Arbeiten mit Microsoft Sentinel Threat Intelligence

Beschleunigen Sie die Erkennung und Behebung von Bedrohungen durch optimierte Erstellung und Verwaltung von Threat Intelligence. In diesem Artikel wird veranschaulicht, wie Sie die Threat Intelligence-Integration in der Verwaltungsschnittstelle optimal nutzen können, unabhängig davon, ob Sie über Microsoft Sentinel im Defender-Portal oder über die Azure-Portal darauf zugreifen.

• Erstellen von Threat Intelligence-Objekten mithilfe von Structured Threat Information Expression (STIX)
• Verwalten von Threat Intelligence durch Anzeigen, Kuratieren und Visualisieren

Voraussetzungen

• Sie benötigen die Berechtigungen der Ihrem Benutzerkonto zugewiesenen Rolle Microsoft Sentinel-Mitwirkender oder einer höheren Rolle, um Bedrohungsdaten zu verwalten.
• Zum Importieren und Exportieren von Threat Intelligence müssen Sie die Threat Intelligence-Lösung in Microsoft Sentinel installieren und die relevanten Connectors aktivieren, wie unter Verwenden von STIX/TAXII zum Importieren und Exportieren von Threat Intelligence in Microsoft Sentinel beschrieben.

Zugreifen auf die Verwaltungsschnittstelle

Greifen Sie über das Defender-Portal oder das Azure-Portal auf die Threat Intelligence-Verwaltungsschnittstelle zu. Obwohl sich der Navigationspfad zwischen den Portalen unterscheidet, haben die Erstellungs- und Verwaltungsaufgaben die gleichen Schritte, sobald Sie die Verwaltungsoberfläche erreichen.

Threat Intelligence erstellen

Verwenden Sie die Verwaltungsschnittstelle, um STIX-Objekte zu erstellen und andere allgemeine Threat Intelligence-Aufgaben auszuführen, z. B. Indikatormarkierung und Herstellen von Verbindungen zwischen Objekten.

• Definieren Sie Beziehungen, wenn Sie neue STIX-Objekte erstellen.
• Erstellen Sie schnell mehrere Objekte, indem Sie die Duplikatfunktion verwenden, um die Metadaten aus einem neuen oder vorhandenen TI-Objekt zu kopieren.

Weitere Informationen zu unterstützten STIX-Objekten finden Sie unter Threat Intelligence in Microsoft Sentinel.

Erstellen eines neuen STIX-Objekts

Führen Sie die folgenden Schritte aus, um ein neues STIX-Objekt in der Verwaltungsschnittstelle zu erstellen.

1. Wählen Sie Neues>TI-Objekt hinzufügen aus.

   

2. Wählen Sie den Objekttyp aus, und füllen Sie dann das Formular auf der Seite Neues TI-Objekt aus. Pflichtfelder sind mit einem roten Sternchen (*) gekennzeichnet.

3. Erwägen Sie, für das TI-Objekt einen Sensitivitätswert oder eine Traffic light protocol-Bewertung (TLP) festzulegen. Für weitere Informationen darüber, was Sensitivitätswerte und TLP-Bewertungen repräsentieren, siehe Curate threat intelligence.

4. Wenn Sie wissen, wie dieses Objekt mit einem anderen Threat Intelligence-Objekt verknüpft ist, geben Sie diese Verbindung mit dem Beziehungstyp und dem Zielverweis an.

5. Wählen Sie hinzufügen für ein einzelnes Objekt oder Hinzufügen und duplizieren aus, wenn Sie weitere Elemente mit den gleichen Metadaten erstellen möchten. Wenn Sie "Hinzufügen" und "Duplizieren" auswählen, wird der allgemeine Metadatenabschnitt jedes STIX-Objekts in das neue Objekt kopiert.

Threat Intelligence verwalten

Optimieren Sie TI von Ihren Quellen mit Erfassungsregeln. Stellen Sie vorhandene TI mit dem Beziehungs-Generator zusammen. Verwenden Sie die Verwaltungsschnittstelle, um nach Bedrohungsinformationen zu suchen, zu filtern und zu sortieren und dann Tags hinzuzufügen.

