Activiteiten aanpassen op tijdlijnen van entiteitspagina's

Overzicht van aangepaste tijdlijnactiviteiten

Microsoft Sentinel volgt en presenteert activiteiten direct uit de doos in entiteitstijdlijnen. Je kunt ook aangepaste activiteiten aanmaken en deze op de tijdlijn laten verschijnen. Aangepaste activiteiten zijn gebaseerd op zoekopdrachten naar entiteitsgegevens uit elke verbonden databron. In de volgende voorbeelden ziet u hoe u deze mogelijkheid kunt gebruiken:

• Voeg nieuwe activiteiten toe aan de tijdlijn van de entiteit door bestaande out-of-the-box-activiteitensjablonen te wijzigen.

• Nieuwe activiteiten toevoegen vanuit aangepaste logboeken. U kunt bijvoorbeeld vanuit een fysiek logboek voor toegangsbeheer de invoer- en afsluitactiviteiten van een gebruiker voor een bepaald beperkt gebied, bijvoorbeeld een serverruimte, toevoegen aan de tijdlijn van de gebruiker.

De pagina voor het aanpassen van activiteiten openen

Als u de pagina voor het aanpassen van activiteiten wilt openen, kiest u het tabblad dat overeenkomt met de portal die u gebruikt:

• Gebruikers van Microsoft Sentinel in de Azure-portal, selecteer hieronder het tabblad Azure portal.
• Gebruikers van de Microsoft Defender portal, selecteer het tabblad Defender-portal.

Op de pagina Sentinel activiteiten aanpassen ziet u een lijst met activiteiten die u hebt gemaakt op het tabblad Mijn activiteiten. Op het tabblad Activiteitssjablonen ziet u de verzameling activiteiten die out-of-the-box worden aangeboden door Microsoft-beveiligingsonderzoekers. Dit zijn de activiteiten die al worden bijgehouden en weergegeven op de tijdlijnen op uw entiteitspagina's.

• Zolang u geen door de gebruiker gedefinieerde activiteiten hebt gemaakt, worden op uw entiteitspagina's alle activiteiten weergegeven die worden vermeld op het tabblad Activiteitssjablonen .

• Zodra u een activiteit hebt gemaakt of aangepast, worden op uw entiteitspagina's alleen die activiteiten weergegeven, die worden weergegeven op het tabblad Mijn activiteiten .

• Als u de out-of-the-box-activiteiten op uw entiteitspagina's wilt blijven zien, moet u een activiteit maken voor elke sjabloon die u wilt bijhouden en weergeven. Volg de instructies in Een activiteit maken op basis van een sjabloon.

Een activiteit maken van een sjabloon

Gebruik de volgende stappen om een aangepaste activiteit te maken op basis van een bestaande out-of-the-box-sjabloon.

1. Selecteer het tabblad Activiteitssjablonen om de verschillende activiteiten te zien die standaard beschikbaar zijn. U kunt de lijst filteren op entiteitstype en op gegevensbron. Als u een activiteit selecteert in de lijst, wordt de volgende informatie weergegeven in het detailvenster:

   • Een beschrijving van de activiteit

   • De gegevensbron die de gebeurtenissen levert waaruit de activiteit bestaat

   • De id's die worden gebruikt om de entiteit in de onbewerkte gegevens te identificeren

   • De query die resulteert in de detectie van deze activiteit

2. Selecteer Activiteit maken onder in het detailvenster om de wizard voor het maken van activiteiten te starten.

   • Azure Portal
   • Defender-portal

   

3. De wizard Activiteit: nieuwe activiteit maken op basis van sjabloon wordt geopend, waarbij de velden al zijn ingevuld vanuit de sjabloon. Je kunt wijzigingen aanbrengen wanneer je wilt in de configuratietabbladen Algemeen en Activiteit , of de vooraf ingevulde instellingen ongewijzigd laten om de standaard activiteit te blijven bekijken.

4. Als u tevreden bent, selecteert u het tabblad Controleren en maken . Wanneer u het bericht Validatie geslaagd ziet, klikt u onderaan op de knop Maken .

Een volledig nieuwe activiteit maken

Klik bovenaan de activiteitenpagina op Activiteit toevoegen om de wizard voor het maken van activiteiten te starten.

De wizard Activiteit: nieuwe activiteit maken wordt geopend, waarbij de velden leeg zijn.

Algemene activiteitsinstellingen configureren

Geef op het tabblad Algemeen de basismetagegevens voor de activiteit op.

1. Voer een naam in voor uw activiteit (bijvoorbeeld: 'gebruiker toegevoegd aan groep').

2. Voer een beschrijving in van de activiteit (voorbeeld: 'wijziging van gebruikersgroepslidmaatschap op basis van Windows-gebeurtenis-id 4728').

3. Selecteer het type entiteit (gebruiker of host) dat door deze query wordt bijgehouden.

4. U kunt filteren op aanvullende parameters om de query te verfijnen en de prestaties te optimaliseren. U kunt bijvoorbeeld filteren op Active Directory-gebruikers door de parameter IsDomainJoined te kiezen en de waarde in te stellen op Waar.

5. U kunt de eerste status van de activiteit selecteren op Ingeschakeld of Uitgeschakeld.

6. Selecteer Volgende: Activiteitsconfiguratie om door te gaan naar het volgende tabblad.

   

De activiteitsquery en weergave-instellingen configureren

De activiteitsquery schrijven

Schrijf of plak op het tabblad Activiteitconfiguratie de KQL-query die wordt gebruikt om de activiteit voor de gekozen entiteit te detecteren en te bepalen hoe deze wordt weergegeven in de tijdlijn.

