ArcSight-detectieregels migreren naar Microsoft Sentinel

In dit artikel wordt beschreven hoe u uw ArcSight-detectieregels kunt identificeren, vergelijken en migreren naar Microsoft Sentinel analyseregels.

Regels identificeren en migreren

Microsoft Sentinel maakt gebruik van machine learning-analyse om incidenten met hoge kwaliteit en uitvoerbaar te maken. Sommige van uw bestaande detecties zijn mogelijk overbodig in Microsoft Sentinel. Migreer daarom niet al uw detectie- en analyseregels blindelings. Bekijk de volgende overwegingen bij het identificeren van uw bestaande detectieregels.

• Zorg ervoor dat u use cases selecteert die regelmigratie rechtvaardigen, rekening houdend met bedrijfsprioriteit en efficiëntie.
• Controleer of u Microsoft Sentinel regeltypen begrijpt.
• Controleer of u de terminologie van de regel begrijpt.
• Bekijk alle regels die de afgelopen zes tot twaalf maanden geen meldingen hebben veroorzaakt en bepaal of ze nog relevant zijn.
• Elimineer bedreigingen op laag niveau of waarschuwingen die u regelmatig negeert.
• Gebruik bestaande functionaliteit en controleer of de ingebouwde analyseregels van Microsoft Sentinel uw huidige gebruiksscenario's kunnen aanpakken. Omdat Microsoft Sentinel gebruikmaakt van machine learning-analyse om incidenten met hoge kwaliteit en actie mogelijk te maken, zijn sommige van uw bestaande detecties waarschijnlijk niet meer vereist.
• Bevestig verbonden gegevensbronnen en controleer uw gegevensverbindingsmethoden. Bekijk de gesprekken over gegevensverzameling opnieuw om ervoor te zorgen dat de data voldoende diepgang en breedte hebben voor de gebruiksscenario’s die u wilt kunnen detecteren.
• Verken communitybronnen zoals de SOC Prime Threat Detection Marketplace om te zien of uw regels daar beschikbaar zijn.
• Overweeg of een online queryconversieprogramma, zoals Uncoder.io, voor uw regels kan werken.
• Als regels niet beschikbaar zijn of niet kunnen worden geconverteerd, moeten ze handmatig worden gemaakt met behulp van een KQL-query. Controleer de regelmapping om nieuwe queries te maken.

Lees meer over aanbevolen werkwijzen voor de migratie van detectieregels.

Uw analyseregels migreren naar Microsoft Sentinel:

1. Controleer of u een testsysteem hebt voor elke regel die u wilt migreren.

   1. Bereid een validatieproces voor voor uw gemigreerde regels, inclusief volledige testscenario's en scripts.

   2. Zorg ervoor dat uw team nuttige bronnen heeft om uw gemigreerde regels te testen.

   3. Controleer of u alle vereiste gegevensbronnen hebt verbonden en controleer uw gegevensverbindingsmethoden.

2. Controleer of uw detecties beschikbaar zijn als ingebouwde sjablonen in Microsoft Sentinel:

   • Als de ingebouwde regels voldoende zijn, gebruikt u ingebouwde regelsjablonen om regels voor uw eigen werkruimte te maken.

     Ga in Microsoft Sentinel naar het tabblad Configuration > Analytics-regelsjablonen > en maak en werk elke relevante analyseregel bij.

     Om te leren hoe je regels maakt uit ingebouwde sjablonen, zie Create scheduled analytics rules from templates.

   • Als u detecties hebt die niet worden gedekt door de ingebouwde regels van Microsoft Sentinel, kunt u een online queryconversieprogramma proberen, zoals Uncoder.io om uw query's te converteren naar KQL.

     Identificeer de triggervoorwaarde en regelactie en stel vervolgens uw KQL-query samen en controleer deze.

