Condurre una ricerca proattiva completa delle minacce in Microsoft Sentinel

La ricerca proattiva delle minacce è un processo in cui gli analisti della sicurezza cercano minacce non rilevate e comportamenti dannosi. Creando un'ipotesi, cercando i dati e convalidando tale ipotesi, determinano su cosa agire. Le azioni possono includere la creazione di nuovi rilevamenti, una nuova intelligence sulle minacce o la creazione di un nuovo evento imprevisto.

Usa l'esperienza di ricerca end-to-end in Microsoft Sentinel per:

• Eseguire la ricerca proattiva in base a tecniche MITRE specifiche, attività potenzialmente dannose, minacce recenti o ipotesi personalizzata.
• Usare query di ricerca generate da ricercatori di sicurezza o query di ricerca personalizzate per analizzare comportamenti dannosi.
• Eseguire le ricerche usando più schede di query persistenti che consentono di mantenere il contesto nel tempo.
• Raccogliere prove, analizzare le origini UEBA e annotare i risultati usando segnalibri specifici di ricerca.
• Collaborare e documentare i risultati con commenti.
• Agire in base ai risultati creando nuove regole di analisi, nuovi incidenti, nuovi indicatori di minaccia ed eseguendo playbook.
• Tieni traccia delle tue ricerche nuove, attive e chiuse in un unico posto.
• Visualizzare le metriche in base a ipotesi e risultati tangibili convalidati.

Prerequisiti

Per usare la funzionalità Hunt, è necessario che ti venga assegnato un ruolo predefinito di Microsoft Sentinel oppure un ruolo RBAC personalizzato di Azure. Le opzioni disponibili sono le seguenti:

• Eseguire l'assegnazione di ruolo Collaboratore di Microsoft Sentinel predefinita.
  Per altre informazioni sui ruoli in Microsoft Sentinel, vedere Ruoli e autorizzazioni in Microsoft Sentinel.

• Assegnare un ruolo RBAC personalizzato di Azure con le autorizzazioni appropriate per Microsoft.SecurityInsights/hunts.

Per altre informazioni, vedere Ruoli e autorizzazioni nella piattaforma Microsoft Sentinel.

Definire l'ipotesi

La definizione di un'ipotesi è un processo aperto e flessibile e può includere qualsiasi idea che si vuole convalidare. Le ipotesi comuni includono:

• Comportamento sospetto: analizzare attività potenzialmente dannose visibili nell'ambiente per determinare se si verifica un attacco.
• Nuova campagna sulle minacce: cercare i tipi di attività dannose in base agli attori, alle tecniche o alle vulnerabilità appena individuati. Questo potrebbe essere qualcosa di cui hai sentito parlare in un articolo di notizie sulla sicurezza.
• Lacune di rilevamento - Aumenta la copertura del rilevamento utilizzando la mappa MITRE ATT&CK per identificare le lacune.

Microsoft Sentinel offre la flessibilità necessaria per individuare il giusto insieme di query di hunting con cui esaminare l'ipotesi. Quando si crea una caccia, è possibile avviarla con query di caccia preselezionate oppure aggiungere query man mano che si procede. Di seguito sono riportate raccomandazioni per query preselezionate basate su queste ipotesi comuni: comportamento sospetto, nuove campagne di minacce e lacune nel rilevamento.

Ipotesi - Comportamento sospetto

1. Per Microsoft Sentinel nel portale di Azure, in Gestione delle minacce selezionare Ricerca.
   Per Microsoft Sentinel nel portale di Defender, selezionare Microsoft Sentinel>Threat management>Hunting.

2. Selezionare la scheda Query . Per identificare comportamenti potenzialmente dannosi, eseguire tutte le query.

3. Selezionare Esegui tutte le query> in attesa dell'esecuzione delle query. Eseguire tutte le query potrebbe richiedere un po' di tempo.

4. Selezionare Aggiungi filtro>Risultati> deselezionare le caselle di controllo con i valori "!", "N/A", "-", e "0" >Applica

5. Ordina i risultati filtrati delle query per la colonna Delta dei Risultati per vedere cosa è cambiato di recente. I risultati filtrati della query forniscono una guida iniziale sulla ricerca.

Ipotesi - Nuova campagna di minaccia

L'hub del contenuto offre soluzioni basate su domini e campagne di minaccia per cercare attacchi specifici. Nei passaggi seguenti si installa una campagna di minacce o una soluzione basata su dominio.

1. Vai a Content Hub.

2. Installare una campagna di minacce o una soluzione basata su dominio, ad esempio il rilevamento della vulnerabilità Log4J o Apache Tomcat.

   

3. Dopo aver installato la soluzione selezionata, in Microsoft Sentinel, vai su Hunting.

4. Selezionare la scheda Query .

5. Eseguire la ricerca in base al nome della soluzione o filtrare in base al nome di origine della soluzione.

6. Selezionare ed Eseguire la query.

Ipotesi - Lacune nel rilevamento

La mappa MITRE ATT&CK consente di identificare lacune specifiche nella copertura di rilevamento. Usare query di ricerca predefinite per specifiche tecniche MITRE ATT&CK come punto di partenza per sviluppare una nuova logica di rilevamento.

