Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Nel passaggio di implementazione per abilitare funzionalità e contenuti di Microsoft Sentinel, hai abilitato Microsoft Sentinel, il monitoraggio della salute e le soluzioni necessarie. Questo articolo illustra come configurare i diversi tipi di contenuti di sicurezza Microsoft Sentinel, che consentono di rilevare, monitorare e rispondere alle minacce alla sicurezza nei sistemi. Questo articolo fa parte della guida alla distribuzione per Microsoft Sentinel.
Configurare il contenuto di sicurezza
Segui questi passaggi per configurare i tuoi contenuti di sicurezza.
| Fase | Descrizione |
|---|---|
| Configurare i connettori dati | In base alle fonti di dati selezionate quando hai pianificato il deployment, e dopo aver abilitato funzionalità e contenuti di Microsoft Sentinel, ora puoi installare o configurare i tuoi connettori dati. - Se stai usando un connettore esistente, trova il tuo connettore dal riferimento Microsoft Sentinel data connectors. - Se stai creando un connettore personalizzato, usa le risorse per la creazione di connettori personalizzati. - Se stai configurando un connettore per assorbire i log CEF o Syslog, rivedi le opzioni di connessione CEF e Syslog. |
| Configurare le regole di analisi | Dopo aver configurato Microsoft Sentinel per raccogliere dati da tutta l'organizzazione, è possibile iniziare a usare le regole di analisi per rilevare le minacce. Selezionare i passaggi necessari per configurare e configurare le regole di analisi: - Crea regole programmate a partire dai template o crea regole programmate da zero: crea regole di analisi per aiutare a scoprire minacce e comportamenti anomali nel tuo ambiente. - Mappare i campi di dati alle entità: Aggiungere o modificare le mappature delle entità in una regola di analisi. - Mostrare i dettagli personalizzati negli avvisi: Aggiungere o modificare i dettagli personalizzati in una regola di analisi. - Personalizzare i dettagli dell'avviso: eseguire l'override delle proprietà predefinite degli avvisi con il contenuto dei risultati della query sottostante. - Esportare e importare regole di analisi: esportare le regole di analisi in file modello Azure Resource Manager (ARM) e importare regole da questi file. L'azione di esportazione crea un file JSON nel percorso di download del browser, che è quindi possibile rinominare, spostare e gestire come qualsiasi altro file. - Creare regole di analisi per il rilevamento quasi in tempo reale (NRT): creare regole di analisi quasi in tempo reale per il rilevamento immediato delle minacce, pronte all'uso. Questo tipo di regola è stato progettato per essere altamente reattivo eseguendo la query a intervalli di soli un minuto di distanza. - Usare le regole di analisi del rilevamento anomalie: usare modelli di anomalie predefiniti che usano migliaia di origini dati e milioni di eventi oppure modificare soglie e parametri per le anomalie all'interno dell'interfaccia utente. - Gestire le versioni dei modelli per le regole di analisi pianificate: tenere traccia delle versioni dei modelli di regole di analisi e ripristinare le regole attive alle versioni dei modelli esistenti o aggiornarle a nuove. - Gestire il ritardo di inserimento nelle regole di analisi pianificate: informazioni su come il ritardo di inserimento potrebbe influire sulle regole di analisi pianificate e su come risolverle per coprire queste lacune. |
| Configurare le regole di automazione | Creare regole di automazione. Definisci i trigger e le condizioni che determinano quando la tua regola di automazione per automatizzare la gestione degli incidenti viene eseguita, le varie azioni che puoi far eseguire alla regola e le restanti funzionalità e funzionalità. |
| Configurare i playbook | Un playbook di Microsoft Sentinel è una raccolta di azioni di bonifica che esegui da Microsoft Sentinel come routine, per aiutare ad automatizzare e orchestrare la risposta alla minaccia. Per configurare i playbook: - Esaminare i playbook consigliati - Creare playbook dai modelli: un modello di playbook è un flusso di lavoro predefinito, testato e pronto all'uso che può essere personalizzato in base alle proprie esigenze. I modelli possono anche fungere da riferimento per le procedure consigliate per lo sviluppo di playbook da zero o come fonte di ispirazione per nuovi scenari di automazione. - Rivedere come creare un playbook di Microsoft Sentinel |
| Configurare le cartelle di lavoro |
Le cartelle di lavoro offrono un canvas flessibile per l'analisi dei dati e la creazione di report visivi avanzati all'interno di Microsoft Sentinel. I modelli di cartella di lavoro consentono di ottenere rapidamente informazioni dettagliate sui dati non appena si connette un'origine dati. Per configurare le cartelle di lavoro: - Esaminare le cartelle di lavoro Microsoft Sentinel di uso comune - Usare i modelli di cartella di lavoro esistenti disponibili con soluzioni in pacchetto - Crea cartelle di lavoro personalizzate a partire dai tuoi dati |
| Configura liste di controllo |
Gli watchlist consentono di correlare i dati di un'origine dati fornita con gli eventi nell'ambiente Microsoft Sentinel. Per configurare gli elenchi di controllo: - Creare elenchi di controllo - Creare query o regole di rilevamento con le watchlist: Interrogare i dati in qualsiasi tabella confrontandoli con i dati di una watchlist, trattando la watchlist come una tabella per eseguire join e ricerche. Quando si crea un elenco di controllo, si definisce SearchKey. La chiave di ricerca è il nome di una colonna nella watchlist che prevedi di usare per unire altri dati o come oggetto di ricerche frequenti. |
Configurare connettori dati
In base alle origini dati selezionate durante la pianificazione della distribuzione e dopo aver abilitato le soluzioni pertinenti, è ora possibile installare o configurare i connettori dati.
