Búsqueda de amenazas en Microsoft Sentinel

Como analistas e investigadores de seguridad, quieren ser proactivos a la hora de buscar amenazas de seguridad, pero sus diversos sistemas y appliances de seguridad generan enormes cantidades de datos que pueden ser difíciles de procesar y filtrar para convertirlos en eventos significativos. Microsoft Sentinel tiene herramientas eficaces de búsqueda y consulta para buscar amenazas de seguridad en los orígenes de datos de la organización. Para ayudar a los analistas de seguridad a buscar proactivamente nuevas anomalías que no detectan las aplicaciones de seguridad o incluso las reglas de análisis programadas, las consultas de búsqueda le guían para formular las preguntas adecuadas para encontrar problemas en los datos que ya tiene en la red.

Por ejemplo, una consulta integrada proporciona datos sobre los procesos más poco comunes que se ejecutan en la infraestructura. No querrá una alerta cada vez que se ejecuten esos procesos poco comunes. Esos procesos podrían ser completamente inocentes. Pero quizá quieras echar un vistazo a la consulta de procesos poco comunes de vez en cuando para ver si hay algo fuera de lo común.

Importante

Después del 31 de marzo de 2027, Microsoft Sentinel ya no se admitirá en el Azure Portal y solo estará disponible en el portal de Microsoft Defender. Todos los clientes que usen Microsoft Sentinel en el Azure Portal se redirigirán al portal de Defender y solo usarán Microsoft Sentinel en el portal de Defender.

Si sigue usando Microsoft Sentinel en el Azure Portal, le recomendamos que empiece a planear la transición al portal de Defender para garantizar una transición sin problemas y aprovechar al máximo la experiencia de operaciones de seguridad unificadas que ofrece Microsoft Defender.

Nota:

Las retransmisiones en directo de Microsoft Sentinel ya no están disponibles. Para automatizar consultas y notificaciones, use tareas de KQL, reglas de analítica o playbooks. Estas alternativas ofrecen resultados de consultas persistentes y compatibilidad con varias plataformas de mensajería.

Búsquedas en Microsoft Sentinel (versión preliminar)

Con búsquedas en Microsoft Sentinel, busque amenazas no detectadas y comportamientos malintencionados creando una hipótesis, buscando datos, validando esa hipótesis y actuando cuando sea necesario. Cree nuevas reglas de análisis, inteligencia sobre amenazas e incidentes en función de sus conclusiones.

Capacidades Descripción
Definición de una hipótesis Para definir una hipótesis, busque inspiración en el mapa MITRE, los resultados de consultas de búsqueda recientes, las soluciones del centro de contenido o genere sus propias búsquedas personalizadas.
Investigar consultas y guardar resultados en marcadores Después de definir una hipótesis, vaya a la pestaña Consultas de la página Búsqueda. Seleccione las consultas relacionadas con la hipótesis y Nueva búsqueda para empezar. Ejecute consultas relacionadas con la búsqueda e investigue los resultados mediante la experiencia de registros. Agregue los resultados directamente a la búsqueda para anotar los resultados, extraer identificadores de entidad y conservar las consultas pertinentes.
Investigar y tomar medidas Investigar más a fondo usando las páginas de entidades de UEBA. Ejecute cuadernos de estrategias específicos de entidades en entidades con marcadores. Use acciones integradas para crear nuevas reglas de análisis, indicadores de amenazas e incidentes basados en resultados.
Seguimiento de los resultados Registre los resultados de la búsqueda. Realice un seguimiento de si su hipótesis se valida o no. Deje notas detalladas en los comentarios. Hunts vincula automáticamente nuevas reglas analíticas e incidentes. Realice un seguimiento del impacto general del programa de búsqueda con la barra de métricas.

Para empezar, consulte Realización de la búsqueda proactiva de amenazas de un extremo a otro en Microsoft Sentinel.

Consultas de búsqueda

En Microsoft Sentinel en Defender, seleccione Administración de amenazas>Búsqueda y, después, la pestaña Consultas para ejecutar todas sus consultas o un subconjunto seleccionado. En la pestaña Consultas se enumeran todas las consultas de búsqueda instaladas con soluciones de seguridad del centro de contenido y cualquier consulta adicional que haya creado o modificado. En cada consulta se proporciona una descripción de lo que se busca y en qué tipo de datos se ejecuta. Todas las consultas de búsqueda de la pestaña Consultas se agrupan por las tácticas de MITRE ATT&CK. Los iconos de la parte superior de la pestaña Consultas clasifican el tipo de amenaza, como el acceso inicial, la persistencia y la filtración. Las técnicas de MITRE ATT&CK se muestran en la columna Técnicas y describen el comportamiento específico identificado por la consulta de búsqueda.

