Usare gli indicatori di minaccia nelle regole di analisi

Puoi usare le regole di analisi delle mappe TI in Microsoft Sentinel per rilevare le minacce. Queste regole abbinano i tuoi indicatori di minaccia importati con gli eventi provenienti da fonti di dati connesse. Quando si trova una corrispondenza, le regole generano avvisi e incidenti che il team può esaminare.

Prerequisiti

• Indicatori di minaccia. Questi indicatori possono provenire da feed di intelligence sulle minacce, piattaforme di intelligence per le minacce, importazione in blocco da un file flat o input manuale.
• Origini dati. Gli eventi dei connettori dati devono essere trasmessi all'area di lavoro Microsoft Sentinel.
• Regola di analisi del formato TI map.... La regola di analisi deve utilizzare questo formato in modo da poter mappare i tuoi indicatori di minaccia agli eventi che hai ingerito.

Configurare una regola per generare avvisi di sicurezza

Il seguente esempio mostra come abilitare e configurare una regola che genera avvisi di sicurezza dagli indicatori di minaccia importati. Questo esempio utilizza il modello di regola denominato TI map IP entity to AzureActivity. Questa regola abbina qualsiasi indicatore di minaccia all'indirizzo IP con i tuoi eventi di Azure Activity. Quando viene trovata una corrispondenza, vengono generati un avviso e un incidente correlato che il team delle operazioni di sicurezza dovrà esaminare.

Questa particolare regola di analisi richiede il connettore dati Azure Activity (per importare gli eventi a livello di sottoscrizione Azure). Richiede anche uno o entrambi i connettori dati di Threat Intelligence (per importare gli indicatori di minaccia). La regola TI map IP entity to AzureActivity si attiva anche con indicatori importati o creati manualmente.

1. Nel portale di Azure passare a Microsoft Sentinel.

2. Scegli l'area di lavoro in cui hai importato gli indicatori di minaccia usando i connettori dati di Threat Intelligence e i dati di Attività di Azure usando il connettore dati Attività di Azure.

3. Nel menu Microsoft Sentinel selezionare Analisi nella sezione Configurazione.

4. Selezionare la scheda Modelli di regola per visualizzare l'elenco dei modelli di regole di analisi disponibili.

5. Trova la regola intitolata TI mappa l'entità IP ad AzureActivity e assicurati di aver connesso tutte le origini dati necessarie.

   

6. Selezionare la regola TI map IP entity to AzureActivity. Selezionare quindi Crea regola per aprire una configurazione guidata delle regole. Configura le impostazioni nella procedura guidata, quindi seleziona Avanti: Imposta la logica della regola >.

   

7. La sezione della procedura guidata relativa alla logica delle regole è precompilata con i seguenti elementi:

   • La query utilizzata nella regola.
   • Mapping delle entità, che consentono a Microsoft Sentinel di riconoscere entità come account, indirizzi IP e URL. Gli incidenti e le indagini consentono quindi di capire come usare i dati negli eventuali avvisi di sicurezza generati da questa regola.
   • Pianificazione per l'esecuzione di questa regola.
   • Numero di risultati della query necessari prima che venga generato un avviso di sicurezza.

   Le impostazioni predefinite nel modello sono:

   • Eseguire una volta all'ora.
   • Trovare la corrispondenza tra gli indicatori di minaccia degli indirizzi IP della ThreatIntelligenceIndicator tabella e qualsiasi indirizzo IP trovato nell'ultima ora di eventi della AzureActivity tabella.
   • Generare un avviso di sicurezza se i risultati della query sono maggiori di zero per indicare che sono state trovate corrispondenze.
   • Assicurarsi che la regola sia abilitata.

   È possibile lasciare le impostazioni predefinite o modificarle per soddisfare i requisiti. È possibile definire le impostazioni di generazione degli eventi imprevisti nella scheda Impostazioni evento imprevisto . Per altre informazioni, vedere Creare regole di analisi personalizzate per rilevare le minacce. Al termine, selezionare la scheda Risposta automatizzata .

8. Configurare qualsiasi automazione da attivare quando viene generato un avviso di sicurezza da questa regola di analisi. L'automazione in Microsoft Sentinel usa combinazioni di regole di automazione e playbook basati su app per la logica Azure. Per ulteriori informazioni, vedi Esercitazione: Usare i playbook con le regole di automazione in Microsoft Sentinel. Al termine, selezionare Avanti: Rivedi > per continuare.

9. Quando viene visualizzato un messaggio che indica che la convalida della regola è stata superata, selezionare Crea.

Esaminare le regole

Trovare le regole abilitate nella scheda Regole attive della sezione Analisi di Microsoft Sentinel. Nella scheda Regole attive è possibile modificare, abilitare, disabilitare, duplicare o eliminare la regola attiva. La nuova regola viene eseguita immediatamente all'attivazione e quindi viene eseguita in base alla pianificazione definita.

In base alle impostazioni predefinite, ogni volta che la regola viene eseguita nella relativa pianificazione, tutti i risultati trovati generano un avviso di sicurezza. Microsoft Sentinel archivia questi avvisi in una tabella di log denominata SecurityAlert. Per visualizzarle, passare alla sezione Log di Microsoft Sentinel e, nel gruppo di Microsoft Sentinel, eseguire una query sulla SecurityAlert tabella.

In Microsoft Sentinel, anche gli avvisi generati dalle regole di analisi generano eventi imprevisti di sicurezza. Nel menu Microsoft Sentinel selezionare Eventi imprevisti in Gestione delle minacce. Gli incidenti sono ciò che i team delle operazioni di sicurezza esaminano in fase di triage e indagano per determinare le azioni di risposta più appropriate. Per altre informazioni, vedere Esercitazione: Analizzare gli eventi imprevisti con Microsoft Sentinel.

Contenuto correlato

• Usare gli indicatori di minaccia in Microsoft Sentinel
• Usa STIX/TAXII per importare ed esportare informazioni sulle minacce in Microsoft Sentinel
• Collega la tua piattaforma di threat intelligence a Microsoft Sentinel
• Integrazione dell'intelligence sulle minacce in Microsoft Sentinel