Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
La caccia alle minacce alla sicurezza è un'attività altamente personalizzabile, molto efficace in tutte le fasi della caccia alle minacce: proattiva, reattiva e post-incidente. Il portale Defender fornisce strumenti di caccia da Microsoft Defender XDR e Microsoft Sentinel per ogni livello. Questi strumenti sono molto adatti a analisti che stanno iniziando la loro carriera e a cacciatori di minacce esperti che utilizzano metodi di caccia avanzati. I cacciatori di minacce di tutti i livelli beneficiano di funzionalità che permettono loro di condividere tecniche, richieste e risultati con i loro team.
Strumenti di caccia
La base delle query di ricerca nel portale di Defender si basa su Linguaggio di query Kusto (KQL). KQL è un linguaggio potente e flessibile ottimizzato per la ricerca negli archivi Big Data negli ambienti cloud. Tuttavia, la creazione di query complesse non è l'unico modo per cercare le minacce. Ecco alcuni altri strumenti e risorse di ricerca all'interno del portale di Defender progettati per portare la ricerca alla tua portata:
- Microsoft Security Copilot nella ricerca avanzata offre funzionalità di versione preliminare che includono l'Assistente di ricerca alle minacce per la ricerca conversazionale e l'assistente di query per generare query KQL dal linguaggio naturale.
- La modalità guidata utilizza un query builder per creare query di ricerca significative senza conoscere KQL o lo schema dei dati.
- Ottenere assistenza durante la scrittura di query con funzionalità come suggerimenti automatici, albero dello schema e query di esempio.
- L'hub contenuto fornisce query esperte per trovare soluzioni predefinite in Microsoft Sentinel.
- Microsoft Defender Experts Hunting è un servizio di caccia alle minacce gestito venduto separatamente che integra i team di operazioni di sicurezza che necessitano di assistenza.
Ottimizzare l'estensione completa delle abilità di ricerca del team con i seguenti strumenti di ricerca nel portale di Defender:
| Strumento di caccia | Description |
|---|---|
| Ricerca avanzata | Visualizza e interroga le origini dati disponibili nei servizi del portale Defender e condividi le query con il tuo team. Dopo aver integrato uno spazio di lavoro Microsoft Sentinel, utilizza i suoi contenuti, inclusi query e funzioni. |
| Ricerca Microsoft Sentinel | Cerca minacce alla sicurezza nelle tue fonti di dati. Usa strumenti specializzati di ricerca e interrogazione come cacce e segnalibri. |
| Iniziare la ricerca | Passa rapidamente da un'indagine alle entità trovate in un incidente. |
| Hunts (anteprima) | Un processo di ricerca delle minacce proattivo end-to-end con funzionalità di collaborazione. |
| Segnalibri | Conservare le query e i loro risultati, e aggiungere note e osservazioni contestuali. Nel portale Defender puoi visualizzare i segnalibri Microsoft Sentinel esistenti ma non puoi crearli. I segnalibri non sono disponibili nella caccia avanzata. |
| Ricerca con regole di riepilogo | Usare le regole di riepilogo per risparmiare sui costi di ricerca delle minacce nei log verbosi. |
| Mappa MITRE ATT&CK (anteprima) | Quando crei una nuova query di ricerca, seleziona tattiche e tecniche specifiche da applicare. |
| Ripristinare i dati cronologici | Ripristinare dati dai log archiviati per usarli in query ad alte prestazioni. |
| Eseguire ricerche in set di dati di grandi dimensioni | Cerca eventi specifici in un massimo di un anno di dati in una tabella usando KQL. |
| Analisi delle minacce | Monitorare le minacce emergenti e esaminare le ricerche e le analisi Microsoft sulle minacce. |
| Esplora minacce | Cercare minacce specializzate correlate alla posta elettronica. |
Fasi di caccia
La tabella seguente descrive come puoi sfruttare al meglio gli strumenti di caccia del portale Defender in tutte le fasi della caccia alla minaccia:
| Fase di caccia | Strumenti di caccia |
|---|---|
| Proattivo : trovare le aree deboli nell'ambiente prima che lo facciano gli attori delle minacce. Rilevare attività sospette in anticipo. | - Condurre regolarmente ricerche end-to-end (anteprima) per individuare proattivamente minacce e comportamenti dannosi non rilevati, validare ipotesi e agire sui risultati creando nuove rilevazioni, incidenti o informazioni di intelligence sulle minacce. - Utilizzare la mappa MITRE ATT&CK (PREVIEW) per identificare le lacune di rilevamento, e poi eseguire query di caccia predefinite per le tecniche evidenziate. - Inserire nuove informazioni sulle minacce in query consolidate per ottimizzare i rilevamenti e verificare se è in corso una compromissione. - Eseguire passaggi proattivi per compilare e testare le query sui dati provenienti da origini nuove o aggiornate. - Usare la ricerca avanzata per trovare attacchi o minacce in fase iniziale che non dispongono di avvisi. |
| Reattivo : usare gli strumenti di ricerca durante un'indagine attiva. | - Reagire rapidamente agli incidenti con il pulsante Avvia ricerca per cercare in modo ampio le entità sospette individuate durante un'indagine. - Utilizzare l'analisi delle minacce per indagare le minacce emergenti e valutarne il potenziale impatto. - Utilizzare le funzionalità prerelease di Microsoft Security Copilot nella caccia avanzata per indagare minacce o generare richieste. |
| Post-incidente - Migliorare la copertura e gli approfondimenti per evitare il ripetersi di incidenti simili. | - Trasformare le query di ricerca con esito positivo in nuove regole di analisi e rilevamento o perfezionare quelle esistenti. - Ripristinare i dati cronologici e cercare set di dati di grandi dimensioni per la ricerca specializzata nell'ambito di indagini complete sugli eventi imprevisti. |