Mettre à jour les processus SOC pour la migration Microsoft Sentinel

Un centre d’opérations de sécurité (SOC) est une fonction centralisée au sein d’un organization qui intègre des personnes, des processus et des technologies. Un SOC met en œuvre le cadre global de cybersécurité de l’organisation. Le SOC collabore aux efforts de l’organisation pour surveiller, alerter, prévenir, détecter, analyser et répondre aux incidents de cybersécurité. Les équipes SOC, dirigées par un responsable SOC, peuvent inclure des répondants aux incidents, des analystes SOC aux niveaux 1, 2 et 3, des chasseurs de menaces et des gestionnaires de réponse aux incidents.

Les équipes SOC utilisent les données de télémétrie de l’infrastructure informatique de l’organization, y compris les réseaux, les appareils, les applications, les comportements, les appliances et les magasins d’informations. Les équipes co-associent et analysent ensuite les données pour déterminer comment gérer les données et les actions à entreprendre.

Pour réussir la migration vers Microsoft Sentinel, vous devez mettre à jour non seulement la technologie utilisée par le SOC, mais également les tâches et processus SOC. Cet article explique comment mettre à jour vos processus SOC et analystes dans le cadre de votre migration vers Microsoft Sentinel.

Mettre à jour le flux de travail de l’analyste

Microsoft Sentinel offre une gamme d’outils qui correspondent à un flux de travail d’analyste classique, de l’affectation des incidents à la fermeture. Les analystes peuvent utiliser de manière flexible tout ou partie des outils disponibles pour trier et examiner les incidents. À mesure que votre organization migre vers Microsoft Sentinel, vos analystes doivent s’adapter à ces nouveaux ensembles d’outils, fonctionnalités et flux de travail.

Incidents dans Microsoft Sentinel

Dans Microsoft Sentinel, un incident est un ensemble d’alertes que Microsoft Sentinel déterminent ont une fidélité suffisante pour déclencher l’incident. Par conséquent, avec Microsoft Sentinel, l’analyste trie d’abord les incidents dans la page Incidents, puis procède à l’analyse des alertes, si une exploration plus approfondie est nécessaire. Comparez la terminologie des incidents et les domaines de gestion de votre solution de gestion des informations et des événements de sécurité (SIEM) avec Microsoft Sentinel.

Étapes du flux de travail d’analyste

Ce tableau décrit les étapes clés du flux de travail d’analyste et met en évidence les outils spécifiques pertinents pour chaque activité du flux de travail.

Les étapes de flux de travail suivantes mappent les activités d’analyste et la terminologie SIEM à des fonctionnalités de Microsoft Sentinel spécifiques.

Attribuer la responsabilité d’un incident

Utilisez la page Microsoft Sentinel Incidents pour attribuer des incidents. La page Incidents inclut un aperçu des incidents et une vue détaillée pour les incidents uniques.

Pour affecter un incident :

• Manuellement : Définissez le champ Propriétaire au nom d’utilisateur concerné.
• Automatiquement : Utilisez une solution personnalisée basée sur Microsoft Teams et Logic Apps, ou créez une règle d’automatisation.

Triage des incidents de sécurité

Pour effectuer un exercice de triage dans Microsoft Sentinel, vous pouvez commencer par différentes fonctionnalités Microsoft Sentinel, selon votre niveau d’expertise et la nature de l’incident faisant l’objet de l’enquête. Comme point de départ classique, sélectionnez Afficher les détails complets dans la page Incident . Vous pouvez maintenant examiner les alertes qui composent l’incident, passer en revue les signets, sélectionner des entités pour explorer plus en détail des entités spécifiques ou ajouter des commentaires.

Voici des suggestions d’actions pour poursuivre l’examen de votre incident :

• Sélectionnez Investigation pour obtenir une représentation visuelle des relations entre les incidents et les entités pertinentes.
• Utilisez un bloc-notes Microsoft Sentinel pour effectuer un exercice de triage détaillé pour une entité particulière. Vous pouvez utiliser le bloc-notes de triage des incidents pour le triage approfondi de l’entité sélectionnée.