Optimieren von Threat Intelligence-Feeds mit Erfassungsregeln

Reduzieren Sie Rauschen aus Ihren TI-Feeds, erweitern Sie die Gültigkeit von Indikatoren mit hohem Wert, und fügen Sie eingehenden Objekten aussagekräftige Tags hinzu. Diese Aufgaben sind nur einige der Anwendungsfälle für Aufnahmeregeln. Hier sind die Schritte zum Verlängern des Valid until Datums bei High-Value-Indikatoren.

1. Wählen Sie Erfassungsregeln aus, um eine ganz neue Seite zu öffnen, um vorhandene Regeln anzuzeigen und neue Regellogik zu erstellen.

   

2. Geben Sie einen beschreibenden Namen für Ihre Regel ein. Die Seite „Erfassungsregeln“ enthält ausreichend Regeln für den Namen. Dies ist aber die einzige Textbeschreibung, die verfügbar ist, um Ihre Regeln zu unterscheiden, ohne sie zu bearbeiten.

3. Wählen Sie den Objekttyp aus. Das Beispiel für die Erweiterung der Indikatorvalidität basiert auf der Eigenschaft Valid from , die nur für Indicator Objekttypen verfügbar ist.

4. Fügen Sie die Bedingung für SourceEquals hinzu, und wählen Sie ihren hohen Wert Sourceaus.

5. Fügen Sie eine Bedingung für ConfidenceGreater than or equal hinzu, und geben Sie eine Bewertung ein Confidence .

6. Wählen Sie die Aktion aus. Da die Regel die Übereinstimmungsindikatoren ändern sollte, wähle Edit.

7. Wählen Sie die Aktion Hinzufügen für Valid until, Extend byund wählen Sie eine Zeitspanne in Tagen aus.

8. Erwägen Sie, ein Tag hinzuzufügen, um die hohe Bedeutung dieser Indikatoren kenntlich zu machen, z. B. Extended. Das Modified Datumsfeld des Objekts wird durch die Eingaberegeln nicht aktualisiert.

9. Wählen Sie die Reihenfolge aus, in der die Regel ausgeführt werden soll. Regeln laufen von der niedrigsten zur höchsten Reihenfolgenummer. Jede Regel wertet jedes erfasste Objekt aus.

10. Wenn die Regel aktiviert werden kann, setzen Sie Status auf „Ein“.

11. Wählen Sie Hinzufügen aus, um die Erfassungsregel zu erstellen.

Weitere Informationen finden Sie unter Threat Intelligence-Erfassungsregeln.

Zusammenstellen von Threat Intelligence mit dem Beziehungs-Generator

Verbinden Sie Threat Intelligence-Objekte mit dem Beziehungs-Generator. Es gibt maximal 20 Beziehungen gleichzeitig im Generator, aber mehr Verbindungen können durch mehrere Iterationen und durch Hinzufügen von Beziehungszielverweisen für neue Objekte erstellt werden.

1. Wählen Sie Neue>TI-Beziehung hinzufügen aus.

2. Beginnen Sie mit einem vorhandenen TI-Objekt wie einem Bedrohungsakteur oder einem Angriffsmuster, bei dem das einzelne Objekt eine Verbindung mit einem oder mehreren vorhandenen Objekten herstellt, z. B. Indikatoren.

3. Fügen Sie den Beziehungstyp gemäß den bewährten Methoden hinzu, die in der folgenden Tabelle und in der Zusammenfassungstabelle der STIX 2.1-Referenzbeziehung beschrieben sind:

   Beziehungstyp	Beschreibung
   Duplikat von Abgeleitet von Im Zusammenhang mit	Allgemeine Beziehungen, die für jedes STIX-Domänenobjekt (SDO) definiert sind Weitere Informationen finden Sie unter STIX 2.1-Referenz zu allgemeinen Beziehungen.
   Ziele	Attack pattern oder Threat actor Ziele Identity
   Verwendung	Threat actor Verwendet Attack pattern
   Zugeschrieben an	Threat actor Attribut zu Identity
   Gibt an	Indicator Gibt Attack pattern oder Threat actor an
   Gibt sich als jemand anderes aus	Threat actor Gibt sich als Identity aus

4. Als Beispiel für eine Beziehungsaufbau-Konfiguration kann man einen Bedrohungsakteur mit einem Angriffsmuster, Indikator und einer Identität im Defender-Portal verbinden.

