Używanie wskaźników zagrożeń w regułach analizy

Możesz użyć reguł analizy map TI w Microsoft Sentinel, aby wykrywać zagrożenia. Te zasady dopasowują importowane wskaźniki zagrożeń do zdarzeń pochodzących z powiązanych źródeł danych. Po znalezieniu dopasowania reguły generują alerty i incydenty do przejrzenia przez Twój zespół.

Wymagania wstępne

• Wskaźniki zagrożeń. Wskaźniki te mogą pochodzić ze źródeł danych wywiadu o zagrożeniach, z platform wywiadu o zagrożeniach, z importu zbiorczego z pliku tekstowego lub z ręcznego wprowadzania.
• Źródła danych. Zdarzenia z Twoich łączników danych muszą napływać do obszaru roboczego Microsoft Sentinel.
• Reguła analizy formatu TI map.... Reguła analityczna musi korzystać z takiego formatu, aby mogła mapować wskaźniki zagrożeń na zdarzenia, które zostały pozyskane.

Skonfiguruj regułę do generowania alertów zabezpieczeń

Poniższy przykład pokazuje, jak włączyć i skonfigurować regułę, która generuje alerty bezpieczeństwa na podstawie importowanych wskaźników zagrożeń. Ten przykład wykorzystuje szablon reguły o nazwie TI map IP entity na AzureActivity. Ta reguła dopasowuje dowolny wskaźnik zagrożenia związany z adresem IP do zdarzeń aktywności platformy Azure. Gdy zostanie znalezione dopasowanie, generuje się alert i powiązany incydent, który Twój zespół ds. bezpieczeństwa musi zbadać.

Ta konkretna reguła analityczna wymaga konektora danych Azure Activity (do importowania zdarzeń na poziomie subskrypcji platformy Azure). Wymaga to również jednego lub obu łączników danych analizy zagrożeń (w celu zaimportowania wskaźników zagrożeń). Reguła mapowania jednostki IP TI na AzureActivity jest również wyzwalana przez zaimportowane wskaźniki lub wskaźniki utworzone ręcznie.

1. W Azure Portal przejdź do Microsoft Sentinel.

2. Wybierz obszar roboczy, do którego zaimportowano wskaźniki zagrożeń przy użyciu łączników danych analizy zagrożeń oraz dane Azure Activity przy użyciu łącznika danych Azure Activity.

3. W menu Microsoft Sentinel w sekcji Konfiguracja wybierz pozycję Analiza.

4. Wybierz kartę Szablony reguł , aby wyświetlić listę dostępnych szablonów reguł analizy.

5. Znajdź regułę o nazwie TI map IP entity to AzureActivity i upewnij się, że wszystkie wymagane źródła danych są skonfigurowane.

   

6. Wybierz regułę mapowania TI adresów IP na AzureActivity. Następnie wybierz pozycję Utwórz regułę , aby otworzyć kreatora konfiguracji reguł. Skonfiguruj ustawienia w kreatorze, a następnie wybierz Dalej: >Ustawianie logiki reguły.

   

7. Część kreatora dotycząca logiki reguł jest domyślnie wypełniona następującymi elementami:

   • Zapytanie używane w regule.
   • Mapowania jednostek, które informują Microsoft Sentinel, jak rozpoznawać jednostki, takie jak konta, adresy IP i adresy URL. Incydenty i dochodzenia mogą następnie zrozumieć, jak pracować z danymi w alertach zabezpieczeń wygenerowanych przez tę regułę.
   • Harmonogram uruchamiania tej reguły.
   • Liczba wyników zapytania wymaganych przed wygenerowaniem alertu zabezpieczeń.

   Ustawienia domyślne w szablonie to:

   • Uruchamiany raz na godzinę.
   • Dopasuj wszystkie wskaźniki zagrożeń adresów IP z ThreatIntelligenceIndicator tabeli do dowolnego adresu IP znalezionego w ciągu ostatniej godziny zdarzeń z AzureActivity tabeli.
   • Wygeneruj alert bezpieczeństwa, jeśli liczba wyników zapytania jest większa od zera, co oznacza, że znaleziono dopasowania.
   • Upewnij się, że reguła jest włączona.

   Możesz pozostawić ustawienia domyślne lub zmienić je w celu spełnienia wymagań. Ustawienia generowania zdarzeń można zdefiniować na karcie Ustawienia zdarzenia . Aby uzyskać więcej informacji, zobacz Tworzenie niestandardowych reguł analizy w celu wykrywania zagrożeń. Po zakończeniu wybierz kartę Automatyczna odpowiedź .

8. Skonfiguruj dowolną automatyzację, którą chcesz wyzwolić po wygenerowaniu alertu zabezpieczeń na podstawie tej reguły analizy. Automatyzacja w Microsoft Sentinel wykorzystuje połączenie reguł automatyzacji i playbooków opartych na usłudze Azure Logic Apps. Aby dowiedzieć się więcej, zobacz Samouczek: używanie podręczników z regułami automatyzacji w Microsoft Sentinel. Gdy skończysz, wybierz pozycję Dalej: Przegląd >, aby kontynuować.

9. Gdy zostanie wyświetlony komunikat z informacją o pomyślnym walidacji reguły, wybierz pozycję Utwórz.

Przeglądanie reguł

Znajdź włączone reguły na karcie Aktywne reguły w sekcji Analiza Microsoft Sentinel. Na karcie Aktywne reguły można edytować, włączać, wyłączać, duplikować lub usuwać aktywną regułę. Nowa reguła jest uruchamiana natychmiast po aktywacji, a następnie uruchamiana zgodnie ze zdefiniowanym harmonogramem.

Zgodnie z ustawieniami domyślnymi za każdym razem, gdy reguła jest uruchamiana zgodnie z harmonogramem, wszystkie znalezione wyniki generują alert zabezpieczeń. Microsoft Sentinel przechowuje te alerty w tabeli dzienników o nazwie SecurityAlert. Aby je wyświetlić, przejdź do sekcji Dzienniki w Microsoft Sentinel, a następnie w grupie Microsoft Sentinel wykonaj zapytanie dotyczące tabeli SecurityAlert.

W Microsoft Sentinel alerty generowane na podstawie reguł analizy generują również zdarzenia zabezpieczeń. W menu Microsoft Sentinel w obszarze Zarządzanie zagrożeniami wybierz pozycję Incydenty. Incydenty to elementy, które zespoły ds. operacji bezpieczeństwa klasyfikują i analizują, aby określić odpowiednie działania w odpowiedzi. Aby uzyskać więcej informacji, zobacz Samouczek: badanie zdarzeń za pomocą Microsoft Sentinel.

Zawartość pokrewna

• Praca ze wskaźnikami zagrożeń w usłudze Microsoft Sentinel
• Użyj narzędzia STIX/TAXII do importowania i eksportowania analizy zagrożeń w Microsoft Sentinel
• Połącz swoją platformę do analizy zagrożeń z Microsoft Sentinel
• Integracja analizy zagrożeń w Microsoft Sentinel