Integrieren von Microsoft Sentinel in Traffic Analytics

Traffic Analytics in Azure Network Watcher verarbeitet und aggregiert virtuelle Netzwerk-Flow-Protokolle, um Visibility für Netzwerk Flows, Datenverkehrsmuster und potenzielle Sicherheitsrisiken zu schaffen. Es erweitert Flussdaten mit Bedrohungsintelligenz, Geolocationattributen und Topologiekontext, um Anomalien zu identifizieren und die Exposition in Ihrer gesamten Umgebung zu bewerten.

Traffic Analytics unterstützt die Integration in Microsoft Sentinel. Microsoft Sentinel ist eine skalierbare, cloudeigene Siem-Lösung (Security Information and Event Management), die eine kostengünstige Sicherheitsüberwachung in multicloud- und multiplatform-Umgebungen bietet. Microsoft Sentinel verwendet ASIM-basierte Parser zum Normalisieren eingehender Daten, sodass erweiterte Protokolle für den virtuellen Netzwerkfluss in das erforderliche Schema für Korrelation, Untersuchung und Bedrohungserkennung umgewandelt werden können.

Gemeinsam ermöglichen Traffic Analytics und Microsoft Sentinel sowohl proaktive Überwachung als auch reaktive Untersuchungen. Telemetrie auf Flussebene hebt unerwartete Kommunikationspfade, ungewöhnliche Datenverkehrsvolumen und Kompromittierungsindikatoren hervor, sodass Sie Abweichungen vom Basisverhalten erkennen und Ereignisse mit zuverlässigen und strukturierten Erkenntnissen untersuchen können.

Voraussetzungen

Integrieren von Microsoft Sentinel in Traffic Analytics mithilfe des Azure-Portals

Sie können Microsoft Sentinel ganz einfach direkt über das Azure-Portal in Traffic Analytics integrieren.

Aktivieren von Microsoft Sentinel im Arbeitsbereich

Aktivieren Sie Zunächst Microsoft Sentinel im selben Log Analytics-Arbeitsbereich, der von Traffic Analytics verwendet wird. Dadurch kann Sentinel auf Traffic Analytics-Daten zugreifen und diese analysieren, ohne dass zusätzliche Konfigurationen oder Datenbewegungen erforderlich sind.

  1. Suchen Sie im Suchfeld oben im Portal nach Microsoft Sentinel.

  2. Wählen Sie "Erstellen" und dann den log Analytics-Arbeitsbereich aus, der von Traffic Analytics verwendet wird.

  3. Wählen Sie "Hinzufügen" aus, um Microsoft Sentinel im Arbeitsbereich zu aktivieren.

Installieren von Netzwerkanalyseinhalten

Installieren Sie die erforderliche Netzwerklösung aus dem Microsoft Sentinel-Inhaltshub. Dies bietet vorgefertigte Arbeitsmappen, Analyseregeln und Suchabfragen, die zum Analysieren normalisierter Netzwerkdatendaten entwickelt wurden.

  1. Wählen Sie unter "Inhaltsverwaltung " in Microsoft Sentinel den Inhaltshub aus.

  2. Suchen Sie nach "Network Session Essentials".

  3. Wählen Sie "Network Session Essentials" und dann " Mit Abhängigkeiten installieren" aus.

  4. Wählen Sie "Installieren" aus, um die Lösung zu bestätigen und zu installieren.

    Screenshot, der zeigt, wie Sie die Network Session Essentials in Microsoft Sentinel installieren.

Aktivieren von Analyseregeln

Aktivieren Sie die relevanten Netzwerkanalyseregeln, um mit dem Generieren von Sicherheitswarnungen und Vorfällen zu beginnen. Mit diesen Regeln werden Datenverkehrsanalysedaten kontinuierlich ausgewertet, um verdächtiges oder ungewöhnliches Netzwerkverhalten zu erkennen.

  1. Filtern Sie im Inhaltshub nach Inhaltstyp: Analyseregel.

  2. Suchen Sie nach Netzwerk , um alle verfügbaren netzwerkbezogenen Erkennungsregeln anzuzeigen, die in Ihrem Arbeitsbereich aktiviert werden können.

  3. Um eine Analyseregel zu aktivieren, wählen Sie die Regel aus der Liste aus, und wählen Sie dann "Regel erstellen" aus, um die Regel in Ihrem Arbeitsbereich zu erstellen und Benachrichtigungen basierend auf übereinstimmender Netzwerkaktivität zu generieren. Dadurch wird der Analyseregel-Assistent geöffnet.

