Query's en activiteiten van Microsoft Sentinel controleren

In dit artikel wordt beschreven hoe u controlegegevens kunt weergeven voor uitgevoerde query's en activiteiten die worden uitgevoerd in uw Microsoft Sentinel werkruimte, zoals voor interne en externe nalevingsvereisten in uw SOC-werkruimte (Security Operations).

Microsoft Sentinel biedt toegang tot:

• De tabel AzureActivity, die details bevat over alle acties die in Microsoft Sentinel worden uitgevoerd, zoals het bewerken van waarschuwingsregels. In de tabel AzureActivity worden geen specifieke querygegevens geregistreerd. Zie Controle met Azure activiteitenlogboeken voor meer informatie.

• De tabel LAQueryLogs, die details bevat over de query's die worden uitgevoerd in Log Analytics, inclusief query's die worden uitgevoerd vanuit Microsoft Sentinel. Zie Controle met LAQueryLogs voor meer informatie.

Vereisten

• Voordat u de voorbeeldquery's in dit artikel kunt uitvoeren, moet u relevante gegevens in uw Microsoft Sentinel werkruimte hebben om query's op uit te voeren en toegang te krijgen tot Microsoft Sentinel.

  Zie Microsoft Sentinel inhoud en rollen en machtigingen configureren in Microsoft Sentinel voor meer informatie.

Controle met Azure-activiteitenlogboeken

de auditlogboeken van Microsoft Sentinel worden bijgehouden in de Azure-activiteitenlogboeken, waar de tabel AzureActivity alle acties bevat die in uw Microsoft Sentinel werkruimte worden uitgevoerd.

Gebruik de tabel AzureActivity bij het controleren van activiteiten in uw SOC-omgeving met Microsoft Sentinel.

Ga als volgende te werk om een query uit te voeren op de tabel AzureActivity:

1. Installeer de oplossing Azure Activity voor Sentinel oplossing en verbind de Azure Activity-gegevensconnector om controlegebeurtenissen te streamen naar een nieuwe tabel met de naam AzureActivity.

2. Voer een query uit op de gegevens met behulp van Kusto-querytaal (KQL), net als bij elke andere tabel:

   • Voer in de Azure Portal een query uit op deze tabel op de pagina Logboeken.
   • Voer in de Defender-portal query's uit op deze tabel op de pagina Onderzoek & reactie > Zoeken >Geavanceerd zoeken.

   De tabel AzureActivity bevat gegevens uit veel services, waaronder Microsoft Sentinel. Gebruik de volgende query om de AzureActivity-tabel te filteren zodat alleen Microsoft Sentinel-operaties worden weergegeven:

    AzureActivity
   | where OperationNameValue startswith "MICROSOFT.SECURITYINSIGHTS"
   

   Als u bijvoorbeeld wilt weten wie de laatste gebruiker was die een bepaalde analyseregel heeft bewerkt, gebruikt u de volgende query (vervang door xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx de regel-id van de regel die u wilt controleren):

   AzureActivity
   | where OperationNameValue startswith "MICROSOFT.SECURITYINSIGHTS/ALERTRULES/WRITE"
   | where Properties contains "alertRules/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   | project Caller , TimeGenerated , Properties
   

Voeg meer parameters toe aan uw query om de tabel AzureActivities verder te verkennen, afhankelijk van wat u moet rapporteren. De volgende secties bevatten andere voorbeeldquery's die u kunt gebruiken bij het controleren met AzureActivity-tabelgegevens .

Zie Microsoft Sentinel gegevens in Azure activiteitenlogboeken voor meer informatie.

Alle acties zoeken die door een specifieke gebruiker in de afgelopen 24 uur zijn uitgevoerd

De volgende AzureActivity-tabelquery bevat alle acties die in de afgelopen 24 uur door een specifieke Microsoft Entra gebruiker zijn uitgevoerd.

AzureActivity
| where OperationNameValue contains "SecurityInsights"
| where Caller == "[AzureAD username]"
| where TimeGenerated > ago(1d)

Alle verwijderbewerkingen zoeken

Om Microsoft Sentinel-bronnen te identificeren die zijn verwijderd, voert u de volgende query uit om Azure Activity-logs te filteren op succesvolle verwijderingsoperaties in uw werkruimte.

