Microsoft Sentinel Qualifikationstraining

Dieser Artikel führt Sie Schritt für Schritt durch ein Training auf Niveau 400, mit dem Sie Ihre Kenntnisse zu Microsoft Sentinel ausbauen können. Die Schulung umfasst 21 Module mit selbstbestimmtem Tempo, die relevante Produktdokumentation, Blogbeiträge und andere Ressourcen darstellen.

Die hier aufgeführten Module sind nach dem Lebenszyklus eines Security Operation Center (SOC) in fünf Teile unterteilt:

Teil 1: Übersicht

Teil 2: Architektur und Bereitstellung

Teil 3: Erstellen von Inhalten

Teil 4: Betrieb

Teil 5: Fortgeschrittene

Teil 1: Übersicht

Modul 0: Weitere Lern- und Supportoptionen

Dieses Skillup-Training ist ein Level-400-Training, das auf dem Microsoft Sentinel Ninja-Training basiert. Wenn Sie nicht so eingehen möchten oder ein bestimmtes Problem zu beheben ist, sind möglicherweise andere Ressourcen besser geeignet:

Modul 1: Erste Schritte mit Microsoft Sentinel

Microsoft Sentinel ist eine skalierbare, cloudnative SIEM-Lösung (Security Information and Event Management) und SOAR-Lösung (Security Orchestration Automated Response). Microsoft Sentinel bietet Sicherheitsanalysen und Threat Intelligence im gesamten Unternehmen. Es bietet eine einzelne Lösung für die Erkennung von Warnungen, die Sichtbarkeit von Bedrohungen, die proaktive Suche und die Reaktion auf Bedrohungen. Weitere Informationen finden Sie unter Was ist Microsoft Sentinel?

Wenn Sie sich einen ersten Überblick über die technischen Möglichkeiten Microsoft Sentinel verschaffen möchten, ist die neueste Ignite-Präsentation ein guter Ausgangspunkt. Möglicherweise finden Sie auch den Schnellstartleitfaden für Microsoft Sentinel nützlich (Websiteregistrierung ist erforderlich).

Eine ausführlichere Übersicht finden Sie in diesem Microsoft Sentinel Webinar: YouTube, MP4 oder Präsentation.

Möchten Sie es schließlich selbst ausprobieren? Der Microsoft Sentinel All-In-One Accelerator (Blog, YouTube, MP4 oder Präsentation) bietet einen einfachen Einstieg. Informationen zu den ersten Schritten finden Sie in der Onboardingdokumentation, oder sehen Sie sich das Video Microsoft Sentinel Einrichtung und Konfiguration von Insight an.

Von anderen Benutzern lernen

Tausende von Organisationen und Dienstanbietern verwenden Microsoft Sentinel. Wie bei Sicherheitsprodukten üblich, machen die meisten Organisationen dies nicht öffentlich. Dennoch sind hier einige, die haben:

Lernen von Analysten

Modul 2: Wie wird Microsoft Sentinel verwendet?

Viele Organisationen verwenden Microsoft Sentinel als primäres SIEM. Die meisten Module in diesem Kurs decken diesen Anwendungsfall ab. In diesem Modul werden einige zusätzliche Möglichkeiten zur Verwendung von Microsoft Sentinel erläutert.

Als Teil des Microsoft-Sicherheitsstapels

Verwenden Sie Microsoft Sentinel, Microsoft Defender for Cloud und Microsoft Defender XDR zusammen, um Ihre Microsoft-Workloads zu schützen, einschließlich Windows, Azure und Office:

Zur Überwachung Ihrer Multicloud-Workloads

Die Cloud ist (noch) neu und wird häufig nicht so umfassend überwacht wie lokale Workloads. Lesen Sie diese Präsentation, um zu erfahren, wie Microsoft Sentinel Ihnen helfen kann, die Cloudüberwachungslücke in Ihren Clouds zu schließen.

Parallel zu Ihrem vorhandenen SIEM

Wenn Sie Microsoft Sentinel für Ihre Cloudworkloads verwenden, verwenden Sie möglicherweise Microsoft Sentinel neben Ihrem vorhandenen SIEM für einen Übergangszeitraum oder einen längeren Zeitraum. Möglicherweise verwenden Sie beides auch zusammen mit einem Ticketsystem wie ServiceNow.

Weitere Informationen zum Migrieren von einem anderen SIEM zu Microsoft Sentinel erhalten Sie im Webinar zur Migration: YouTube, MP4 oder Präsentation.

Es gibt drei gängige Szenarien für die parallele Bereitstellung:

Sie können die Warnungen auch von Microsoft Sentinel an Ihr SIEM- oder Ticketsystem eines Drittanbieters senden, indem Sie die Graph-Sicherheits-API verwenden. Dieser Ansatz ist einfacher, ermöglicht aber nicht das Senden anderer Daten.

Für MSSPs

Da es die Einrichtungskosten eliminiert und standortunabhängig ist, ist Microsoft Sentinel eine beliebte Wahl für die Bereitstellung von SIEM als Service. Hier finden Sie eine Liste der misa (Microsoft Intelligent Security Association) von Mitgliedern verwalteten Sicherheitsdienstanbietern (MSSPs), die Microsoft Sentinel verwenden. Viele andere MSSPs, insbesondere regionale und kleinere, verwenden Microsoft Sentinel, sind aber keine MISA-Mitglieder.