Microsoft Sentinel inicia la búsqueda

Use la pestaña consultas para identificar dónde empezar a buscar, examinando el recuento de resultados, los picos o el cambio en el recuento de resultados durante un período de 24 horas. Puede ordenar y filtrar por favoritos, origen de datos, táctica o técnica MITRE ATT&CK, resultados, delta de resultados o porcentaje delta de resultados. Vea las consultas que todavía necesitan orígenes de datos conectados y obtenga recomendaciones sobre cómo habilitar estas consultas.

La siguiente tabla describe en detalle las acciones disponibles en el panel de control de hunting:

Acción Descripción
Vea cómo se aplican las consultas al entorno Seleccione el botón Ejecutar todas las consultas o seleccione un subconjunto de consultas con las casillas situadas a la izquierda de cada fila y seleccione el botón Ejecutar consultas seleccionadas .

La ejecución de las consultas puede tardar entre unos segundos y muchos minutos, en función del número de consultas seleccionadas, el intervalo de tiempo y la cantidad de datos que se consultan.
Visualización de las consultas que devolvieron los resultados Una vez que las consultas terminen de ejecutarse, vea las consultas que devolvieron los resultados mediante el filtro Resultados :
- Ordena para ver qué consultas tuvieron más resultados o menos resultados.
- Para ver las consultas que no están activas en el entorno, seleccione N/A en el filtro Resultados .
- Mantenga el puntero sobre el icono de información (i) situado junto a la N/A para ver qué orígenes de datos son necesarios para activar esta consulta.
Identificación de picos en los datos Identifique los picos en los datos ordenando o filtrando por Delta de resultados o Porcentaje de delta de resultados.

Las métricas porcentuales delta de resultados y delta de resultados comparan los resultados de las últimas 24 horas con los de las 24-48 horas anteriores, destacando cualquier diferencia significativa o relativa en volumen.
Visualización de consultas asignadas a la táctica MITRE ATT&CK La barra de tácticas de MITRE ATT&CK, en la parte superior de la tabla, muestra cuántas consultas están asignadas a cada táctica de MITRE ATT&CK. La barra de tácticas se actualiza dinámicamente en función del conjunto actual de filtros aplicados.

Permite ver qué tácticas de MITRE ATT&CK se muestran al filtrar por un recuento de resultados determinado, un delta de resultados alto, resultados de N/A o cualquier otro conjunto de filtros.
Ver consultas asociadas a técnicas de ATT&CK de MITRE Las consultas también se pueden asignar a técnicas de MITRE ATT&CK. Puede filtrar o clasificar por las técnicas de MITRE ATT&CK mediante el filtro Technique. Al abrir una consulta, puede seleccionar la técnica para ver la descripción de la técnica en MITRE ATT&CK.
Guardar una consulta en sus favoritos Las consultas guardadas en sus favoritos se ejecutan automáticamente cada vez que se accede a la página Búsqueda . Puede crear su propia consulta de búsqueda o clonar y personalizar una plantilla de consulta de búsqueda existente.
Ejecución de consultas Seleccione Ejecutar consulta en la página de detalles de la consulta de búsqueda para ejecutar la consulta directamente desde la página de búsqueda. El número de coincidencias se muestra dentro de la tabla, en la columna Resultados . Revise la lista de consultas de búsqueda y las coincidencias encontradas correspondientes.
Revisión de una consulta subyacente Realice una revisión rápida de la consulta subyacente en el panel de detalles de la consulta. Para ver los resultados, haga clic en el vínculo Ver resultados de la consulta (debajo de la ventana de consulta) o en el botón Ver resultados (en la parte inferior del panel). La consulta abre la página Registros (Log Analytics) y, debajo de la consulta, puede revisar las coincidencias de la consulta.

Use consultas antes, durante y después de un compromiso para realizar las siguientes acciones:

  • Antes de que se produzca un incidente: no basta con esperar las detecciones. Adopte medidas proactivas ejecutando, al menos una vez a la semana, cualquier consulta de búsqueda de amenazas relacionada con los datos que está incorporando a su espacio de trabajo.

    Los resultados de su búsqueda proactiva proporcionan indicios tempranos sobre eventos que pueden confirmar que se está produciendo un compromiso o, al menos, mostrar puntos débiles en su entorno que presentan riesgo y requieren atención.