AzureActivity
| where OperationNameValue contains "SecurityInsights"
| where OperationName contains "Delete"
| where ActivityStatusValue contains "Succeeded"
| project TimeGenerated, Caller, OperationName

Microsoft Sentinel gegevens in Azure-activiteitenlogboeken

de auditlogboeken van Microsoft Sentinel worden bijgehouden in de Azure-activiteitenlogboeken en bevatten de volgende soorten informatie:

U kunt ook de Azure activiteitenlogboeken gebruiken om te controleren op gebruikersautorisaties en licenties. De volgende tabel bevat bijvoorbeeld geselecteerde bewerkingen die zijn gevonden in Azure Activiteitenlogboeken met de specifieke resource waaruit de logboekgegevens worden opgehaald.

Zie gebeurtenisschema voor Azure activiteitenlogboek voor meer informatie.

Controle met LAQueryLogs

De tabel LAQueryLogs biedt details over logquery's die zijn uitgevoerd in Log Analytics. Omdat Log Analytics wordt gebruikt als het onderliggende gegevensarchief van Microsoft Sentinel, kunt u uw systeem configureren voor het verzamelen van LAQueryLogs-gegevens in uw Microsoft Sentinel werkruimte.

LAQueryLogs-gegevens bevatten informatie zoals:

• Wanneer query’s zijn uitgevoerd
• Wie heeft query's uitgevoerd in Log Analytics
• Welk hulpprogramma is gebruikt om query's uit te voeren in Log Analytics, zoals Microsoft Sentinel
• De zoekopdrachtteksten zelf
• Prestatiegegevens voor elke queryuitvoering

Ga als volgende te werk om een query uit te voeren op de laQueryLogs-tabel:

1. De tabel LAQueryLogs is niet standaard ingeschakeld in uw Log Analytics-werkruimte. Als u LAQueryLogs-gegevens wilt gebruiken bij het controleren in Microsoft Sentinel, schakelt u eerst de LAQueryLogs in het gebied Diagnostische instellingen van uw Log Analytics-werkruimte in.

   Zie Auditquery's in Azure Monitor-logboeken voor meer informatie.

2. Voer vervolgens een query uit op de gegevens met behulp van KQL, net zoals bij elke andere tabel.

   De volgende query laat bijvoorbeeld zien hoeveel query's er in de afgelopen week zijn uitgevoerd, per dag:

   LAQueryLogs
   | where TimeGenerated > ago(7d)
   | summarize events_count=count() by bin(TimeGenerated, 1d)
   

In de volgende secties ziet u meer voorbeeldquery's die u kunt uitvoeren in de tabel LAQueryLogs bij het controleren van activiteiten in uw SOC-omgeving met behulp van Microsoft Sentinel.

Het aantal uitgevoerde query's waarbij het antwoord niet 'OK' was

Gebruik de volgende query om Log Analytics-zoekopdrachten te tellen die een niet-succesvolle antwoordcode teruggaven. Deze telling omvat zoekopdrachten die niet konden draaien of iets anders dan een HTTP 200 OK-antwoord teruggaven.

LAQueryLogs
| where ResponseCode != 200 
| count 

Gebruikers van CPU-intensieve query's weergeven

Om de gebruikers of clients te vinden die de meest resource-intensieve queries draaien, gebruik je de volgende query om de hoogste CPU-tijdquery per Microsoft Entra client ID te tonen, gesorteerd op CPU-tijd.

LAQueryLogs
|summarize arg_max(StatsCPUTimeMs, *) by AADClientId
| extend User = AADEmail, QueryRunTime = StatsCPUTimeMs
| project User, QueryRunTime, QueryText
| sort by QueryRunTime desc

Gebruikers weergeven die de meeste query's hebben uitgevoerd in de afgelopen week

Gebruik de volgende query om samen te vatten hoeveel zoekopdrachten elke gebruiker in de afgelopen zeven dagen heeft uitgevoerd, wat helpt om de meest actieve gebruikers in je werkruimte te identificeren voor auditing of gebruiksanalyse.

