Formazione di aggiornamento su Microsoft Sentinel

Questo articolo illustra un training di livello 400 che consente di ottenere competenze su Microsoft Sentinel. La formazione è costituita da 21 moduli autogestita che presentano la documentazione del prodotto pertinente, i post di blog e altre risorse.

I moduli elencati di seguito sono suddivisi in cinque parti dopo il ciclo di vita di un Centro operativo di sicurezza (SOC):

Parte 1: Panoramica

• Modulo 0: Altre opzioni di apprendimento e supporto
• Modulo 1: Introduzione a Microsoft Sentinel
• Modulo 2: Come viene usato Microsoft Sentinel?

Parte 2: Progettazione e distribuzione

• Modulo 3: Architettura dell'area di lavoro e del tenant
• Modulo 4: Raccolta dati
• Modulo 5: Gestione dei log
• Modulo 6: Arricchimento: intelligence sulle minacce, watchlist e altro ancora
• Modulo 7: Trasformazione log
• Modulo 8: Migrazione
• Modulo 9: Modello informativo SIEM avanzato e normalizzazione

Parte 3: Creazione di contenuto

• Modulo 10: Linguaggio di query Kusto
• Modulo 11: Analisi
• Modulo 12: Implementazione di SOAR
• Modulo 13: Cartelle di lavoro, report e visualizzazione
• Modulo 14: Notebook
• Modulo 15: Casi d'uso e soluzioni

Parte 4: Funzionamento

• Modulo 16: Un giorno nella vita, nella gestione degli eventi imprevisti e nell'indagine di un analista SOC
• Modulo 17: Ricerca
• Modulo 18: Analisi del comportamento di utenti ed entità (UEBA)
• Modulo 19: Monitorare lo stato di Microsoft Sentinel

Parte 5: Avanzate

• Modulo 20: Estensione e integrazione tramite le API Microsoft Sentinel
• Modulo 21: Creare machine learning personalizzato

Parte 1: Panoramica

Modulo 0: Altre opzioni di apprendimento e supporto

Questo corso di perfezionamento è un corso di livello 400 basato sulla formazione Microsoft Sentinel Ninja. Se non si vuole approfondire o si ha un problema specifico da risolvere, altre risorse potrebbero essere più adatte:

• Sebbene la formazione di aggiornamento sia approfondita, deve naturalmente seguire uno script e non può approfondire ogni argomento. Per informazioni su ogni articolo, vedere la documentazione di riferimento.
• È ora possibile ottenere la certificazione SC-200: Microsoft Security Operations Analyst, che copre Microsoft Sentinel. Per una visualizzazione più ampia e di livello superiore della famiglia di prodotti Microsoft Security, è anche consigliabile prendere in considerazione SC-900: Microsoft Security, Compliance e Identity Fundamentals o AZ-500: Microsoft Azure Security Technologies.
• Se hai già familiarità con Microsoft Sentinel, tieni traccia delle novità oppure partecipa al programma Microsoft Cloud Security Private Community per avere un'anteprima delle prossime versioni.
• Hai un'idea di funzionalità da condividere con noi? Fatecelo sapere nella pagina User Voice di Microsoft Sentinel.
• Sei un cliente premier? È possibile che si desideri il workshop Microsoft Sentinel Fundamentals in loco o remoto di quattro giorni. Per altri dettagli, contattare il customer success account manager.
• Si è verificato un problema specifico? Chiedi (o rispondi ad altri) sulla Microsoft Sentinel Tech Community. In alternativa, è possibile inviare una domanda o un problema tramite posta elettronica all'indirizzo MicrosoftSentinel@microsoft.com.
• Per pratiche pratiche, utilizza il Microsoft Sentinel Training Lab, un laboratorio open source con esercizi guidati per la ricerca, l'ingegneria della rilevazione, l'indagine sugli incidenti, il monitoraggio dei costi e i flussi di lavoro dei data lake.

Modulo 1: Introduzione a Microsoft Sentinel

Microsoft Sentinel è una soluzione scalabile, nativa per il cloud, di SIEM (Security Information Event Management) e SOAR (Security Orchestration Automated Response). Microsoft Sentinel offre analisi della sicurezza e intelligence sulle minacce in tutta l'azienda. Offre un'unica soluzione per il rilevamento degli avvisi, la visibilità delle minacce, la ricerca proattiva e la risposta alle minacce. Per altre informazioni, vedere Che cos'è Microsoft Sentinel?

Se si vuole ottenere una panoramica iniziale delle funzionalità tecniche di Microsoft Sentinel, la presentazione Ignite più recente è un buon punto di partenza. È anche possibile trovare utile la Guida introduttiva per Microsoft Sentinel (è necessaria la registrazione del sito).

Per una panoramica più dettagliata, vedere questo webinar Microsoft Sentinel: YouTube, MP4 o presentazione.

Infine, vuoi provarlo da solo? Il Microsoft Sentinel acceleratore All-In-One (blog, YouTube, MP4 o presentazione) offre un modo semplice per iniziare. Per informazioni su come iniziare, esaminare la documentazione di onboarding o visualizzare il video di configurazione e configurazione Microsoft Sentinel di Insight.

Informazioni da altri utenti

Migliaia di organizzazioni e provider di servizi usano Microsoft Sentinel. Come spesso accade con i prodotti di sicurezza, la maggior parte delle organizzazioni non lo rende pubblico. Tuttavia, ecco alcuni che hanno:

• Trovare i casi d'uso dei clienti pubblici.
• Stuart Gregg, responsabile delle operazioni di sicurezza presso ASOS, ha pubblicato un post di blog molto più dettagliato sull'esperienza con Microsoft Sentinel, incentrato sulla ricerca delle minacce.

Informazioni dagli analisti

• Azure Sentinel ottiene un posizionamento Leader in Forrester Wave, con il top ranking in Strategy
• Microsoft è stata nominata Visionary nel Gartner Magic Quadrant 2021 per SIEM per Microsoft Sentinel

Modulo 2: Come viene usato Microsoft Sentinel?

Molte organizzazioni usano Microsoft Sentinel come SIEM primario. La maggior parte dei moduli di questo corso tratta questo caso d'uso. In questo modulo vengono presentati alcuni modi aggiuntivi per usare Microsoft Sentinel.