  • Durante un compromiso de seguridad: supervise activamente los eventos para ayudar a determinar la siguiente acción de un agente malicioso, envíe notificaciones a las personas adecuadas y tome medidas para detener un ataque en curso.

  • Después de una intrusión: Después de que se haya producido una intrusión o un incidente, asegúrese de mejorar la cobertura y la visibilidad para evitar incidentes similares en el futuro.

    • Modifique las consultas existentes o cree otras nuevas para facilitar la detección precoz, basándose en la información obtenida a partir de su compromiso o incidente.

    • Si ha detectado o creado una consulta de búsqueda que proporciona información de alto valor sobre posibles ataques, cree reglas de detección personalizadas basadas en esa consulta y expon dicha información como alertas para los respondedores de incidentes de seguridad.

      Vea los resultados de la consulta y seleccione Nueva regla de alerta>Crear alerta de Microsoft Sentinel. Use el Asistente para reglas de Analytics para crear una nueva regla basada en la consulta. Para obtener más información, consulte Creación de reglas de análisis personalizadas para detectar amenazas.

    • Exporte los resultados y vincúlelos a casos específicos para mejorar la colaboración de SOC.

También puede crear consultas de búsqueda a través de datos almacenados en Azure Data Explorer. Para más información, consulte Crear consultas entre recursos en la documentación de Azure Monitor.

Para encontrar más consultas y orígenes de datos, vaya al centro de contenido de Microsoft Sentinel o consulte recursos de la comunidad como Microsoft Sentinel repositorio de GitHub.

Consultas de búsqueda listas para usar

Muchas soluciones de seguridad incluyen consultas de búsqueda listas para usar. Después de instalar una solución que incluye consultas de búsqueda desde el centro de contenido, las consultas predefinidas para esa solución se muestran en la pestaña Consultas de búsqueda. Las consultas se ejecutan en datos almacenados en tablas de registro, como para la creación de procesos, eventos DNS u otros tipos de eventos.

Muchos de los investigadores de seguridad de Microsoft desarrollan muchas consultas de búsqueda disponibles de forma continua. Agregan nuevas consultas a las soluciones de seguridad y ajustan las consultas existentes para proporcionarle un punto de entrada para buscar nuevas detecciones y ataques.

Consultas de búsqueda personalizadas

Cree o edite una consulta y guárdela como su propia consulta o compártela con los usuarios que están en el mismo inquilino. En Microsoft Sentinel, cree una consulta de búsqueda personalizada desde la pestaña Hunting>Queries.

En la imagen siguiente se muestra la experiencia de guardar consultas en el portal de Defender.

Guardar consulta

Para obtener más información, consulte Creación de consultas de búsqueda personalizadas en Microsoft Sentinel.

Marcadores para realizar un seguimiento de los datos

La búsqueda de amenazas normalmente requiere revisar las montañas de datos de registro en busca de pruebas de comportamiento malintencionado. Durante este proceso, los investigadores encuentran eventos que quieren recordar, revisar y analizar como parte de la validación de posibles hipótesis y la comprensión de la historia completa de un compromiso.

Durante el proceso de búsqueda e investigación, es posible que encuentre resultados de consulta que parezcan inusuales o sospechosos. Marque estos elementos para hacer referencia a ellos en el futuro, como al crear o enriquecer un incidente para su investigación. Los eventos como las posibles causas principales, los indicadores de riesgo u otros eventos importantes se deben generar como marcadores. Si un evento clave marcado es lo suficientemente grave como para garantizar una investigación, escale el evento marcado a un incidente.

Nota:

Los marcadores no están disponibles en la búsqueda avanzada, lo que proporciona una experiencia de consulta unificada en Microsoft Defender y datos Microsoft Sentinel. Sin embargo, los marcadores siguen disponibles en Microsoft Sentinel>Administración de amenazas>Búsqueda, que proporciona la experiencia de búsqueda específica de Microsoft Sentinel. También puede usar alternativas como etiquetas de incidentes, consultas guardadas o tablas de búsqueda personalizadas para conservar y realizar un seguimiento del contexto de investigación.

  • En los resultados, marque las casillas de las filas que quiera conservar y seleccione Agregar marcador. Al seleccionar Agregar marcador , se crea un marcador para cada fila marcada que contiene los resultados de la fila y la consulta que creó los resultados. Puede agregar sus propias etiquetas y notas a cada marcador.

    • Igual que sucede con las reglas de análisis programadas, puede enriquecer los marcadores con asignaciones de entidades para extraer varios tipos de entidades e identificadores, y asignaciones de MITRE ATT&CK para asociar tácticas y técnicas concretas.
    • Los marcadores utilizan por defecto las mismas asignaciones de entidades y técnicas ATT&CK de MITRE que la consulta de búsqueda que produjo los resultados marcados.