Um Ihren Weg als MSSP zu beginnen, lesen Sie die technischen Leitfäden für MSSPs zu Microsoft Sentinel. Weitere Informationen zur MSSP-Unterstützung sind im nächsten Modul enthalten, das die Cloudarchitektur und mehrinstanzenfähige Unterstützung behandelt.

Teil 2: Architektur und Bereitstellung

Obwohl "Teil 1: Übersicht" Möglichkeiten bietet, Microsoft Sentinel innerhalb weniger Minuten zu verwenden, ist es wichtig, einen Plan zu erstellen, bevor Sie eine Produktionsbereitstellung starten.

Dieser Abschnitt führt Sie durch die Bereiche, die Sie beim Entwerfen Ihrer Lösung berücksichtigen sollten, und enthält Richtlinien zur Implementierung Ihres Entwurfs:

  • Arbeitsbereichs- und Mandantenarchitektur
  • Datensammlung
  • Protokollverwaltung
  • Beschaffung von Bedrohungsinformationen

Modul 3: Arbeitsbereichs- und Mandantenarchitektur

Eine Microsoft Sentinel instance wird als Arbeitsbereich bezeichnet. Der Arbeitsbereich ist identisch mit einem Log Analytics-Arbeitsbereich und unterstützt jede Log Analytics-Funktion. Sie können sich Microsoft Sentinel als Lösung vorstellen, die SIEM-Features zusätzlich zu einem Log Analytics-Arbeitsbereich hinzufügt.

Mehrere Arbeitsbereiche sind häufig erforderlich und können zusammen als einzelnes Microsoft Sentinel-System fungieren. Ein spezieller Anwendungsfall ist die Bereitstellung eines Diensts mithilfe von Microsoft Sentinel (z. B. von einem MSSP (Managed Security Service Provider) oder von einem globalen SOC in einem großen organization).

Weitere Informationen zur Verwendung mehrerer Arbeitsbereiche als ein einziges Microsoft Sentinel-System finden Sie unter Microsoft Sentinel über Arbeitsbereiche und Mandanten hinweg erweitern oder sehen Sie sich das Webinar an: YouTube, MP4 oder die Präsentation.

Wenn Sie mehrere Arbeitsbereiche verwenden, sollten Sie Folgendes berücksichtigen:

Das Microsoft Sentinel Technical Playbook für MSSPs enthält detaillierte Richtlinien für viele dieser Themen und ist für große Organisationen nützlich, nicht nur für MSSPs.

Modul 4: Datensammlung

Die Grundlage eines SIEM ist das Sammeln von Telemetriedaten: Ereignisse, Warnungen und kontextbezogene Anreicherungsinformationen wie Threat Intelligence, Sicherheitsrisikodaten und Ressourceninformationen. Hier ist eine Liste der Quellen, auf die verwiesen werden kann:

  • Lesen Sie Microsoft Sentinel-Datenkonnektoren.
  • Gehen Sie zu Suchen Ihres Microsoft Sentinel-Datenconnectors zum Anzeigen aller unterstützten und sofort einsatzbereiten Datenconnectors. Hier finden Sie Links zu generischen Bereitstellungsverfahren und zusätzlichen Schritten, die für bestimmte Connectors erforderlich sind.
  • Datensammlungsszenarien: Erfahren Sie mehr über Sammlungsmethoden wie Logstash/CEF/WEF. Weitere gängige Szenarien sind Berechtigungenseinschränkung auf Tabellen, Protokollfilterung, Sammeln von Protokollen aus Amazon Web Services (AWS) oder Google Cloud Platform (GCP), Microsoft 365-Rohprotokolle usw. Alles finden Sie im Webinar "Datensammlungsszenarien": YouTube, MP4 oder Präsentation.

Die erste Information, die Für jeden Connector angezeigt wird, ist die Datenerfassungsmethode. Die angezeigte Methode enthält einen Link zu einem der folgenden generischen Bereitstellungsverfahren, die die meisten Informationen enthalten, die Sie benötigen, um Ihre Datenquellen mit Microsoft Sentinel zu verbinden:

Datenerfassungsmethode Zugeordneter Artikel
Azure Dienst-zu-Dienst-Integration Herstellen einer Verbindung mit Azure-, Windows-, Microsoft- und Amazon-Diensten
Common Event Format (CEF) über Syslog Erfassen von Syslog- und CEF-Nachrichten zum Microsoft Sentinel mit dem Azure Monitor-Agent
Microsoft Sentinel-Datensammler-API Herstellen einer Verbindung mit der Protokollerfassungs-API
Azure Functions und die REST-API Verwenden von Azure Functions, um Microsoft Sentinel mit Ihrer Datenquelle zu verbinden
Syslog Erfassen von Syslog- und CEF-Nachrichten zum Microsoft Sentinel mit dem Azure Monitor-Agent
Benutzerdefinierte Protokolle Benutzerdefinierte Logs über den AMA-Datenkonnektor – Konfigurieren Sie die Datenerfassung von bestimmten Anwendungen an Microsoft Sentinel

Wenn Ihre Quelle nicht verfügbar ist, können Sie einen benutzerdefinierten Connector erstellen. Benutzerdefinierte Connectors verwenden die Erfassungs-API und ähneln daher direkten Quellen. Am häufigsten implementieren Sie benutzerdefinierte Connectors mithilfe von Azure Logic Apps, das eine codelose Option bietet, oder Azure Functions.