Come parte dello stack di sicurezza Microsoft

Usare Microsoft Sentinel, Microsoft Defender per il cloud e Microsoft Defender XDR insieme per proteggere i carichi di lavoro Microsoft, inclusi Windows, Azure e Office:

• Altre informazioni sulla soluzione SIEM+XDR completa che combina Microsoft Sentinel e Microsoft Defender XDR.
• Leggere La bussola Azure Security (ora Microsoft Security Best Practices) per comprendere il progetto Microsoft per le operazioni di sicurezza.
• Leggere e osservare in che modo una configurazione di questo tipo consente di rilevare e rispondere a un attacco WebShell: blog o demo video.
• Visualizzare il webinar Better Together "OT and IOT attack detection, investigation, and response" (Rilevamento, indagine e risposta degli attacchi OT e IOT).

Per monitorare i carichi di lavoro multicloud

Il cloud è (ancora) nuovo e spesso non viene monitorato con la stessa frequenza dei carichi di lavoro locali. Leggere questa presentazione per informazioni su come Microsoft Sentinel può aiutare a colmare il gap di monitoraggio cloud tra i cloud.

Affiancato al SIEM esistente

Per un periodo di transizione o a lungo termine, se si usa Microsoft Sentinel per i carichi di lavoro cloud, è possibile usare Microsoft Sentinel insieme al SIEM esistente. È anche possibile usare entrambi con un sistema di ticketing, ad esempio Service Now.

Per altre informazioni sulla migrazione da un altro SIEM a Microsoft Sentinel, vedere il webinar di migrazione: YouTube, MP4 o presentazione.

Esistono tre scenari comuni per la distribuzione side-by-side:

• Se si dispone di un sistema di ticketing nel soc, è consigliabile inviare avvisi o eventi imprevisti da entrambi i sistemi SIEM a un sistema di biglietteria, ad esempio Service Now. Gli esempi includono l'uso di Microsoft Sentinel sincronizzazione bidirezionale degli eventi imprevisti con ServiceNow o l'invio di avvisi arricchiti con eventi di supporto da Microsoft Sentinel a SIEM di terze parti.

• Almeno inizialmente, molti utenti inviano avvisi da Microsoft Sentinel al proprio SIEM locale. Per informazioni su come, vedere Inviare avvisi arricchiti con eventi di supporto da Microsoft Sentinel a SIEM di terze parti.

• Nel corso del tempo, poiché Microsoft Sentinel copre più carichi di lavoro, in genere si inverte la direzione e si inviano avvisi dal SIEM locale a Microsoft Sentinel. A questo scopo:

  • Per Splunk, vedere Inviare dati ed eventi rilevanti da Splunk a Microsoft Sentinel.
  • Per QRadar, vedi Inviare reati di QRadar a Microsoft Sentinel.
  • Per ArcSight, consulta l'inoltro in formato Common Event Format (CEF).

È anche possibile inviare gli avvisi da Microsoft Sentinel al sistema SIEM o di ticketing di terze parti usando l'API Sicurezza Graph. Questo approccio è più semplice, ma non consente l'invio di altri dati.

Per gli MSSP

Poiché elimina i costi di installazione ed è indipendente dalla posizione, Microsoft Sentinel è una scelta popolare per fornire SIEM come servizio. Trovare un elenco di provider di servizi di sicurezza gestiti da membri MISA (Microsoft Intelligent Security Association) che usano Microsoft Sentinel. Molti altri provider di servizi mssp, in particolare quelli regionali e più piccoli, usano Microsoft Sentinel ma non sono membri MISA.

Per iniziare il tuo percorso come MSSP, leggi i Playbook tecnici di Microsoft Sentinel per gli MSSP. Altre informazioni sul supporto mssp sono incluse nel modulo successivo, che illustra l'architettura cloud e il supporto multi-tenant.

Parte 2: Progettazione e distribuzione

Anche se "Parte 1: Panoramica" offre modi per iniziare a usare Microsoft Sentinel in pochi minuti, prima di avviare una distribuzione di produzione, è importante creare un piano.

Questa sezione illustra le aree da considerare quando si progetta la soluzione e fornisce linee guida su come implementare la progettazione:

• Architettura dell'area di lavoro e del tenant
• Raccolta dei dati
• Gestione dei log
• Raccolta di informazioni sulle minacce

Modulo 3: Architettura dell'area di lavoro e del tenant

Un'istanza di Microsoft Sentinel è denominata area di lavoro. L'area di lavoro è uguale a un'area di lavoro Log Analytics e supporta qualsiasi funzionalità di Log Analytics. È possibile considerare Microsoft Sentinel come una soluzione che aggiunge funzionalità SIEM in un'area di lavoro Log Analytics.

Sono spesso necessarie più aree di lavoro e possono agire insieme come un unico sistema Microsoft Sentinel. Un caso d'uso speciale consiste nel fornire un servizio usando Microsoft Sentinel (ad esempio, da un provider di servizi di sicurezza gestito o da un soc globale in un'organizzazione di grandi dimensioni).

Per altre informazioni sull'uso di più aree di lavoro come sistema Microsoft Sentinel, vedere Estendere Microsoft Sentinel tra aree di lavoro e tenant o visualizzare il webinar: YouTube, MP4 o presentazione.

Quando si usano più aree di lavoro, considerare quanto segue:

• Un driver importante per l'uso di più aree di lavoro è la residenza dei dati. Per altre informazioni, vedere Microsoft Sentinel residenza dei dati.
• Per distribuire Microsoft Sentinel e gestire il contenuto in modo efficiente in più aree di lavoro, è possibile gestire Microsoft Sentinel come codice usando la tecnologia di integrazione continua/recapito continuo (CI/CD). Una procedura consigliata per Microsoft Sentinel consiste nell'abilitare la distribuzione continua. Per altre informazioni, vedere Abilitare la distribuzione continua in modo nativo con i repository Microsoft Sentinel.
• Quando gestisci più aree di lavoro in qualità di MSSP, potresti voler proteggere la proprietà intellettuale dell'MSSP in Microsoft Sentinel.

L'Microsoft Sentinel Technical Playbook per MSSP fornisce linee guida dettagliate per molti di questi argomenti ed è utile per le organizzazioni di grandi dimensioni, non solo per gli MSSP.

