Werken met analyseregels voor anomaliedetectie in Microsoft Sentinel

De functie van Microsoft Sentinel voor aanpasbare anomalieën biedt ingebouwde sjablonen voor anomalieën, zodat u er direct mee aan de slag kunt. Deze anomaliesjablonen zijn ontwikkeld om robuust te zijn met behulp van duizenden gegevensbronnen en miljoenen gebeurtenissen, maar met de functie aanpasbare afwijkingen kunt u ook drempelwaarden en parameters voor de afwijkingen eenvoudig wijzigen in de gebruikersinterface. Anomalieregels zijn standaard actief, zodat ze direct anomalieën genereren. U kunt deze afwijkingen vinden en opvragen in de tabel Anomalieën in de sectie Logboeken .

Aanpasbare sjablonen voor anomalieregels weergeven

U kunt nu anomalieregels vinden die in een raster worden weergegeven op het tabblad Afwijkingen op de pagina Analyse .

1. Voor gebruikers van de Microsoft Defender-portal selecteert u Microsoft Sentinel > Configuration > Analytics in het navigatiemenu Microsoft Defender.

   Voor gebruikers van Microsoft Sentinel in de Azure Portal selecteert u Analyse in het navigatiemenu Microsoft Sentinel.

2. Selecteer op de pagina Analyse het tabblad Afwijkingen .

3. Als u de lijst wilt filteren op een of meer van de volgende criteria, selecteert u Filter toevoegen en kiest u dienovereenkomstig.

   • Status : of de regel is ingeschakeld of uitgeschakeld.

   • Tactieken - de tactieken van het MITRE ATT&CK-framework waarop de anomalie betrekking heeft.

   • Technieken - de technieken binnen het MITRE ATT&CK-framework waarop de anomalie betrekking heeft.

   • Gegevensbronnen : het type logboeken dat moet worden opgenomen en geanalyseerd om de anomalie te definiëren.

4. Selecteer een regel en bekijk de volgende informatie in het detailvenster:

   • In de beschrijving wordt uitgelegd hoe de anomalie werkt en welke gegevens nodig zijn.

   • Tactieken en technieken zijn de MITRE ATT&CK-frameworktactieken en technieken die worden gedekt door de anomalie.

   • Parameters zijn de configureerbare kenmerken voor de anomalie.

   • Drempelwaarde is een configureerbare waarde die aangeeft in welke mate een gebeurtenis ongebruikelijk moet zijn voordat een anomalie wordt gemaakt.

   • Regelfrequentie is de tijd tussen logboekverwerkingstaken die de afwijkingen vinden.

   • De regelstatus geeft aan of de regel wordt uitgevoerd in de modus Productie of Flighting (fasering) wanneer deze is ingeschakeld.

   • Anomalieversie toont de versie van de sjabloon die wordt gebruikt door een regel. Als u de versie wilt wijzigen die wordt gebruikt door een regel die al actief is, moet u de regel opnieuw maken.

De regels die worden geleverd met Microsoft Sentinel out-of-the-box kunnen niet worden bewerkt of verwijderd. Als u een regel wilt aanpassen, moet u eerst een duplicaat van de regel maken en vervolgens het duplicaat aanpassen. Voor volledige instructies, zie Anomalieregels afstemmen.

De kwaliteit van afwijkingen beoordelen

U kunt zien hoe goed een anomalieregel presteert door een steekproef te bekijken van de afwijkingen die zijn gemaakt door een regel in de afgelopen 24 uur.

1. Voor gebruikers van Microsoft Sentinel in de Azure Portal selecteert u Analyse in het navigatiemenu Microsoft Sentinel.

   Voor gebruikers van de Microsoft Defender-portal selecteert u Microsoft Sentinel > Configuration > Analytics in het navigatiemenu Microsoft Defender.

2. Selecteer op de pagina Analyse het tabblad Afwijkingen .

3. Selecteer de regel die u wilt beoordelen en kopieer de bijbehorende id van de bovenkant van het detailvenster naar rechts.

4. Selecteer logboeken in het navigatiemenu Microsoft Sentinel.

5. Als er bovenaan een Queries-galerie verschijnt, sluit u deze.

6. Selecteer het tabblad Tabellen in het linkerdeelvenster van de pagina Logboeken .

7. Stel het filter Tijdsbereik in op Afgelopen 24 uur.

8. Kopieer de kusto-query hieronder en plak deze in het queryvenster (waar 'Typ uw query hier of...') staat:

   Anomalies 
   | where RuleId contains "<RuleId>"
   

   Plak de regel-id die u hierboven hebt gekopieerd in plaats van <RuleId> tussen de aanhalingstekens.