Modul 5: Protokollverwaltung

Die erste Architekturentscheidung, die Beim Konfigurieren Microsoft Sentinel zu berücksichtigen ist, ist, wie viele und welche Arbeitsbereiche verwendet werden sollen. Weitere wichtige Architekturentscheidungen, die bei der Protokollverwaltung zu berücksichtigen sind, umfassen:

  • Wo und wie lange Daten aufbewahrt werden sollen.
  • Wie Sie den Zugriff auf Daten am besten verwalten und schützen.

Erfassen, Archivieren, Suchen und Wiederherstellen von Daten in Microsoft Sentinel

Sehen Sie sich zunächst das Webinar "Verwalten des Protokolllebenszyklus mit neuen Methoden für Erfassung, Archivierung, Suche und Wiederherstellung" an.

Diese Reihe von Features enthält Folgendes:

  • Grundlegende Erfassungsstufe: Eine neue Preisstufe für Azure Monitor-Protokolle, mit denen Sie Protokolle zu niedrigeren Kosten aufnehmen können. Diese Daten werden nur acht Tage lang im Arbeitsbereich aufbewahrt.
  • Archivebene: Für Azure Monitor Logs wurde die Aufbewahrungsfunktion von zwei Jahren auf sieben Jahre erweitert. Mit diesem neuen Tarif können Sie Daten bis zu sieben Jahre lang in einem kostengünstigen archivierten Zustand aufbewahren.
  • Suchaufträge: Suchtasks, die eingeschränkte KQL ausführen, um alle relevanten Protokolle zu finden und zurückzugeben. Diese Aufträge durchsuchen Daten auf der Analyseebene, der Basic-Ebene und archivierten Daten.
  • Datenwiederherstellung: Ein neues Feature, mit dem Sie eine Datentabelle und einen Zeitbereich auswählen können, sodass Sie Daten im Arbeitsbereich über eine Wiederherstellungstabelle wiederherstellen können.

Weitere Informationen zu diesen neuen Features finden Sie unter Erfassen, Archivieren, Suchen und Wiederherstellen von Daten in Microsoft Sentinel.

Alternative Aufbewahrungsoptionen außerhalb der Microsoft Sentinel-Plattform

Wenn Sie Daten länger als zwei Jahre aufbewahren oder die Aufbewahrungskosten reduzieren möchten, sollten Sie Azure Data Explorer für die langfristige Aufbewahrung von Microsoft Sentinel Protokollen in Betracht ziehen. Sehen Sie sich die Webinarfolien, die Webinaraufzeichnung oder den Blog an.

Möchten Sie ausführlichere Informationen? Sehen Sie sich das Webinar "Verbesserung der Breite und Abdeckung der Bedrohungssuche mit ADX-Unterstützung, mehr Entitätstypen und aktualisierter MITRE-Integration" an.

Wenn Sie eine andere Langfristige Aufbewahrungslösung bevorzugen, lesen Sie Exportieren aus Microsoft Sentinel/Log Analytics-Arbeitsbereich in Azure Storage und Event Hubs oder Verschieben von Protokollen in langfristige Speicherung mithilfe von Azure Logic Apps. Der Vorteil der Verwendung von Logic Apps besteht darin, dass verlaufsbezogene Daten exportiert werden können.

Schließlich können Sie differenzierte Aufbewahrungszeiträume mithilfe von Aufbewahrungseinstellungen auf Tabellenebene festlegen. Weitere Informationen finden Sie unter Konfigurieren von Datenaufbewahrungs- und Archivrichtlinien in Azure Überwachungsprotokolle (Vorschau).

Protokollsicherheit

Dedizierter Cluster

Verwenden Sie einen dedizierten Workspace-Cluster, wenn Ihre prognostizierte Datenaufnahme bei etwa 500 GB pro Tag oder mehr liegt. Mit einem dedizierten Cluster können Sie Ressourcen für Ihre Microsoft Sentinel Daten sichern, was eine bessere Abfrageleistung für große Datasets ermöglicht.

Modul 6: Anreicherung: Threat Intelligence, Watchlists und mehr

Eine der wichtigsten Funktionen eines SIEM besteht darin, Kontextinformationen im Ereignisstrom anzuwenden, wodurch Erkennung, Alarmpriorisierung und die Untersuchung von Sicherheitsvorfällen ermöglicht werden. Kontextinformationen umfassen z. B. Threat Intelligence, IP-Intelligenz, Host- und Benutzerinformationen sowie Watchlists.

Microsoft Sentinel bietet umfassende Tools zum Importieren, Verwalten und Verwenden von Threat Intelligence. Für andere Arten von Kontextinformationen stellt Microsoft Sentinel Watchlists und andere alternative Lösungen bereit.

Bedrohungsinformationen

Threat Intelligence ist ein wichtiger Baustein eines SIEM. Sehen Sie sich das Webinar "Erkunden der Leistungsfähigkeit von Threat Intelligence in Microsoft Sentinel" an.

In Microsoft Sentinel können Sie Bedrohungsdaten entweder mithilfe der integrierten Konnektoren für TAXII-Server (Trusted Automated eXchange of Indicator Information) oder über die Microsoft Graph Security-API integrieren. Weitere Informationen finden Sie unter Threat Intelligence-Integration in Microsoft Sentinel. Weitere Informationen zum Importieren von Threat Intelligence finden Sie im Abschnitt Modul 4: Datensammlung .

Nach dem Import wird Threat Intelligence im gesamten Microsoft Sentinel umfassend verwendet. Die folgenden Features konzentrieren sich auf die Verwendung von Threat Intelligence:

Sehen Sie sich das Webinar "Automate Your Microsoft Sentinel Triage Efforts with RiskIQ Threat Intelligence" an: YouTube oder Präsentation.

