SOC-processen bijwerken voor Microsoft Sentinel migratie

Een Security Operations Center (SOC) is een gecentraliseerde functie binnen een organisatie die mensen, processen en technologie integreert. Een SOC implementeert het algemene cyberbeveiligingsframework van de organisatie. Het SOC werkt samen aan de inspanningen van de organisatie om cyberbeveiligingsincidenten te bewaken, te waarschuwen, te voorkomen, te detecteren, te analyseren en erop te reageren. SOC-teams, onder leiding van een SOC-manager, kunnen bestaan uit incidentresponsers, SOC-analisten op niveau 1, 2 en 3, bedreigingsjagers en incidentresponsmanagers.

SOC-teams gebruiken telemetrie van de IT-infrastructuur van de organisatie, waaronder netwerken, apparaten, toepassingen, gedrag, apparaten en informatiearchieven. De teams werken vervolgens samen en analyseren de gegevens om te bepalen hoe de gegevens moeten worden beheerd en welke acties moeten worden ondernomen.

Als u wilt migreren naar Microsoft Sentinel, moet u niet alleen de technologie bijwerken die door de SOC wordt gebruikt, maar ook de SOC-taken en -processen. In dit artikel wordt beschreven hoe u uw SOC- en analistenprocessen bijwerkt als onderdeel van uw migratie naar Microsoft Sentinel.

Werkstroom van analisten bijwerken

Microsoft Sentinel biedt een reeks hulpprogramma's die zijn toegewezen aan een typische analistenwerkstroom, van incidenttoewijzing tot afsluiting. Analisten kunnen flexibel enkele of alle beschikbare hulpprogramma's gebruiken om incidenten te sorteren en te onderzoeken. Wanneer uw organisatie migreert naar Microsoft Sentinel, moeten uw analisten zich aanpassen aan deze nieuwe hulpprogramma's, functies en werkstromen.

Incidenten in Microsoft Sentinel

In Microsoft Sentinel is een incident een verzameling waarschuwingen waarvan Microsoft Sentinel bepaalt dat ze voldoende betrouwbaar zijn om een incident te activeren. Daarom analyseert de analist met Microsoft Sentinel eerst incidenten op de pagina Incidenten en gaat vervolgens verder met het analyseren van waarschuwingen als er een diepere analyse nodig is. Vergelijk de terminologie en beheergebieden van uw SIEM-incidenten (Security Information and Event Management) met Microsoft Sentinel.

Werkstroomfasen van analisten

In deze tabel worden de belangrijkste fasen in de analistenwerkstroom beschreven en worden de specifieke hulpprogramma's gemarkeerd die relevant zijn voor elke activiteit in de werkstroom.

In de volgende werkstroomfasen worden activiteiten van analisten en SIEM-terminologie toegewezen aan specifieke Microsoft Sentinel functies.

Eigendom van incidenten toewijzen

Gebruik de pagina Microsoft Sentinel Incidenten om incidenten toe te wijzen. De pagina Incidenten bevat een voorbeeld van incidenten en een gedetailleerde weergave voor afzonderlijke incidenten.

Een incident toewijzen:

• Handmatig: Stel het veld Eigenaar in op de relevante gebruikersnaam.
• Automatisch: Gebruik een aangepaste oplossing gebaseerd op Microsoft Teams en Logic Apps, of maak een automatiseringsregel.

Beveiligingsincidenten classificeren

Als u een triage-oefening wilt uitvoeren in Microsoft Sentinel, kunt u beginnen met verschillende Microsoft Sentinel functies, afhankelijk van uw expertiseniveau en de aard van het incident dat wordt onderzocht. Als een typisch uitgangspunt selecteert u Volledige details weergeven op de pagina Incident . U kunt nu de waarschuwingen bekijken waaruit het incident bestaat, bladwijzers controleren, entiteiten selecteren om verder in te zoomen op specifieke entiteiten of opmerkingen toevoegen.

Hier volgen voorgestelde acties om uw incidentbeoordeling voort te zetten:

• Selecteer Onderzoek voor een visuele weergave van de relaties tussen de incidenten en de relevante entiteiten.
• Gebruik een Microsoft Sentinel notebook om een uitgebreide triage-oefening uit te voeren voor een bepaalde entiteit. U kunt het notitieblok voor incident triage gebruiken voor uitgebreide sortering van de geselecteerde entiteit.