LAQueryLogs
| where TimeGenerated > ago(7d)
| summarize events_count=count() by AADEmail
| extend UserPrincipalName = AADEmail, Queries = events_count
| join kind= leftouter (
    SigninLogs)
    on UserPrincipalName
| project UserDisplayName, UserPrincipalName, Queries
| summarize arg_max(Queries, *) by UserPrincipalName
| sort by Queries desc

Waarschuwingen voor Microsoft Sentinel-activiteiten configureren

U kunt Microsoft Sentinel controleresources gebruiken om proactieve waarschuwingen te maken.

Als je bijvoorbeeld gevoelige tabellen hebt in je Microsoft Sentinel-werkruimte, kun je detecteren wanneer die tabellen worden benaderd. De volgende query controleert de toegang tot een specifieke gevoelige tabel door zoekopdrachten te vermelden die deze in de afgelopen 24 uur hebben genoemd. Vervang [Name of sensitive table] door de naam van de tabel die je wilt monitoren:

LAQueryLogs
| where QueryText contains "[Name of sensitive table]"
| where TimeGenerated > ago(1d)
| extend User = AADEmail, Query = QueryText
| project User, Query

Microsoft Sentinel controleren met werkmappen, regels en draaiboeken

Gebruik de eigen functies van Microsoft Sentinel om gebeurtenissen en acties te bewaken die plaatsvinden binnen Microsoft Sentinel.

• Controleren met werkboeken. Verschillende ingebouwde Microsoft Sentinel-werkmappen kunnen u helpen de werkruimteactiviteit te bewaken, waaronder informatie over de gebruikers die in uw werkruimte werken, de analyseregels die worden gebruikt, de meest gedekte MITRE-tactieken, vastgelopen of gestopte gegevensinname en de prestaties van het SOC-team.

  Zie Uw gegevens visualiseren en bewaken met behulp van werkmappen in Microsoft Sentinel en Veelgebruikte Microsoft Sentinel werkmappen voor meer informatie

• Houd rekening met een opnamevertraging. Als u zich zorgen maakt over opnamevertraging, stelt u een variabele in een analyseregel in om de vertraging aan te geven.

  De volgende analyseregel kan bijvoorbeeld helpen om ervoor te zorgen dat de resultaten geen duplicaten bevatten en dat logboeken niet worden gemist bij het uitvoeren van de regels:

  let ingestion_delay= 2min;let rule_look_back = 5min;CommonSecurityLog| where TimeGenerated >= ago(ingestion_delay + rule_look_back)| where ingestion_time() > (rule_look_back)
  - Calculating ingestion delay
    CommonSecurityLog| extend delay = ingestion_time() - TimeGenerated| summarize percentiles(delay,95,99) by DeviceVendor, DeviceProduct
  

  Zie De afhandeling van incidenten automatiseren in Microsoft Sentinel met automatiseringsregels voor meer informatie.

• Bewaak de gezondheid van gegevensconnectors met behulp van het playbook Connector Health Push Notification Solution om te controleren op vastgelopen of gestopte gegevensopname en meldingen te verzenden wanneer een connector is gestopt met het verzamelen van gegevens of wanneer machines geen gegevens meer rapporteren.

Zie de Kusto-documentatie voor de operatoren en functies die in de KQL-voorbeelden in dit artikel worden gebruikt:

• let instructie
• where-operator
• projectbeheerder
• operator aantal
• sorteeroperator
• operator uitbreiden
• join-operator
• operator samenvatten
• ago() functie
• functie ingestion_time()
• Aggregatiefunctie count()
• Aggregatiefunctie arg_max()

Zie overzicht van Kusto-querytaal (KQL) voor meer informatie over KQL.

Andere bronnen:

• KQL-snelzoekgids
• Leermiddelen voor de Kusto-querytaal

Volgende stappen 

Gebruik in Microsoft Sentinel de werkmap Werkruimtecontrole om de activiteiten in uw SOC-omgeving te controleren. Zie Uw gegevens visualiseren en bewaken voor meer informatie.