End-to-end proactieve opsporing van bedreigingen uitvoeren in Microsoft Sentinel

Proactieve opsporing van bedreigingen is een proces waarbij beveiligingsanalisten op zoek zijn naar niet-gedetecteerde bedreigingen en schadelijk gedrag. Door een hypothese te maken, gegevens te doorzoeken en die hypothese te valideren, bepalen ze waar ze op moeten reageren. Acties kunnen bestaan uit het maken van nieuwe detecties, nieuwe bedreigingsinformatie of het opzetten van een nieuw incident.

Gebruik de zoekervaring van begin tot eind in Microsoft Sentinel om:

• Proactief zoeken op basis van specifieke MITRE-technieken, mogelijk schadelijke activiteiten, recente bedreigingen of uw eigen aangepaste hypothese.
• Gebruik door beveiligingsonderzoekers gegenereerde opsporingsquery's of aangepaste opsporingsquery's om schadelijk gedrag te onderzoeken.
• Voer uw zoekopdrachten uit met behulp van meerdere persistente querytabbladen waarmee u de context in de loop van de tijd kunt behouden.
• Verzamel bewijs, onderzoek UEBA-bronnen en annoteer uw bevindingen met zoekspecifieke bladwijzers.
• Werk samen en documenteer uw bevindingen met opmerkingen.
• Reageer op resultaten door nieuwe analyseregels, nieuwe incidenten, nieuwe bedreigingsindicatoren te maken en playbooks uit te voeren.
• Houd uw nieuwe, actieve en gesloten opsporingen op één plek bij.
• Metrische gegevens weergeven op basis van gevalideerde hypothesen en tastbare resultaten.

Vereisten

Als u de functie Hunts wilt gebruiken, moet u een ingebouwde Microsoft Sentinel-rol of een aangepaste Azure RBAC-rol toegewezen krijgen. Dit zijn uw opties:

• Wijs de ingebouwde roltoewijzing voor de rol Microsoft Sentinel-bijdrager toe.
  Zie Rollen en machtigingen in Microsoft Sentinel voor meer informatie over rollen in Microsoft Sentinel.

• Wijs een aangepaste Azure RBAC-rol toe met de juiste machtigingen onder Microsoft.SecurityInsights/hunts.

Zie Rollen en machtigingen in het Microsoft Sentinel-platform voor meer informatie.

Uw hypothese definiëren

Het definiëren van een hypothese is een open, flexibel proces en kan elk idee bevatten dat u wilt valideren. Veelvoorkomende hypothesen zijn:

• Verdacht gedrag: onderzoek mogelijk schadelijke activiteiten die zichtbaar zijn in uw omgeving om te bepalen of er een aanval plaatsvindt.
• Nieuwe bedreigingscampagne: zoek naar typen schadelijke activiteiten op basis van nieuw ontdekte bedreigingsactoren, technieken of beveiligingsproblemen. Dit kan iets zijn waarover u hebt gehoord in een artikel over beveiligingsnieuws.
• Detectielacunes: verhoog uw detectiedekking met behulp van de MITRE ATT&CK-kaart om hiaten te identificeren.

Microsoft Sentinel biedt u flexibiliteit bij het inschakelen van de juiste set opsporingsquery's om uw hypothese te onderzoeken. Wanneer u een opsporing maakt, start u deze met vooraf geselecteerde opsporingsquery's of voegt u query's toe terwijl u verder gaat. Hier volgen aanbevelingen voor vooraf gekozen query's op basis van deze algemene hypothesen: verdacht gedrag, nieuwe bedreigingscampagnes en detectie-hiaten.

Hypothese - Verdacht gedrag

1. Voor Microsoft Sentinel in de Azure Portal selecteert u onder Bedreigingsbeheerde optie Opsporing.
   Voor Microsoft Sentinel in de Defender-portal, selecteert u Microsoft Sentinel>Bedreigingsbeheer>Opsporen.

2. Selecteer het tabblad Query's . Voer alle query's uit om mogelijk schadelijk gedrag te identificeren.

3. Selecteer Alle query's> uitvoeren, wachten totdat de query's zijn uitgevoerd. Het uitvoeren van alle queries kan even duren.