1. Passare alla pagina MITRE ATT&CK (anteprima).

2. Deseleziona gli elementi nel menu a discesa Attivo.

3. Selezionare Ricerca di query nel filtro Simulato per visualizzare le tecniche a cui sono associate le query di ricerca.

   

4. Selezionare la scheda con la tecnica desiderata.

5. Selezionare il collegamento Visualizza accanto a Query di ricerca nella parte inferiore del riquadro dei dettagli. Il link Visualizza apre una vista filtrata della scheda Query nella pagina Hunting per la tecnica selezionata.

   

6. Seleziona tutte le query relative a quella tecnica.

Creare una ricerca

Esistono due modi principali per creare una ricerca.

1. Se hai iniziato con un'ipotesi in cui hai selezionato delle query, seleziona il menu a discesa Hunt actions>Crea una nuova ricerca. Tutte le query selezionate vengono clonate per questa nuova ricerca.

   

2. Se non hai ancora deciso quali query usare, seleziona la scheda Hunts (Preview)>Nuova ricerca per creare una ricerca vuota.

   

3. Compilare il nome della ricerca e i campi facoltativi. La descrizione è un buon posto per verbalizzare la tua ipotesi. Il menu a discesa Ipotesi consente di impostare lo stato dell'ipotesi di lavoro.

4. Selezionare Crea per iniziare.

   

Visualizzare i dettagli della ricerca

Dopo aver creato una ricerca, aprire la relativa pagina dei dettagli per esaminare query, segnalibri ed entità.

1. Selezionare la scheda Hunts (Anteprima) per visualizzare la nuova ricerca.

2. Selezionare il collegamento di ricerca per nome per visualizzare i dettagli ed eseguire azioni.

   

3. Visualizzare il riquadro dei dettagli con il nome della ricerca, la descrizione, il contenuto, l'ora dell'ultimo aggiornamento e l'ora di creazione.

4. Nota le schede Query, Segnalibri e Entità.

   

Scheda delle query

La scheda Query contiene query di ricerca specifiche per questa ricerca. Queste query sono cloni degli originali, indipendenti da tutte le altre query nell'area di lavoro. Aggiornarle o eliminarle senza influire sul set generale di query di individuazione o sulle query in altre ricerche di individuazione.

Aggiungere una query alla ricerca

Per aggiungere query di ricerca esistenti alla ricerca corrente, completare la procedura seguente.

1. Selezionare Azioni query>aggiungere query alla ricerca
2. Selezionare le query da aggiungere.

Eseguire query

Eseguire le query nella ricerca per generare ed esaminare i risultati correnti.

1. Selezionare Esegui tutte le query o scegliere query specifiche e selezionare Esegui query selezionate.
2. Selezionare Annulla per annullare l'esecuzione della query in qualsiasi momento.

Gestire le query

È possibile gestire le singole query di ricerca dal menu di scelta rapida nella scheda Query .

1. Fare clic con il pulsante destro del mouse su una query e scegliere una delle opzioni seguenti dal menu di scelta rapida:

   • Esegui
   • Modifica
   • Clone
   • Elimina
   • Creare una regola di analisi

   

   Le opzioni del menu contestuale si comportano esattamente come quelle nella tabella delle query esistente nella pagina Caccia , tranne che le azioni si applicano solo all'interno di questa ricerca. Quando si sceglie di creare una regola di analisi, il nome, la descrizione e la query KQL sono precompilati nella schermata di creazione della nuova regola. Viene creato un collegamento per visualizzare la nuova regola di analisi disponibile in Regole di analisi correlate.

   

Visualizzare i risultati

La funzionalità Visualizza risultati consente di visualizzare i risultati delle query di ricerca nell'esperienza di ricerca Log Analytics. Da qui, analizzare i risultati, perfezionare le query e aggiungere un segnalibro per registrare le informazioni e analizzare ulteriormente i singoli risultati delle righe.

1. Selezionare il pulsante Visualizza risultati .
2. Se si passa a un'altra sezione del portale di Microsoft Sentinel e poi si torna all'esperienza di ricerca nei log di LA dalla pagina Ricerca, tutte le schede delle query LA rimangono disponibili.
3. Queste schede della query LA vengono perse se si chiude la scheda del browser. Se si desidera rendere persistenti le query a lungo termine, è necessario salvare la query, creare una nuova query di ricerca o aggiungere un commento per usarle in un secondo momento all'interno della ricerca.

Aggiungere un segnalibro

Quando si trovano risultati interessanti o righe importanti di dati, aggiungere tali risultati alla ricerca creando un segnalibro. Per altre informazioni, vedere Usare i segnalibri di ricerca per le indagini sui dati.

