Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Il mapping delle entità è parte integrante della configurazione delle regole di analisi pianificata. Arricchisce l'output generato dalle regole (avvisi e incidenti) con informazioni essenziali che costituiscono gli elementi fondamentali di qualsiasi processo investigativo e delle successive azioni correttive.
Utilizza la procedura seguente per aggiungere o modificare le mappature di entità in una regola di analisi esistente, o durante la creazione di una nuova regola di analisi programmata.
Importante
- Per informazioni importanti sulla compatibilità con le versioni precedenti e sulle differenze tra le versioni nuove e precedenti del mapping di entità, vedere Note sulla nuova versione .
- Dopo il 31 marzo 2027, Microsoft Sentinel non sarà più supportato nel portale di Azure e sarà disponibile solo nel portale di Microsoft Defender. Tutti i clienti che usano Microsoft Sentinel nel portale di Azure verranno reindirizzati al portale di Defender e useranno Microsoft Sentinel solo nel portale di Defender. A partire da luglio 2025, molti nuovi clienti vengono caricati e reindirizzati automaticamente al portale di Defender. Se si usa ancora Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza di operazioni di sicurezza unificata offerta da Microsoft Defender. Per altre informazioni, vedere It's Time to Move: Ritiro della portale di Azure di Microsoft Sentinel per una maggiore sicurezza.
Come eseguire il mapping delle entità
Per eseguire il mapping delle entità in una regola di analisi, seguire questa procedura:
Immettere la pagina Analisi nel portale tramite cui si accede Microsoft Sentinel:
Nella sezione Configurazione del menu di spostamento Microsoft Sentinel selezionare Analisi.
Selezionare una regola di query pianificata e selezionare Modifica nel riquadro dei dettagli. Oppure creare una nuova regola facendo clic su Crea > Regola di query pianificata nella parte superiore della schermata.
Selezionare la scheda Imposta la logica della regola. Se si tratta di una nuova regola, digitare una query nella finestra Query della regola.
Nella sezione Miglioramento degli avvisi, espandere Mappatura delle entità.
Nella sezione Mappatura delle entità, ora espansa, selezionare Aggiungi nuova entità.
Selezionare un tipo di entità dall'elenco a discesa Entità .
Seleziona un identificatore per l'entità. Gli identificatori sono attributi di un'entità in grado di identificarla in modo sufficiente. Scegliere uno dall'elenco a discesa Identificatore e quindi scegliere un campo dati dall'elenco a discesa Valore che corrisponderà all'identificatore. Con alcune eccezioni, l'elenco Valore viene compilato con i campi dati della tabella definita come oggetto della query della regola.
Puoi definire fino a tre identificatori per una data mappatura di entità. Alcuni identificatori sono obbligatori, altri sono facoltativi. È necessario scegliere almeno un identificatore obbligatorio. In caso contrario, un messaggio di avviso indicherà quali identificatori sono necessari. Per ottenere i migliori risultati—per la massima identificazione unica—dovresti usare identificatori forti ogni volta che è possibile, e l'uso di più identificatori forti permetterà una maggiore correlazione tra le fonti dati. Vedere l'elenco completo delle entità e degli identificatori disponibili.
Selezionare Aggiungi nuova entità per eseguire il mapping di altre entità. Puoi definire fino a 10 mappaggi di entità in una singola regola di analytics. Puoi anche mappare più elementi dello stesso tipo. Ad esempio, è possibile eseguire il mapping di due entità IP , una da un campo di indirizzo IP di origine e una da un campo di indirizzo IP di destinazione . Mappando entrambi i campi, puoi tracciare entrambe le entità IP.
Se cambi idea o hai commesso un errore, puoi rimuovere una mappatura di entità facendo clic sull'icona del cestino accanto al menu a discesa dell'entità.
Al termine del mapping delle entità, fare clic sulla scheda Rivedi e crea . Dopo aver completato la convalida della regola, fare clic su Salva.
Nota
Fino a 500 entità possono essere identificate collettivamente in un singolo allarme, divise equamente tra tutte le mappature di entità definite nella regola.
- Ad esempio, se nella regola sono definiti due mapping di entità, ogni mapping può identificare fino a 250 entità; se sono definiti cinque mapping, ognuno può identificare fino a 100 entità e così via.
- Più mapping di un singolo tipo di entità (ad esempio, IP di origine e IP di destinazione) vengono conteggiati separatamente.
- Se un avviso contiene elementi che superano questo limite, gli elementi in eccesso non verranno riconosciuti ed estratti come entità.
Il limite di dimensione per l'intera area dell'entità di un avviso (il campo Entities ) è di 64 KB.
- I campi delle entità con dimensioni superiori a 64 KB verranno troncati. Man mano che le entità vengono identificate, vengono aggiunte all'avviso una alla una fino a quando le dimensioni del campo non raggiungono i 64 KB e tutte le entità ancora non identificate vengono eliminate dall'avviso.
Note sulla nuova versione
L'esperienza di mapping delle entità è stata aggiornata da una versione precedente. Tenere presenti i dettagli di compatibilità con le versioni precedenti seguenti:
Poiché la nuova versione è ora generalmente disponibile (GA), il workaround tramite feature flag per usare la vecchia versione non è più disponibile.
Se i mapping di entità definiti in precedenza per questa regola di analisi usano la versione precedente, verranno convertiti automaticamente nella nuova versione.