Modulo 4: Raccolta dati

La base di un SIEM è la raccolta di dati di telemetria: eventi, avvisi e informazioni di arricchimento contestuale, ad esempio informazioni sulle minacce, dati sulle vulnerabilità e informazioni sugli asset. Ecco un elenco di origini a cui fare riferimento:

• Leggi i connettori dati di Microsoft Sentinel.
• Passare a Trova il connettore dati Microsoft Sentinel per visualizzare tutti i connettori dati supportati e predefiniti. Trovare collegamenti a procedure di distribuzione generiche e passaggi aggiuntivi necessari per connettori specifici.
• Scenari di raccolta dati: informazioni sui metodi di raccolta, ad esempio Logstash/CEF/WEF. Altri scenari comuni sono la restrizione delle autorizzazioni per le tabelle, il filtro dei log, la raccolta dei log da Amazon Web Services (AWS) o Google Cloud Platform (GCP), i log non elaborati di Microsoft 365 e così via. Tutto è disponibile nel webinar "Scenari di raccolta dati": YouTube, MP4 o presentazione.

La prima informazione visualizzata per ogni connettore è il relativo metodo di inserimento dati. Il metodo visualizzato contiene un collegamento a una delle procedure di distribuzione generiche seguenti, che contengono la maggior parte delle informazioni necessarie per connettere le origini dati a Microsoft Sentinel:

Se l'origine non è disponibile, è possibile creare un connettore personalizzato. I connettori personalizzati usano l'API di inserimento e pertanto sono simili alle origini dirette. Spesso si implementano connettori personalizzati usando Azure App per la logica, che offre un'opzione senza codice o Funzioni di Azure.

Modulo 5: Gestione dei log

La prima decisione dell'architettura da prendere in considerazione quando si configura Microsoft Sentinel è il numero di aree di lavoro e quelle da usare. Altre decisioni dell'architettura di gestione dei log chiave da prendere in considerazione includono:

• Dove e per quanto tempo conservare i dati.
• Come gestire al meglio l'accesso ai dati e proteggerli.

Inserire, archiviare, cercare e ripristinare i dati all'interno di Microsoft Sentinel

Per iniziare, vedere il webinar "Gestire il ciclo di vita dei log con nuovi metodi per l'inserimento, l'archiviazione, la ricerca e il ripristino".

Questa suite di funzionalità contiene:

• Livello di inserimento di base: un nuovo piano tariffario per i log di monitoraggio Azure che consente di inserire i log a un costo inferiore. Questi dati vengono conservati nell'area di lavoro solo per otto giorni.
• Livello di archiviazione: i Log di Monitoraggio di Azure hanno esteso la capacità di conservazione da due a sette anni. Con questo nuovo livello, è possibile conservare i dati per un massimo di sette anni in uno stato archiviato a basso costo.
• Processi di ricerca: attività di ricerca che eseguono KQL limitato per trovare e restituire tutti i log pertinenti. Questi processi cercano i dati nel livello di analisi, nel livello Basic e nei dati archiviati.
• Ripristino dei dati: nuova funzionalità che consente di selezionare una tabella dati e un intervallo di tempo in modo da poter ripristinare i dati nell'area di lavoro tramite una tabella di ripristino.

Per altre informazioni su queste nuove funzionalità, vedere Inserimento, archiviazione, ricerca e ripristino dei dati in Microsoft Sentinel.

Opzioni di conservazione alternative all'esterno della piattaforma Microsoft Sentinel

Se si desidera conservare i dati per più di due anni o ridurre il costo di conservazione, è consigliabile usare Azure Esplora dati per la conservazione a lungo termine dei log Microsoft Sentinel. Vedere le diapositive del webinar, la registrazione del webinar o il blog.

Vuoi informazioni più approfondite? Visualizzare il webinar "Miglioramento dell'ampiezza e della copertura della ricerca delle minacce con il supporto di ADX, più tipi di entità e integrazione MITRE aggiornata".

Se si preferisce un'altra soluzione di conservazione a lungo termine, vedere Esportare dall'area di lavoro di Microsoft Sentinel / Log Analytics in Archiviazione di Azure ed Event Hubs oppure Spostare i log in un archivio a lungo termine usando App per la logica di Azure. Il vantaggio dell'uso di App per la logica è che può esportare dati cronologici.

Infine, è possibile impostare periodi di conservazione con granularità fine usando le impostazioni di conservazione a livello di tabella. Per altre informazioni, vedere Configurare i criteri di conservazione e archiviazione dei dati in Azure Log di monitoraggio (anteprima).

Sicurezza dei log

• Usare il controllo degli accessi in base al ruolo delle risorse o il controllo degli accessi in base al ruolo a livello di tabella per consentire a più team di usare una singola area di lavoro.

• Se necessario, elimina il contenuto del cliente dalle aree di lavoro.

• Informazioni su come controllare le query dell'area di lavoro e l'uso di Microsoft Sentinel tramite avvisi, cartelle di lavoro e query.

• Usare i collegamenti privati per assicurarsi che i log non lascino mai la rete privata.

Cluster dedicato

Utilizzare un cluster dedicato dell'area di lavoro se l'ingestione dei dati prevista è di circa 500 GB al giorno o più. Con un cluster dedicato, è possibile proteggere le risorse per i dati Microsoft Sentinel, migliorando le prestazioni delle query per set di dati di grandi dimensioni.

Modulo 6: Arricchimento: intelligence sulle minacce, elenchi di controllo e altro ancora

Una delle funzioni importanti di un SIEM consiste nell'applicare informazioni contestuali al flusso di eventi, che consente il rilevamento, la definizione delle priorità degli avvisi e l'analisi degli eventi imprevisti. Le informazioni contestuali includono, ad esempio, informazioni di threat intelligence, informazioni sugli indirizzi IP, informazioni sull'host e sull'utente ed elenchi di controllo.

Microsoft Sentinel offre strumenti completi per importare, gestire e usare l'intelligence sulle minacce. Per altri tipi di informazioni contestuali, Microsoft Sentinel fornisce watchlist e altre soluzioni alternative.

Intelligence sulle minacce

L'intelligence sulle minacce è un elemento fondamentale di un SIEM. Guarda il webinar "Scopri la potenza della threat intelligence in Microsoft Sentinel".

In Microsoft Sentinel è possibile integrare l'intelligence sulle minacce utilizzando i connettori predefiniti dai server TAXII (Trusted Automated eXchange of Indicator Information) o tramite l'API Microsoft Graph Security. Per altre informazioni, vedi Integrazione della threat intelligence in Microsoft Sentinel. Per altre informazioni sull'importazione di intelligence sulle minacce, vedere le sezioni Modulo 4: Raccolta dati .