1. Selezionare la riga o le righe desiderate.

2. Sopra la tabella dei risultati selezionare Aggiungi segnalibro.

3. Assegnare al segnalibro il nome .

4. Imposta la colonna dell'orario dell'evento.

5. Mappare gli identificatori di entità.

6. Imposta le tattiche e le tecniche MITRE.

7. Aggiungere tag e aggiungere note.

   I segnalibri conservano i risultati della riga specifica, la query KQL e l'intervallo di tempo che ha generato il risultato.

8. Selezionare Crea per aggiungere il segnalibro alla ricerca.

Visualizzare i segnalibri

Usare la scheda Segnalibri per esaminare i risultati salvati ed eseguire azioni di completamento.

1. Passa alla scheda dei segnalibri dell'indagine per visualizzare i tuoi segnalibri.

   

2. Selezionare un segnalibro desiderato ed eseguire le azioni seguenti:

   • Selezionare i collegamenti di entità per visualizzare la pagina dell'entità UEBA corrispondente.
   • Visualizzare risultati non elaborati, tag e note.
   • Selezionare Visualizza query di origine per visualizzare la query di origine in Log Analytics.
   • Selezionare Visualizza log dei segnalibri per visualizzare il contenuto del segnalibro nella tabella dei segnalibri di ricerca di Log Analytics.
   • Selezionare il pulsante Analizza per visualizzare il segnalibro e le entità correlate nel grafico di indagine.
   • Selezionare il pulsante Modifica per aggiornare i tag, le tattiche e le tecniche MITRE e le note.

Interagire con le entità

Usare la scheda Entità per analizzare le entità raccolte dai segnalibri nella ricerca.

1. Passare alla scheda Entità della ricerca per visualizzare, cercare e filtrare le entità contenute nella ricerca. Questo elenco viene generato dall'elenco di entità nei segnalibri. La scheda Entità risolve automaticamente le voci duplicate.

2. Seleziona i nomi delle entità per visitare la corrispondente pagina dell'entità User and Entity Behavior Analytics (UEBA).

3. Clicca con il tasto destro sull'entità per adottare azioni appropriate ai tipi di entità, come aggiungere un indirizzo IP a Threat Intelligence (TI) o eseguire un playbook specifico per il tipo di entità.

   

Aggiungere commenti

I commenti sono un ottimo posto per collaborare con i colleghi, conservare le note e i risultati dei documenti.

1. Selezionare

2. Digitare e formattare il commento nella casella di modifica.

3. Aggiungere un risultato di query come collegamento per consentire ai collaboratori di comprendere rapidamente il contesto.

4. Selezionare il pulsante Commento per applicare i commenti.

   

Creare eventi imprevisti

Sono disponibili due opzioni per la creazione di incidenti durante l’attività di hunting.

Opzione 1: Usa i segnalibri

1. Selezionare un segnalibro o segnalibri.

2. Selezionare il pulsante Azioni impreviste.

3. Selezionare Crea nuovo evento imprevisto o Aggiungi a un evento imprevisto esistente

   

   • Per Creare un nuovo evento imprevisto, seguire la procedura guidata. La scheda Segnalibri è prepopolata con i segnalibri selezionati.
   • In Aggiungi all'evento imprevisto esistente selezionare l'evento imprevisto e selezionare il pulsante Accetta .

Opzione 2: Usa le azioni della caccia

1. Selezionare nel menu delle indagini Azioni>Crea incidente e seguire la procedura guidata.

   

2. Durante il passaggio Aggiungi segnalibri, usa l'azione Aggiungi segnalibro per scegliere i segnalibri dalla caccia da aggiungere all'incidente. Puoi utilizzare solo i segnalibri non assegnati a un incidente.

3. Dopo la creazione dell'incidente, verrà collegato nell'elenco Incidenti correlati per tale indagine.

Stato dell'aggiornamento

Man mano che l'indagine procede, aggiornare l'ipotesi e gli stati di ricerca in modo da riflettere lo stato corrente.

1. Quando sono state acquisite prove sufficienti per convalidare o invalidare l'ipotesi, aggiornare lo stato dell'ipotesi.

   

2. Al termine di tutte le azioni associate alla ricerca, ad esempio la creazione di regole di analisi, eventi imprevisti o l'aggiunta di indicatori di compromissione (IIC) a TI, chiudere la ricerca.

   

Lo stato dell'ipotesi e lo stato di caccia sono visibili nella pagina principale ricerca e contribuiscono alle metriche di ricerca visualizzate nella scheda Caccia .

Tenere traccia delle metriche

Usare la barra delle metriche nella parte superiore della scheda Caccia per tenere traccia dei risultati tangibili dell'attività di ricerca. Le metriche mostrano il numero di ipotesi convalidate, nuovi eventi imprevisti creati e nuove regole analitiche create. Usa le metriche di caccia per fissare obiettivi o celebrare traguardi del tuo programma di caccia.

Contenuti correlati

• Caccia alle minacce con Microsoft Sentinel
• Informazioni sulle funzionalità di analisi degli eventi imprevisti e gestione dei casi di Microsoft Sentinel
• Esplorare e analizzare gli eventi imprevisti