Ricerca di minacce in Microsoft Sentinel

Gli analisti e gli investigatori della sicurezza vogliono essere proattivi nella ricerca di minacce alla sicurezza, ma i vari sistemi e le appliance di sicurezza generano montagne di dati che possono essere difficili da analizzare e filtrare in eventi significativi. Microsoft Sentinel dispone di potenti strumenti di ricerca e query per rilevare minacce alla sicurezza nelle origini dati dell'organizzazione. Per aiutare gli analisti della sicurezza a cercare in modo proattivo nuove anomalie che non vengono rilevate dalle app di sicurezza o anche dalle regole di analisi pianificate, le query di ricerca consentono di porre le domande corrette per trovare i problemi nei dati già presenti nella rete.

Ad esempio, una query predefinita fornisce dati relativi ai processi meno comuni in esecuzione nella tua infrastruttura. Non si vuole un avviso ogni volta che vengono eseguiti processi non comuni. Questi processi potrebbero essere completamente innocenti. Ma potresti voler dare un'occhiata alla query uncommon-processes ogni tanto per vedere se c'è qualcosa di insolito.

Importante

Dopo il 31 marzo 2027, Microsoft Sentinel non sarà più supportato nel portale di Azure e sarà disponibile solo nel portale di Microsoft Defender. Tutti i clienti che usano Microsoft Sentinel nel portale di Azure verranno reindirizzati al portale di Defender e useranno Microsoft Sentinel solo nel portale di Defender.

Se si usa ancora Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza di operazioni di sicurezza unificata offerta da Microsoft Defender.

Nota

Le dirette streaming di Microsoft Sentinel non sono più disponibili. Per automatizzare query e notifiche, usare processi KQL, regole di analisi o playbook. Queste alternative offrono risultati di query persistenti e supporto per varie piattaforme di messaggistica.

Ricerche in Microsoft Sentinel (anteprima)

Con le ricerche in Microsoft Sentinel, cercare minacce non rilevate e comportamenti dannosi creando un'ipotesi, cercando i dati, convalidando tale ipotesi e agendo quando necessario. Creare nuove regole di analisi, intelligence sulle minacce e eventi imprevisti in base ai risultati.

Funzionalità Descrizione
Definire un'ipotesi Per definire un'ipotesi, trovare ispirazione dalla mappa MITRE, dai risultati delle query di ricerca recenti, dalle soluzioni dell'hub del contenuto o generare ricerche personalizzate.
Analizzare le query e aggiungere i risultati ai segnalibri Dopo aver definito un'ipotesi, passare alla scheda Query della pagina Ricerca. Selezionare le query correlate all'ipotesi e Alla nuova ricerca per iniziare. Eseguire query correlate alla ricerca e analizzare i risultati usando l'esperienza dei log. Aggiungi i risultati direttamente ai segnalibri nella tua indagine per annotare le tue scoperte, estrarre gli identificatori delle entità e conservare le query pertinenti.
Analizzare e intervenire Analizzare in modo ancora più approfondito usando le pagine delle entità UEBA. Eseguire playbook specifici per entità sulle entità salvate nei segnalibri. Usare le azioni predefinite per creare nuove regole analitica, indicatori di minaccia e eventi imprevisti in base ai risultati.
Tenere traccia dei risultati Registrare i risultati della ricerca. Tenere traccia della convalida o meno dell'ipotesi. Lasciare note dettagliate nei commenti. Le ricerche collegano automaticamente nuove regole analitiche ed eventi. Tenere traccia dell'impatto complessivo del programma di ricerca con la barra delle metriche.

Per iniziare, vedi Condurre un'attività proattiva end-to-end di ricerca delle minacce in Microsoft Sentinel.

Query di ricerca

In Microsoft Sentinel in Defender, selezionare Gestione delle minacce>Ricerca, quindi la scheda Query per eseguire tutte le query o un sottoinsieme selezionato. La scheda Query elenca tutte le query di ricerca installate con soluzioni di sicurezza dall'hub contenuto e tutte le query aggiuntive create o modificate. Ogni query fornisce una descrizione della ricerca e del tipo di dati in cui viene eseguita. Tutte le query di caccia nella scheda Query sono raggruppate secondo le loro tattiche MITRE ATT&CK. Le icone nella parte superiore della scheda Query classificano il tipo di minaccia, ad esempio l'accesso iniziale, la persistenza e l'esfiltrazione. Le tecniche MITRE ATT&CK sono illustrate nella colonna Tecniche e descrivono il comportamento specifico identificato dalla query di ricerca.