    Screenshot, der zeigt, wie eine Regel im Arbeitsbereich erstellt wird.

  4. Überprüfen Sie auf der Registerkarte " Regellogik festlegen " des Analyseregel-Assistenten die Standardregelkonfiguration, einschließlich Abfragelogik, Terminplanungshäufigkeit und Lookbackzeitraum. Passen Sie diese Einstellungen bei Bedarf an.

    Ein Screenshot zeigt die Registerkarte Logik der Set-Regeln im Assistenten für Analytics-Regeln.

  5. Konfigurieren Sie auf der Registerkarte " Vorfalleinstellungen ", wie Warnungen in Vorfälle gruppiert werden.

  6. Wählen Sie "Überprüfen" und "Erstellen" und dann " Speichern" aus, um die Regel zu aktivieren.

    Nach der Aktivierung wird die Regel automatisch für Traffic Analytics-Daten ausgeführt und generiert Warnungen und Vorfälle, wenn übereinstimmende Netzwerkaktivitäten erkannt werden.

Erkenntnisse, die von Analyseregeln generiert werden

In diesem Abschnitt wird beschrieben, wie Microsoft Sentinel Analyseregeln Sicherheitseinblicke aus NSG-Ablaufprotokollen mithilfe des ASIM-Netzwerksitzungsschemas generieren. Es durchläuft eine Reihe von neun Analyseregeln, die zusammen dabei helfen, verdächtige und potenziell schädliche Netzwerkverhalten wie Brute-Force-Versuche, Portscans, Beaconing-Muster und Datenverkehrsanomalien zu identifizieren. In jeder Regel wird in der Tabelle erläutert, welche Art von Aktivität erkannt wird, und zeigt, wie Warnungen in Sentinel über Warnungsdiagramme angezeigt werden.

Der Inhalt hebt außerdem hervor, wie Analysten von allgemeinen Warnungstrends zu detaillierten Untersuchungen wechseln können, indem sie einzelne Warnungen untersuchen, Zeitstempel, Entitäten und erweiterte Eigenschaften überprüfen und Erkennungen mit MITRE ATT&CK-Taktiken und -Techniken korrelieren können.

Warnungsregel Was bedeutet dies?
Brute-Force-Angriff auf Remotedesktop-Netzwerk Mehrere fehlgeschlagene RDP-Verbindungsversuche (Port 3389) aus einer Quelle, die einen potenziellen Brute-Force-Angriff angeben.
Netzwerk-Port-Sweeping aus externem Netzwerk Eine externe Quelle scannt denselben Port über mehrere Ziel-IPs hinweg, was auf einen Aufklärungsversuch hindeutet.
Eine Anomalie im Netzwerkverkehr für Sitzungen wurde gefunden Ungewöhnliche Abweichungen bei Netzwerkdatenverkehrsmustern (Richtung, Protokoll, Volumen) im Vergleich zum historischen Verhalten.
Port-Scan erkannt Eine einzelne Quelle, die in einem kurzen Zeitfenster versucht, Verbindungen zu vielen verschiedenen Ports herzustellen, was auf Port-Scanning hinweist.
Übermäßige Anzahl fehlgeschlagener Verbindungen aus einer einzigen Quelle Eine Quelle, die eine ungewöhnlich hohe Anzahl fehlgeschlagener Netzwerkverbindungen generiert, was verdächtige oder böswillige Aktivitäten vorschlägt.
Anomalie im SMB-Datenverkehr Ungewöhnliche Spitzen oder Abweichungen im SMB-Datenverkehr (File-Sharing) im Vergleich zum Basisverhalten.
Potenzielle Beaconingaktivität Wiederholter, gemusterter ausgehender Netzwerkdatenverkehr, der auf Schadsoftwarebeacons oder Befehls- und Steuerungskommunikation hinweisen kann.
Erkennen von Portmissbrauch durch anomaliebasierte Erkennung Die Nutzung von Netzwerkports, die von dem gelernten normalen Verhalten abweichen, was auf verdächtige Portnutzung hinweist.
Erkennen von Portmissbrauch durch statischen Schwellenwert Netzwerkportnutzung, die einen vordefinierten statischen Schwellenwert überschreitet und potenziell verdächtigen oder richtlinienwidrigen Datenverkehr angibt.

Verwandte Inhalte

  • Last updated on