Splunk-detectieregels migreren naar Microsoft Sentinel

Splunk-detectieregels zijn SIEM-onderdelen (Security Information and Event Management) die vergelijkbaar zijn met analyseregels in Microsoft Sentinel. Dit artikel beschrijft de concepten die worden gebruikt om Splunk-detectieregels te identificeren, te vergelijken en te migreren naar Microsoft Sentinel. De beste manier om Splunk-detectieregels te migreren naar Microsoft Sentinel is om te beginnen met de SIEM-migratie-ervaring, die kant-en-klare analyseregels (OOTB) identificeert voor automatische vertaling.

Als u uw Splunk Observability-implementatie wilt migreren, vindt u meer informatie over het migreren van Splunk naar Azure Monitor-logboeken.

Controleregels

Microsoft Sentinel maakt gebruik van machine learning-analyse om incidenten met hoge kwaliteit en actie mogelijk te maken. Sommige van je bestaande Splunk-detecties kunnen overbodig zijn in Microsoft Sentinel, dus migreer niet alle Splunk-detecties blind. Bekijk de volgende overwegingen bij het controleren van regels wanneer u uw bestaande detectieregels identificeert.

• Zorg ervoor dat u use cases selecteert die regelmigratie rechtvaardigen, rekening houdend met bedrijfsprioriteit en efficiëntie.
• Controleer of u Microsoft Sentinel regeltypen begrijpt.
• Controleer of u de terminologie van de regel begrijpt.
• Bekijk verouderde regels die geen waarschuwingen bevatten voor de afgelopen 6-12 maanden en bepaal of ze nog steeds relevant zijn.
• Elimineer bedreigingen op laag niveau of waarschuwingen die u regelmatig negeert.
• Microsoft Sentinel Analytics vereisen dat het gegevenstype aanwezig is in de Log Analytics-werkruimte voordat een regel wordt ingeschakeld. Controleer of de vereiste gegevensbronnen zijn verbonden en controleer uw gegevensverbindingsmethoden. Bekijk de gesprekken over gegevensverzameling opnieuw om ervoor te zorgen dat de data voldoende diepgang en breedte hebben voor de gebruiksscenario’s die u wilt kunnen detecteren. Gebruik vervolgens de SIEM-migratie-ervaring om ervoor te zorgen dat de gegevensbronnen op de juiste manier worden toegewezen.

Regels migreren

Nadat u de Splunk-detecties hebt geïdentificeerd die moeten worden gemigreerd, bekijkt u de volgende overwegingen voor het migratieproces:

• Vergelijk de bestaande functionaliteit van de OOTB-analyseregels van Microsoft Sentinel met uw huidige use cases. Gebruik de SIEM-migratie-ervaring om te zien welke Splunk-detecties automatisch worden geconverteerd naar OOTB-sjablonen.
• Detecties vertalen die niet zijn afgestemd op OOTB-analyseregels. De beste manier om Splunk-detecties automatisch te vertalen, is met de SIEM-migratie-ervaring.
• Ontdek meer algoritmen voor uw use cases door communitybronnen te verkennen, zoals de SOC Prime Threat Detection Marketplace.
• Detecties handmatig vertalen als ingebouwde regels niet beschikbaar zijn of niet automatisch worden vertaald. Stel de nieuwe KQL-query's op en controleer de regeltoewijzing.

Zie aanbevolen procedures voor het migreren van detectieregels voor meer informatie.

Stappen voor het migreren van regels

Volg deze stappen om elke Splunk-detectieregel tijdens de migratie naar Microsoft Sentinel te valideren, te vertalen en te testen.

1. Controleer of u een testsysteem hebt voor elke regel die u wilt migreren.

   1. Bereid een validatieproces voor voor uw gemigreerde regels, inclusief volledige testscenario's en scripts.

   2. Zorg ervoor dat uw team nuttige bronnen heeft om uw gemigreerde regels te testen.

   3. Controleer of de vereiste gegevensbronnen zijn verbonden en controleer de methoden voor gegevensverbinding.

2. Controleer of uw detecties beschikbaar zijn als OOTB-sjablonen in Microsoft Sentinel:

   • Gebruik de SIEM-migratie-ervaring om de vertaling en installatie van de OOTB-sjablonen te automatiseren.

     Zie De SIEM-migratie-ervaring gebruiken voor meer informatie.

   • Als u use cases hebt die niet worden weergegeven in de detecties, maakt u regels voor uw eigen werkruimte met OOTB-regelsjablonen.

     Ga in Microsoft Sentinel naar de Content hub.

     Filter op Inhoudstype voor sjablonen voor analyseregels.