Wenig Zeit? Zeigen Sie die Ignite-Sitzung (28 Minuten) an.

Möchten Sie ausführlichere Informationen? Sehen Sie sich das Webinar "Deep Dive on Threat Intelligence" an: YouTube, MP4 oder Präsentation.

Watchlists und andere Nachschlagemechanismen

Um kontextbezogene Informationen zu importieren und zu verwalten, stellt Microsoft Sentinel Watchlists bereit. Mithilfe von Watchlists können Sie Datentabellen im CSV-Format hochladen und in Ihren KQL-Abfragen verwenden. Weitere Informationen finden Sie unter Verwenden von Watchlists in Microsoft Sentinel oder sehen Sie sich das Webinar "Verwenden von Watchlists zum Verwalten von Warnungen, Reduzieren der Ermüdung von Warnungen und Verbessern der SOC-Effizienz" an: YouTube oder Präsentation.

Verwenden Sie Watchlists, um Sie in den folgenden Szenarien zu unterstützen:

  • Untersuchen von Bedrohungen und schnelles Reagieren auf Incidents: Schnelles Importieren von IP-Adressen, Dateihashes und anderen Daten aus CSV-Dateien. Nach dem Importieren der Daten können Sie Name-Wert-Paare der Watchlist zum Verknüpfen und Filtern in Warnungsregeln, bei der Bedrohungssuche, in Arbeitsmappen, in Notebooks und für allgemeine Abfragen verwenden.

  • Importieren von Geschäftsdaten als Watchlist: Importieren Sie z. B. Listen von Benutzern mit privilegiertem Systemzugriff oder gekündigten Mitarbeitern. Verwenden Sie dann die Watchlist, um Zulassungs- und Sperrlisten zu erstellen, um zu erkennen oder zu verhindern, dass sich diese Benutzer beim Netzwerk anmelden.

  • Reduzieren der Warnungsermüdung: Erstellen Sie Zulassungslisten, um Warnungen von einer Gruppe von Benutzern zu unterdrücken, z. B. Benutzer von autorisierten IP-Adressen, die Aufgaben ausführen, die normalerweise die Warnung auslösen würden. Verhindern, dass gutartige Ereignisse zu Warnungen werden.

  • Anreichern von Ereignisdaten: Verwenden Sie Watchlists, um Ihre Ereignisdaten mit Name-Wert-Kombinationen anzureichern, die aus externen Datenquellen abgeleitet sind.

Zusätzlich zu Watchlists können Sie den KQL-Operator für externe Daten, benutzerdefinierte Protokolle und KQL-Funktionen verwenden, um Kontextinformationen zu verwalten und abzufragen. Jede der vier Methoden hat ihre Vor- und Nachteile, und Sie können mehr über die Vergleiche zwischen ihnen im Blogbeitrag "Implementing lookups in Microsoft Sentinel" (Implementieren von Nachschlagevorgängen in Microsoft Sentinel) lesen. Obwohl jede Methode anders ist, ist die Verwendung der resultierenden Informationen in Ihren Abfragen ähnlich und ermöglicht einen einfachen Wechsel zwischen ihnen.

Informationen zur Verwendung von Watchlists außerhalb von Analyseregeln finden Sie unter Verwenden Sie Watchlists, um die Effizienz während Microsoft Sentinel-Untersuchungen zu erhöhen.

Sehen Sie sich das Webinar "Verwenden von Watchlists zum Verwalten von Warnungen, Reduzieren der Warnungsermüdung und Verbesserung der SOC-Effizienz" an: YouTube oder Präsentation.

Modul 7: Protokolltransformation

Microsoft Sentinel unterstützt zwei neue Features für die Datenerfassung und -transformation. Diese von Log Analytics bereitgestellten Features reagieren auf Ihre Daten, noch bevor sie in Ihrem Arbeitsbereich gespeichert werden. Es gibt folgende Features:

Weitere Informationen finden Sie unter:

Modul 8: Migration

In vielen (wenn nicht in den meisten) Fällen verfügen Sie bereits über ein SIEM und müssen zu Microsoft Sentinel migrieren. Obwohl es ein guter Zeitpunkt ist, neu zu beginnen und Ihre SIEM-Implementierung zu überdenken, ist es sinnvoll, einige der Ressourcen zu nutzen, die Sie bereits in Ihrer aktuellen Implementierung erstellt haben. Sehen Sie sich das Webinar "Bewährte Methoden zum Konvertieren von Erkennungsregeln" (von Splunk, QRadar und ArcSight in Azure Microsoft Sentinel) an: YouTube, MP4, Präsentation oder Blog.

Möglicherweise interessieren Sie sich auch für die folgenden Ressourcen:

Modul 9: Erweitertes SIEM-Informationsmodell und Normalisierung

Das gemeinsame Arbeiten mit verschiedenen Datentypen und Tabellen kann eine Herausforderung darstellen. Sie müssen sich mit diesen Datentypen und Schemas vertraut machen, während Sie einen eindeutigen Satz von Analyseregeln, Arbeitsmappen und Huntingabfragen schreiben und verwenden. Das Korrelieren zwischen den Datentypen, die für die Untersuchung und Suche erforderlich sind, kann auch schwierig sein.