Versnel de triage

Gebruik deze functies en mogelijkheden om de sortering te versnellen:

• Voor snel filteren zoekt u op de pagina Incidentennaar incidenten die zijn gekoppeld aan een specifieke entiteit. Filteren op entiteit op de pagina Incidenten gaat sneller dan filteren op de entiteitskolom in verouderde SIEM-incidentwachtrijen.
• Voor een snellere triage gebruikt u het scherm Waarschuwingsgegevens om belangrijke incidentgegevens op te nemen in de naam en beschrijving van het incident, zoals de bijbehorende gebruikersnaam, IP-adres of host. Een incident kan bijvoorbeeld dynamisch worden gewijzigd in Ransomware activity detected in DC01, waarbij DC01 een kritieke asset is, dynamisch geïdentificeerd via de aanpasbare waarschuwingseigenschappen.
• Voor diepere analyse selecteer je op de pagina Incidenten een incident en selecteer je Gebeurtenissen onder Bewijs om specifieke gebeurtenissen te bekijken die het incident hebben veroorzaakt. De gebeurtenisgegevens zijn zichtbaar als de uitvoer van de query die is gekoppeld aan de analyseregel, in plaats van de onbewerkte gebeurtenis. De regelmigratietechnicus kan deze uitvoer gebruiken om ervoor te zorgen dat de analist de juiste gegevens krijgt.
• Voor gedetailleerde entiteitsinformatie selecteert u op de pagina Incidenten een incident en selecteert u een entiteitsnaam onder Entiteiten om de directory-informatie, tijdlijn en inzichten van de entiteit te bekijken. Leer hoe je entiteiten toewijst.
• Als u een koppeling wilt maken naar relevante werkmappen, selecteert u Voorbeeld van incident. U kunt de werkmap aanpassen om aanvullende informatie over het incident of de bijbehorende entiteiten en aangepaste velden weer te geven.

Beveiligingsincidenten onderzoeken

Gebruik de onderzoeksgrafiek om incidenten grondig te onderzoeken. Selecteer op de pagina Incidenten een incident en selecteer Onderzoeken om de onderzoeksgrafiek weer te geven.

Met de onderzoeksgrafiek kunt u het volgende doen:

• Begrijp het bereik en identificeer de hoofdoorzaak van potentiële beveiligingsrisico's door relevante gegevens te correleren met elke betrokken entiteit.
• Duik dieper in entiteiten en kies tussen verschillende uitbreidingsopties.
• Bekijk eenvoudig verbindingen tussen verschillende gegevensbronnen door relaties weer te geven die automatisch uit de onbewerkte gegevens zijn geëxtraheerd.
• Breid uw onderzoeksbereik uit met behulp van ingebouwde verkenningsquery's om het volledige bereik van een bedreiging naar boven te komen.
• Gebruik vooraf gedefinieerde verkenningsopties om u te helpen de juiste vragen te stellen tijdens het onderzoeken van een bedreiging.

Vanuit de onderzoeksgrafiek kunt u ook werkmappen openen om uw onderzoeksinspanningen verder te ondersteunen. Microsoft Sentinel bevat verschillende werkmapsjablonen die u kunt aanpassen aan uw specifieke gebruiksscenario.

Reageren op incidenten

Gebruik Microsoft Sentinel geautomatiseerde reactiemogelijkheden om te reageren op complexe bedreigingen en waarschuwingsmoeheid te verminderen. Microsoft Sentinel biedt geautomatiseerde respons met behulp van Logic Apps-playbooks en automatiseringsregels.

Gebruik een van de volgende opties voor toegang tot playbooks:

• Het tabblad Automation Playbook-sjablonen >
• De hub Microsoft Sentinel Inhoud
• De Microsoft Sentinel playbooks GitHub opslagplaats

Deze bronnen omvatten een breed scala aan op beveiliging gerichte playbooks om een aanzienlijk deel van gebruiksvoorbeelden van verschillende complexiteit te dekken. Als u uw werk met playbooks wilt stroomlijnen, gebruikt u de sjablonen onder Automation > Playbook-sjablonen. Met sjablonen kunt u eenvoudig playbooks implementeren in het Microsoft Sentinel exemplaar en vervolgens de playbooks aanpassen aan de behoeften van uw organisatie.

Zie het SOC Process Framework om uw SOC-proces toe te wijzen aan Microsoft Sentinel mogelijkheden.

Vergelijk SIEM-concepten met Microsoft Sentinel

Gebruik deze tabel om de belangrijkste concepten van uw verouderde SIEM te vergelijken met Microsoft Sentinel concepten.

Na migratie

Na de migratie kunt u de Microsoft Sentinel-resources van Microsoft verkennen om uw vaardigheden uit te breiden en optimaal gebruik te maken van Microsoft Sentinel.

Overweeg ook om uw bedreigingsbeveiliging te verhogen met behulp van Microsoft Sentinel naast Microsoft Defender XDR en Microsoft Defender voor cloud voor geïntegreerde bedreigingsbeveiliging. Profiteer van de breedte van de zichtbaarheid die Microsoft Sentinel biedt, terwijl u dieper ingaat op gedetailleerde bedreigingsanalyse.

Verwante onderwerpen

• Aanbevolen werkwijzen voor regelmigratie
• Webinar: Aanbevolen procedures voor het converteren van detectieregels
• Soar (Security Orchestration, Automation and Response) in Microsoft Sentinel
• Uw SOC beter beheren met metrische incidentgegevens
• Microsoft Sentinel leertraject
• SC-200-certificering voor Microsoft Beveiliging Operations Analyst
• Training voor Microsoft Sentinel Ninja
• Een aanval op een hybride omgeving onderzoeken met Microsoft Sentinel