Aangepaste opsporingsquery's maken in Microsoft Sentinel

  • Van toepassing op: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Overzicht

Zoek naar beveiligingsrisico's in de gegevensbronnen van uw organisatie met aangepaste opsporingsquery's. Microsoft Sentinel biedt ingebouwde opsporingsquery's om u te helpen problemen op te sporen met de gegevens die u in uw netwerk hebt. Naast ingebouwde opsporingsquery's kunt u aangepaste opsporingsquery's maken. Zie Opsporing van bedreigingen in Microsoft Sentinel voor meer informatie over opsporingsquery's.

Een nieuwe query maken

Om een aangepaste zoekquery te maken, open je eerst Hunting in Microsoft Sentinel en selecteer vervolgens het tabblad Queries.

  1. Voor Microsoft Sentinel in de Defender-portal, selecteert u Microsoft Sentinel>Bedreigingsbeheer>Opsporen. Voor Microsoft Sentinel in de Azure Portal selecteert u Onder Bedreigingsbeheerde optie Opsporing.

  2. Selecteer het tabblad Query's .

  3. Selecteer nieuwe query op de opdrachtbalk.

  4. Vul alle lege velden in.

    1. Maak entiteitstoewijzingen door entiteitstypen, identificatoren en kolommen te selecteren.

      Schermafbeelding voor het toewijzen van entiteitstypen in opsporingsquery's.

    2. Wijs MITRE ATT&CK-technieken toe aan uw opsporingsquery's door de tactiek, techniek en subtechniek (indien van toepassing) te selecteren.

      Nieuwe query

  5. Wanneer u klaar bent met het definiëren van uw query, selecteert u Maken.

Een bestaande query klonen

Kloon een aangepaste of ingebouwde query en bewerk deze indien nodig.

  1. Selecteer op het tabblad Opsporings>query’s de opsporingsquery die u wilt klonen.

  2. Selecteer het beletselteken (...) in de regel van de query die u wilt wijzigen en selecteer Klonen.

  3. Bewerk de query en andere velden waar nodig.

  4. Selecteer Aanmaken.

Een bestaande aangepaste query bewerken

Alleen query's die afkomstig zijn van een aangepaste inhoudsbron kunnen worden bewerkt. Zoekopdrachten van andere contentbronnen, zoals content hub-oplossingen of repositories, moeten worden bewerkt in de contentbron waar de query oorspronkelijk is aangemaakt.

  1. Selecteer op het tabbladOpsporingsquery's> de opsporingsquery die u wilt wijzigen.

  2. Selecteer het beletselteken (...) op de regel van de query die u wilt wijzigen en selecteer Bewerken.

  3. Werk het veld Query bij met de bijgewerkte query. U kunt ook de entiteitstoewijzing en -technieken wijzigen.

  4. Wanneer u klaar bent, selecteert u Opslaan.

Verwante onderwerpen

  • Last updated on