   

5. Schließen Sie die Beziehung ab, indem Sie allgemeine Eigenschaften konfigurieren.

Sehen Sie sich Ihre Bedrohungsinformationen in der Verwaltungsoberfläche an.

Verwenden Sie die Verwaltungsschnittstelle, um Ihre Threat Intelligence aus der Quelle zu sortieren, zu filtern und zu durchsuchen, aus der sie erfasst wurden, ohne eine Log Analytics-Abfrage schreiben zu müssen.

1. Erweitern Sie auf der Verwaltungsoberfläche das Menü Was möchten Sie durchsuchen? .

2. Wählen Sie einen STIX-Objekttyp aus, oder übernehmen Sie die Standardeinstellung Alle Objekttypen.

3. Wählen Sie Bedingungen mithilfe logischer Operatoren aus.

4. Wählen Sie das Objekt aus, zu dem Sie weitere Informationen anzeigen möchten.

Sie können z. B. nach mehreren Quellen suchen, indem Sie sie in einer OR Gruppe platzieren, während Sie mehrere Bedingungen mit dem AND Operator gruppieren.

Microsoft Sentinel zeigt nur die aktuellste Version Ihrer Bedrohungsinformationen in der Verwaltungsoberfläche an. Weitere Informationen zum Aktualisieren von Objekten finden Sie unter Threat Intelligence-Lebenszyklus.

IP- und Domänennamenindikatoren werden mit zusätzlichen GeoLocation Und WhoIs Daten erweitert, sodass Sie mehr Kontext für alle Untersuchungen bereitstellen können, in denen der Indikator gefunden wird.

Hier ist ein Beispiel für einen Indikator, der mit GeoLocation und WhoIs Daten angereichert ist.

Kennzeichnen und Bearbeiten von Bedrohungsinformationen

Das Markieren von Threat Intelligence ist eine schnelle Möglichkeit, Objekte zu gruppieren, um sie leichter zu finden. In der Regel können Sie Tags anwenden, die sich auf einen bestimmten Incident beziehen. Wenn ein Objekt jedoch Bedrohungen durch einen bestimmten bekannten Akteur oder eine bekannte Angriffskampagne darstellt, sollten Sie anstelle eines Tags eine Beziehung erstellen.

1. Verwenden Sie die Verwaltungsschnittstelle, um Ihre Threat Intelligence zu sortieren, zu filtern und danach zu suchen.
2. Nachdem Sie die Objekte gefunden haben, mit denen Sie arbeiten möchten, wählen Sie sie mehrfach aus, und wählen Sie ein oder mehrere Objekte desselben Typs aus.
3. Wählen Sie Tags hinzufügen aus, und markieren Sie sie alle gleichzeitig mit einem oder mehreren Tags.
4. Da die Vergabe von Tags frei definierbar ist, empfehlen wir, in Ihrer Organisation einheitliche Namenskonventionen für Tags festzulegen.

Bearbeiten Sie Threat Intelligence jeweils ein Objekt nach dem anderen, unabhängig davon, ob sie direkt in Microsoft Sentinel oder aus Partnerquellen wie TIP- und TAXII-Servern erstellt wurde. Für Bedrohungsinformationen, die in der Verwaltungsoberfläche erstellt wurden, sind alle Felder bearbeitbar. Für Bedrohungen, die von Partnerquellen erfasst werden, können nur bestimmte Felder bearbeitet werden, einschließlich Tags, Ablaufdatum, Zuverlässigkeit und Widerrufen. Unabhängig davon, ob die Bedrohungsinformationen in Microsoft Sentinel erstellt oder von einer Partnerquelle übernommen wurden, erscheint nur die neueste Version des Objekts in der Verwaltungsoberfläche.