Dopo l'importazione, l'intelligence sulle minacce viene ampiamente usata in Microsoft Sentinel. Le funzionalità seguenti sono incentrate sull'uso dell'intelligence sulle minacce:

• Visualizzare e gestire l'intelligence sulle minacce importata nei log nella nuova area intelligence sulle minacce di Microsoft Sentinel.

• Usare i modelli di regola predefiniti per l'analisi delle minacce per generare avvisi di sicurezza e eventi imprevisti usando l'intelligence sulle minacce importata.

• Visualizza le informazioni chiave sulla threat intelligence in Microsoft Sentinel usando la cartella di lavoro Threat Intelligence.

Visualizza il webinar "Automatizzare le attività di valutazione Microsoft Sentinel con RiskIQ Threat Intelligence": YouTube o la presentazione.

Poco tempo? Visualizzare la sessione Ignite (28 minuti).

Vuoi informazioni più approfondite? Visualizza il webinar "Approfondimento sull'intelligence sulle minacce": YouTube, MP4 o presentazione.

Watchlist e altri meccanismi di ricerca

Per importare e gestire qualsiasi tipo di informazioni contestuali, Microsoft Sentinel fornisce watchlist. Usando gli elenchi di controllo, è possibile caricare le tabelle dati in formato CSV e usarle nelle query KQL. Per altre informazioni, vedere Usare gli elenchi di controllo in Microsoft Sentinel o visualizzare il webinar "Usare gli elenchi di controllo per gestire gli avvisi, ridurre l'affaticamento degli avvisi e migliorare l'efficienza SOC": YouTube o la presentazione.

Usa le liste di controllo per i seguenti scenari:

• Analizzare le minacce e rispondere rapidamente agli eventi imprevisti: importare rapidamente indirizzi IP, hash di file e altri dati da file CSV. Dopo aver importato i dati, usare le coppie nome-valore delle watchlist per join e filtri nelle regole di avviso, nella ricerca delle minacce, nelle cartelle di lavoro, nei notebook e nelle query generali.

• Importare dati aziendali come watchlist: ad esempio, importare elenchi di utenti con accesso di sistema con privilegi o dipendenti terminati. Usare quindi l'elenco di controllo per creare elenchi consentiti e blocklist per rilevare o impedire a tali utenti di accedere alla rete.

• Ridurre l'affaticamento degli avvisi: creare elenchi consentiti per eliminare gli avvisi da un gruppo di utenti, ad esempio gli utenti di indirizzi IP autorizzati che eseguono attività che normalmente attivano l'avviso. Impedire che gli eventi non dannosi diventino avvisi.

• Arricchire i dati degli eventi: usare gli elenchi di controllo per arricchire i dati degli eventi con combinazioni nome-valore derivate da origini dati esterne.

Oltre agli elenchi di controllo, è possibile usare l'operatore di dati esterni KQL, i log personalizzati e le funzioni KQL per gestire ed eseguire query sulle informazioni di contesto. Ognuno dei quattro metodi ha i suoi pro e contro, ed è possibile leggere di più sui confronti tra loro nel post di blog "Implementazione di ricerche in Microsoft Sentinel". Sebbene ogni metodo sia diverso, l'uso delle informazioni risultanti nelle query è simile e consente di passare facilmente da un metodo all'altro.

Per idee sull'uso di watchlist al di fuori delle regole di analisi, vedere Utilizzare le watchlist per aumentare l'efficienza durante le indagini Microsoft Sentinel.

Visualizza il webinar "Usa watchlist per gestire gli avvisi, ridurre l'affaticamento degli avvisi e migliorare l'efficienza SOC": YouTube o presentazione.

Modulo 7: Trasformazione logaritmica

Microsoft Sentinel supporta due nuove funzionalità per l'inserimento e la trasformazione dei dati. Queste funzionalità, fornite da Log Analytics, agiscono sui dati anche prima che vengano archiviati nell'area di lavoro. Le funzionalità sono:

• API di inserimento log: usarla per inviare log in formato personalizzato da qualsiasi origine dati all'area di lavoro Log Analytics e quindi archiviarli in determinate tabelle standard specifiche o in tabelle formattate personalizzate create. È possibile eseguire l'inserimento effettivo di questi log usando chiamate API dirette. È possibile usare Azure Monitorare le regole di raccolta dati per definire e configurare questi flussi di lavoro.

• Trasformazioni dei dati dell'area di lavoro per i log standard: usa le regole di raccolta dati per filtrare i dati irrilevanti, per arricchire o contrassegnare i dati o per nascondere informazioni sensibili o personali. È possibile configurare la trasformazione dei dati in fase di inserimento per i tipi di connettori dati predefiniti seguenti:

  • connettori di dati basati sull'agente di monitoraggio di Azure (Syslog e CEF | Windows DNS | personalizzato)
  • Connettori dati che utilizzano le impostazioni di diagnostica
  • Connettori di dati tra servizi

Per altre informazioni, vedere:

• Trasformare o personalizzare i dati in fase di inserimento in Microsoft Sentinel
• Trovare il connettore dati Microsoft Sentinel

Modulo 8: Migrazione

In molti casi ,se non nella maggior parte dei casi, si ha già un SIEM ed è necessario eseguire la migrazione a Microsoft Sentinel. Anche se potrebbe essere un buon momento per ricominciare da capo e rivedere l'implementazione di SIEM, è opportuno usare alcuni degli asset già creati nell'implementazione corrente. Visualizzare il webinar "Procedure consigliate per la conversione delle regole di rilevamento" (da Splunk, QRadar e ArcSight a Azure Microsoft Sentinel): YouTube, MP4, presentazione o blog.

È anche possibile che si sia interessati alle risorse seguenti:

• Corrispondenze tra Splunk Search Processing Language (SPL) e KQL
• Esempi di mapping delle regole di ArcSight e QRadar

Modulo 9: Modello informativo SIEM avanzato e normalizzazione

L'uso di diversi tipi di dati e tabelle insieme può presentare una sfida. È necessario acquisire familiarità con questi tipi di dati e schemi durante la scrittura e l'uso di un set univoco di regole di analisi, cartelle di lavoro e query di ricerca. Anche la correlazione tra i tipi di dati necessari per l'analisi e la ricerca può essere complessa.

Il modello informativo SIEM avanzato (ASIM) offre un'esperienza semplice per la gestione di varie origini in viste uniformi e normalizzate. ASIM si allinea al modello informativo comune OSSEM (Security Events Metadata) Open-Source, promuovendo la normalizzazione indipendente dal fornitore e a livello di settore. Guarda il webinar "Modello di informazioni SIEM avanzato (ASIM): ora integrato in Microsoft Sentinel": YouTube o presentazione.