Das erweiterte SIEM-Informationsmodell (ASIM) bietet eine nahtlose Oberfläche für die Behandlung verschiedener Quellen in einheitlichen, normalisierten Sichten. ASIM entspricht dem allgemeinen Informationsmodell Open-Source Security Events Metadata (OSSEM) und fördert eine anbieterunabhängige, branchenweite Normalisierung. Sehen Sie sich das Webinar "Erweitertes SIEM-Informationsmodell (ASIM): Jetzt in Microsoft Sentinel integriert" an: YouTube oder Präsentation.

Die aktuelle Implementierung basiert auf der Abfragezeitnormalisierung, die KQL-Funktionen verwendet:

  • Normalisierte Schemata umfassen standardisierte Sätze vorhersehbarer Ereignistypen, mit denen sich leicht arbeiten und einheitliche Funktionen entwickeln lassen. Das Schema definiert, welche Felder ein Ereignis, eine normalisierte Spaltenbenennungskonvention und ein Standardformat für die Feldwerte darstellen sollen.
    • Sehen Sie sich das Webinar "Grundlegendes zur Normalisierung in Microsoft Sentinel" an: YouTube oder Präsentation.
    • Sehen Sie sich das Webinar „Deep Dive zu den normalisierenden Parsern von Microsoft Sentinel und den normalisierten Inhalten“ auf YouTube, als MP3 oder als Präsentation an.

  • Parser ordnen vorhandene Daten den normalisierten Schemas zu. Sie implementieren Parser mithilfe von KQL-Funktionen. Sehen Sie sich das Webinar "Erweitern und Verwalten von ASIM: Entwickeln, Testen und Bereitstellen von Parsern" an: YouTube oder Präsentation.

  • Zu den Inhalten für jedes normalisierte Schema gehören Analyseregeln, Arbeitsmappen und Huntingabfragen. Dieser Inhalt funktioniert mit allen normalisierten Daten, ohne dass quellspezifische Inhalte erstellt werden müssen.

Die Verwendung von ASIM bietet die folgenden Vorteile:

  • Quellübergreifende Erkennung: Normalisierte Analyseregeln funktionieren lokal und in der Cloud quellenübergreifend. Die Regeln erkennen Angriffe wie Brute-Force oder unmögliche Reisen zwischen Systemen, einschließlich Okta, AWS und Azure.

  • Ermöglicht quellunabhängige Inhalte: Das Abdecken von integrierten und benutzerdefinierten Inhalten mithilfe von ASIM wird automatisch auf jede Quelle erweitert, die ASIM unterstützt, auch wenn die Quelle nach dem Erstellen des Inhalts hinzugefügt wurde. Die Prozessereignisanalyse unterstützt z. B. jede Quelle, die ein Kunde verwenden könnte, um die Daten einzubringen, einschließlich Microsoft Defender for Endpoint, Windows-Ereignisse und Sysmon. Wir sind bereit, Sysmon für Linux und WEF hinzuzufügen, wenn es veröffentlicht wurde.

  • Unterstützung für Ihre benutzerdefinierten Quellen in integrierten Analysen

  • Benutzerfreundlichkeit: Analysten, die ASIM erlernen, finden es viel einfacher, Abfragen zu schreiben, da die Feldnamen immer identisch sind.

Weitere Informationen zu ASIM

Nutzen Sie diese Ressourcen:

  • Sehen Sie sich das Übersichts-Webinar "Grundlegendes zur Normalisierung in Azure Sentinel" an: YouTube oder Präsentation.

  • Sehen Sie sich das Webinar "Ausführliche Einblicke in Microsoft Sentinel Normalisierung von Parsern und normalisierten Inhalten" an: YouTube, MP3 oder Präsentation.

  • Sehen Sie sich das Webinar "Turbocharge ASIM: Stellen Sie sicher, dass normalisierung die Leistung unterstützt, anstatt sie zu beeinflussen" an: YouTube, MP4 oder Präsentation.

  • Lesen Sie die ASIM-Dokumentation.

ASIM bereitstellen

  • Stellen Sie die Parser aus den Ordnern bereit, beginnend mit "ASIM*" im Ordner parsers auf GitHub.

  • Aktivieren Sie Analyseregeln, die ASIM verwenden. Suchen Sie im Vorlagenkatalog nach normal , um einige davon zu finden. Um die vollständige Liste zu erhalten, verwenden Sie diese GitHub-Suche.

Verwenden von ASIM

  • Verwenden Sie die ASIM-Huntingabfragen von GitHub.

  • Verwenden Sie ASIM-Abfragen, wenn Sie KQL auf dem Protokollbildschirm verwenden.

  • Schreiben Sie ihre eigenen Analyseregeln mithilfe von ASIM, oder konvertieren Sie vorhandene Regeln.

  • Schreiben Sie Parser für Ihre benutzerdefinierten Quellen, um sie ASIM-kompatibel zu machen, und nehmen Sie an integrierten Analysen teil.

Teil 3: Erstellen von Inhalten

Was ist Microsoft Sentinel Inhalt?

Der Wert von Microsoft Sentinel Sicherheit ist eine Kombination aus seinen integrierten Funktionen und Ihrer Fähigkeit, benutzerdefinierte Funktionen zu erstellen und die integrierten anzupassen. Zu den integrierten Funktionen gehören UEBA (User and Entity Behavior Analytics), Machine Learning oder sofort einsatzbereite Analyseregeln. Benutzerdefinierte Funktionen werden häufig als "Inhalt" bezeichnet und umfassen Analyseregeln, Huntingabfragen, Arbeitsmappen, Playbooks usw.