9. Selecteer Uitvoeren.

Wanneer u resultaten hebt, kunt u beginnen met het beoordelen van de kwaliteit van de afwijkingen. Als u geen resultaten hebt, kunt u proberen het tijdsbereik te vergroten.

Vouw de resultaten voor elke anomalie uit en vouw vervolgens het veld AnomalyReasons uit. Hierdoor zie je waarom de anomalie werd geactiveerd.

De 'redelijkheid' of 'nuttigheid' van een anomalie kan afhankelijk zijn van de omstandigheden van uw omgeving, maar een veelvoorkomende reden voor een anomalieregel om te veel afwijkingen te produceren, is dat de drempelwaarde te laag is.

Anomalieregels aanpassen

Hoewel anomalieregels zijn ontworpen voor maximale effectiviteit, is elke situatie uniek en moeten anomalieregels soms worden afgestemd.

Omdat u een oorspronkelijke actieve regel niet kunt bewerken, moet u eerst een actieve anomalieregel dupliceren en vervolgens de kopie aanpassen.

De oorspronkelijke anomalieregel blijft actief totdat u deze uitschakelt of verwijdert. De oorspronkelijke regel blijft standaard worden uitgevoerd, zodat u de resultaten kunt vergelijken die zijn gegenereerd door de oorspronkelijke configuratie en de nieuwe. Dubbele regels zijn standaard uitgeschakeld. U kunt slechts één aangepaste kopie maken van een bepaalde anomalieregel. Pogingen om een tweede kopie te maken, mislukken.

1. Als u de configuratie van een anomalieregel wilt wijzigen, selecteert u de regel in de lijst op het tabblad Afwijkingen .

2. Klik met de rechtermuisknop op een willekeurige plaats in de rij van de regel of klik met de linkermuisknop op het beletselteken (...) aan het einde van de rij en selecteer dupliceren in het contextmenu.

   Er wordt een nieuwe regel weergegeven in de lijst, met de volgende kenmerken:

   • De regelnaam is hetzelfde als de oorspronkelijke, met ' - Aangepast' toegevoegd aan het einde.
   • De status van de regel is Uitgeschakeld.
   • De FLGT-badge wordt aan het begin van de rij weergegeven om aan te geven dat de regel zich in de flighting-modus bevindt.

3. Als u deze regel wilt aanpassen, selecteert u de regel en selecteert u Bewerken in het detailvenster of in het contextmenu van de regel.

4. De regel wordt geopend in de wizard voor Analytics-regels. Hier kunt u de parameters van de regel en de drempelwaarde wijzigen. De parameters die kunnen worden gewijzigd, variëren per anomalietype en algoritme.

   U kunt een voorbeeld van de resultaten van uw wijzigingen bekijken in het voorbeeldvenster Resultaten. Selecteer een anomalie-id in de preview van de resultaten om te zien waarom het ML-model die anomalie identificeert.

5. Schakel de aangepaste regel in om resultaten te genereren. Voor sommige wijzigingen moet de regel mogelijk opnieuw worden uitgevoerd, dus u moet wachten tot deze is voltooid en terugkomen om de resultaten op de logboekpagina te controleren. De aangepaste anomalieregel wordt standaard uitgevoerd in de modus Flighting (testmodus). De oorspronkelijke regel wordt standaard uitgevoerd in de productiemodus .

6. Om de resultaten te vergelijken, ga terug naar de Anomalies-tabel in Logs om de nieuwe regel te beoordelen zoals eerder beschreven in Assess the quality of anomalies, maar gebruik in plaats daarvan de volgende query om te zoeken naar anomalieën die door de oorspronkelijke regel zijn gegenereerd, evenals de dubbele regel.

   Anomalies 
   | where AnomalyTemplateId contains "<RuleId>"
   

   Plak de regel-id die u hebt gekopieerd uit de oorspronkelijke regel in plaats van <RuleId> tussen de aanhalingstekens. De waarde van AnomalyTemplateId in zowel de oorspronkelijke als dubbele regel is identiek aan de waarde van RuleId in de oorspronkelijke regel.

Als u tevreden bent met de resultaten voor de aangepaste regel, gaat u terug naar het tabblad Afwijkingen , selecteert u de aangepaste regel, selecteert u de knop Bewerken en schakelt u deze op het tabblad Algemeen over van Flighting naar Production. De oorspronkelijke regel wordt automatisch gewijzigd in Flighting , omdat u niet tegelijkertijd twee versies van dezelfde regel in productie kunt hebben.

Volgende stappen

Lees meer over anomaliedetectie in Microsoft Sentinel:

• Hier vindt u achtergrondinformatie over aanpasbare afwijkingen.
• Bekijk de beschikbare anomalietypen in Microsoft Sentinel.
• Verken andere typen analyseregels.