Weitere Informationen dazu, wie Bedrohungsinformationen aktualisiert werden, finden Sie unter Ihre Bedrohungsinformationen anzeigen.

Bedrohungsinformationen mit Abfragen suchen und anzeigen

Zeigen Sie Ihre Bedrohungsintelligenz mit Abfragen an, unabhängig vom Quellfeed oder der Methode, mit der Sie sie aufgenommen haben.

Bedrohungsindikatoren werden in der Microsoft Sentinel ThreatIntelIndicators Tabelle gespeichert. Die Tabelle ThreatIntelIndicators bildet die Grundlage für Bedrohungsintelligenz-Abfragen, die von anderen Microsoft Sentinel-Funktionen wie Analytics, Hunting und Workbooks durchgeführt werden.

Weitere Informationen finden Sie unter Bedrohungsinformationen anzeigen.

Visualisieren Sie Ihre Bedrohungsdaten mit Arbeitsmappen

Verwenden Sie eine speziell erstellte Microsoft Sentinel Arbeitsmappe, um wichtige Informationen zu Ihrer Threat Intelligence in Microsoft Sentinel zu visualisieren und die Arbeitsmappe an Ihre geschäftlichen Anforderungen anzupassen.

Führen Sie die folgenden Schritte aus, um die Arbeitsmappe für die Bedrohungserkennung in Microsoft Sentinel zu finden und anzupassen.

1. Wechseln Sie im Azure-Portal zu Microsoft Sentinel.

2. Wählen Sie den Arbeitsbereich aus, in den Sie Bedrohungsindikatoren mithilfe eines der beiden Datenconnectors für Bedrohungsinformationen importiert haben.

3. Wählen Sie im Menü Microsoft Sentinel im Abschnitt Bedrohungsverwaltung die Option Arbeitsmappen aus.

4. Suchen Sie die Arbeitsmappe mit dem Titel Threat Intelligence. Vergewissern Sie sich, dass in der ThreatIntelIndicators Tabelle Daten enthalten sind.

   

5. Wählen Sie Speichern aus, und wählen Sie dann einen Azure-Standort zum Speichern der Arbeitsmappe aus. Das Speichern des Arbeitsbuchs ist erforderlich, wenn du beabsichtigst, das Arbeitsbuch in irgendeiner Weise zu verändern und deine Änderungen zu speichern.

6. Wählen Sie nun Gespeicherte Arbeitsmappe anzeigen aus, um die Arbeitsmappe zum Anzeigen und Bearbeiten zu öffnen.

7. Nun sollten die von der Vorlage bereitgestellten Standarddiagramme angezeigt werden. Wählen Sie zum Ändern eines Diagramms oben auf der Seite Bearbeiten aus, um den Bearbeitungsmodus für die Arbeitsmappe zu starten.

8. Fügen Sie ein neues Diagramm mit Bedrohungsindikatoren nach Bedrohungstyp hinzu. Scrollen Sie zum unteren Rand der Seite, und wählen Sie Abfrage hinzufügen aus.

9. Fügen Sie dem Textfeld Protokollabfrage des Log Analytics-Arbeitsbereichs den folgenden Text hinzu:

   ThreatIntelligenceIndicator
   | summarize count() by ThreatType
   

   Weitere Informationen zum summarize-Operator und zur in dieser Abfrage verwendeten count()-Aggregationsfunktion finden Sie in der Kusto-Dokumentation:

   • ZusammenfassenOperator
   • count() -Aggregationsfunktion

10. Wählen Sie im Dropdownmenü Visualisierung die Option Balkendiagramm aus.

11. Wählen Sie Bearbeitung abgeschlossen aus, und zeigen Sie das neue Diagramm für Ihre Arbeitsmappe an.

    

Arbeitsmappen bieten leistungsstarke interaktive Dashboards, die Ihnen Einblicke in alle Aspekte von Microsoft Sentinel bieten. Sie können viele Aufgaben mit Arbeitsmappen ausführen, und die bereitgestellten Vorlagen sind ein guter Ausgangspunkt. Passen Sie die Vorlagen an, oder erstellen Sie neue Dashboards, indem Sie viele Datenquellen kombinieren, sodass Sie Ihre Daten auf einzigartige Weise visualisieren können.