L'implementazione corrente si basa sulla normalizzazione del tempo di query, che usa le funzioni KQL:

• Gli schemi normalizzati coprono set standard di tipi di evento prevedibili che sono facili da usare e creare funzionalità unificate. Lo schema definisce i campi che devono rappresentare un evento, una convenzione di denominazione delle colonne normalizzata e un formato standard per i valori dei campi.
  • Visualizza il webinar "Understanding normalization in Microsoft Sentinel": YouTube o presentazione.
  • Visualizzare il webinar "Approfondimento sui parser di normalizzazione e sul contenuto normalizzato di Microsoft Sentinel": YouTube, MP3 o presentazione.

• I parser eseguono il mapping dei dati esistenti agli schemi normalizzati. È possibile implementare i parser usando le funzioni KQL. Visualizza il webinar "Estendi e gestisci ASIM: Sviluppo, test e distribuzione di parser": YouTube o presentazione.

• Il contenuto per ogni schema normalizzato include regole di analisi, cartelle di lavoro e query di ricerca. Questo contenuto funziona su tutti i dati normalizzati senza la necessità di creare contenuto specifico dell'origine.

L'uso di ASIM offre i vantaggi seguenti:

• Rilevamento multi-origine: le regole di analisi normalizzate funzionano tra fonti in locale e nel cloud. Le regole rilevano attacchi, ad esempio la forza bruta, o viaggi impossibili tra sistemi, tra cui Okta, AWS e Azure.

• Consente il contenuto indipendente dall'origine: la copertura del contenuto predefinito e personalizzato tramite ASIM si espande automaticamente a qualsiasi origine che supporti ASIM, anche se l'origine è stata aggiunta dopo la creazione del contenuto. Ad esempio, l'analisi degli eventi di elaborazione supporta qualsiasi origine che un cliente potrebbe usare per inserire i dati, inclusi Microsoft Defender per endpoint, eventi di Windows e Sysmon. Siamo pronti ad aggiungere Sysmon per Linux e WEF quando sarà stato rilasciato.

• Supporto per le origini dati personalizzate nell'analisi integrata

• Facilità d'uso: gli analisti che apprendono ASIM trovano molto più semplice scrivere query perché i nomi dei campi sono sempre gli stessi.

Altre informazioni su ASIM

Sfruttare queste risorse:

• Visualizza il webinar di panoramica "Understanding normalization in Azure Sentinel": YouTube o presentazione.

• Visualizza il webinar "Approfondimento su parser di normalizzazione e contenuti normalizzati di Microsoft Sentinel": YouTube, MP3, o presentazione.

• Visualizza il webinar "Turbocharge ASIM: Assicurati che la normalizzazione aiuti le prestazioni invece di influire su di essa": YouTube, MP4 o presentazione.

• Leggere la documentazione di ASIM.

Distribuisci ASIM

• Distribuire i parser dalle cartelle, a partire da "ASIM*" nella cartella parsers in GitHub.

• Attiva regole analitiche che usano ASIM. Cerca normal nella galleria dei modelli per trovarne alcuni. Per ottenere l'elenco completo, usare questa ricerca in GitHub.

Usa ASIM

• Usare le query di ricerca delle minacce ASIM disponibili in GitHub.

• Usa le query ASIM quando usi KQL nella schermata dei log.

• Scrivere regole di analisi personalizzate usando ASIM o convertire le regole esistenti.

• Scrivere parser per le origini dati personalizzate per renderli compatibili con ASIM e includerli nelle analisi predefinite.

Parte 3: Creazione di contenuto

Che cos'è il contenuto di Microsoft Sentinel?

Il valore della sicurezza Microsoft Sentinel è una combinazione delle funzionalità predefinite e della possibilità di creare funzionalità personalizzate e personalizzare quelle predefinite. Tra le funzionalità integrate sono disponibili UEBA (User and Entity Behavior Analytics), il machine learning e regole di analisi predefinite. Le funzionalità personalizzate vengono spesso definite "contenuto" e includono regole analitiche, query di ricerca, cartelle di lavoro, playbook e così via.

In questa sezione sono stati raggruppati i moduli che consentono di apprendere come creare tali contenuti o modificare il contenuto predefinito in base alle proprie esigenze. Iniziamo con KQL, la lingua franca di Microsoft Sentinel. I moduli seguenti illustrano uno dei blocchi predefiniti del contenuto, ad esempio regole, playbook e cartelle di lavoro. Si completano esaminando i casi d'uso, che includono elementi di diversi tipi che soddisfano obiettivi di sicurezza specifici, ad esempio il rilevamento delle minacce, la ricerca o la governance.

Modulo 10: Kusto Query Language

La maggior parte delle funzionalità di Microsoft Sentinel utilizza Linguaggio di query Kusto (KQL). Quando si esegue una ricerca nei log, si scrivono regole, si creano query di ricerca o si progettano cartelle di lavoro, si usa KQL.

La sezione successiva sulla scrittura di regole illustra come usare KQL nel contesto specifico delle regole SIEM.

Il percorso consigliato per l'apprendimento Microsoft Sentinel KQL

• Corso Pluralsight KQL: offre le nozioni di base

• Must Learn KQL: una serie KQL in 20 parti che illustra le nozioni di base della creazione della prima regola di analisi (include una valutazione e un certificato)

• Il Microsoft Sentinel KQL Lab: un lab interattivo che insegna KQL con particolare attenzione a ciò che serve per Microsoft Sentinel:

  • Modulo di apprendimento (SC-200 parte 4)
  • Presentazione o URL del lab
  • Versione di Jupyter Notebooks che consente di testare le query all'interno del notebook
  • Webinar di apprendimento: YouTube o MP4
  • Rivedere il webinar sulle soluzioni di laboratorio: YouTube o MP4

• Corso KQL avanzato di Pluralsight

• Webinar "Ottimizzazione delle prestazioni delle query KQL di Azure Microsoft Sentinel": YouTube, MP4 o presentazione

• "Uso di ASIM nelle query KQL": YouTube o presentazione

• Webinar "Framework KQL per Microsoft Sentinel: gli strumenti per diventare esperti di KQL": YouTube o presentazione

Man mano che si apprende KQL, potrebbero essere utili anche i riferimenti seguenti:

• La guida rapida di KQL
• Procedure consigliate per l'ottimizzazione delle query

Modulo 11: Analisi

Scrittura di regole di analisi pianificate

Con Microsoft Sentinel è possibile usare modelli di regole predefiniti, personalizzare i modelli per l'ambiente o creare regole personalizzate. Il nucleo delle regole è una query KQL; tuttavia, c'è molto di più da configurare in una regola.