Om gebeurtenissen te correleren en de aangepaste activiteit te detecteren, vereist de KQL-query verschillende parameters die afhankelijk zijn van het entiteitstype. Deze parameters zijn de identificaties van de entiteit.

Gebruik een sterke identifier voor één-op-één mapping tussen zoekresultaten en de entiteit. Een zwakke identificatie kan onnauwkeurige resultaten opleveren. Meer informatie over entiteiten en sterke versus zwakke id's.

De volgende tabel bevat informatie over de id's van de entiteiten.

Sterke id's voor account- en hostentiteiten

Er is ten minste één id vereist in een query.

Op basis van het entiteitstype dat je hebt geselecteerd op het tabblad Algemeen , zie je de beschikbare identifiers. Selecteer een identifier om deze in de query op de cursorlocatie te plakken.

SecurityEvent
| where EventID == "4728"
| where (SubjectUserSid == '{{Account_Sid}}' ) or (SubjectUserName == '{{Account_Name}}' and SubjectDomainName == '{{Account_NTDomain}}' )
| project TimeGenerated, SubjectUserName, MemberName, MemberSid, GroupName=TargetUserName

De activiteit presenteren in de tijdlijn

Voor het gemak kunt u bepalen hoe de activiteit wordt weergegeven in de tijdlijn door dynamische parameters toe te voegen aan de activiteitsuitvoer.

Microsoft Sentinel bevat ingebouwde parameters die u kunt gebruiken en u kunt ook andere parameters gebruiken op basis van de velden die u in de query hebt geprojecteerd.

Gebruik de volgende indeling voor uw parameters: {{ParameterName}}

Nadat de activiteitsquery is gevalideerd en de koppeling Queryresultaten weergeven onder het queryvenster wordt weergegeven, kunt u de sectie Beschikbare waarden uitvouwen om de parameters weer te geven die beschikbaar zijn voor gebruik bij het maken van een titel van een dynamische activiteit.

Selecteer het pictogram Kopiëren naast een specifieke parameter om die parameter naar het klembord te kopiëren, zodat u deze in het bovenstaande veld Activiteitstitel kunt plakken.

Voeg een van de volgende parameters toe aan uw query:

• Een veld dat u in de query hebt geprojecteerd.

• Entiteits-id's van entiteiten die in de query worden vermeld.

• StartTimeUTCom de begintijd van de activiteit toe te voegen in UTC-tijd.

• EndTimeUTCom de eindtijd van de activiteit toe te voegen in UTC-tijd.

• Count, om verschillende KQL-query-uitvoer samen te vatten in één uitvoer.

  De count parameter voegt de volgende opdracht toe aan uw query op de achtergrond, ook al wordt deze niet volledig weergegeven in de editor:

  Summarize count() by <each parameter you’ve projected in the activity>
  

  Wanneer u vervolgens het filter Bucketgrootte op de entiteitspagina's gebruikt, wordt de volgende opdracht ook toegevoegd aan de query die op de achtergrond wordt uitgevoerd:

  Summarize count() by <each parameter you’ve projected in the activity>, bin (TimeGenerated, Bucket in Hours)
  

Het volgende voorbeeld toont een activiteitstitel die dynamische parameters gebruikt:

Wanneer u tevreden bent met de titel van uw query en activiteit, selecteert u Volgende : Controleren.

Zie de Kusto-documentatie voor meer informatie over de KQL-operators en -functies die worden gebruikt in de voorbeelden van activiteitsquery's:

• where-operator
• projectbeheerder
• operator samenvatten
• bin() functie
• Aggregatiefunctie count()

Zie overzicht van Kusto-querytaal (KQL) voor meer informatie over KQL.

Andere bronnen:

• KQL-snelzoekgids
• Leermiddelen voor de Kusto-querytaal

Instellingen controleren en de activiteit maken

Gebruik het tabblad Controleren en maken om uw configuratie te valideren en de activiteit te voltooien.

1. Controleer alle configuratiegegevens van uw aangepaste activiteit.

2. Wanneer het bericht Validatie geslaagd wordt weergegeven, klikt u op Maken om de activiteit te maken. U kunt deze later bewerken of wijzigen op het tabblad Mijn activiteiten .

Uw activiteiten beheren

Beheer uw aangepaste activiteiten op het tabblad Mijn activiteiten . Klik op het beletselteken (...) aan het einde van de rij van een activiteit om het volgende te doen:

• Bewerk de activiteit.
• Dupliceer de activiteit om een nieuwe, iets andere te maken.
• Verwijder de activiteit.
• Schakel de activiteit uit (zonder deze te verwijderen).

Activiteiten op een entiteitspagina weergeven

Wanneer u een entiteitspagina invoert, worden alle ingeschakelde activiteitsquery's voor die entiteit uitgevoerd, zodat u actuele informatie krijgt in de tijdlijn van de entiteit. U ziet de activiteiten in de tijdlijn, naast waarschuwingen en bladwijzers.

U kunt het filter Tijdlijninhoud gebruiken om alleen activiteiten weer te geven (of een combinatie van activiteiten, waarschuwingen en bladwijzers).

U kunt ook het filter Activiteiten gebruiken om specifieke activiteiten te presenteren of te verbergen.

Volgende stappen

Zie de volgende artikelen voor meer informatie over entiteiten en aangepaste tijdlijnactiviteiten:

• Krijg het volledige beeld op entiteitspagina's.
• Meer informatie over UEBA (User and Entity Behavior Analytics).
• Bekijk de volledige lijst met entiteiten en id's.