   • Als de ingebouwde regels en een online regelconversieprogramma niet voldoende zijn, moet u de regel handmatig maken. Gebruik in dergelijke gevallen de volgende stappen om te beginnen met het maken van uw regel:

     1. Identificeer de gegevensbronnen die u in uw regel wilt gebruiken. U wilt een toewijzingstabel maken tussen gegevensbronnen en gegevenstabellen in Microsoft Sentinel om de tabellen te identificeren die u wilt opvragen.

     2. Identificeer kenmerken, velden of entiteiten in uw gegevens die u in uw regels wilt gebruiken.

     3. Bepaal de criteria en logica voor uw regel. In deze fase kunt u regelsjablonen gebruiken als voorbeelden voor het samenstellen van uw KQL-query's.

        Denk aan filters, correlatieregels, actieve lijsten, verwijzingssets, volglijsten, detectieafwijkingen, aggregaties, enzovoort. Je kunt referenties gebruiken die door je legacy SIEM worden geleverd om ArcSight-querysyntaxis aan KQL toe te wijzen.

     4. Identificeer de triggervoorwaarde en regelactie en stel vervolgens uw KQL-query samen en controleer deze. Wanneer u uw query bekijkt, kunt u rekening houden met hulpmiddelen voor KQL-optimalisatie.

3. Test de regel met elk van uw relevante use cases. Als dit niet de verwachte resultaten oplevert, wilt u mogelijk de KQL nakijken en opnieuw testen.

4. Wanneer u tevreden bent, kunt u de regel als gemigreerd beschouwen. Maak zo nodig een playbook voor uw regelactie. Om playbooks te maken en te gebruiken voor regelacties, zie Automate threat response with playbooks in Microsoft Sentinel.

Meer informatie over analyseregels:

• Regels voor geplande analyses in Microsoft Sentinel: Gebruik waarschuwingsgroepering om waarschuwingsmoeheid te verminderen door meldingen die binnen een bepaalde tijdsperiode plaatsvinden te groeperen.
• Kaart datavelden toe aan entiteiten in Microsoft Sentinel: Om SOC-ingenieurs in staat te stellen entiteiten te definiëren als onderdeel van het bewijs dat tijdens een onderzoek moet worden gevolgd. Entiteitstoewijzing maakt het ook mogelijk voor SOC-analisten om te profiteren van een intuïtieve onderzoeksgrafiek die kan helpen tijd en moeite te verminderen.
• Onderzoek incidenten met UEBA-gegevens: Als voorbeeld van hoe bewijs te gebruiken om gebeurtenissen, waarschuwingen en eventuele bladwijzers die aan een bepaald incident gekoppeld zijn, naar boven te brengen in het incidentvoorbeeldvenster.
• Kusto Query Language (KQL): Je kunt KQL gebruiken om alleen-lezen verzoeken naar je Log Analytics-database te sturen om data te verwerken en resultaten terug te geven. KQL wordt ook gebruikt in andere Microsoft-services, zoals Microsoft Defender voor Eindpunt en Application Insights.

Regelterminologie vergelijken

Met deze tabel kunt u het concept van een regel in Microsoft Sentinel in vergelijking met ArcSight verduidelijken.

Regelvoorbeelden koppelen en vergelijken

Gebruik de volgende voorbeelden om ArcSight-detectieregels te vergelijken met equivalente Microsoft Sentinel-queries geschreven in Kusto Query Language (KQL).

Filtervoorbeeld (AND): ArcSight

Hier volgt een voorbeeld van een filterregel met AND voorwaarden in ArcSight.

Filtervoorbeeld (AND): KQL

Dit is de filterregel met AND voorwaarden in KQL.

SecurityEvent
| where EventID == 4728
| where SubjectUserName =~ "AutoMatedService"
| where isnotempty(SubjectDomainName)

Bij deze regel wordt ervan uitgegaan dat de Azure Monitoring Agent (AMA) de Windows-beveiliging-gebeurtenissen verzamelt. Daarom gebruikt de regel de tabel Microsoft Sentinel SecurityEvent.