Per informazioni sulla procedura per la creazione di regole, vedere Creare regole di analisi personalizzate per rilevare le minacce. Per informazioni su come scrivere regole (ovvero, cosa dovrebbe entrare in una regola, concentrandosi su KQL per le regole), visualizzare il webinar: YouTube, MP4 o presentazione.

Le regole di analisi SIEM hanno modelli specifici. Informazioni su come implementare regole e scrivere KQL per questi modelli:

• Regole di correlazione: vedere Uso degli elenchi e dell'operatore "in" o uso dell'operatore "join"

• Aggregazione: vedere Uso di elenchi e dell'operatore "in" o di un modello più avanzato che gestisce finestre scorrevoli

• Ricerche: ricerche regolari, o approssimative, parziali e combinate

• Gestione dei falsi positivi

• Eventi ritardati: Un fatto di vita in qualsiasi SIEM, e sono difficili da affrontare. Microsoft Sentinel può aiutare a ridurre i ritardi nelle regole.

• Usare le funzioni KQL come blocchi predefiniti: arricchire gli eventi di Sicurezza di Windows con funzioni con parametri.

Il post di blog "Indagini sull'archiviazione blob e file" fornisce un esempio dettagliato di scrittura di una regola analitica utile.

Uso dell'analisi predefinita

Prima di iniziare a scrivere regole personalizzate, è consigliabile sfruttare le funzionalità di analisi predefinite. Non richiedono molto da te, ma vale la pena imparare a conoscerli:

• Usare i modelli di regola pianificati predefiniti. È possibile ottimizzare tali modelli modificandoli allo stesso modo per modificare qualsiasi regola pianificata. Assicurarsi di distribuire i modelli per i connettori dati connessi, elencati nella scheda Passaggi successivi del connettore dati.

• Altre informazioni sulle funzionalità di Machine Learning Microsoft Sentinel: YouTube, MP4 o presentazione.

• Ottieni l'elenco dei rilevamenti avanzati di attacchi in più fasi (Fusion) di Microsoft Sentinel, abilitati per impostazione predefinita.

• Visualizzare il webinar "Rilevamenti di Machine Learning fusion con regole di analisi pianificate": YouTube, MP4 o presentazione.

• Ulteriori informazioni su anomalie di machine learning SOC predefinite di Microsoft Sentinel.

• Visualizza il webinar "Anomalie di Machine Learning SOC personalizzate e come usarle": YouTube, MP4 o presentazione.

• Visualizza il webinar "Rilevamento di Machine Learning Fusion per le minacce emergenti e l'interfaccia utente di configurazione": YouTube o presentazione.

Modulo 12: Implementazione di SOAR

Nei SIEM moderni, ad esempio Microsoft Sentinel, SOAR costituisce l'intero processo dal momento in cui un evento imprevisto viene attivato fino a quando non viene risolto. Questo processo inizia con un'indagine sugli eventi imprevisti e continua con una risposta automatizzata. Il post di blog "How to use Microsoft Sentinel for Incident Response, Orchestration and Automation" offre una panoramica dei casi d'uso comuni per SOAR.

Le regole di automazione sono il punto di partenza per l'automazione Microsoft Sentinel. Offrono un metodo leggero per la gestione centralizzata e automatizzata degli eventi imprevisti, tra cui la soppressione, la gestione dei falsi positivi e l'assegnazione automatica.

Per offrire solide funzionalità di automazione basate sul flusso di lavoro, le regole di automazione usano i playbook di Logic Apps. Ulteriori informazioni:

• Guarda il webinar "Scopri i segreti Jedi dell'automazione e crea playbook di Logic Apps da vero esperto": YouTube, MP4 o presentazione.

• Scopri di più su Logic Apps, che è la tecnologia di base alla base dei playbook di Microsoft Sentinel.

• Vedi il connettore Logic Apps di Microsoft Sentinel, il collegamento tra Logic Apps e Microsoft Sentinel.

Trova decine di playbook utili nella cartella Playbooks nel sito GitHub di Microsoft Sentinel, oppure leggi Un playbook che usa una watchlist per informare il proprietario di una sottoscrizione di un avviso per una procedura dettagliata del playbook.

Modulo 13: Cartelle di lavoro, report e visualizzazione

Cartelle di lavoro

In qualità di centro nevralgico del tuo SOC, Microsoft Sentinel è necessario per visualizzare le informazioni che raccoglie e produce. Usare le cartelle di lavoro per visualizzare i dati in Microsoft Sentinel.

• Per informazioni su come creare cartelle di lavoro, leggere la documentazione Azure Workbooks o guardare il training Workbooks di Billy York (e il testo associato).

• Le risorse menzionate non sono specifiche Microsoft Sentinel. Si applicano alle cartelle di lavoro in generale. Per altre informazioni sulle cartelle di lavoro in Microsoft Sentinel, vedere il webinar: YouTube, MP4 o presentazione. Leggere la documentazione.

Le cartelle di lavoro possono essere interattive e abilitare molto di più della semplice creazione di grafici. Con le cartelle di lavoro è possibile creare app o moduli di estensione per Microsoft Sentinel per integrare la funzionalità predefinita. È anche possibile usare le cartelle di lavoro per estendere le funzionalità di Microsoft Sentinel. Ecco alcuni esempi di tali app:

• La cartella di lavoro di Investigation Insights offre un approccio alternativo all'analisi degli eventi imprevisti.

• La visualizzazione a grafo delle collaborazioni esterne di Teams consente di cercare l'uso rischioso di Teams.

• La cartella di lavoro della mappa degli spostamenti degli utenti consente di analizzare gli avvisi di geolocalizzazione.

• La guida all'implementazione della cartella di lavoro Microsoft Sentinel protocolli non sicuri, i miglioramenti recenti e il video di panoramica) consente di identificare l'uso di protocolli non sicuri nella rete.

• Infine, informazioni su come integrare informazioni da qualsiasi origine usando chiamate API in una cartella di lavoro.

Decine di cartelle di lavoro sono disponibili nella cartella Cartelle di lavoro nella Microsoft Sentinel GitHub. Alcuni di essi sono disponibili anche nella raccolta delle cartelle di lavoro di Microsoft Sentinel.