4. Selecteer Filter toevoegen>Resultaten>, schakel de selectievakjes met de waarden "!", "N/A", "-" en "0" uit >Toepassen

5. Sorteer de gefilterde zoekresultaten op kolom Resultaten Delta om te zien wat er recentelijk is veranderd. De gefilterde zoekresultaten geven initiële richtlijnen tijdens de zoektocht.

Hypothese - Nieuwe bedreigingscampagne

De content hub biedt oplossingen voor bedreigingscampagnes en op domeinen gebaseerde oplossingen voor het opsporen van specifieke aanvallen. In de volgende stappen installeert u een bedreigingscampagne of op een domein gebaseerde oplossing.

1. Ga naar de Content Hub.

2. Installeer een bedreigingscampagne of op een domein gebaseerde oplossing, zoals log4J-detectie van beveiligingsproblemen of Apache Tomcat.

   

3. Nadat je gekozen oplossing is geïnstalleerd, ga je in Microsoft Sentinel naar Hunting.

4. Selecteer het tabblad Query's .

5. Zoek op oplossingsnaam of filter op bronnaam van de oplossing.

6. Selecteer de query en Query uitvoeren.

Hypothese - Detectielacunes

Met de MITRE ATT&CK-kaart kunt u specifieke hiaten in uw detectiedekking identificeren. Gebruik vooraf gedefinieerde opsporingsquery's voor specifieke MITRE ATT&CK-technieken als uitgangspunt om nieuwe detectielogica te ontwikkelen.

1. Navigeer naar de pagina MITRE ATT&CK (preview).

2. Schakel de selectie van items in de vervolgkeuzelijst Actief uit.

3. Selecteer Opsporingsquery's in het filter Gesimuleerd om te zien aan welke technieken opsporingsquery's zijn gekoppeld.

   

4. Selecteer de kaart met de gewenste techniek.

5. Selecteer de koppeling Weergeven naast Opsporingsquery's onderaan het detailvenster. De Link View opent een gefilterde weergave van het tabblad Queries op de Hunting-pagina voor de geselecteerde techniek.

   

6. Selecteer alle zoekopdrachten voor die techniek.

Hunt maken

Er zijn twee primaire manieren om een jacht te maken.

1. Als u bent begonnen met een hypothese waarin u query's hebt geselecteerd, selecteert u de vervolgkeuzelijst >Nieuwe zoekactie maken. Alle query's die u hebt geselecteerd, worden gekloond voor deze nieuwe opsporing.

   

2. Als u nog niet hebt besloten welke query's u wilt gebruiken, selecteert u het tabblad Hunts (Preview)>New Hunt om een lege hunt te maken.

   

3. Vul de zoeknaam en optionele velden in. De beschrijving is een goede plek om uw hypothese te verwoorden. In het vervolgmenu Hypothese stelt u de status van uw werkhypothese in.

4. Selecteer Maken om aan de slag te gaan.

   

Jachtdetails weergeven

Nadat u een zoekactie hebt aangemaakt, opent u de detailpagina om query’s, bladwijzers en entiteiten te bekijken.

1. Selecteer het tabblad Hunts (Preview) om uw nieuwe hunt te bekijken.

2. Selecteer de koppeling zoeken op naam om de details weer te geven en acties uit te voeren.

   

3. Bekijk het detailvenster met de zoeknaam, Beschrijving, Inhoud, Laatste updatetijd en Aanmaaktijd.

4. Let op de tabbladen voor Query's, Bladwijzers en Entiteiten.

   

Tabblad Zoekopdrachten

Het tabblad Query's bevat opsporingsquery's die specifiek zijn voor deze opsporing. Deze query's zijn klonen van de originelen, onafhankelijk van alle andere in de werkruimte. Werk deze bij of verwijder deze zonder gevolgen voor uw volledige set query's in opsporingen of query's in andere opsporingen.

Een query toevoegen aan de opsporing

Voer de volgende stappen uit om bestaande opsporingsquery's toe te voegen aan de huidige jacht.