Houd rekening met deze aanbevolen procedures:

• Als u uw query's wilt optimaliseren, vermijdt u indien mogelijk hoofdlettergevoelige operators: =~.
• Gebruik == als de waarde niet hoofdlettergevoelig is.
• Bestel de filters door te beginnen met de where instructie, waarmee de meeste gegevens worden uitgefilterd.

Voorbeeldfilter (OR): ArcSight

Hier volgt een voorbeeld van een filterregel met OR voorwaarden in ArcSight.

Voorbeeld van een filter (OR): KQL

Hier volgen enkele manieren om de filterregel te schrijven met OR voorwaarden in KQL.

Gebruik als eerste optie de in instructie:

SecurityEvent
| where SubjectUserName in
 ("Adm1","ServiceAccount1","AutomationServices")

Gebruik als tweede optie de or instructie:

SecurityEvent
| where SubjectUserName == "Adm1" or 
SubjectUserName == "ServiceAccount1" or 
SubjectUserName == "AutomationServices"

Hoewel beide opties qua prestaties identiek zijn, raden we de eerste optie aan, die gemakkelijker te lezen is.

Voorbeeld van een genest filter: ArcSight

Hier volgt een voorbeeld van een geneste filterregel in ArcSight.

Hier volgt een regel voor het /All Filters/Soc Filters/Exclude Valid Users filter.

Voorbeeld van geneste filter: KQL

Hier volgen enkele manieren om de filterregel te schrijven met OR voorwaarden in KQL.

Als eerste optie gebruikt u een direct filter met een where instructie:

SecurityEvent
| where EventID == 4728 
| where isnotempty(SubjectDomainName) or 
isnotempty(TargetDomainName) 
| where SubjectUserName !~ "AutoMatedService"

Als tweede optie gebruikt u een KQL-functie:

1. Sla de volgende query op als een KQL-functie met de ExcludeValidUsers alias.

       SecurityEvent
       | where EventID == 4728
       | where isnotempty(SubjectDomainName)
       | where SubjectUserName =~ "AutoMatedService"
       | project SubjectUserName
   

2. Gebruik de volgende query om de ExcludeValidUsers alias te filteren.

       SecurityEvent    
       | where EventID == 4728
       | where isnotempty(SubjectDomainName) or 
       isnotempty(TargetDomainName)
       | where SubjectUserName !in (ExcludeValidUsers)
   

Als derde optie gebruikt u een parameterfunctie:

1. Maak een parameterfunctie met ExcludeValidUsers als de naam en alias.

2. Definieer de parameters van de functie. Bijvoorbeeld:

       Tbl: (TimeGenerated:datetime, Computer:string, 
       EventID:string, SubjectDomainName:string, 
       TargetDomainName:string, SubjectUserName:string)
   

3. De parameter functie heeft de volgende query:

       Tbl
       | where SubjectUserName !~ "AutoMatedService"
   

4. Voer de volgende query uit om de parameterfunctie aan te roepen:

       let Events = (
       SecurityEvent 
       | where EventID == 4728
       );
       ExcludeValidUsers(Events)
   

Als vierde optie gebruikt u de join functie:

let events = (
SecurityEvent
| where EventID == 4728
| where isnotempty(SubjectDomainName) 
or isnotempty(TargetDomainName)
);
let ExcludeValidUsers = (
SecurityEvent
| where EventID == 4728
| where isnotempty(SubjectDomainName)
| where SubjectUserName =~ "AutoMatedService"
);
events
| join kind=leftanti ExcludeValidUsers on 
$left.SubjectUserName == $right.SubjectUserName

Considerations

• We raden u aan een direct filter met een where instructie (eerste optie) te gebruiken vanwege de eenvoud. Vermijd voor geoptimaliseerde prestaties het gebruik van join (vierde optie).
• Als u uw query's wilt optimaliseren, vermijdt u indien mogelijk de =~!~ niet-hoofdlettergevoelige operatoren. Gebruik de == operators en != als de waarde niet hoofdlettergevoelig is.

Voorbeeld van actieve lijst (opzoeken): ArcSight

Hier is een regel voor actieve lijsten (zoekopdracht) in ArcSight.

