Aanbevelingen voor het afstemmen van uw analyseregels in Microsoft Sentinel

Het verfijnen van regels voor bedreigingsdetectie in uw SIEM kan een moeilijk, delicaat en continu proces van evenwicht zijn tussen het maximaliseren van de dekking van uw bedreigingsdetectie en het minimaliseren van fout-positieve aantallen. Microsoft Sentinel vereenvoudigt en stroomlijnt dit proces door machine learning te gebruiken om miljarden signalen van uw gegevensbronnen en uw reacties op incidenten in de loop van de tijd te analyseren, patronen af te leiden en u te voorzien van bruikbare aanbevelingen en inzichten die uw afstemmingsoverhead aanzienlijk kunnen verlagen en u zich kunnen richten op het detecteren van en reageren op werkelijke bedreigingen.

Aanbevelingen en inzichten voor het afstemmen zijn nu ingebouwd in uw analysegels. De volgende secties leggen uit wat deze inzichten laten zien en hoe je de afstemmingsaanbevelingen kunt implementeren.

Regel-inzichten weergeven en aanbevelingen afstemmen

Als u wilt zien of Microsoft Sentinel aanbevelingen voor het afstemmen van een van uw analyseregels heeft, selecteert u Analyse in het navigatiemenu Microsoft Sentinel.

Voor regels met aanbevelingen wordt een gloeilamppictogram naast de regelnaam weergegeven:

Bewerk een analyseregel die het gloeilamppictogram weergeeft om de aanbevelingen samen met de andere inzichten weer te geven. Ze worden samen weergegeven op het tabblad Regellogica instellen in de wizard voor analyseregels, onder de weergave Resultatensimulatie.

Soorten inzichten in analytics-regels

De weergave Afstemmingsinzichten bestaat uit verschillende deelvensters waar u doorheen kunt scrollen of vegen, waarbij elk deelvenster iets anders weergeeft. Het tijdsbestek - 14 dagen - waarvoor de inzichten worden weergegeven, wordt boven aan het frame weergegeven.

1. In het eerste inzichtvenster worden enkele statistische gegevens weergegeven: het gemiddelde aantal waarschuwingen per incident, het aantal openstaande incidenten en het aantal gesloten incidenten, gegroepeerd op classificatie (waar/fout-positief). Dit inzicht helpt u de belasting van deze regel te bepalen en te begrijpen of bijstelling nodig is, bijvoorbeeld of de groepeerinstellingen moeten worden aangepast.

   

   Dit inzicht is het resultaat van een Log Analytics-query. Als u Gemiddelde waarschuwingen per incident selecteert, gaat u naar de query in Log Analytics die het inzicht heeft gegenereerd. Als u Incidenten openen selecteert, gaat u naar de blade Incidenten .

2. Het tweede inzichtenvenster beveelt u een lijst met entiteiten aan die moeten worden uitgesloten. Deze entiteiten zijn sterk gerelateerd aan incidenten die u hebt gesloten en geclassificeerd als vals positief. Selecteer het plusteken naast elke vermelde entiteit om deze uit te sluiten van de query in toekomstige uitvoeringen van deze regel.

   

   Deze aanbeveling wordt geproduceerd door de geavanceerde data science- en machine learning-modellen van Microsoft. De opname van dit deelvenster in de weergave Inzichten afstemmen is afhankelijk van het feit dat er aanbevelingen moeten worden weergegeven.

3. Het derde inzichtenvenster toont de vier meest voorkomende gekoppelde entiteiten in alle waarschuwingen die door deze regel zijn gegenereerd. Entiteitskoppeling moet voor de regel worden geconfigureerd zodat dit inzicht resultaten kan opleveren. Dit inzicht kan u helpen bewust te worden van entiteiten die onevenredig veel aandacht opeisen en zo de aandacht van andere entiteiten afleiden. Mogelijk wilt u deze entiteiten afzonderlijk verwerken in een andere regel, of u kunt besluiten dat ze fout-positieven of anderszins ruis zijn en ze uitsluiten van de regel.

   

   Dit inzicht is het resultaat van een Log Analytics-query. Als u een van de entiteiten selecteert, gaat u naar de query in Log Analytics die het inzicht heeft geproduceerd.

Volgende stappen

Zie voor meer informatie:

• Fout-positieven verwerken in Microsoft Sentinel
• UEBA-gegevens gebruiken om fout-positieven te analyseren
• Aangepaste analyseregels maken om bedreigingen te detecteren