1. Selecteer Query Actions>query’s toevoegen om te onderzoeken
2. Selecteer de query's die u wilt toevoegen.

Queries uitvoeren

Voer de query’s in uw zoekopdracht uit om actuele resultaten te genereren en te bekijken.

1. Selecteer Alle query's uitvoeren of kies specifieke query's en selecteer Geselecteerde query's uitvoeren.
2. Selecteer Annuleren om de uitvoering van query's op elk gewenst moment te annuleren.

Zoekopdrachten beheren

U kunt afzonderlijke opsporingsquery's beheren vanuit het contextmenu op het tabblad Query's .

1. Klik met de rechtermuisknop op een query en selecteer een van de volgende opties in het contextmenu:

   • Uitvoeren
   • Bewerken
   • Kloon
   • Verwijderen
   • Analyseregel maken

   

   De contextmenu-opties gedragen zich net als de opties in de bestaande query-tabel op de Hunting-pagina , behalve dat de acties alleen binnen deze hunt van toepassing zijn. Wanneer u ervoor kiest om een analyseregel te maken, worden de naam, beschrijving en KQL-query vooraf ingevuld in de nieuwe regel die wordt gemaakt. Er wordt een koppeling gemaakt om de nieuwe analyseregel weer te geven onder Gerelateerde analyseregels.

   

Resultaten weergeven

Met de functie Resultaten weergeven kunt u opsporingsqueryresultaten bekijken in de Log Analytics zoekervaring. Analyseer hier uw resultaten, verfijn uw query's en voeg een bladwijzer toe om informatie vast te leggen en afzonderlijke rijresultaten verder te onderzoeken.

1. Selecteer de knop Resultaten weergeven .
2. Als u naar een ander deel van de Microsoft Sentinel-portal navigeert en vervolgens vanaf de jachtpagina terugbladert naar de LA-logzoekervaring, blijven al uw LA-querytabbladen behouden.
3. Deze LA-querytabbladen gaan verloren als u het browsertabblad sluit. Als u de query's op de lange termijn wilt behouden, moet u de query opslaan, een nieuwe opsporingsquery maken of een opmerking toevoegen voor later gebruik in de jacht.

Een bladwijzer toevoegen

Wanneer u interessante resultaten of belangrijke rijen met gegevens vindt, voegt u deze resultaten toe aan de opsporing door een bladwijzer te maken. Zie Opsporingsbladwijzers gebruiken voor dataonderzoeken voor meer informatie.

1. Selecteer de gewenste rij of rijen.

2. Selecteer bladwijzer toevoegen boven de resultatentabel.

3. Geef de bladwijzer een naam.

4. Stel de kolom tijd van de gebeurtenis in.

5. Id's van entiteiten toewijzen.

6. MITRE-tactieken en -technieken instellen.

7. Tags toevoegen en notities toevoegen.

   De bladwijzers behouden de resultaten van specifieke rijen, de KQL-query en het tijdsbereik waarmee het resultaat is gegenereerd.

8. Kies Aanmaken om de bladwijzer aan de hunt toe te voegen.

Bladwijzers weergeven

Gebruik het tabblad Bladwijzers om opgeslagen bevindingen te bekijken en vervolgacties uit te voeren.

1. Navigeer naar het tabblad Bladwijzers van de hunt om uw bladwijzers te bekijken.

   

2. Kies de gewenste bladwijzer en voer de volgende handelingen uit:

   • Selecteer de koppelingen naar entiteiten om de bijbehorende UEBA-pagina van de entiteit te bekijken.
   • Onbewerkte resultaten, tags en notities weergeven.
   • Selecteer Bronquery weergeven om de bronquery in Log Analytics weer te geven.
   • Selecteer Bladwijzerlogboeken weergeven om de inhoud van de bladwijzer weer te geven in de tabel Log Analytics-opsporingsbladwijzers.
   • Selecteer de knop Onderzoeken om de bladwijzer en gerelateerde entiteiten in de onderzoeksgrafiek weer te geven.
   • Selecteer de knop Bewerken om de tags, MITRE-tactieken en -technieken en notities bij te werken.