- Se stai usando un connettore esistente, trova il tuo connettore da questa lista completa di connettori data.
- Se stai creando un connettore personalizzato, usa queste risorse.
- Se stai configurando un connettore per assorbire i log CEF o Syslog, rivedi queste opzioni.
Imposta regole di analisi
Dopo aver configurato Microsoft Sentinel per raccogliere dati da tutta l'organizzazione, è possibile iniziare a usare le regole di analisi per rilevare le minacce. Selezionare i passaggi necessari per configurare e configurare le regole di analisi:
- Crea regole programmate da template o da zero: crea regole di analisi per aiutare a individuare minacce e comportamenti anomali nel tuo ambiente.
- Mappare i campi dati alle entità: Aggiungi o modifica le mappature delle entità in una regola di analytics.
- Surface dettagli personalizzati negli avvisi: aggiungi o modifica dettagli personalizzati in una regola di analytics.
- Personalizza i dettagli degli avvisi: sovrascrivi le proprietà predefinite degli avvisi con il contenuto dei risultati della query sottostante.
- Esporta e importa regole di analytics: esporta le tue regole di analytics nei file template di Azure Resource Manager (ARM) e importa regole da questi file. L'azione di esportazione crea un file JSON nella posizione di download del browser che puoi poi rinominare, spostare e gestire come qualsiasi altro file.
- Crea regole di analisi per il rilevamento quasi in tempo reale (NRT): Crea regole di analisi in tempo breve per il rilevamento delle minacce up-toil minuto, appena realizzato. Questo tipo di regola è progettato per essere altamente reattivo eseguendo la query a intervalli di solo un minuto di distanza.
- Lavora con regole di analisi per il rilevamento delle anomalie: Lavora con template di anomalie integrati che utilizzano migliaia di fonti di dati e milioni di eventi, oppure modificano soglie e parametri per le anomalie all'interno dell'interfaccia utente.
- Gestisci le versioni dei template per le tue regole di analisi programmate: monitora le versioni dei tuoi modelli di regole di analytics e ripristina le regole attive alle versioni esistenti, oppure aggiornale con di nuove.
- Gestire il ritardo nell'ingestione nelle regole di analisi programmate: scopri come il ritardo nell'ingestione possa influenzare le tue regole di analisi programmate e come puoi risolverle per coprire queste lacune.
Imposta regole di automazione
Innanzitutto, crea regole di automazione. Definisci i trigger e le condizioni che determinano quando viene eseguita la regola di automazione, le varie azioni che puoi far eseguire alla regola e le altre caratteristiche e funzionalità.
Impostare playbook
Un playbook è una raccolta di azioni correttive eseguite da Microsoft Sentinel come routine, per automatizzare e orchestrare la risposta alle minacce. Per configurare i playbook:
- Rivedi i playbook consigliati.
- Crea playbook da template: Un modello playbook è un flusso di lavoro precostruito, testato e pronto all'uso che può essere personalizzato per soddisfare le tue esigenze. I modelli possono anche fungere da riferimento per le procedure consigliate per lo sviluppo di playbook da zero o come fonte di ispirazione per nuovi scenari di automazione.
- Rivedi questi passaggi per creare un manuale di gioco.
Configura quaderni di esercizi
Le cartelle di lavoro offrono un canvas flessibile per l'analisi dei dati e la creazione di report visivi avanzati all'interno di Microsoft Sentinel. I modelli di cartella di lavoro consentono di ottenere rapidamente informazioni dettagliate sui dati non appena si connette un'origine dati. Per configurare le cartelle di lavoro:
- Rivedi i workbook Microsoft Sentinel comunemente usati.
- Utilizza i modelli di workbook esistenti disponibili con soluzioni confezionate.
- Crea quaderni personalizzati sui tuoi dati.
Configura liste di controllo
Gli watchlist consentono di correlare i dati di un'origine dati fornita con gli eventi nell'ambiente Microsoft Sentinel. Per configurare gli elenchi di controllo:
- Crea liste di controllo.
- Costruisci query o regole di rilevamento con watchlist: consulta dati in qualsiasi tabella rispetto a dati provenienti da una watchlist trattando la watchlist come una tabella per join e ricerche. Quando si crea un elenco di controllo, si definisce SearchKey. La chiave di ricerca è il nome di una colonna nella watchlist che prevedi di usare per unire altri dati o come oggetto di ricerche frequenti.