Incidenten onderzoeken met Microsoft Sentinel (verouderd)

Dit artikel helpt u bij het gebruik van de verouderde ervaring voor incidentonderzoek van Microsoft Sentinel. Als u de nieuwere versie van de interface gebruikt, raadpleegt u Navigeren en incidenten onderzoeken in Microsoft Sentinel voor instructies die overeenkomen met die ervaring.

Nadat u uw gegevensbronnen hebt verbonden met Microsoft Sentinel, wilt u een melding ontvangen wanneer er iets verdachts gebeurt. Om je deze meldingen te laten ontvangen, laat Microsoft Sentinel je geavanceerde analyseregels maken die incidenten genereren die je kunt toewijzen en onderzoeken.

Een incident kan meerdere waarschuwingen bevatten. Het is een samenvoeging van al het relevante bewijs voor een specifiek onderzoek. Een incident wordt gemaakt op basis van analyseregels die u hebt gemaakt op de pagina Analyse . De eigenschappen met betrekking tot de waarschuwingen, zoals ernst en status, worden ingesteld op incidentniveau. Nadat u Microsoft Sentinel hebt laten weten welke soorten bedreigingen u zoekt en hoe u deze kunt vinden, kunt u gedetecteerde bedreigingen bewaken door incidenten te onderzoeken.

Vereisten

Voordat u incidenten onderzoekt of toewijst, moet u ervoor zorgen dat aan de volgende vereisten wordt voldaan:

• U kunt het incident alleen onderzoeken als u de velden voor entiteitstoewijzing hebt gebruikt bij het instellen van uw analyseregel. De onderzoeksgrafiek vereist dat uw oorspronkelijke incident entiteiten bevat.

• Als u een gastgebruiker hebt die incidenten moet kunnen toewijzen, moet aan de gebruiker de rol Directory Readers worden toegewezen in uw Microsoft Entra-tenant. Deze rol is standaard toegewezen aan gewone gebruikers (niet-gastgebruikers).

Incidenten onderzoeken

Voer de volgende stappen uit om incidenten te controleren en te onderzoeken:

1. Selecteer Incidenten. Op de pagina Incidenten ziet u hoeveel incidenten u hebt en of ze nieuw, Actief of gesloten zijn. Voor elk incident ziet u het tijdstip waarop het zich heeft voorgedaan en de status van het incident. Bekijk de ernst om te bepalen welke incidenten het eerst moeten worden afgehandeld.

   

2. U kunt de incidenten zo nodig filteren, bijvoorbeeld op status of ernst. Zie Zoeken naar incidenten voor meer informatie.

3. Als u een onderzoek wilt starten, selecteert u een specifiek incident. Rechts zie je gedetailleerde informatie over het incident, waaronder de ernst, samenvatting van het aantal betrokken entiteiten, de ruwe gebeurtenissen die dit incident hebben veroorzaakt, de unieke ID van het incident en eventuele toegewezen MITRE ATT&CK-tactieken of technieken.

4. Als u meer informatie wilt weergeven over de waarschuwingen en entiteiten in het incident, selecteert u Volledige details weergeven op de incidentpagina en bekijkt u de relevante tabbladen met een overzicht van de incidentgegevens.

   

   • Als u momenteel de nieuwe ervaring gebruikt, schakelt u deze in de rechterbovenhoek van de pagina met details van het incident uit om in plaats daarvan de verouderde ervaring te gebruiken.

   • Bekijk op het tabblad Tijdlijn de tijdlijn van waarschuwingen en bladwijzers in het incident, waarmee u de tijdlijn van de activiteiten van de aanvaller kunt reconstrueren.

   • Op het tabblad Vergelijkbare incidenten (preview) ziet u een verzameling van maximaal 20 andere incidenten die het meest lijken op het huidige incident. Als u vergelijkbare incidenten bekijkt, kunt u het incident in een grotere context begrijpen en helpt u uw onderzoek te leiden. Zie Vergelijkbare incidenten (preview) voor meer informatie.

   • Bekijk op het tabblad Waarschuwingen de waarschuwingen die zijn opgenomen in dit incident. U ziet alle relevante informatie over de waarschuwingen: de analyseregels die deze hebben geproduceerd, het aantal resultaten dat per waarschuwing wordt geretourneerd en de mogelijkheid om playbooks uit te voeren op de waarschuwingen. Als u nog verder wilt inzoomen op het incident, selecteert u het aantal gebeurtenissen. Hiermee opent u de query die de resultaten en de gebeurtenissen heeft gegenereerd die de waarschuwing in Log Analytics hebben geactiveerd.