Creazione di report e altre opzioni di visualizzazione

Le cartelle di lavoro possono essere utilizzate per la reportistica. Per funzionalità di creazione di report più avanzate, ad esempio la pianificazione e la distribuzione dei report o le tabelle pivot, è possibile usare:

• Power BI, che si integra nativamente con Monitoraggio di Azure Logs e Microsoft Sentinel.

• Excel, che può usare Log di Monitoraggio di Azure e Microsoft Sentinel come origine dati, e visualizzare il video "Integrare Log di Monitoraggio di Azure ed Excel con Monitoraggio di Azure".

• Anche i notebook di Jupyter, un argomento trattato più avanti nel modulo di ricerca, sono un ottimo strumento di visualizzazione.

Modulo 14: Notebook

I notebook di Jupyter sono completamente integrati con Microsoft Sentinel. Sebbene siano considerati uno strumento importante nell’arsenale del cacciatore e siano trattati nei webinar della sezione dedicata alla caccia, il loro valore è molto più ampio. I notebook possono essere usati per la visualizzazione avanzata, come guida alle indagini e per un'automazione sofisticata.

Per comprendere meglio i notebook, vedere il video Introduzione ai notebook. Per iniziare a usare i notebook, guarda il webinar sui notebook (YouTube, MP4 o presentazione) oppure leggi la documentazione. La serie Microsoft Sentinel Notebooks Ninja è una serie di training in corso per migliorare le competenze nei notebook.

Una parte importante dell'integrazione è implementata da MSTICPy, che è una libreria Python sviluppata dal team di ricerca da usare con i notebook di Jupyter. Aggiunge Microsoft Sentinel interfacce e sofisticate funzionalità di sicurezza ai notebook.

• Concetti fondamentali di MSTICPy per creare notebook personalizzati

• MSTICPy Intermediate per creare notebook personalizzati

Modulo 15: Casi d'uso e soluzioni

Con connettori, regole, playbook e cartelle di lavoro, è possibile implementare casi d'uso, ovvero il termine SIEM per un pacchetto di contenuto destinato a rilevare e rispondere a una minaccia. È possibile distribuire Microsoft Sentinel casi d'uso predefiniti attivando le regole suggerite durante la connessione di ogni connettore. Una soluzione è un gruppo di casi d'uso che si rivolge a un dominio di minaccia specifico.

Il webinar "Tackling Identity" (YouTube, MP4 o presentazione) spiega che cos'è un caso d'uso e come approcciarne la progettazione e presenta diversi casi d'uso che affrontano collettivamente le minacce all'identità.

Un'altra area di soluzione pertinente è la protezione del lavoro remoto. Visualizzare la sessione Ignite sulla protezione del lavoro remoto e altre informazioni sui casi d'uso specifici seguenti:

• Ricerca dei casi d'uso di Microsoft Teams e visualizzazione a grafico delle collaborazioni esterne di Microsoft Teams

• Monitoraggio dello zoom con Microsoft Sentinel: connettori personalizzati, regole analitiche e query di ricerca.

• Monitoraggio di Desktop virtuale Azure con Microsoft Sentinel: usa eventi di sicurezza di Windows, log di accesso di Microsoft Entra, Microsoft Defender XDR per endpoint e log di diagnostica di Desktop virtuale Azure per rilevare e individuare le minacce di Desktop virtuale Azure.

• Monitorare Microsoft Intune tramite query e cartelle di lavoro.

Infine, concentrandosi sugli attacchi recenti, scopri come monitorare la supply chain del software con Microsoft Sentinel.

Le soluzioni di Microsoft Sentinel offrono individuabilità all'interno del prodotto, distribuzione in un solo passaggio e l'abilitazione di scenari end-to-end relativi a prodotti, domini e/o settori verticali in Microsoft Sentinel. Per altre informazioni, vedere Informazioni su contenuti e soluzioni Microsoft Sentinel e visualizzare il webinar "Creare soluzioni Microsoft Sentinel personalizzate": YouTube o presentazione.

Parte 4: Funzionamento

Modulo 16: Gestione degli eventi imprevisti

Dopo aver creato il SOC, è necessario iniziare a usarlo. Il webinar "day in an SOC analyst's life" (YouTube) illustra l'uso di Microsoft Sentinel nel SOC per valutare, indagare e rispondere agli eventi imprevisti.

Per consentire ai team di collaborare senza problemi all'interno dell'organizzazione e con stakeholder esterni, vedere Integrazione con Microsoft Teams direttamente da Microsoft Sentinel. Guarda anche il webinar "Riduci l'MTTR del SOC (tempo medio di risposta) integrando Microsoft Sentinel con Microsoft Teams".

È anche possibile leggere l'articolo della documentazione sull'indagine sugli eventi imprevisti. Come parte dell'indagine, si useranno anche le pagine delle entità per ottenere altre informazioni sulle entità correlate all'evento imprevisto o identificate come parte dell'indagine.

L'indagine sugli eventi imprevisti in Microsoft Sentinel si estende oltre la funzionalità di analisi degli eventi imprevisti di base. È possibile creare altri strumenti di analisi usando cartelle di lavoro e notebook. I notebook sono illustrati nella sezione successiva Modulo 17: Ricerca. È anche possibile creare altri strumenti di analisi o modificare quelli esistenti in base alle esigenze specifiche. Alcuni esempi:

• La cartella di lavoro di Investigation Insights offre un approccio alternativo all'analisi degli eventi imprevisti.

• I notebook migliorano l'esperienza di analisi. Leggere Perché usare Jupyter per le indagini sulla sicurezza? e informazioni su come analizzare usando Microsoft Sentinel e notebook di Jupyter:

  • Parte 1
  • Parte 2
  • Parte 3

Modulo 17: Caccia

Sebbene la maggior parte delle discussioni finora si sia concentrata sul rilevamento e sulla gestione degli eventi imprevisti, la ricerca è un altro importante caso d'uso per Microsoft Sentinel. La ricerca è una ricerca proattiva delle minacce anziché una risposta reattiva agli avvisi.

Il dashboard di ricerca delle minacce viene aggiornato costantemente Vengono visualizzate tutte le query scritte dal team Microsoft degli analisti della sicurezza e tutte le query aggiuntive create o modificate. Ogni query fornisce una descrizione di ciò che sta cercando e del tipo di dati su cui viene eseguita. Questi modelli sono raggruppati in base alle varie tattiche. Le icone a destra classificano il tipo di minaccia, ad esempio l'accesso iniziale, la persistenza e l'esfiltrazione. Per altre informazioni, vedere Cercare le minacce con Microsoft Sentinel.