     Zoek en installeer/werk elke bijbehorende Content Hub-oplossing of zelfstandige analyseregelsjabloon bij.

     Zie Bedreigingen standaard detecteren voor meer informatie.

   • Als u detecties hebt die niet worden gedekt door de OOTB-regels van Microsoft Sentinel, probeert u eerst de SIEM-migratie-ervaring voor automatische vertaling.

   • Als de OOTB-regels en de SIEM-migratie de detectie niet volledig vertalen, maakt u de regel handmatig. Gebruik de volgende stappen om uw regel te maken:

     1. Identificeer de gegevensbronnen die u in uw regel wilt gebruiken. Identificeer de Microsoft Sentinel tabellen die u wilt opvragen door een toewijzingstabel te maken tussen gegevensbronnen en gegevenstabellen.

     2. Identificeer kenmerken, velden of entiteiten in uw gegevens die u in uw regels wilt gebruiken.

     3. Bepaal de criteria en logica voor uw regel. Wanneer u uw regelcriteria en logica identificeert, kunt u regelsjablonen gebruiken als voorbeelden voor het maken van uw KQL-query's.

        Denk aan filters, correlatieregels, actieve lijsten, verwijzingssets, volglijsten, detectieafwijkingen, aggregaties, enzovoort. U kunt referenties van uw legacy-SIEM gebruiken om inzicht te krijgen in hoe u uw querysyntaxis het best kunt toewijzen.

     4. Identificeer de triggervoorwaarde en regelactie en stel vervolgens uw KQL-query samen en controleer deze. Wanneer u uw query bekijkt, kunt u rekening houden met hulpmiddelen voor KQL-optimalisatie.

3. Test de regel met elk van uw relevante use cases. Als er geen verwachte resultaten worden weergegeven, controleert en bewerkt u de KQL en test u deze opnieuw.

4. Wanneer u tevreden bent, kunt u de regel als gemigreerd beschouwen. Maak zo nodig een playbook voor uw regelactie. Zie Reactie op bedreigingen automatiseren met playbooks in Microsoft Sentinel voor meer informatie.

Meer informatie over analyseregels:

• Aangepaste analyseregels maken om bedreigingen te detecteren. Gebruik waarschuwingsgroepering om de vermoeidheid van waarschuwingen te verminderen door waarschuwingen te groeperen die binnen een bepaald tijdsbestek optreden.
• Wijs gegevensvelden toe aan entiteiten in Microsoft Sentinel zodat SOC-technici entiteiten kunnen definiëren als onderdeel van het bewijs dat tijdens een onderzoek moet worden bijgehouden. Entiteitstoewijzing maakt het ook mogelijk voor SOC-analisten om te profiteren van een intuïtieve [onderzoeksgrafiek] (investigate-cases.md#use-the-investigation-graph-to-deep-dive) die tijd en moeite kan helpen verminderen.
• Onderzoek incidenten met UEBA-gegevens, als voorbeeld van hoe u bewijs kunt gebruiken om gebeurtenissen, waarschuwingen en bladwijzers die aan een bepaald incident zijn gekoppeld, weer te geven in het voorbeeldvenster van incidenten.
• Kusto-querytaal (KQL), waarmee u alleen-lezenaanvragen kunt verzenden naar uw Log Analytics-database om gegevens te verwerken en resultaten te retourneren. KQL wordt ook gebruikt in andere Microsoft-services, zoals Microsoft Defender voor Eindpunt en Application Insights.

Regelterminologie vergelijken

In de volgende vergelijkingstabel wordt uitgelegd hoe een op KQL gebaseerde regel in Microsoft Sentinel overeenkomt met een SPL-detectie in Splunk.

Regelvoorbeelden koppelen en vergelijken

Gebruik de SPL-naar-KQL voorbeeldtabellen en voorbeelden in deze sectie om regels van Splunk naar Microsoft Sentinel in verschillende scenario's te vergelijken en toe te wijzen.

Vergelijk veelvoorkomende Splunk-zoekcommando's met KQL-voorbeelden

Deze tabel koppelt veelvoorkomende SPL-zoekcommando's aan hun KQL-equivalenten in Microsoft Sentinel.

lookup opdracht: KQL-voorbeeld

Dit KQL-voorbeeld wordt gebruikt externaldata om het SPL-patroon lookup te repliceren door gebruikers te filteren op een externe databron.

Users 
| where UserID in ((externaldata (UserID:string) [
@"https://storageaccount.blob.core.windows.net/storagecontainer/users.txt" 
h@"?...SAS..." // Secret token to access the blob 
])) | ... 

stats opdracht: KQL-voorbeeld

Dit KQL-voorbeeld gebruikt summarize het om transacties te tellen en totalen op te tellen, gegroepeerd op fruit en maand.