In diesem Abschnitt haben wir die Module gruppiert, mit denen Sie lernen können, wie Sie solche Inhalte erstellen oder integrierte Inhalte an Ihre Anforderungen anpassen können. Wir beginnen mit KQL, der Verkehrssprache von Microsoft Sentinel. In den folgenden Modulen wird einer der Inhaltsbausteine wie Regeln, Playbooks und Arbeitsmappen erläutert. Zum Abschluss werden Anwendungsfälle erläutert, die Elemente verschiedener Typen umfassen, die bestimmte Sicherheitsziele erfüllen, z. B. Bedrohungserkennung, Hunting oder Governance.

Modul 10: Kusto-Abfragesprache

Die meisten Microsoft Sentinel Funktionen verwenden Kusto-Abfragesprache (KQL). Wenn Sie in Ihren Protokollen suchen, Regeln schreiben, Huntingabfragen erstellen oder Arbeitsmappen entwerfen, verwenden Sie KQL.

Im nächsten Abschnitt zum Schreiben von Regeln wird erläutert, wie KQL im spezifischen Kontext von SIEM-Regeln verwendet wird.

Während Sie KQL lernen, finden Sie möglicherweise auch die folgenden Referenzen nützlich:

Modul 11: Analyse

Schreiben geplanter Analyseregeln

Mit Microsoft Sentinel können Sie integrierte Regelvorlagen verwenden, die Vorlagen für Ihre Umgebung anpassen oder benutzerdefinierte Regeln erstellen. Der Kern der Regeln ist eine KQL-Abfrage. Es gibt jedoch viel mehr als das, was in einer Regel konfiguriert werden muss.

Informationen zum Verfahren zum Erstellen von Regeln finden Sie unter Erstellen von benutzerdefinierten Analyseregeln zum Erkennen von Bedrohungen. Um zu erfahren, wie Regeln geschrieben werden (d. h. was in eine Regel aufgenommen werden sollte, wobei der Schwerpunkt auf KQL für Regeln liegt), sehen Sie sich das Webinar an: YouTube, MP4 oder Präsentation.

SIEM-Analyseregeln weisen bestimmte Muster auf. Erfahren Sie, wie Sie Regeln implementieren und KQL für diese Muster schreiben:

Der Blogbeitrag "Blob- und Dateispeicheruntersuchungen" enthält ein Schritt-für-Schritt-Beispiel für das Schreiben einer nützlichen Analyseregel.

Verwenden integrierter Analysen

Bevor Sie mit dem Schreiben eigener Regeln beginnen, sollten Sie die integrierten Analysefunktionen in Erwägung ziehen. Sie benötigen nicht viel von Ihnen, aber es lohnt sich, darüber zu lernen:

Modul 12: Implementieren von SOAR

In modernen SIEMs, z. B. Microsoft Sentinel, bildet SOAR den gesamten Prozess ab dem Zeitpunkt, an dem ein Incident ausgelöst wird, bis zur Behebung. Dieser Prozess beginnt mit einer Incidentuntersuchung und wird mit einer automatisierten Reaktion fortgesetzt. Der Blogbeitrag "How to use Microsoft Sentinel for Incident Response, Orchestration and Automation" bietet eine Übersicht über häufige Anwendungsfälle für SOAR.

Automatisierungsregeln sind der Ausgangspunkt für Microsoft Sentinel Automatisierung. Sie bieten eine einfache Methode zur zentralisierten, automatisierten Behandlung von Vorfällen, einschließlich Unterdrückung, falsch-positiver Behandlung und automatischer Zuweisung.

Automatisierungsregeln verwenden Logic Apps-Playbooks, um stabile workflowbasierte Automatisierungsfunktionen bereitzustellen. So erhalten Sie weitere Informationen:

Suchen Sie im Ordner Playbooks auf der GitHub-Website von Microsoft Sentinel nach Dutzenden hilfreicher Playbooks, oder lesen Sie Ein Playbook, das mithilfe einer Überwachungsliste einen Abonnementbesitzer über eine Warnung informiert für eine Schritt-für-Schritt-Anleitung zu einem Playbook.

Modul 13: Arbeitsmappen, Berichterstellung und Visualisierung

Arbeitsmappen

Als Nervenzentrum Ihres SOC ist Microsoft Sentinel erforderlich, um die gesammelten und erzeugten Informationen zu visualisieren. Verwenden Sie Arbeitsmappen, um Daten in Microsoft Sentinel zu visualisieren.

Arbeitsmappen können interaktiv sein und viel mehr als nur Diagramme ermöglichen. Mit Arbeitsmappen können Sie Apps oder Erweiterungsmodule für Microsoft Sentinel erstellen, um die integrierte Funktionalität zu ergänzen. Sie können arbeitsmappen auch verwenden, um die Features von Microsoft Sentinel zu erweitern. Hier sind einige Beispiele für solche Apps:

Sie finden Dutzende von Arbeitsmappen im Ordner Arbeitsmappen im Microsoft Sentinel GitHub. Einige davon sind auch im Microsoft Sentinel Arbeitsmappenkatalog verfügbar.

Berichterstellung und andere Visualisierungsoptionen

Arbeitsmappen können für die Berichterstellung dienen. Für erweiterte Berichterstellungsfunktionen, z. B. die Planung und Verteilung von Berichten oder Pivottables, können Sie Folgendes verwenden:

Modul 14: Notebooks

Jupyter Notebooks sind vollständig in Microsoft Sentinel integriert. Obwohl sie als ein wichtiges Werkzeug im Werkzeugkasten des Jägers gelten und in den Webinaren im Abschnitt Jagd besprochen werden, ist ihr Nutzen weitaus umfassender. Notebooks können für erweiterte Visualisierungen, als Untersuchungsleitfaden und für eine komplexe Automatisierung dienen.