Per altre informazioni su cos'è la ricerca e su come Microsoft Sentinel la supporta, vedi il webinar introduttivo "Threat hunting": YouTube, MP4 o presentazione. Il webinar inizia con un aggiornamento delle nuove funzionalità. Per informazioni sulla ricerca, iniziare dalla diapositiva 12. Il video di YouTube è già impostato per iniziare da qui.

Anche se il webinar introduttivo è incentrato sugli strumenti, la ricerca è incentrata sulla sicurezza. Il webinar del team di ricerca sulla sicurezza (YouTube, MP4 o presentazione) è incentrato su come eseguire effettivamente la caccia.

Il webinar successivo di approfondimento, "Ricerca delle minacce in AWS tramite Microsoft Sentinel" (YouTube, MP4 o presentazione), ribadisce il concetto mostrando uno scenario completo di ricerca delle minacce in un ambiente target di alto valore.

Infine, è possibile apprendere come eseguire la ricerca post-compromissione di SolarWinds con Microsoft Sentinel e la ricerca di web shell, alla luce delle recenti vulnerabilità nei server Microsoft Exchange on-premises.

Modulo 18: Analisi del comportamento di utenti ed entità (UEBA)

Il modulo Microsoft Sentinel User and Entity Behavior Analytics (UEBA) appena introdotto consente di identificare e analizzare le minacce all'interno dell'organizzazione e il loro potenziale impatto, indipendentemente dal fatto che provengano da un'entità compromessa o da un insider dannoso.

Quando Microsoft Sentinel raccoglie log e avvisi da tutte le origini dati connesse, le analizza e crea profili comportamentali di base delle entità dell'organizzazione (ad esempio utenti, host, indirizzi IP e applicazioni) nel tempo e nell'orizzonte dei gruppi peer. Tramite varie tecniche e funzionalità di Machine Learning, Microsoft Sentinel possono quindi identificare attività anomale e determinare se un asset è compromesso. Non solo, ma può anche capire la sensibilità relativa di determinati asset, identificare gruppi di asset peer e valutare il potenziale impatto di un dato asset compromesso (il suo "raggio di esplosione"). Grazie a queste informazioni, è possibile assegnare priorità alle indagini e alla gestione degli eventi imprevisti.

Per saperne di più su UEBA, guarda il webinar (YouTube, MP4, o presentazione) e scopri come usare UEBA per le indagini nel tuo SOC.

Per informazioni sugli aggiornamenti più recenti, vedere il webinar "Future of Users Entity Behavioral Analytics in Microsoft Sentinel".

Modulo 19: Monitoraggio dello stato di salute di Microsoft Sentinel

Parte dell'operare un SIEM è assicurarsi che funzioni senza intoppi e che sia un'area in evoluzione in Microsoft Sentinel. Usa quanto segue per monitorare lo stato di Microsoft Sentinel:

• Misurare l'efficienza delle operazioni di sicurezza (video).

• La tabella dati Microsoft Sentinel Integrità fornisce informazioni dettagliate sulle deviazioni di integrità, ad esempio gli eventi di errore più recenti per connettore o i connettori con modifiche da stato di esito positivo a stato di errore, che è possibile usare per creare avvisi e altre azioni automatizzate. Per altre informazioni, vedere Monitorare l'integrità dei connettori dati. Visualizza il video "Data Connectors Health Monitoring Workbook". E ricevi notifiche sulle anomalie.

• Monitorare gli agenti usando la soluzione di integrità degli agenti (solo Windows) e la tabella Heartbeat (Linux e Windows).

• Monitora l'area di lavoro di Log Analytics: YouTube, MP4 o presentazione, inclusi l'esecuzione delle query e lo stato di integrità dell'acquisizione.

• La gestione dei costi è anche una procedura operativa importante nel SOC. Usa il Ingestion Cost Alert Playbook per essere sempre al corrente di qualsiasi aumento dei costi.

Parte 5: Avanzato

Modulo 20: Estensione e integrazione tramite le API Microsoft Sentinel

Come SIEM nativo del cloud, Microsoft Sentinel è un sistema API-first. Ogni funzionalità può essere configurata e usata tramite un'API, consentendo una facile integrazione con altri sistemi ed estendendo Microsoft Sentinel con il proprio codice. Se l'API ti sembra intimidatoria, non preoccuparti. Tutto ciò che è disponibile usando l'API è disponibile anche con PowerShell.

Per altre informazioni sulle API Microsoft Sentinel, vedere il breve video introduttivo e leggere il post di blog. Per un'analisi più approfondita, vedere il webinar "Estensione e integrazione di Sentinel (API)" (YouTube, MP4 o presentazione) e leggere il post di blog Extending Microsoft Sentinel: API, integration e management automation.For a deeper dive, view the "Extending and integrating Sentinel (API)" webinar (YouTube, MP4, or presentation) and read the blog post Extending Microsoft Sentinel: API, integration, and management automation.

Modulo 21: Creare machine learning personalizzato

Microsoft Sentinel offre un'ottima piattaforma per l'implementazione di algoritmi di Machine Learning personalizzati. Lo chiamiamo modello di machine learning personalizzato, o BYO ML. BYO ML è destinato agli utenti avanzati. Se si cerca un'analisi comportamentale integrata, è possibile usare le nostre regole di analisi di machine learning o il modulo UEBA, oppure scrivere regole di analisi comportamentale personalizzate basate su KQL.

Per iniziare a usare il proprio modello di Machine Learning in Microsoft Sentinel, guardare il video "Creare un modello di Machine Learning personalizzato" e leggere il post di blog Creare rilevamenti con un modello di Machine Learning personalizzato nel SIEM Azure Sentinel basato sull'intelligenza artificiale. È anche possibile fare riferimento alla documentazione di BYO ML.

Passaggi successivi

• Guida alla distribuzione per Microsoft Sentinel
• Effettuare l'onboarding di Microsoft Sentinel
• Novità di Microsoft Sentinel

Contenuto consigliato

• Procedure consigliate per Microsoft Sentinel
• Progettazioni di esempio per le aree di lavoro di Microsoft Sentinel
• Pianificare i costi e comprendere Microsoft Sentinel prezzi e fatturazione
• Ruoli e autorizzazioni in Microsoft Sentinel
• Distribuire Microsoft Sentinel side-by-side con un SIEM esistente