  • Para ver todos los resultados marcados, haga clic en la pestaña Marcadores de la página principal búsqueda . Agregue etiquetas a los marcadores para clasificarlas para el filtrado. Por ejemplo, si está investigando una campaña de ataque, puede crear una etiqueta para la campaña, aplicar la etiqueta a los marcadores pertinentes y, a continuación, filtrar todos los marcadores en función de la campaña.

  • Para investigar un único hallazgo guardado en marcadores, seleccione el marcador y, a continuación, haga clic en Investigar en el panel de detalles para abrir la vista de investigación. Vea, investigue y comunique visualmente sus conclusiones mediante un diagrama interactivo de entity-graph y una escala de tiempo. También puede seleccionar directamente una entidad enumerada para ver la página de entidad correspondiente de esa entidad.

    También puede crear un incidente a partir de uno o varios marcadores, o agregar uno o varios marcadores a un incidente existente. Active una casilla a la izquierda de los marcadores que quiera usar y, a continuación, seleccione Acciones> de incidenteCrear nuevo incidente o Agregar a un incidente existente. Clasifique e investigue el incidente como cualquier otro incidente.

  • Vea los datos marcados directamente en la tabla HuntingBookmark del área de trabajo de Log Analytics. Por ejemplo:

    Captura de pantalla de la tabla de marcadores de búsqueda en el área de trabajo de Log Analytics.

    La visualización de marcadores desde la tabla permite filtrar, resumir y combinar datos marcados con otros orígenes de datos, lo que facilita la búsqueda de pruebas corroborantes.

Para empezar a usar marcadores, consulte Seguimiento de los datos durante la búsqueda con Microsoft Sentinel.

Cuadernos para impulsar las investigaciones

Cuando la búsqueda y las investigaciones sean más complejas, use Microsoft Sentinel cuadernos para mejorar su actividad con aprendizaje automático, visualizaciones y análisis de datos.

Los notebooks proporcionan una especie de entorno aislado virtual, con su propio kernel, en el que se puede llevar a cabo un análisis completo. El cuaderno puede incluir los datos sin procesar, el código que se ejecuta en esos datos, los resultados y sus visualizaciones. Guarde los cuadernos para que pueda compartirlos con otros usuarios para reutilizarlos en su organización.

Los cuadernos pueden ser útiles cuando la búsqueda o la investigación se convierten en demasiado grandes para recordar fácilmente, ver detalles o cuando necesita guardar consultas y resultados. Para ayudarle a crear y compartir cuadernos, Microsoft Sentinel proporciona cuadernos de Jupyter Notebook, un entorno de desarrollo interactivo de código abierto y manipulación de datos, integrado directamente en la página cuadernos de Microsoft Sentinel.

Para más información, vea:

En la tabla siguiente se describen algunos métodos de uso de cuadernos de Jupyter Notebook para ayudar a los procesos de Microsoft Sentinel:

Método Descripción
Persistencia, repetibilidad y retroceso de datos Si trabajas con muchas consultas y conjuntos de resultados, es probable que te encuentres con algunos callejones sin salida. Debe decidir qué consultas y resultados conservar y cómo acumular los resultados útiles en un único informe.

Use Cuadernos de Jupyter Notebook para guardar consultas y datos a medida que vaya, use variables para volver a ejecutar consultas con valores o fechas diferentes o guarde las consultas para volver a ejecutarlas en futuras investigaciones.
Creación de scripts y programación Use Jupyter Notebooks para agregar programación a las consultas, entre las que se incluyen:

- Lenguajes declarativos como Lenguaje de consulta Kusto (KQL) o SQL, para codificar la lógica en una sola instrucción, posiblemente compleja.
- Lenguajes de programación de procedimientos para ejecutar la lógica en una serie de pasos.

Divida la lógica en pasos para ayudarle a ver y depurar resultados intermedios, agregar funcionalidad que podría no estar disponible en el lenguaje de consulta y reutilizar los resultados parciales en pasos de procesamiento posteriores.
Vínculos a datos externos Aunque las tablas de Microsoft Sentinel contienen la mayor parte de los datos de telemetría y eventos, los cuadernos de Jupyter Notebook pueden conectarse a cualquier dato accesible a través de su red o desde un archivo. El uso de Cuadernos de Jupyter Notebook le permite incluir datos como:

- Datos en servicios externos que no posee, como datos de geolocalización o orígenes de inteligencia sobre amenazas
- Datos confidenciales que se almacenan solo dentro de la organización, como bases de datos de recursos humanos o listas de recursos de alto valor
- Datos que aún no ha migrado a la nube.
Herramientas especializadas de procesamiento de datos, aprendizaje automático y visualización Jupyter Notebooks proporciona más visualizaciones, bibliotecas de aprendizaje automático y características de procesamiento y transformación de datos.