Sales 
| summarize NumTransactions=count(), 
Total=sum(UnitPrice * NumUnits) by Fruit, 
StartOfMonth=startofmonth(SellDateTime) 

mstats opdracht: KQL-voorbeeld

Dit KQL-voorbeeld sorteert metrische waarden in prijsklassen en telt de records in elk bereik.

T | summarize count() by price_range=bin(price, 10.0) 

transaction opdracht: SPL-voorbeeld

Dit SPL-voorbeeld groepeert gerelateerde start- en stopgebeurtenissen in één transactie op basis van activiteits-ID.

sourcetype=MyLogTable type=Event
| transaction ActivityId startswith="Start" endswith="Stop"
| Rename timestamp as StartTime
| Table City, ActivityId, StartTime, Duration

transaction opdracht: KQL-voorbeeld

Dit KQL-voorbeeld repliceert SPL-transactiegroepering door start- en stopgebeurtenissen te joinen op een gedeelde activiteits-ID en de duur te berekenen.

let Events = MyLogTable | where type=="Event";
Events
| where Name == "Start"
| project Name, City, ActivityId, StartTime=timestamp
| join (Events
| where Name == "Stop"
| project StopTime=timestamp, ActivityId)
on ActivityId
| project City, ActivityId, StartTime, 
Duration = StopTime – StartTime

Gebruik row_window_session() deze optie om sessiestartwaarden te berekenen voor een kolom in een geserialiseerde rijenset.

...| extend SessionStarted = row_window_session(
Timestamp, 1h, 5m, ID != prev(ID))

eventstats opdracht: SPL-voorbeeld

Dit SPL-voorbeeld berekent het aantal gebeurtenissen per categorie in één-minuut bins en voegt vervolgens een totaal per tijd-bin toe met behulp van eventstats.

… | bin span=1m _time
|stats count AS count_i by _time, category
| eventstats sum(count_i) as count_total by _time

eventstats opdracht: KQL-voorbeeld

Hier is een voorbeeld met de join-statement:

let binSize = 1h;
let detail = SecurityEvent 
| summarize detail_count = count() by EventID,
tbin = bin(TimeGenerated, binSize);
let summary = SecurityEvent
| summarize sum_count = count() by 
tbin = bin(TimeGenerated, binSize);
detail 
| join kind=leftouter (summary) on tbin 
| project-away tbin1

Hier is een voorbeeld met de make_list-statement:

let binSize = 1m;
SecurityEvent
| where TimeGenerated >= ago(24h)
| summarize TotalEvents = count() by EventID, 
groupBin =bin(TimeGenerated, binSize)
|summarize make_list(EventID), make_list(TotalEvents), 
sum(TotalEvents) by groupBin
| mvexpand list_EventID, list_TotalEvents

anomalydetection opdracht: SPL-voorbeeld

Dit SPL-voorbeeld detecteert afwijkingen in historische sluitingsprijsgegevens over een periode van 10 jaar.

sourcetype=nasdaq earliest=-10y
| anomalydetection Close _ Price

anomalydetection opdracht: KQL-voorbeeld

Dit KQL-voorbeeld gebruikt tijdreeksanalysefuncties om afwijkingen in inlogtrends van uitgeschakelde accounts te detecteren over een terugblikperiode van zeven dagen.

let LookBackPeriod= 7d;
let disableAccountLogon=SignIn
| where ResultType == "50057"
| where ResultDescription has "account is disabled";
disableAccountLogon
| make-series Trend=count() default=0 on TimeGenerated 
in range(startofday(ago(LookBackPeriod)), now(), 1d)
| extend (RSquare,Slope,Variance,RVariance,Interception,
LineFit)=series_fit_line(Trend)
| extend (anomalies,score) = 
series_decompose_anomalies(Trend)

Vergelijk veelvoorkomende Splunk-commando's eval met KQL-equivalenten

Deze tabel beeldt veelvoorkomende SPL-functies eval toe aan hun KQL-equivalenten in Microsoft Sentinel.

case(X,"Y",…) SPL-voorbeeld

Dit SPL-voorbeeld geeft een andere berichtreeks terug op basis van de HTTP-foutcode.

case(error == 404, "Not found",
error == 500,"Internal Server Error",
error == 200, "OK")

case(X,"Y",…) KQL-voorbeeld

Dit KQL-voorbeeld gebruikt case() om een bericht toe te wijzen op basis van de foutcodewaarde.