Voorbeeld van actieve lijst (opzoeken): KQL

De volgende KQL-query gebruikt de Cyber-Ark Exception Accounts watchlist om zoekresultaten te filteren.

let Activelist=(
_GetWatchlist('Cyber-Ark Exception Accounts')
| project Account );
CommonSecurityLog
| where DestinationUserName in (Activelist)
| where DeviceVendor == "Cyber-Ark"
| where DeviceAction == "Get File Request"
| where DeviceCustomNumber1 != ""
| project DeviceAction, DestinationUserName, 
TimeGenerated,SourceHostName, 
SourceUserName, DeviceEventClassID

Sorteer de filters door te beginnen met de where instructie die de meeste gegevens wegfiltert.

Voorbeeld van correlatie (vergelijken): ArcSight

Hier volgt een voorbeeld van een ArcSight-regel waarmee een voorwaarde wordt gedefinieerd op basis van een set basisgebeurtenissen, met behulp van de Matching Event -instructie.

Voorbeeld van correlatie (vergelijken): KQL

In het volgende KQL-voorbeeld ziet u hoe u de overeenkomende correlatieregel van ArcSight in Microsoft Sentinel implementeert.

let event1 =(
SecurityEvent
| where EventID == 4728
);
let event2 =(
SecurityEvent
| where EventID == 4729
);
event1
| join kind=inner event2 
on $left.TargetUserName==$right.TargetUserName

Beste praktijken

• Als u uw query wilt optimaliseren, moet u ervoor zorgen dat de kleinere tabel zich aan de linkerkant van de join functie bevindt.
• Als de linkerkant van de tabel relatief klein is (maximaal 100 K records), voegt u toe hint.strategy=broadcast voor betere prestaties.

Voorbeeld van correlatie (tijdvenster): ArcSight

Hier volgt een ArcSight-voorbeeldregel die een voorwaarde definieert op basis van een set basisgebeurtenissen, met behulp van de Matching Event instructie en de Wait time filtervoorwaarde gebruikt.

Voorbeeld van correlatie (tijdvenster): KQL

In het volgende KQL-voorbeeld wordt een correlatieregel geïmplementeerd met een tijdvenster dat gelijk is aan het ArcSight-voorbeeld.

let waittime = 10m;
let lookback = 1d;
let event1 = (
SecurityEvent
| where TimeGenerated > ago(waittime+lookback)
| where EventID == 4728
| project event1_time = TimeGenerated, 
event1_ID = EventID, event1_Activity= Activity, 
event1_Host = Computer, TargetUserName, 
event1_UPN=UserPrincipalName, 
AccountUsedToAdd = SubjectUserName 
);
let event2 = (
SecurityEvent
| where TimeGenerated > ago(waittime)
| where EventID == 4729
| project event2_time = TimeGenerated, 
event2_ID = EventID, event2_Activity= Activity, 
event2_Host= Computer, TargetUserName, 
event2_UPN=UserPrincipalName,
 AccountUsedToRemove = SubjectUserName 
);
 event1
| join kind=inner event2 on TargetUserName
| where event2_time - event1_time < lookback
| where tolong(event2_time - event1_time ) >=0
| project delta_time = event2_time - event1_time,
 event1_time, event2_time,
 event1_ID,event2_ID,event1_Activity,
 event2_Activity, TargetUserName, AccountUsedToAdd,
 AccountUsedToRemove,event1_Host,event2_Host, 
 event1_UPN,event2_UPN

Voorbeeld van aggregatie: ArcSight

Hier is een voorbeeld van een ArcSight-regel met aggregatie-instellingen: drie treffers binnen 10 minuten.

Voorbeeld van aggregatie: KQL

De volgende KQL-query laat zien hoe u drie of meer overeenkomsten kunt detecteren met behulp van aggregatie.

SecurityEvent
| summarize Count = count() by SubjectUserName, 
SubjectDomainName
| where Count >3

Volgende stap