Microsoft Sentinel Arbeitsmappen basieren auf Azure Monitor-Arbeitsmappen, sodass eine umfangreiche Dokumentation und viele weitere Vorlagen verfügbar sind. Weitere Informationen finden Sie unter Erstellen interaktiver Berichte mit Azure Monitor-Arbeitsmappen.

Es gibt auch eine umfangreiche Ressource für Azure Monitor-Arbeitsmappen auf GitHub, in der Sie weitere Vorlagen herunterladen und Ihre eigenen Vorlagen beitragen können.

Export von Bedrohungsinformationen

mit Microsoft Sentinel können Sie Threat Intelligence an andere Ziele exportieren. Wenn Sie beispielsweise Threat Intelligence über den Daten-Connector Threat Intelligence - TAXII erfasst haben, können Sie Threat Intelligence für den bidirektionalen Austausch von Informationen zurück auf die Quellplattform exportieren. Die Microsoft Sentinel Bedrohungsintelligenz-Exportfunktion reduziert den Bedarf an manuellen Prozessen oder benutzerdefinierten Playbooks zur Verbreitung von Bedrohungsinformationen.

So exportieren Sie Threat Intelligence:

1. Wählen Sie für Microsoft Sentinel im Defender-PortalThreat Intelligence > Intel-Verwaltung aus. Wählen Sie für Microsoft Sentinel im Azure-PortalThreat Management > Threat Intelligence aus.

2. Wählen Sie mindestens ein STIX-Objekt aus, und klicken Sie dann auf der Symbolleiste oben auf der Seite auf Exportieren . Zum Beispiel:

   • Defender-Portal
   • Azure-Portal

   

3. Wählen Sie im Bereich Exportieren in der Dropdownliste EXPORT TI den Server aus, auf den Sie Ihre Threat Intelligence exportieren möchten.

   Wenn kein Server aufgeführt ist, müssen Sie zuerst einen TAXII 2.1-Server für den Export konfigurieren, wie in Enable the Threat Intelligence - TAXII Export Data Connector beschrieben. Microsoft Sentinel unterstützt derzeit nur den Export auf TAXII 2.1-basierte Plattformen.

4. Klicken Sie auf Exportieren.

   Wichtig

   Wenn Sie Threat Intelligence-Objekte exportieren, führt das System einen Massenvorgang aus. Es besteht ein bekanntes Problem, bei dem dieser Massenvorgang manchmal fehlschlägt. Wenn die Bulk-Exportoperation fehlschlägt, erscheint beim Öffnen des Export-Seitenpanels eine Warnung, die dich auffordert, die fehlgeschlagene Aktion aus der Übersicht der Bulk-Operationen-Historie zu entfernen. Microsoft Sentinel pausiert nachfolgende Exportoperationen, bis Sie die fehlgeschlagene Operation entfernen.

So greifen Sie auf den Exportverlauf zu:

1. Navigieren Sie entweder auf der Intel-Verwaltung (Defender-Portal) oder auf der Seite Threat Intelligence (Azure-Portal) zum exportierten Element.
2. Wählen Sie in der Spalte Exporte die Option Exportverlauf anzeigen aus, um den Exportverlauf für dieses Element anzuzeigen.

Verwandte Inhalte

Weitere Informationen finden Sie in den folgenden Artikeln:

• Bedrohungsinformationen in Microsoft Sentinel
• Verbinden Sie Microsoft Sentinel mit STIX/TAXII Threat Intelligence-Feeds.
• Sehen Sie sich an, welche TIPs, TAXII-Feeds und Anreicherungen problemlos in Microsoft Sentinel integriert werden können.

Weitere Informationen zu KQL finden Sie unter übersicht über Kusto-Abfragesprache (KQL).

Weitere Ressourcen:

• KQL-Kurzübersicht
• Kusto-Abfragesprache Lernressourcen