Microsoft Sentinel inizia la ricerca

Usa la scheda Query per individuare da dove iniziare l’analisi, osservando il conteggio dei risultati, i picchi o la variazione del conteggio dei risultati nell’arco di 24 ore. Ordina e filtra in base a preferiti, origine dati, tattica o tecnica MITRE ATT&CK, risultati, delta risultati o percentuale delta dei risultati. Visualizzare le query che necessitano ancora di origini dati connesse e ottenere consigli su come abilitare queste query.

La tabella seguente descrive in dettaglio le azioni disponibili nel dashboard di hunting:

Azione Descrizione
Scopri come le query vengono applicate al tuo ambiente Selezionare il pulsante Esegui tutte le query oppure selezionare un subset di query usando le caselle di controllo a sinistra di ogni riga e selezionare il pulsante Esegui query selezionate .

L'esecuzione delle query può richiedere da pochi secondi a molti minuti, a seconda del numero di query selezionate, dell'intervallo di tempo e della quantità di dati sottoposti a query.
Visualizzare le query che hanno restituito i risultati Al termine dell'esecuzione delle query, visualizzare le query che hanno restituito i risultati usando il filtro Risultati :
- Ordina per vedere quali query hanno avuto il maggior o il minor numero di risultati.
- Visualizzare le query che non sono affatto attive nell'ambiente selezionando N/D nel filtro Risultati .
- Passare il puntatore del mouse sull'icona delle informazioni (i) accanto all'N/D per vedere quali origini dati sono necessarie per rendere attiva questa query.
Identificare i picchi nei dati Identificare i picchi nei dati ordinando o filtrando in base al delta dei risultati o alla percentuale differenziale dei risultati.

Le metriche percentuali delta e delta dei risultati confrontano i risultati delle ultime 24 ore con quelli delle 24-48 ore precedenti, evidenziando eventuali grandi differenze o differenze relative di volume.
Visualizzare le query mappate alla tattica MITRE ATT&CK Nella parte superiore della tabella, la barra delle tattiche MITRE ATT&CK elenca il numero di query mappate a ogni tattica MITRE ATT&CK. La barra della tattica viene aggiornata dinamicamente in base al set corrente di filtri applicati.

Consente di visualizzare le tattiche MITRE ATT&CK visualizzate quando si filtra in base a un determinato numero di risultati, un delta dei risultati elevato, risultati N/D o qualsiasi altro set di filtri.
Visualizzare le query mappate alle tecniche MITRE ATT&CK Le query possono anche essere associate alle tecniche MITRE ATT&CK. È possibile filtrare o ordinare in base alle tecniche MITRE ATT&CK utilizzando il filtro Tecnica. Aprendo una query, è possibile selezionare la tecnica per visualizzare la descrizione di MITRE ATT&CK della tecnica.
Salva una query tra i preferiti Le query salvate nei preferiti vengono eseguite automaticamente ogni volta che si accede alla pagina Ricerca . È possibile creare una query di ricerca personalizzata o clonare e personalizzare un modello di query di ricerca esistente.
Eseguire query Selezionare Esegui query nella pagina dei dettagli della query di ricerca per eseguire la query direttamente dalla pagina di ricerca. Il numero di corrispondenze viene visualizzato all'interno della tabella, nella colonna Risultati. Esamina l'elenco delle query di ricerca e le relative corrispondenze.
Esaminare una query sottostante Esegui un rapido esame della query di base nel riquadro dei dettagli della query. Per visualizzare i risultati, fare clic sul collegamento Visualizza risultati query (sotto la finestra della query) o sul pulsante Visualizza risultati (nella parte inferiore del riquadro). La query apre la pagina Logs (Log Analytics) e, sotto la query, è possibile visualizzare le corrispondenze della query.

Usare le query prima, durante e dopo una compromissione per eseguire le azioni seguenti:

  • Prima che si verifichi un evento imprevisto: l'attesa dei rilevamenti non è sufficiente. Agisci in modo proattivo eseguendo almeno una volta alla settimana tutte le query di threat hunting correlate ai dati che stai acquisendo nell'area di lavoro.

    I risultati della ricerca proattiva forniscono informazioni tempestive sugli eventi che potrebbero confermare che è in corso un compromesso o almeno mostrare aree più deboli nell'ambiente a rischio e che richiedono attenzione.

  • Durante una compromissione: monitorare attivamente gli eventi per determinare l'azione successiva di un attore di minacce, inviare notifiche alle persone giuste e intervenire per arrestare un attacco in corso.

    • Usare i processi KQL per monitorare il comportamento degli utenti malintenzionati e rendere persistenti i risultati delle query nel data lake Microsoft Sentinel.
    • Analizzate i risultati salvati con strumenti come Security Copilot, notebook Jupyter, Ricerca avanzata e query KQL.
    • Inviare notifiche a Teams, posta elettronica e altre piattaforme di messaggistica.

