Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Entiteitstoewijzing is een integraal onderdeel van de configuratie van geplande analyseregels. Het verrijkt de uitvoer van de regels (waarschuwingen en incidenten) met essentiële informatie die fungeert als de bouwstenen van eventuele onderzoeksprocessen en herstelacties die erop volgen.
Gebruik de volgende procedure om entiteitsmappings toe te voegen of te wijzigen in een bestaande analytics-regel, of bij het aanmaken van een nieuwe geplande analytics-regel.
Belangrijk
- Zie opmerkingen over de nieuwe versie voor belangrijke informatie over compatibiliteit met eerdere versies en verschillen tussen de nieuwe en oude versies van entiteitstoewijzing.
- Na 31 maart 2027 worden Microsoft Sentinel niet meer ondersteund in de Azure Portal en zijn ze alleen beschikbaar in de Microsoft Defender portal. Alle klanten die Microsoft Sentinel in de Azure Portal gebruiken, worden omgeleid naar de Defender-portal en gebruiken alleen Microsoft Sentinel in de Defender-portal. Vanaf juli 2025 worden veel nieuwe klanten automatisch onboarding uitgevoerd en omgeleid naar de Defender-portal. Als u nog steeds Microsoft Sentinel in de Azure Portal gebruikt, wordt u aangeraden uw overgang naar de Defender-portal te plannen om een soepele overgang te garanderen en optimaal te profiteren van de geïntegreerde beveiligingsbewerkingen die door Microsoft Defender worden geboden. Zie It’s Time to Move: Retiring Microsoft Sentinel’s Azure portal for greater security voor meer informatie.
Entiteiten koppelen
Voer de volgende stappen uit om entiteiten toe te wijzen in een analyseregel:
Voer de pagina Analyse in de portal in via welke u toegang hebt tot Microsoft Sentinel:
Selecteer in de sectie Configuratie van het navigatiemenu Microsoft Sentinel de optie Analyse.
Selecteer een geplande queryregel en selecteer Bewerken in het detailvenster. U kunt ook een nieuwe regel maken door boven aan het scherm op Geplande queryregel maken te > klikken.
Selecteer het tabblad Regellogica instellen . Als er een nieuwe regel is, typt u een query in het venster Regelquery .
Vouw Entiteitstoewijzing uit in de sectie Waarschuwingsverbetering.
Selecteer in de nu uitgevouwen sectie Entiteitstoewijzingde optie Nieuwe entiteit toevoegen.
Selecteer een entiteitstype in de vervolgkeuzelijst Entiteit .
Selecteer een identificatie voor de entiteit. Id's zijn kenmerken van een entiteit waarmee deze voldoende kan worden geïdentificeerd. Kies er een in de vervolgkeuzelijst Id en kies vervolgens een gegevensveld in de vervolgkeuzelijst Waarde dat overeenkomt met de id. Met enkele uitzonderingen wordt de lijst Waarde ingevuld met de gegevensvelden in de tabel die is gedefinieerd als het onderwerp van de regelquery.
Je kunt tot drie identifiers definiëren voor een bepaalde entiteitsmapping. Sommige id's zijn vereist, andere zijn optioneel. U moet ten minste één vereiste id kiezen. Als u dat niet doet, wordt u in een waarschuwingsbericht aangegeven welke id's vereist zijn. Voor de beste resultaten—voor maximale unieke identificatie—moet je waar mogelijk sterke identificaties gebruiken, en het gebruik van meerdere sterke identificatoren zorgt voor een grotere correlatie tussen databronnen. Bekijk de volledige lijst met beschikbare entiteiten en id's.
Selecteer Nieuwe entiteit toevoegen om meer entiteiten toe te wijzen. Je kunt tot 10 entiteitsmappings definiëren in één analytics-regel. U kunt ook meer dan één item van hetzelfde type toewijzen. U kunt bijvoorbeeld twee IP-entiteiten toewijzen, één uit een bron-IP-adresveld en één uit een doel-IP-adresveld . Door beide velden toe te wijzen, kun je beide IP-entiteiten volgen.
Als u van gedachten verandert of als u een fout hebt gemaakt, kunt u een entiteitstoewijzing verwijderen door op het prullenbakpictogram naast de vervolgkeuzelijst voor entiteiten te klikken.
Wanneer u klaar bent met het in kaart brengen van entiteiten, klikt u op het tabblad Controleren en aanmaken. Zodra de validatie van de regel is geslaagd, klikt u op Opslaan.
Opmerking
Tot 500 entiteiten kunnen gezamenlijk in één waarschuwing worden geïdentificeerd, gelijk verdeeld over alle entiteitstoewijzingen die in de regel zijn gedefinieerd.
- Als er bijvoorbeeld twee entiteitstoewijzingen zijn gedefinieerd in de regel, kan elke toewijzing maximaal 250 entiteiten identificeren; als er vijf toewijzingen zijn gedefinieerd, kan elke toewijzing maximaal 100 entiteiten identificeren, enzovoort.
- Meerdere toewijzingen van één entiteitstype (bijvoorbeeld bron-IP en doel-IP) tellen elk afzonderlijk mee.
- Als een waarschuwing items bevat die deze limiet overschrijden, worden deze overtollige items niet herkend en geëxtraheerd als entiteiten.
De groottelimiet voor het gehele entiteitsgebied van een waarschuwing (het Entiteiten-veld) is 64 KB.
- Entiteitenvelden die groter zijn dan 64 kB, worden afgekapt. Wanneer entiteiten worden geïdentificeerd, worden ze één voor één toegevoegd aan de waarschuwing totdat de veldgrootte 64 KB bereikt en alle entiteiten die nog niet zijn geïdentificeerd, uit de waarschuwing worden verwijderd.
Opmerkingen over de nieuwe versie
De functie voor entiteitstoewijzing is bijgewerkt ten opzichte van de oudere versie. Houd rekening met de volgende details voor achterwaartse compatibiliteit:
Omdat de nieuwe versie nu algemeen beschikbaar (GA) is, is de tijdelijke oplossing met de functievlag voor het gebruik van de oude versie niet meer beschikbaar.
Als u eerder entiteitstoewijzingen hebt gedefinieerd voor deze analyseregel met behulp van de oude versie, worden deze automatisch geconverteerd naar de nieuwe versie.