T
| extend Message = case(error == 404, "Not found", 
error == 500,"Internal Server Error", "OK") 

if(X,Y,Z) KQL-voorbeeld

Dit KQL-voorbeeld wordt gebruikt iif() om aan te geven of een tijdstempel op de huidige dag valt.

iif(floor(Timestamp, 1d)==floor(now(), 1d), 
"today", "anotherday")

isint(X) KQL-voorbeeld

Dit KQL-voorbeeld controleert of X een geheel getal-compatibel type is door gebruik te maken van gettype en iif.

iif(gettype(X) =="long","TRUE","FALSE")

isstr(X) KQL-voorbeeld

Dit KQL-voorbeeld controleert of X een stringwaarde is door gebruik te maken van gettype en iif.

iif(gettype(X) =="string","TRUE","FALSE")

like(X,"y") Voorbeeld

Deze KQL-voorbeelden tonen verschillende string-matching operatoren die je kunt gebruiken om SPL-patroonmatching like na te bootsen.

… | where field has "addr"

… | where field contains "addr"

… | where field startswith "addr"

… | where field matches regex "^addr.*"

min(X,…) KQL-voorbeeld

Deze KQL-voorbeelden tonen verschillende manieren om minimumwaarden te berekenen met behulp van min_of, min, en arg_min.

min_of (expr_1, expr_2 ...)

…|summarize min(expr)

…| summarize arg_min(Price,*) by Product

mvfilter(X) KQL-voorbeeld

Dit KQL-voorbeeld gebruikt mv-apply het filteren en reduceren van meerwaardige inhoud, vergelijkbaar met de SPL-functie mvfilter .

T | mv-apply Metric to typeof(real) on 
(
 top 2 by Metric desc
)

mvjoin(X,Y) KQL-voorbeeld

Dit KQL-voorbeeld gebruikt strcat_array het samenvoegen van array-elementen tot één string met een aangepaste separator.

strcat_array(dynamic([1, 2, 3]), "->")

relative time(X,Y) KQL-voorbeeld

Dit KQL-voorbeeld zet een datetimewaarde om naar Unix-epochtijd voor relatieve tijdberekeningen.

let toUnixTime = (dt:datetime)
{
(dt - datetime(1970-01-01))/1s 
};

replace(X,Y,Z) KQL-voorbeeld

Dit KQL-voorbeeld gebruikt replace() samen met een regex-patroon de maand- en dagdelen van een datumreeks om te wisselen.

replace( @'^(\d{1,2})/(\d{1,2})/', @'\2/\1/',date)

strptime(X,Y) KQL-voorbeeld

Dit KQL-voorbeeld gebruikt format_datetime alleen het weergeven van de uren en minuten van een datum-tijdwaarde.

format_datetime(datetime('2017-08-16 11:25:10'),
'HH:mm')

time() KQL-voorbeeld

Dit KQL-voorbeeld formateert een datum-tijdwaarde als een tijdstring die uren, minuten en seconden toont.

format_datetime(datetime(2015-12-14 02:03:04),
'h:m:s')

tostring(X,Y) Beschrijving

De SPL-functie tostring(X,Y) zet waarden om in strings en ondersteunt verschillende opmaakopties. Het geeft een veldwaarde van als string terug X .

• Als de waarde van X een getal is, X wordt opnieuw opgemaakt naar een tekenreekswaarde.
• Als X een booleaanse waarde is, X wordt opnieuw opgemaakt in TRUE of FALSE.
• Als X een getal is, is het tweede argument Y optioneel en kan dit hex zijn (converteert X naar een hexadecimale waarde), commas (formatteert X met komma's en twee decimalen) of duration (converteert X van een tijdnotatie in seconden naar een leesbare tijdnotatie: HH:MM:SS).

tostring(X,Y) SPL-voorbeeld

Dit tostring SPL-voorbeeld geeft het volgende op:

foo=615 and foo2=00:10:15:

… | eval foo=615 | eval foo2 = tostring(
foo, "duration")

urldecode(X) SPL-voorbeeld

Dit SPL-voorbeeld decodeert een URL-gecodeerde string terug naar zijn oorspronkelijke vorm.

urldecode("http%3A%2F%2Fwww.splunk.com%2Fdownload%3Fr%3Dheader")

Vergelijk veelvoorkomende Splunk-commando's stats met KQL-equivalenten

Deze tabel beeldt gangbare SPL-aggregatiefuncties stats af aan hun KQL-equivalenten in Microsoft Sentinel.

Volgende stappen

U hebt geleerd hoe u Splunk-detectieregels kunt identificeren, vergelijken en toewijzen aan Microsoft Sentinel analyseregels. Ga door met het migreren van uw SOAR-automatisering.