  • Dopo una compromissione: dopo una compromissione o un evento imprevisto, assicurarsi di migliorare la copertura e le informazioni dettagliate per evitare incidenti simili in futuro.

    • Modificare le query esistenti o crearne di nuove per facilitare il rilevamento anticipato, in base alle informazioni dettagliate ottenute dalla compromissione o dall'evento imprevisto.

    • Se è stata individuata o creata una query di ricerca che fornisce informazioni dettagliate sui possibili attacchi, creare regole di rilevamento personalizzate basate su tale query e visualizzare tali informazioni come avvisi per i risponditori di eventi imprevisti di sicurezza.

      Visualizza i risultati della query e seleziona Nuova regola di avviso>Crea avviso di Microsoft Sentinel. Usa la procedura guidata delle regole di Analisi per creare una nuova regola basata sulla query. Per altre informazioni, vedere Creare regole di analisi personalizzate per rilevare le minacce.

    • Esporta i risultati delle analisi e collegali a casi specifici per migliorare la collaborazione del SOC.

È anche possibile creare query di ricerca sui dati archiviati in Azure Esplora dati. Per maggiori informazioni, consulta Costruiti query cross-resource nella documentazione di Monitoraggio di Azure.

Per trovare altre query e origini dati, vai a Hub dei contenuti in Microsoft Sentinel oppure consulta risorse della community come il repository GitHub di Microsoft Sentinel.

Query di ricerca predefinite

Molte soluzioni di sicurezza includono query di ricerca predefinite. Dopo aver installato una soluzione che include la ricerca di query dall'hub contenuto, le query predefinite per tale soluzione vengono visualizzate nella scheda Query di ricerca. Le query vengono eseguite sui dati archiviati in tabelle di log, ad esempio per la creazione di processi, eventi DNS o altri tipi di evento.

Molte query di ricerca disponibili sono sviluppate da ricercatori di sicurezza Microsoft su base continua. Aggiungono nuove query alle soluzioni di sicurezza e ottimizzano le query esistenti per fornire un punto di ingresso per cercare nuovi rilevamenti e attacchi.

Query di ricerca personalizzate

Crea o modifica una query e salvala come una query personale oppure condividila con gli utenti dello stesso tenant. In Microsoft Sentinel, crea una query di ricerca personalizzata dalla scheda Ricerca>query.

L'immagine seguente mostra la funzionalità di salvataggio delle query nel portale Defender.

Salva query

Per altre informazioni, vedere Creare query di ricerca personalizzate in Microsoft Sentinel.

Segnalibri per tenere traccia dei dati

La ricerca delle minacce richiede in genere la revisione di montagne di dati di log alla ricerca di prove di comportamenti dannosi. Durante questo processo, gli investigatori trovano gli eventi che vogliono ricordare, rivisitare e analizzare come parte della convalida di potenziali ipotesi e della comprensione della storia completa di un compromesso.

Durante il processo di ricerca e indagine, è possibile che si verifichino risultati di query insoliti o sospetti. Aggiungi questi elementi ai segnalibri per poterli consultare di nuovo in futuro, ad esempio durante la creazione o l'arricchimento di un incidente per le indagini. Eventi quali potenziali cause principali, indicatori di compromissione o altri eventi rilevanti devono essere contrassegnati con un segnalibro. Se un evento chiave che hai aggiunto ai segnalibri è sufficientemente grave da giustificare un'indagine, trasforma l'evento aggiunto ai segnalibri in un incidente.

Nota

I segnalibri non sono disponibili nella caccia avanzata, che offre un'esperienza di query unificata nei dati di Microsoft Defender e Microsoft Sentinel. Tuttavia, i segnalibri sono ancora disponibili in Microsoft Sentinel>Threat management>Hunting, che fornisce l'esperienza di ricerca specifica del Microsoft Sentinel. È anche possibile usare alternative, ad esempio tag degli eventi imprevisti, query salvate o tabelle di ricerca personalizzate per mantenere e tenere traccia del contesto di indagine.

  • Nei risultati contrassegnare le caselle di controllo per le righe da mantenere e selezionare Aggiungi segnalibro. Selezionando Aggiungi segnalibro viene creato un segnalibro per ogni riga contrassegnata contenente i risultati della riga e la query che ha creato i risultati. È possibile aggiungere tag e note personalizzati a ogni segnalibro.