   • Op het tabblad Bladwijzers ziet u bladwijzers die u of andere onderzoekers aan dit incident hebben gekoppeld. Zie Bladwijzers in Microsoft Sentinel voor meer informatie.

   • In het tabblad Entities kun je alle entiteiten zien die je datavelden aan entiteiten koppelt als onderdeel van de waarschuwingsregeldefinitie. Dit zijn de objecten die een rol hebben gespeeld in het incident, ongeacht of het gebruikers, apparaten, adressen, bestanden of andere ondersteunde entiteitstypen zijn.

   • Ten slotte kunt u op het tabblad Opmerkingen uw opmerkingen over het onderzoek toevoegen en eventuele opmerkingen van andere analisten en onderzoekers bekijken. Zie Opmerkingen bij incidenten voor meer informatie.

5. Als u een incident actief onderzoekt, is het een goed idee om de status van het incident in te stellen op Actief totdat u het sluit.

6. Incidenten kunnen worden toegewezen aan een specifieke gebruiker of aan een groep. Voor elk incident kunt u een eigenaar toewijzen door het veld Eigenaar in te stellen. Alle incidenten starten als niet toegewezen. U kunt ook opmerkingen toevoegen, zodat andere analisten kunnen begrijpen wat u hebt onderzocht en wat uw zorgen zijn over het incident.

   

   Onlangs geselecteerde gebruikers en groepen worden boven aan de afgebeelde vervolgkeuzelijst weergegeven.

7. Selecteer Onderzoeken om de onderzoekskaart weer te geven.

De onderzoeksgrafiek gebruiken om dieper in te gaan

Met de onderzoeksgrafiek kunnen analisten de juiste vragen stellen voor elk onderzoek. De onderzoeksgrafiek helpt u het bereik te begrijpen en de hoofdoorzaak van een potentiële beveiligingsrisico te identificeren door relevante gegevens te correleren met elke betrokken entiteit. U kunt dieper ingaan en elke entiteit in de grafiek onderzoeken door deze te selecteren en te kiezen tussen verschillende uitbreidingsopties.

De onderzoeksgrafiek biedt u het volgende:

• Visuele context uit onbewerkte gegevens: in de live-visualgrafiek worden entiteitsrelaties weergegeven die automatisch uit de onbewerkte gegevens worden geëxtraheerd. Hierdoor kunt u eenvoudig verbindingen tussen verschillende gegevensbronnen zien.

• Inzicht in de volledige onderzoeksomvang: breid uw onderzoeksomvang uit met ingebouwde verkenningsquery's om de volledige omvang van een beveiligingsincident aan het licht te brengen.

• Ingebouwde onderzoeksstappen: gebruik vooraf gedefinieerde verkenningsopties om ervoor te zorgen dat u de juiste vragen stelt bij een bedreiging.

De onderzoeksgrafiek gebruiken:

1. Selecteer een incident en selecteer vervolgens Onderzoeken. Hiermee gaat u naar de onderzoeksgrafiek. De grafiek biedt een illustratieve kaart van de entiteiten die rechtstreeks zijn verbonden met de waarschuwing en elke resource die verder is verbonden.

   

   Belangrijk

   • U kunt het incident alleen onderzoeken als u de velden voor entiteitstoewijzing hebt gebruikt bij het instellen van uw analyseregel. De onderzoeksgrafiek vereist dat uw oorspronkelijke incident entiteiten bevat.

   • Microsoft Sentinel ondersteunt momenteel het onderzoeken van incidenten tot 30 dagen oud.

2. Selecteer een entiteit om het deelvenster Entiteiten te openen, zodat u informatie over die entiteit kunt bekijken.

   

3. Breid uw onderzoek uit door de muisaanwijzer over elke entiteit te bewegen om een lijst met vragen weer te geven die is ontworpen door onze beveiligingsexperts en analisten per entiteitstype om uw onderzoek te verdiepen. We noemen deze opties exploratiequeries.

   

   U kunt bijvoorbeeld gerelateerde waarschuwingen aanvragen. Als u een verkenningsquery selecteert, worden de resulterende entiteiten opnieuw aan de graaf toegevoegd. In dit voorbeeld heeft het selecteren van Gerelateerde waarschuwingen de volgende waarschuwingen in de grafiek geretourneerd:

   

   In de grafiek worden gerelateerde waarschuwingen weergegeven die zijn verbonden met de entiteit door stippellijnen.

