Verwenden von Bedrohungsindikatoren in Analyseregeln

Du kannst TI-Karten-Analyseregeln in Microsoft Sentinel verwenden, um Bedrohungen zu erkennen. Diese Regeln gleichen Ihre importierten Bedrohungsindikatoren mit Ereignissen aus verbundenen Datenquellen ab. Wenn ein Match gefunden wird, generieren die Regeln Warnungen und Vorfälle, die dein Team überprüfen kann.

Voraussetzungen

• Bedrohungsindikatoren. Diese Indikatoren können aus Threat Intelligence-Feeds, Threat Intelligence-Plattformen, Massenimporten aus einer Flatfile oder manuellen Eingaben stammen.
• Datenquellen. Ereignisse aus Ihren Datenkonnektoren müssen in Ihren Microsoft Sentinel-Arbeitsbereich eingehen.
• Eine Analyseregel im Format TI map.... Die Analyseregel muss dieses Format verwenden, damit sie Ihre Bedrohungsindikatoren den von Ihnen aufgenommenen Ereignissen zuordnen kann.

Konfigurieren einer Regel zum Generieren von Sicherheitswarnungen

Das folgende Beispiel zeigt, wie man eine Regel aktiviert und konfiguriert, die Sicherheitswarnungen aus Ihren importierten Bedrohungsindikatoren generiert. Dieses Beispiel verwendet die Regelvorlage mit der Bezeichnung TI map IP entity to AzureActivity. Diese Regel stimmt jedem IP-Adress-Bedrohungsindikator deinen Azure-Aktivitätsereignissen zu. Wenn ein Treffer gefunden wird, erzeugt dies eine Warnung und einen entsprechenden Vorfall, den Ihr Sicherheitsteam untersuchen kann.

Diese spezielle Analyseregel erfordert den Azure Activity-Datenkonnektor (zum Importieren von Ereignissen auf Ebene Ihres Azure-Abonnements). Außerdem sind einer oder beide Threat Intelligence-Datenconnectoren erforderlich, um Bedrohungsindikatoren zu importieren. Die Regel „TI ordnet IP-Entität AzureActivity zu“ wird auch durch importierte oder manuell erstellte Indikatoren ausgelöst.

1. Gehen Sie im Azure-Portal zu Microsoft Sentinel.

2. Wählen Sie den Arbeitsbereich aus, in den Sie Bedrohungsindikatoren mithilfe der Threat Intelligence-Datenconnectors und Azure-Aktivitätsdaten mithilfe des Azure-Aktivitätsdatenconnectors importiert haben.

3. Wählen Sie im Menü Microsoft Sentinel im Abschnitt Konfiguration die Option Analyse aus.

4. Wählen Sie die Registerkarte Regelvorlagen aus, um die Liste der verfügbaren Analyseregelvorlagen anzuzeigen.

5. Suchen Sie die Regel mit dem Titel TI map IP entity to AzureActivity, und stellen Sie sicher, dass Sie alle erforderlichen Datenquellen verbunden haben.

   

6. Wählen Sie die Regel TI-Map-IP-Entität AzureActivity zuordnen aus. Wählen Sie dann Regel erstellen aus, um einen Regelkonfigurations-Assistenten zu öffnen. Konfigurieren Sie die Einstellungen im Assistenten, und wählen Sie dann Weiter: Regellogik festlegen >aus.

   

7. Der Teil des Assistenten für die Regellogik ist mit den folgenden Elementen vorab ausgefüllt:

   • Die Abfrage, die für die Regel verwendet wird.
   • Entitätszuordnungen, die Microsoft Sentinel angeben, wie Entitäten wie Konten, IP-Adressen und URLs erkannt werden. Anhand von Vorfällen und Untersuchungen kann dann nachvollzogen werden, wie mit den Daten in den von dieser Regel erzeugten Sicherheitswarnungen gearbeitet werden kann.
   • Der Zeitplan für die Ausführung dieser Regel.
   • Die Anzahl der Abfrageergebnisse, die benötigt werden, bevor eine Sicherheitswarnung generiert wird.

   Die Standardeinstellungen in der Vorlage sind:

   • Einmal pro Stunde ausführen.
   • Gleichen Sie beliebige Bedrohungsindikatoren für IP-Adressen aus der Tabelle ThreatIntelligenceIndicator mit IP-Adressen ab, die in den Ereignissen der letzten Stunde aus der Tabelle AzureActivity gefunden wurden.
   • Generieren Sie eine Sicherheitswarnung, wenn die Abfrageergebnisse größer als 0 (null) sind, um anzugeben, dass Übereinstimmungen gefunden wurden.
   • Stellen Sie sicher, dass die Regel aktiviert ist.

   Sie können die Standardeinstellungen belassen oder ändern, um Ihre Anforderungen zu erfüllen. Sie können Einstellungen für die Incidentgenerierung auf der Registerkarte Incidenteinstellungen definieren. Weitere Informationen finden Sie unter Erstellen benutzerdefinierter Analyseregeln zum Erkennen von Bedrohungen. Wenn Sie fertig sind, wählen Sie die Registerkarte Automatisierte Antwort aus.

8. Konfigurieren Sie alle Automatisierungen, die ausgelöst werden sollen, wenn eine Sicherheitswarnung aus dieser Analyseregel generiert wird. Die Automatisierung in Microsoft Sentinel verwendet Kombinationen aus Automatisierungsregeln und Playbooks, die von Azure Logic Apps unterstützt werden. Weitere Informationen finden Sie unter Tutorial: Verwenden von Playbooks mit Automatisierungsregeln in Microsoft Sentinel. Wenn Sie fertig sind, wählen Sie Weiter: Überprüfen > aus, um fortzufahren.

9. Wenn eine Meldung angezeigt wird, dass die Regelüberprüfung erfolgreich war, wählen Sie Erstellen aus.

Überprüfen Ihrer Regeln

Ihre aktivierten Regeln finden Sie auf der Registerkarte Aktive Regeln im Abschnitt Analyse von Microsoft Sentinel. Auf der Registerkarte "Aktive Regeln " können Sie die aktive Regel bearbeiten, aktivieren, deaktivieren, duplizieren oder löschen. Die neue Regel wird sofort nach der Aktivierung ausgeführt und dann nach dem definierten Zeitplan ausgeführt.

Gemäß den Standardeinstellungen generieren alle gefundenen Ergebnisse bei jeder Ausführung der Regel nach ihrem Zeitplan eine Sicherheitswarnung. Microsoft Sentinel speichert diese Warnungen in einer Protokolltabelle namens SecurityAlert. Um sie anzuzeigen, wechseln Sie zum Abschnitt "Protokolle" von Microsoft Sentinel, und fragen Sie unter der Gruppe Microsoft Sentinel die Tabelle abSecurityAlert.

In Microsoft Sentinel generieren die von Analyseregeln generierten Warnungen auch Sicherheitsvorfälle. Wählen Sie im menü Microsoft Sentinel unter Bedrohungsmanagement die Option Incidents aus. Security Operations-Teams können die Incidents selektieren und untersuchen, um angemessene Reaktionen zu ermitteln. Weitere Informationen finden Sie unter Tutorial: Untersuchen von Incidents mit Microsoft Sentinel.

Verwandte Inhalte

• Arbeiten mit Bedrohungsindikatoren in Microsoft Sentinel
• Verwenden Sie STIX/TAXII zum Importieren und Exportieren von Bedrohungsinformationen in Microsoft Sentinel
• Verbinden Sie Ihre Bedrohungsintelligenzplattform mit Microsoft Sentinel
• Integration von Bedrohungsinformationen in Microsoft Sentinel