    • Come per le regole di analisi pianificate, è possibile arricchire i segnalibri con mapping delle entità per estrarre più tipi di entità e identificatori, e con mapping MITRE ATT&CK per associare tattiche e tecniche specifiche.
    • Per impostazione predefinita, i segnalibri usano la stessa entità e il mapping delle tecniche MITRE ATT&CK della query che ha prodotto i risultati contrassegnati.

  • Per visualizzare tutti i risultati con segnalibro, fare clic sulla scheda Segnalibri nella pagina ricerca principale. Aggiungere tag ai segnalibri per classificarli per il filtro. Ad esempio, se si sta analizzando una campagna di attacco, è possibile creare un tag per la campagna, applicare il tag a eventuali segnalibri pertinenti e quindi filtrare tutti i segnalibri in base alla campagna.

  • Esaminare una singola ricerca con segnalibro selezionando il segnalibro e quindi facendo clic su Analizza nel riquadro dei dettagli per aprire l'esperienza di indagine. Visualizzare, analizzare e comunicare visivamente i risultati usando un diagramma di entità-grafo interattivo e una sequenza temporale. È anche possibile selezionare direttamente un'entità elencata per visualizzare la pagina dell'entità corrispondente.

    È anche possibile creare un evento imprevisto da uno o più segnalibri oppure aggiungere uno o più segnalibri a un evento imprevisto esistente. Selezionare una casella di controllo a sinistra dei segnalibri da usare e quindi selezionare Azioni >Crea nuovo evento imprevisto o Aggiungi a un evento imprevisto esistente. Classificare e indagare l'incidente come qualsiasi altro incidente.

  • Visualizzare i dati con segnalibro direttamente nella tabella HuntingBookmark nell'area di lavoro Log Analytics. Ad esempio:

    Screenshot della tabella dei segnalibri di ricerca nell'area di lavoro Log Analytics.

    La visualizzazione dei segnalibri dalla tabella consente di filtrare, riepilogare e unire dati con segnalibri con altre origini dati, semplificando la ricerca di prove corroboranti.

Per iniziare a usare i segnalibri, vedere Tenere traccia dei dati durante la ricerca con Microsoft Sentinel.

Notebook per l'alimentazione delle indagini

Quando la ricerca e le indagini diventano più complesse, usare Microsoft Sentinel notebook per migliorare l'attività con Machine Learning, visualizzazioni e analisi dei dati.

I notebook offrono una sorta di sandbox virtuale, completa del proprio kernel, in cui è possibile eseguire un'indagine completa. Il notebook può includere i dati non elaborati, il codice eseguito su tali dati, i risultati e le relative visualizzazioni. Salvare i notebook in modo che sia possibile condividerli con altri utenti per riutilizzarli nell'organizzazione.

I taccuini possono essere utili quando la ricerca o l'indagine diventano troppo ampie per poterle ricordare facilmente o visualizzarne i dettagli, oppure quando è necessario salvare query e risultati. Per semplificare la creazione e la condivisione di notebook, Microsoft Sentinel offre Jupyter Notebooks, un ambiente open source, di sviluppo interattivo e di manipolazione dei dati, integrato direttamente nella pagina Microsoft Sentinel Notebooks.

Per altre informazioni, vedere:

La tabella seguente descrive alcuni metodi di uso dei notebook di Jupyter per semplificare i processi in Microsoft Sentinel:

Metodo Descrizione
Persistenza dei dati, ripetibilità e backtracking Se si usano molte query e molti set di risultati, è probabile imbattersi in alcuni vicoli ciechi. È necessario decidere quali query e risultati mantenere e come accumulare i risultati utili in un singolo report.

Usare Jupyter Notebooks per salvare query e dati man mano che si procede, usare le variabili per rieseguire le query con valori o date diversi o salvare le query per eseguire nuovamente le indagini future.
Scripting e programmazione Usare Jupyter Notebooks per aggiungere programmazione alle query, tra cui:

- Linguaggi dichiarativi come Linguaggio di query Kusto (KQL) o SQL, per codificare la logica in un'unica istruzione, possibilmente complessa.
- Linguaggi di programmazione procedurali, per eseguire la logica in una serie di passaggi.