4. Voor elke verkenningsquery kunt u de optie selecteren om de onbewerkte gebeurtenisresultaten en de query die wordt gebruikt in Log Analytics te openen door Gebeurtenissen> te selecteren.

5. Om inzicht te krijgen in het incident, geeft de grafiek u een parallelle tijdlijn.

   

6. Beweeg de muisaanwijzer over de tijdlijn om te zien welke dingen in de grafiek zich op welk moment hebben voorgedaan.

   

Focus op uw onderzoek

Meer informatie over hoe u het bereik van uw onderzoek kunt uitbreiden of beperken door waarschuwingen toe te voegen aan uw incidenten of waarschuwingen uit incidenten te verwijderen.

Vergelijkbare incidenten (preview)

Als analist voor beveiligingsbewerkingen wilt u bij het onderzoeken van een incident aandacht besteden aan de grotere context. U wilt bijvoorbeeld zien of andere incidenten zoals deze zich eerder hebben voorgedaan of nu plaatsvinden.

• Mogelijk wilt u gelijktijdige incidenten identificeren die mogelijk deel uitmaken van dezelfde grotere aanvalsstrategie.

• Mogelijk wilt u vergelijkbare incidenten in het verleden identificeren om deze te gebruiken als referentiepunten voor uw huidige onderzoek.

• Mogelijk wilt u de eigenaren van vergelijkbare incidenten in het verleden identificeren, om de personen in uw SOC te vinden die meer context kunnen bieden of aan wie u het onderzoek kunt escaleren.

Het tabblad Vergelijkbare incidenten op de pagina met incidentdetails, nu in preview, bevat maximaal 20 andere incidenten die het meest lijken op de huidige. Gelijkenis wordt berekend door interne Microsoft Sentinel-algoritmen en de incidenten worden gesorteerd en weergegeven in aflopende volgorde van overeenkomst.

Hoe gelijkenis wordt berekend

Er zijn drie criteria waarmee gelijkenis wordt bepaald:

• Vergelijkbare entiteiten: Een incident wordt als vergelijkbaar beschouwd met een ander incident als beide dezelfde entiteiten bevatten. Hoe meer entiteiten twee incidenten gemeen hebben, hoe vergelijkbaarer ze zijn.

• Vergelijkbare regel: een incident wordt als vergelijkbaar beschouwd met een ander incident als ze beide zijn gecreëerd volgens dezelfde analyseregel.

• Vergelijkbare waarschuwingsdetails: Een incident wordt als vergelijkbaar beschouwd met een ander incident als ze dezelfde titel, productnaam en/of aangepaste gegevens delen.

De redenen waarom een incident wordt weergegeven in de lijst met vergelijkbare incidenten, worden weergegeven in de kolom Reden van overeenkomst . Beweeg de muisaanwijzer over het infopictogram om de algemene items (entiteiten, regelnaam of details) weer te geven.

Hoe het overeenkomsttijdsraamwerk werkt

De gelijkenis van incidenten wordt berekend op basis van gegevens van de 14 dagen vóór de laatste activiteit van het incident, gedefinieerd als de eindtijd van de meest recente waarschuwing in het incident.

De gelijkenis van incidenten wordt telkens opnieuw berekend wanneer u de pagina met incidentdetails opent, zodat de resultaten per sessie kunnen variëren als er nieuwe incidenten zijn gemaakt of bijgewerkt.

Opmerkingen bij incidenten

Als analist voor beveiligingsbewerkingen moet u bij het onderzoeken van een incident de stappen die u neemt grondig documenteren, zowel om nauwkeurige rapportage aan het management te garanderen als om naadloze samenwerking en samenwerking tussen collega's mogelijk te maken. Microsoft Sentinel biedt u een uitgebreide omgeving voor opmerkingen om u te helpen dit te bereiken.

Een ander belangrijk ding dat u kunt doen met opmerkingen, is uw incidenten automatisch verrijken. Wanneer u een playbook uitvoert op een incident dat relevante informatie ophaalt uit externe bronnen (bijvoorbeeld het controleren van een bestand op malware bij VirusTotal), kunt u het playbook het antwoord van de externe bron laten plaatsen in de opmerkingen van het incident, samen met andere informatie die u definieert.

Opmerkingen zijn eenvoudig te gebruiken. U opent ze via het tabblad Opmerkingen op de pagina met details van het incident.

