanter Analyseregeln, die von Fusion verwendet werden, führt der ML-Algorithmus Fuzzyabgleiche für die in den Vorlagen bereitgestellten KQL-Abfragen durch. Das Umbenennen der Vorlagen wirkt sich nicht auf Fusion-Erkennungen aus.

Nächste Schritte

Erfahren Sie mehr über Fusion-Erkennungen in Microsoft Sentinel.

Erfahren Sie mehr über die vielen szenariobasierten Fusion-Erkennungen.

Nachdem Sie nun mehr über die erweiterte Erkennung von mehrstufigen Angriffen erfahren haben, interessieren Sie sich möglicherweise für die folgende Schnellstartanleitung, um zu erfahren, wie Sie Einblick in Ihre Daten und potenzielle Bedrohungen erhalten: Erste Schritte mit Microsoft Sentinel.

Wenn Sie bereit sind, die für Sie erstellten Vorfälle zu untersuchen, lesen Sie das folgende Tutorial: Untersuchen von Vorfällen mit Microsoft Sentinel.