Um Notebooks besser zu verstehen, sehen Sie sich das Video Einführung in Notebooks an. Beginnen Sie mit dem Webinar zu Notizbüchern (YouTube, MP4 oder Präsentation), oder lesen Sie die Dokumentation. Die Microsoft Sentinel Notebooks Ninja-Serie ist eine fortlaufende Trainingsreihe, um Sie in Notebooks zu schulen.

Ein wichtiger Teil der Integration wird von MSTICPy implementiert, einer Python-Bibliothek, die von unserem Forschungsteam für die Verwendung mit Jupyter Notebooks entwickelt wurde. Sie fügt Ihren Notebooks Microsoft Sentinel Schnittstellen und anspruchsvolle Sicherheitsfunktionen hinzu.

Modul 15: Anwendungsfälle und Lösungen

Mit Connectors, Regeln, Playbooks und Arbeitsmappen können Sie Anwendungsfälle implementieren. Dies ist der SIEM-Begriff für ein Inhaltspaket, das eine Bedrohung erkennen und darauf reagieren soll. Sie können die integrierten Anwendungsfälle von Microsoft Sentinel bereitstellen, indem Sie beim Herstellen der Verbindung für jeden Connector die vorgeschlagenen Regeln aktivieren. Eine Lösung ist eine Gruppe von Anwendungsfällen, die eine bestimmte Bedrohungsdomäne adressieren.

Das Webinar "Tackling Identity" (YouTube, MP4 oder Präsentation) erläutert, was ein Anwendungsfall ist und wie man seinen Entwurf angehen kann, und es stellt mehrere Anwendungsfälle vor, die zusammen Identitätsbedrohungen behandeln.

Ein weiterer relevanter Lösungsbereich ist der Schutz von Remotearbeit. Sehen Sie sich unsere Ignite-Sitzung zum Schutz von Remotearbeit an, und erfahren Sie mehr über die folgenden spezifischen Anwendungsfälle:

Und schließlich erfahren Sie, wie Sie die Softwarelieferkette mit Microsoft Sentinel überwachen, indem Sie sich auf aktuelle Angriffe konzentrieren.

Microsoft Sentinel Lösungen bieten produktinterne Auffindbarkeit, Bereitstellung in einem Schritt und Aktivierung von End-to-End-Produkt-, Domänen- und/oder vertikalen Szenarien in Microsoft Sentinel. Weitere Informationen finden Sie unter Informationen zu Microsoft Sentinel Inhalten und Lösungen, und sehen Sie sich das Webinar "Erstellen Eigener Microsoft Sentinel-Lösungen" an: YouTube oder Präsentation.

Teil 4: Betrieb

Modul 16: Behandeln von Vorfällen

Nachdem Sie Ihr SOC erstellt haben, müssen Sie es einsetzen. Das Webinar "Tag im Leben eines SOC-Analysten" (YouTube) führt Sie durch die Verwendung von Microsoft Sentinel im SOC, um Vorfälle zu selektieren, zu untersuchen und darauf zu reagieren.

Informationen dazu, wie Sie Ihren Teams die nahtlose Zusammenarbeit über die organization und mit externen Projektbeteiligten ermöglichen, finden Sie unter Integration in Microsoft Teams direkt aus Microsoft Sentinel. Und sehen Sie sich das Webinar "Verringern der MTTR (Mean Time to Respond) ihres SOC durch Integration von Microsoft Sentinel in Microsoft Teams" an.

Sie können auch den Dokumentationsartikel zur Untersuchung von Vorfällen lesen. Im Rahmen der Untersuchung verwenden Sie auch die Entitätsseiten , um weitere Informationen zu Entitäten zu erhalten, die sich auf Ihren Vorfall beziehen oder als Teil Ihrer Untersuchung identifiziert wurden.

Die Untersuchung von Vorfällen in Microsoft Sentinel geht über die Kernfunktionalität zur Untersuchung von Vorfällen hinaus. Sie können weitere Untersuchungstools mithilfe von Arbeitsmappen und Notebooks erstellen. Notebooks werden im nächsten Abschnitt erläutert, Modul 17: Hunting. Sie können auch weitere Untersuchungstools erstellen oder vorhandene an Ihre spezifischen Anforderungen anpassen. Dazu gehören:

Modul 17: Hunting

Obwohl sich die bisherigen Ausführungen größtenteils auf Erkennung und Vorfallsverwaltung konzentriert haben, ist die Bedrohungssuche ein weiterer wichtiger Anwendungsfall für Microsoft Sentinel. Die Suche ist eine proaktive Suche nach Bedrohungen und nicht eine reaktive Reaktion auf Warnungen.

Das Jagd-Dashboard wird ständig aktualisiert. Es werden alle Abfragen angezeigt, die vom Microsoft-Team von Sicherheitsanalysten geschrieben wurden, sowie alle zusätzlichen Abfragen, die Sie erstellt oder geändert haben. Jede Abfrage enthält eine Beschreibung dessen, wonach gesucht wird und auf welcher Art von Daten sie ausgeführt wird. Diese Vorlagen sind nach ihren verschiedenen Taktiken gruppiert. Die Symbole auf der rechten Seite kategorisieren die Art der Bedrohung, z. B. Erstzugriff, Persistenz und Exfiltration. Weitere Informationen finden Sie unter Suchen nach Bedrohungen mit Microsoft Sentinel.