Veelgestelde vragen over incidentopmerkingen

Deze veelgestelde vragen beschrijven belangrijke overwegingen bij het gebruik van incidentreacties.

Welke soorten invoer worden ondersteund?

Opmerkingen ondersteunen de volgende typen invoer:

• Tekst: Reacties in Microsoft Sentinel ondersteunen tekstinvoer in platte tekst, basis HTML en Markdown. U kunt ook gekopieerde tekst, HTML en Markdown in het opmerkingenvenster plakken.

• Afbeeldingen: Je kunt links naar afbeeldingen in reacties plaatsen en de afbeeldingen worden inline weergegeven, maar de afbeeldingen moeten al gehost zijn op een publiek toegankelijke locatie zoals Dropbox, OneDrive, Google Drive en dergelijke. Afbeeldingen kunnen niet rechtstreeks naar opmerkingen worden geüpload.

Is er een limiet voor de grootte van opmerkingen?

Yes. De volgende limieten gelden voor incidentopmerkingen:

• Per opmerking: Een enkele reactie kan tot 30.000 tekens bevatten.

• Per incident: Een enkel incident kan tot 100 reacties bevatten.

  Opmerking

  De groottelimiet van één incidentrecord in de tabel SecurityIncident in Log Analytics is 64 kB. Als de limiet van 64 KB recordgrootte wordt overschreden, worden reacties (beginnend met de vroegste) ingekort, wat invloed kan hebben op de reacties die verschijnen in geavanceerde incidentzoekresultaten .

  De werkelijke incidentrecords in de incidentendatabase worden niet beïnvloed.

Wie kan opmerkingen bewerken of verwijderen?

De volgende machtigingen zijn van toepassing op het bewerken en verwijderen van opmerkingen:

• Bewerking: Alleen de auteur van een reactie heeft toestemming om deze te bewerken.

• Verwijderen: Alleen gebruikers met de rol Microsoft Sentinel Contributor hebben toestemming om reacties te verwijderen. Zelfs de auteur van de opmerking moet deze rol hebben om deze te kunnen verwijderen.

Een incident sluiten

Zodra je een bepaald incident hebt opgelost (bijvoorbeeld wanneer je onderzoek is afgerond), moet je de status van het incident op Gesloten zetten. Wanneer u dit doet, wordt u gevraagd het incident te classificeren door de reden op te geven waarom u het wilt sluiten. Deze stap is verplicht. Selecteer Classificatie selecteren en kies een van de volgende opties in de vervolgkeuzelijst:

• Echt positief: verdachte activiteit
• Goedaardig positief: verdacht maar verwacht
• Vals-positief: onjuiste waarschuwingslogica
• Vals-positief: onjuiste gegevens
• Onbepaald

Zie Valse positieven afhandelen in Microsoft Sentinel voor meer informatie over valse positieven en onschuldige positieven.

Nadat u de juiste classificatie hebt gekozen, voegt u wat beschrijvende tekst toe in het veld Opmerking . Het toevoegen van een beschrijvende opmerking is handig in het geval dat u terug moet verwijzen naar dit incident. Selecteer Aanpassen als je klaar bent, en het incident wordt gesloten.

Zoeken naar incidenten

Als u snel een specifiek incident wilt vinden, voert u een zoekreeks in het zoekvak boven het incidentenraster in en drukt u op Enter om de lijst met incidenten dienovereenkomstig te wijzigen. Als uw incident niet is opgenomen in de resultaten, kunt u uw zoekopdracht verfijnen met behulp van geavanceerde zoekopties .

Als u de zoekparameters wilt wijzigen, selecteert u de knop Zoeken en selecteert u vervolgens de parameters waarop u de zoekopdracht wilt uitvoeren.

Bijvoorbeeld:

Standaard worden incidentzoekopdrachten alleen uitgevoerd in de waarden Incident-id, Titel, Tags, Eigenaar en Productnaam . Schuif in het zoekvenster omlaag in de lijst om een of meer andere parameters te selecteren om te zoeken en selecteer Toepassen om de zoekparameters bij te werken. Selecteer Instellen op standaard om de geselecteerde parameters terug te zetten naar de standaardwaarden.

Als u geavanceerde zoekopties gebruikt, verandert het zoekgedrag als volgt:

Verwante onderwerpen

• Tutorial: Onderzoek incidenten met UEBA-gegevens
• Automatisering in Microsoft Sentinel: beveiligingsorkestratie, automatisering en respons (SOAR)