Interactie met entiteiten

Gebruik het tabblad Entiteiten om entiteiten te onderzoeken die via bladwijzers binnen de zoekactie zijn verzameld.

1. Navigeer naar het tabblad Entiteiten van uw hunt om de entiteiten in uw hunt weer te geven, te zoeken en te filteren. Deze lijst wordt gegenereerd op basis van de lijst met entiteiten in de bladwijzers. Het tabblad Entiteiten lost dubbele items automatisch op.

2. Selecteer entiteitsnamen om de bijbehorende Gebruikers- en Entiteitsgedragsanalyse (UEBA) entiteitspagina te bezoeken.

3. Klik met de rechtermuisknop op de entiteit om acties uit te voeren die passen bij de entiteitstypen, zoals het toevoegen van een IP-adres aan Threat Intelligence (TI) of het uitvoeren van een entiteitstype-specifieke playbook.

   

Opmerkingen toevoegen

Opmerkingen zijn een uitstekende plek om samen te werken met collega's, notities en documentresultaten te bewaren.

1. Selecteer

2. Typ en maak uw opmerking op in het bewerkingsvak.

3. Voeg een queryresultaat toe als een koppeling voor samenwerkers om snel inzicht te verkrijgen in de context.

4. Selecteer de knop Opmerking om uw opmerkingen toe te passen.

   

Incidenten maken

Er zijn twee opties voor het maken van incidenten tijdens het opsporen.

Optie 1: Gebruik bladwijzers

1. Selecteer een bladwijzer of bladwijzers.

2. Selecteer de knop Incidentacties.

3. Selecteer Nieuw incident maken of Toevoegen aan bestaand incident

   

   • Voor Nieuw incident maken volgt u de begeleide stappen. Het tabblad Bladwijzers is al gevuld met de door jou geselecteerde bladwijzers.
   • Voor Toevoegen aan bestaand incident selecteert u het incident en selecteert u de knop Accepteren .

Optie 2: Gebruik de acties van de jachten

1. Selecteer in het menu met zoekacties Acties>Incident maken en volg de begeleide stappen.

   

2. Gebruik tijdens de stap Bladwijzers toevoegen de actie Bladwijzer toevoegen om bladwijzers uit de opsporing te kiezen die u wilt toevoegen aan het incident. U kunt alleen bladwijzers gebruiken die niet aan een incident zijn toegewezen.

3. Nadat het incident is aangemaakt, wordt het opgenomen in de lijst Gerelateerde incidenten voor die zoekopdracht.

Status bijwerken

Terwijl uw onderzoek vordert, werkt u de hypothese en jachtstatussen bij om de huidige status weer te geven.

1. Wanneer u voldoende bewijs hebt vastgelegd om uw hypothese te valideren of ongeldig te maken, werkt u de status van uw hypothese bij.

   

2. Wanneer alle acties die zijn gekoppeld aan de opsporing zijn voltooid, zoals het maken van analyseregels, incidenten of het toevoegen van indicatoren van inbreuk (IOC's) aan TI, sluit u de opsporing af.

   

De hypothesestatus en opsporingsstatus zijn zichtbaar op de hoofdpagina opsporing en dragen bij aan de opsporingsgegevens die worden weergegeven op het tabblad Hunts.

Metrische gegevens bijhouden

Gebruik de balk met metrische gegevens boven aan het tabblad Hunts om tastbare resultaten van opsporingsactiviteit bij te houden. Metrische gegevens tonen het aantal gevalideerde hypothesen, nieuwe incidenten die zijn gemaakt en nieuwe analyseregels die zijn gemaakt. Gebruik de jachtstatistieken om doelen te stellen of mijlpalen van je jachtprogramma te vieren.

Verwante onderwerpen

• Bedreigingen opsporen met Microsoft Sentinel
• Inzicht in de mogelijkheden voor incidentonderzoek en casebeheer van Microsoft Sentinel
• Door incidenten navigeren en onderzoeken