Accélérer le triage

Utilisez ces fonctionnalités et capacités pour accélérer le tri :

• Pour un filtrage rapide, dans la page Incidents , recherchez les incidents associés à une entité spécifique. Le filtrage par entité dans la page Incidents est plus rapide que le filtrage par colonne d’entité dans les files d’attente d’incident SIEM héritées.
• Pour un tri plus rapide, utilisez l’écran Détails de l’alerte pour inclure des informations clés sur l’incident dans le nom et la description de l’incident, telles que le nom d’utilisateur, l’adresse IP ou l’hôte associé. Par exemple, un incident peut être renommé Ransomware activity detected in DC01dynamiquement en , où DC01 est une ressource critique, identifiée dynamiquement via les propriétés d’alerte personnalisables.
• Pour une analyse plus approfondie, sur la page Incidents , sélectionnez un incident et sélectionnez Événements sous Preuves pour voir les événements spécifiques qui ont déclenché l’incident. Les données d’événement sont visibles en tant que sortie de la requête associée à la règle d’analyse, plutôt que comme événement brut. L’ingénieur de migration de règles peut utiliser cette sortie pour s’assurer que l’analyste obtient les données correctes.
• Pour des informations détaillées sur l’entité, sur la page Incidents , sélectionnez un incident et sélectionnez un nom d’entité sous Entités pour consulter les informations de répertoire, la chronologie et les analyses de l’entité. Découvrez comment effectuer le mappage d’entités.
• Pour créer un lien vers des classeurs pertinents, sélectionnez Aperçu des incidents. Vous pouvez personnaliser le classeur pour afficher des informations supplémentaires sur l’incident, ou les entités associées et les champs personnalisés.

Examiner les incidents de sécurité

Utilisez le graphique d’investigation pour examiner en profondeur les incidents. Dans la page Incidents , sélectionnez un incident et sélectionnez Examiner pour afficher le graphique d’investigation.

Avec le graphique d’investigation, vous pouvez :

• Comprenez l’étendue et identifiez la cause racine des menaces de sécurité potentielles en mettant en corrélation les données pertinentes avec n’importe quelle entité impliquée.
• Explorez plus en détail les entités et choisissez entre différentes options d’extension.
• Affichez facilement les connexions entre différentes sources de données en affichant les relations extraites automatiquement des données brutes.
• Développez votre étendue d’investigation à l’aide de requêtes d’exploration intégrées pour exposer toute l’étendue d’une menace.
• Utilisez des options d’exploration prédéfinies pour vous aider à poser les bonnes questions lors de l’examen d’une menace.

À partir du graphique d’investigation, vous pouvez également ouvrir des classeurs pour soutenir davantage vos efforts d’investigation. Microsoft Sentinel comprend plusieurs modèles de classeur que vous pouvez personnaliser en fonction de votre cas d’usage spécifique.

Répondre aux incidents

Utilisez Microsoft Sentinel fonctionnalités de réponse automatisée pour répondre aux menaces complexes et réduire la fatigue des alertes. Microsoft Sentinel fournit une réponse automatisée à l’aide de playbooks Logic Apps et de règles d’automatisation.

Utilisez l’une des options suivantes pour accéder aux playbooks :

• Automatisation > onglet Modèles de playbooks
• Hub de contenu Microsoft Sentinel
• Référentiel Microsoft Sentinel playbooks GitHub

Ces sources incluent un large éventail de playbooks axés sur la sécurité qui couvrent une grande partie des cas d’usage de complexité variable. Pour simplifier votre travail avec les playbooks, utilisez les modèles dans Automation > Modèles de playbook. Les modèles vous permettent de déployer facilement des playbooks dans le Microsoft Sentinel instance, puis de les modifier en fonction des besoins de votre organization.

Consultez l’infrastructure de processus SOC pour mapper votre processus SOC aux fonctionnalités Microsoft Sentinel.

Comparez les concepts SIEM avec Microsoft Sentinel

Utilisez ce tableau pour comparer les principaux concepts de votre SIEM hérité à Microsoft Sentinel concepts.

Après la migration

Après la migration, explorez les ressources Microsoft Sentinel de Microsoft pour développer vos compétences et tirer le meilleur parti de Microsoft Sentinel.

Envisagez également d’augmenter votre protection contre les menaces en utilisant Microsoft Sentinel avec Microsoft Defender XDR et Microsoft Defender pour le cloud pour la protection intégrée contre les menaces. Bénéficiez de l’étendue de la visibilité que Microsoft Sentinel offre, tout en approfondissant l’analyse détaillée des menaces.

Contenu connexe

• Bonnes pratiques en matière de migration de règles
• Webinaire : Meilleures pratiques pour convertir les règles de détection
• Orchestration, automatisation et réponse de sécurité (SOAR) dans Microsoft Sentinel
• Mieux gérer votre SOC avec les métriques d’incident
• Microsoft Sentinel parcours d’apprentissage
• Certification SC-200 Analyste en opérations de sécurité Microsoft
• Formation Microsoft Sentinel Ninja
• Examiner une attaque sur un environnement hybride avec Microsoft Sentinel