Gegevensvelden toewijzen aan entiteiten in Microsoft Sentinel

Entiteitstoewijzing is een integraal onderdeel van de configuratie van geplande analyseregels. Het verrijkt de uitvoer van de regels (waarschuwingen en incidenten) met essentiële informatie die fungeert als de bouwstenen van eventuele onderzoeksprocessen en herstelacties die erop volgen.

Gebruik de volgende procedure om entiteitsmappings toe te voegen of te wijzigen in een bestaande analytics-regel, of bij het aanmaken van een nieuwe geplande analytics-regel.

Belangrijk

Entiteiten koppelen

Voer de volgende stappen uit om entiteiten toe te wijzen in een analyseregel:

  1. Voer de pagina Analyse in de portal in via welke u toegang hebt tot Microsoft Sentinel:

    Selecteer in de sectie Configuratie van het navigatiemenu Microsoft Sentinel de optie Analyse.

  2. Selecteer een geplande queryregel en selecteer Bewerken in het detailvenster. U kunt ook een nieuwe regel maken door boven aan het scherm op Geplande queryregel maken te > klikken.

  3. Selecteer het tabblad Regellogica instellen . Als er een nieuwe regel is, typt u een query in het venster Regelquery .

  4. Vouw Entiteitstoewijzing uit in de sectie Waarschuwingsverbetering.

    Entiteitstoewijzing uitbreiden

  5. Selecteer in de nu uitgevouwen sectie Entiteitstoewijzingde optie Nieuwe entiteit toevoegen.

    Schermopname van het toevoegen van een nieuwe entiteit.

  6. Selecteer een entiteitstype in de vervolgkeuzelijst Entiteit .

    Een entiteitstype kiezen

  7. Selecteer een identificatie voor de entiteit. Id's zijn kenmerken van een entiteit waarmee deze voldoende kan worden geïdentificeerd. Kies er een in de vervolgkeuzelijst Id en kies vervolgens een gegevensveld in de vervolgkeuzelijst Waarde dat overeenkomt met de id. Met enkele uitzonderingen wordt de lijst Waarde ingevuld met de gegevensvelden in de tabel die is gedefinieerd als het onderwerp van de regelquery.

    Je kunt tot drie identifiers definiëren voor een bepaalde entiteitsmapping. Sommige id's zijn vereist, andere zijn optioneel. U moet ten minste één vereiste id kiezen. Als u dat niet doet, wordt u in een waarschuwingsbericht aangegeven welke id's vereist zijn. Voor de beste resultaten—voor maximale unieke identificatie—moet je waar mogelijk sterke identificaties gebruiken, en het gebruik van meerdere sterke identificatoren zorgt voor een grotere correlatie tussen databronnen. Bekijk de volledige lijst met beschikbare entiteiten en id's.

    Velden toewijzen aan entiteiten

  8. Selecteer Nieuwe entiteit toevoegen om meer entiteiten toe te wijzen. Je kunt tot 10 entiteitsmappings definiëren in één analytics-regel. U kunt ook meer dan één item van hetzelfde type toewijzen. U kunt bijvoorbeeld twee IP-entiteiten toewijzen, één uit een bron-IP-adresveld en één uit een doel-IP-adresveld . Door beide velden toe te wijzen, kun je beide IP-entiteiten volgen.

    Als u van gedachten verandert of als u een fout hebt gemaakt, kunt u een entiteitstoewijzing verwijderen door op het prullenbakpictogram naast de vervolgkeuzelijst voor entiteiten te klikken.

  9. Wanneer u klaar bent met het in kaart brengen van entiteiten, klikt u op het tabblad Controleren en aanmaken. Zodra de validatie van de regel is geslaagd, klikt u op Opslaan.

Opmerking

  • Tot 500 entiteiten kunnen gezamenlijk in één waarschuwing worden geïdentificeerd, gelijk verdeeld over alle entiteitstoewijzingen die in de regel zijn gedefinieerd.

    • Als er bijvoorbeeld twee entiteitstoewijzingen zijn gedefinieerd in de regel, kan elke toewijzing maximaal 250 entiteiten identificeren; als er vijf toewijzingen zijn gedefinieerd, kan elke toewijzing maximaal 100 entiteiten identificeren, enzovoort.
    • Meerdere toewijzingen van één entiteitstype (bijvoorbeeld bron-IP en doel-IP) tellen elk afzonderlijk mee.
    • Als een waarschuwing items bevat die deze limiet overschrijden, worden deze overtollige items niet herkend en geëxtraheerd als entiteiten.
  • De groottelimiet voor het gehele entiteitsgebied van een waarschuwing (het Entiteiten-veld) is 64 KB.

    • Entiteitenvelden die groter zijn dan 64 kB, worden afgekapt. Wanneer entiteiten worden geïdentificeerd, worden ze één voor één toegevoegd aan de waarschuwing totdat de veldgrootte 64 KB bereikt en alle entiteiten die nog niet zijn geïdentificeerd, uit de waarschuwing worden verwijderd.

Opmerkingen over de nieuwe versie

De functie voor entiteitstoewijzing is bijgewerkt ten opzichte van de oudere versie. Houd rekening met de volgende details voor achterwaartse compatibiliteit:

  • Omdat de nieuwe versie nu algemeen beschikbaar (GA) is, is de tijdelijke oplossing met de functievlag voor het gebruik van de oude versie niet meer beschikbaar.

  • Als u eerder entiteitstoewijzingen hebt gedefinieerd voor deze analyseregel met behulp van de oude versie, worden deze automatisch geconverteerd naar de nieuwe versie.