Um mehr darüber zu erfahren, was hunting ist und wie Microsoft Sentinel sie unterstützt, sehen Sie sich das Einführungs-Webinar "Bedrohungssuche" an: YouTube, MP4 oder Präsentation. Das Webinar beginnt mit einem Update zu neuen Features. Um mehr über die Jagd zu erfahren, beginnen Sie bei Folie 12. Das YouTube-Video ist bereits so eingestellt, dass es an dieser Stelle startet.

Obwohl sich das Einführungs-Webinar auf Tools konzentriert, dreht sich bei der Suche alles um Sicherheit. Unser Webinar des Sicherheitsforschungsteams (YouTube, MP4 oder Präsentation) konzentriert sich auf die tatsächliche Jagd.

Das anschließende Webinar „AWS-Bedrohungssuche mit Microsoft Sentinel“ (YouTube, MP4 oder Präsentation) verdeutlicht dies, indem es ein durchgängiges Hunting-Szenario in einer Umgebung mit hochwertigen Zielen zeigt.

Zuletzt erfahren Sie, wie Sie ein Hunting nach einem SolarWinds-Hack mit Microsoft Sentinel und WebShell Hunting durchführen, das auf die jüngsten Sicherheitsrisiken bei stationären Microsoft Exchange-Servern zurückgeht.

Modul 18: User and Entity Behavior Analytics (UEBA)

Das neu eingeführte modul Microsoft Sentinel User and Entity Behavior Analytics (UEBA) ermöglicht es Ihnen, Bedrohungen innerhalb Ihres organization und deren potenzielle Auswirkungen zu identifizieren und zu untersuchen, unabhängig davon, ob sie von einer kompromittierten Entität oder einem böswilligen Insider stammen.

Da Microsoft Sentinel Protokolle und Warnungen aus allen verbundenen Datenquellen sammelt, werden diese analysiert und grundlegende Verhaltensprofile der Entitäten Ihrer organization (z. B. Benutzer, Hosts, IP-Adressen und Anwendungen) über den Zeit- und Peergruppenhorizont hinweg erstellt. Durch verschiedene Techniken und Machine Learning-Funktionen können Microsoft Sentinel dann anomale Aktivitäten identifizieren und Ihnen helfen, festzustellen, ob eine Ressource kompromittiert ist. Nicht nur das, sondern es kann auch die relative Empfindlichkeit bestimmter Ressourcen ermitteln, Peergruppen von Ressourcen identifizieren und die potenziellen Auswirkungen einer bestimmten kompromittierten Ressource (ihr "Explosionsradius") bewerten. Mit diesen Informationen können Sie Ihre Untersuchung und Die Behandlung von Vorfällen effektiv priorisieren.

Erfahren Sie mehr über UEBA, indem Sie sich das Webinar (YouTube, MP4 oder Präsentation) ansehen und mehr über die Verwendung von UEBA für Untersuchungen in Ihrem SOC lesen.

Weitere Informationen zu den neuesten Updates finden Sie im Webinar "Future of Users Entity Behavioral Analytics in Microsoft Sentinel".

Modul 19: Überwachung des Zustands von Microsoft Sentinel

Ein Teil des Betriebs eines SIEM ist es, sicherzustellen, dass es reibungslos funktioniert und sich in Microsoft Sentinel weiterentwickelt. Verwenden Sie die folgenden Methoden, um den Zustand von Microsoft Sentinel zu überwachen:

Teil 5: Fortgeschrittene

Modul 20: Erweitern und Integrieren mithilfe der Microsoft Sentinel-APIs

Als cloudnatives SIEM-System ist Microsoft Sentinel ein API-First-System. Jedes Feature kann über eine API konfiguriert und verwendet werden, was eine einfache Integration in andere Systeme ermöglicht und Microsoft Sentinel mit Ihrem eigenen Code erweitert. Wenn die API für Sie einschüchternd klingt, machen Sie sich keine Sorgen. Alles, was über die API verfügbar ist, ist auch mithilfe von PowerShell verfügbar.

Weitere Informationen zu den Microsoft Sentinel-APIs finden Sie im kurzen Einführungsvideo, und lesen Sie den Blogbeitrag. Weitere Informationen finden Sie im Webinar "Erweitern und Integrieren von Sentinel (APIs)" (YouTube, MP4 oder Präsentation), und lesen Sie den Blogbeitrag Erweitern von Microsoft Sentinel: APIs, Integration und Verwaltungsautomatisierung.

Modul 21: Eigenes Machine Learning erstellen

Microsoft Sentinel bietet eine hervorragende Plattform für die Implementierung Eigener Machine Learning-Algorithmen. Wir nennen es Build-Your-Own Machine Learning-Modell oder BYO ML. BYO ML ist für fortgeschrittene Benutzer bestimmt. Wenn Sie nach integrierten Verhaltensanalysen suchen, verwenden Sie unsere Machine Learning-Analyseregeln oder das UEBA-Modul, oder schreiben Sie Ihre eigenen KQL-basierten Analyseregeln für Verhaltensanalysen.

Um eigene Machine-Learning-Modelle in Microsoft Sentinel einzubringen, sehen Sie sich zunächst das Video "Erstellen eines eigenen Machine-Learning-Modells" an, und lesen Sie den Blogbeitrag Detektionen mit eigenen Machine-Learning-Modellen im KI-gestützten Azure Sentinel-SIEM. Weitere Informationen finden Sie in der BYO ML-Dokumentation.

Nächste Schritte

Empfohlene Inhalte

  • Last updated on