Por ejemplo, use Jupyter Notebooks con las siguientes funcionalidades de Python :
- pandas para el procesamiento de datos, la limpieza y la ingeniería
- Matplotlib, HoloViews y Plotly para la visualización
- NumPy y SciPy para el procesamiento numérico y científico avanzado
- scikit-learn para el aprendizaje automático
- TensorFlow, PyTorch y Keras para el aprendizaje profundo

Sugerencia: Jupyter Notebooks admite varios kernels de lenguaje. Use magias para mezclar idiomas dentro del mismo cuaderno, permitiendo la ejecución de celdas individuales mediante otro idioma. Por ejemplo, puede recuperar datos mediante una celda de script de PowerShell, procesar los datos en Python y usar JavaScript para representar una visualización.

Herramientas de seguridad de MSTIC, Jupyter y Python

El Centro de inteligencia sobre amenazas de Microsoft (MSTIC) es un equipo de analistas e ingenieros de seguridad de Microsoft que crean detecciones de seguridad para varias plataformas de Microsoft y trabajan en la identificación e investigación de amenazas.

MSTIC ha creado MSTICPy, una biblioteca para investigaciones de seguridad de la información y búsqueda en cuadernos de Jupyter Notebook. MSTICPy proporciona funcionalidad reutilizable que tiene como objetivo acelerar la creación de cuadernos y facilitar a los usuarios la lectura de cuadernos en Microsoft Sentinel.

Por ejemplo, MSTICPy puede:

  • Consulta de datos de registro de varios orígenes.
  • Enriquecer los datos con inteligencia sobre amenazas, geolocalizaciones y datos de recursos de Azure.
  • Extraiga indicadores de actividad (IoA) de los registros y desempaquete los datos codificados.
  • Realice análisis sofisticados, como la detección de sesiones anómalas y la descomposición de series temporales.
  • Visualice los datos mediante escalas de tiempo interactivas, árboles de proceso y gráficos morph multidimensionales.

MSTICPy también incluye algunas herramientas de cuaderno que ahorran tiempo, como widgets que establecen límites de tiempo de consulta, seleccionan y muestran elementos de listas y configuran el entorno del cuaderno.

Para más información, vea:

Funciones y operadores útiles

Las consultas de búsqueda están integradas en Lenguaje de consulta Kusto (KQL), un lenguaje de consulta eficaz con lenguaje IntelliSense que le proporciona la eficacia y flexibilidad que necesita para llevar la búsqueda al siguiente nivel.

KQL es el mismo lenguaje que se utiliza en las consultas de las reglas de análisis y en otras partes de Microsoft Sentinel. Para obtener más información, vea Referencia del lenguaje de consulta.

Los siguientes operadores son especialmente útiles en las consultas de búsqueda de Microsoft Sentinel:

  • where : filtre una tabla al subconjunto de filas que satisfacen un predicado.

  • summarize : genera una tabla que agrega el contenido de la tabla de entrada.

  • join : combine las filas de dos tablas para formar una nueva tabla haciendo coincidir los valores de las columnas especificadas de cada tabla.

  • count : devuelve el número de registros del conjunto de registros de entrada.

  • top : devuelve los primeros N registros ordenados por las columnas especificadas.

  • limit : devuelve hasta el número especificado de filas.

  • project : seleccione las columnas para incluir, cambiar el nombre o quitar e insertar nuevas columnas calculadas.

  • extend : cree columnas calculadas y anexelas al conjunto de resultados.

  • makeset : devuelve una matriz dinámica (JSON) del conjunto de valores distintos que Expr toma en el grupo.

  • buscar : busque filas que coincidan con un predicado en un conjunto de tablas.

  • adx() - Esta función realiza consultas entre recursos de los orígenes de datos de Azure Data Explorer desde la experiencia de búsqueda de Microsoft Sentinel y Log Analytics. Para obtener más información, consulte Consulta entre recursos de Azure Data Explorer mediante Azure Monitor.

Contenido relacionado

Para obtener más información sobre la búsqueda de amenazas en Microsoft Sentinel, consulte los siguientes artículos:

  • Last updated on