Suddividere la logica in passaggi per visualizzare ed eseguire il debug dei risultati intermedi, aggiungere funzionalità che potrebbero non essere disponibili nel linguaggio di query e riutilizzare i risultati parziali nei passaggi di elaborazione successivi.
Collegamenti a dati esterni Anche se Microsoft Sentinel tabelle contengono la maggior parte dei dati di telemetria e degli eventi, Jupyter Notebooks può collegarsi a tutti i dati accessibili tramite la rete o da un file. L'uso di Jupyter Notebooks consente di includere dati come:

- Dati in servizi esterni di cui non si è proprietari, ad esempio dati di georilevazione o origini di intelligence sulle minacce
- Dati sensibili archiviati solo all'interno dell'organizzazione, ad esempio database di risorse umane o elenchi di asset di alto valore
- Dati di cui non è stata ancora eseguita la migrazione nel cloud.
Strumenti specializzati per l'elaborazione dati, machine learning e visualizzazione Jupyter Notebooks offre più visualizzazioni, librerie di Machine Learning e funzionalità di elaborazione e trasformazione dei dati.

Ad esempio, usare Jupyter Notebooks con le funzionalità Python seguenti:
- pandas per l'elaborazione, la pulizia e la progettazione dei dati
- Matplotlib, HoloViews e Plotly per la visualizzazione
- NumPy e SciPy per l'elaborazione numerica e scientifica avanzata
- scikit-learn per il machine learning
- TensorFlow, PyTorch e Keras per l'apprendimento avanzato

Suggerimento: Jupyter Notebooks supporta kernel in più lingue. Usa magics per mescolare le lingue all'interno dello stesso notebook, consentendo l'esecuzione di singole celle in un'altra lingua. Ad esempio, è possibile recuperare i dati usando una cella di script di PowerShell, elaborare i dati in Python e usare JavaScript per eseguire il rendering di una visualizzazione.

Strumenti di sicurezza MSTIC, Jupyter e Python

Microsoft Threat Intelligence Center (MSTIC) è un team di analisti e ingegneri della sicurezza Microsoft che creano rilevamenti di sicurezza per diverse piattaforme Microsoft e lavorano sull'identificazione e l'analisi delle minacce.

MSTIC ha creato MSTICPy, una libreria per le indagini sulla sicurezza delle informazioni e la ricerca in Jupyter Notebooks. MSTICPy offre funzionalità riutilizzabili che hanno lo scopo di velocizzare la creazione di notebook e semplificare la lettura dei notebook in Microsoft Sentinel.

Ad esempio, MSTICPy può:

  • Interrogare i dati di log da più fonti.
  • Arricchisci i dati con informazioni sulle minacce, geolocalizzazioni e dati delle risorse di Azure.
  • Estrarre gli indicatori di attività (IoA) dai log e decomprimere i dati codificati.
  • Eseguire analisi sofisticate, ad esempio il rilevamento di sessioni anomale e la scomposizione di serie temporali.
  • Visualizzare i dati usando sequenze temporali interattive, alberi di elaborazione e grafici di morphing multidimensionali.

MSTICPy include anche alcuni strumenti notebook che consentono di risparmiare tempo, ad esempio widget che impostano i limiti del tempo di query, selezionano e visualizzano elementi dagli elenchi e configurano l'ambiente notebook.

Per altre informazioni, vedere:

Operatori e funzioni utili

Le query di ricerca sono scritte in Kusto Query Language (KQL), un potente linguaggio di query con supporto IntelliSense che offre la potenza e la flessibilità necessarie per portare le attività di hunting a un livello superiore.

KQL è lo stesso linguaggio usato dalle query nelle regole di analisi e altrove in Microsoft Sentinel. Per altre informazioni, vedere Informazioni di riferimento sul linguaggio di query.

Gli operatori seguenti sono particolarmente utili per le query di hunting in Microsoft Sentinel:

  • where : filtrare una tabella in base al subset di righe che soddisfano un predicato.

  • summarize : produce una tabella che aggrega il contenuto della tabella di input.

  • join : unire le righe di due tabelle per formare una nuova tabella associando i valori delle colonne specificate da ogni tabella.

  • count : restituisce il numero di record nel set di record di input.

  • top : restituisce i primi N record ordinati in base alle colonne specificate.

  • limit : restituisce fino al numero specificato di righe.

  • project : selezionare le colonne da includere, rinominare o eliminare e inserire nuove colonne calcolate.

  • extend : creare colonne calcolate e aggiungerle al set di risultati.

  • makeset : restituisce una matrice dinamica (JSON) del set di valori distinti desiderati da Expr nel gruppo

  • find : trovare le righe che corrispondono a un predicato in un set di tabelle.

  • adx() - Questa funzione esegue query tra risorse sulle origini dati di Esplora dati di Azure dall'esperienza di ricerca di Microsoft Sentinel e da analisi dei log. Per ulteriori informazioni, vedere Query tra più risorse in Esplora dati di Azure usando Monitoraggio di Azure.

Contenuti correlati

Per altre informazioni sulla ricerca delle minacce in Microsoft Sentinel, vedere gli articoli seguenti:

  • Last updated on