Konwertowanie pulpitów nawigacyjnych na skoroszyty Azure

Konwertuj pulpity nawigacyjne z istniejącego rozwiązania do zarządzania informacjami o zabezpieczeniach i zdarzeniami (SIEM) na skoroszyt Azure dla Microsoft Sentinel. Azure Skoroszyty zapewniają wszechstronność tworzenia niestandardowych pulpitów nawigacyjnych dla Microsoft Sentinel. W tym artykule opisano, jak przeglądać i planować konwersję obecnych pulpitów nawigacyjnych do skoroszytów usługi Azure.

Przeglądaj pulpity nawigacyjne w obecnym systemie SIEM

Podczas projektowania migracji należy wziąć pod uwagę następujące kroki.

• Analizuj dashboardy: Zbieraj informacje o swoich dashboardach, w tym projekt, parametry, źródła danych i inne szczegóły. Zidentyfikuj przeznaczenie lub użycie każdego pulpitu nawigacyjnego.
• Bądź wybiórczy: Nie migruj wszystkich pulpitów bez rozważenia. Skoncentruj się na panelach, które są kluczowe i regularnie używane.
• Weź pod uwagę uprawnienia: Sprawdź, kto jest docelowym użytkownikiem podręczników. Skoroszyty Azure korzystają z kontroli dostępu opartej na rolach na platformie Azure (Azure RBAC). Aby uzyskać więcej informacji, zobacz Ocenę kontrolki w skoroszytach Azure. Aby tworzyć pulpity poza platformą Azure, na przykład dla kadry kierowniczej, która nie ma dostępu do platformy Azure, użyj narzędzia do raportowania, takiego jak Power BI.

Przygotowanie do konwersji pulpitu nawigacyjnego

Po przejrzeniu pulpitów nawigacyjnych wykonaj następujące zadania, aby przygotować się do migracji pulpitu nawigacyjnego:

• Przejrzyj wszystkie wizualizacje na każdym pulpicie nawigacyjnym. Pulpity nawigacyjne w bieżącym systemie SIEM mogą zawierać kilka wykresów lub paneli. Kluczowe jest przejrzenie zawartości wybranych pulpitów, aby usunąć wszelkie niepożądane wizualizacje lub dane.

• Uchwyć projekt i interaktywność pulpitu nawigacyjnego.

• Zidentyfikuj wszystkie elementy projektu, które są ważne dla użytkowników. Na przykład układ pulpitu, układ wykresów, a nawet rozmiar czcionki czy kolor wykresów.

• Przechwyć wszelkie interakcje, takie jak przechodzenie do szczegółów, filtrowanie i inne podobne funkcje, które chcesz przenieść do skoroszytów platformy Azure.

• Identyfikowanie wymaganych parametrów lub danych wejściowych użytkownika. W większości przypadków należy zdefiniować parametry dla użytkowników do wykonywania wyszukiwania, filtrowania lub określania zakresu wyników (na przykład zakres dat, nazwa konta i inne). Dlatego kluczowe jest przechwycenie szczegółów dotyczących parametrów. Poniżej przedstawiono niektóre z kluczowych wymagań dotyczących parametrów do zebrania:

  • Typ parametru, który użytkownicy mogą wykonywać wybór lub wprowadzanie; na przykład zakres dat, tekst lub inne.
  • Jak są reprezentowane parametry, takie jak lista rozwijana, pole tekstowe lub inne.
  • Format wartości oczekiwanej; na przykład czas, struna, liczba całkowita lub inne.
  • Inne właściwości, takie jak wartość domyślna, zezwalają na wielokrotne wybieranie, widoczność warunkową lub inne.

Konwertowanie pulpitów nawigacyjnych

Aby przekonwertować pulpit, wykonaj następujące zadania w Azure Workbooks i Microsoft Sentinel.

1. Identyfikowanie źródeł danych

Azure skoroszyty są zgodne z dużą liczbą źródeł danych. Aby uzyskać więcej informacji, zobacz temat Źródła danych w skoroszytach Azure. W większości przypadków używaj źródła danych dzienników usługi Azure Monitor oraz zapytań w języku zapytań Kusto (KQL), aby wizualizować źródłowe dzienniki w obszarze roboczym Microsoft Sentinel.

2. Konstruowanie lub przeglądanie zapytań KQL

Aby skonstruować lub przeglądać zapytania, pracujesz głównie z językiem KQL w celu wizualizacji danych. Możesz tworzyć i testować zapytania w usłudze Microsoft Sentinel przed przekonwertowaniem ich na skoroszyty Azure Workbooks. Aby przetestować zapytania w usłudze Microsoft Sentinel w witrynie Azure Portal, przejdź do pozycji Dzienniki. W Microsoft Sentinel w portalu Defender przejdź do obszaru Badanie i reagowanie>Wyszukiwanie zagrożeń>Zaawansowane wyszukiwanie zagrożeń.

Przed finalizowaniem zapytań KQL zawsze przeglądaj i dostrajaj zapytania, aby zwiększyć wydajność zapytań. Zoptymalizowane zapytania:

• Uruchom szybciej, zmniejsz całkowity czas trwania wykonywania zapytania.
• Mieć mniejsze prawdopodobieństwo ograniczenia przepustowości lub odrzucenia.

Aby uzyskać więcej informacji, zapoznaj się z następującymi zasobami:

• Najlepsze rozwiązania dotyczące zapytań KQL
• Optymalizowanie zapytań w dziennikach monitorowania Azure
• Optymalizowanie wydajności KQL (seminarium internetowe)

3. Tworzenie lub aktualizowanie skoroszytu

Stwórz zeszyt ćwiczeń, zaktualizuj go lub sklonuj istniejący, aby nie musieć zaczynać od zera. Ponadto określ sposób reprezentowania, rozmieszczania i grupowania danych lub wizualizacji. Istnieją dwa typowe projekty:

• Pionowy skoroszyt
• Skoroszyt kart

Aby uzyskać więcej informacji, zapoznaj się z następującymi artykułami:

• Wizualizowanie i monitorowanie danych przy użyciu skoroszytów w Microsoft Sentinel
• Dodawanie grup w skoroszytach Azure

4. Tworzenie lub aktualizowanie parametrów skoroszytu lub danych wejściowych użytkownika

Po zdefiniowaniu struktury skoroszytu należy zidentyfikować wymagane parametry skoroszytu. Za pomocą parametrów można zbierać dane wejściowe od użytkowników i odwoływać się do danych wejściowych w innych częściach skoroszytu. To pole wejściowe jest zwykle używane do określenia zakresu zestawu wyników, ustawiania właściwej wizualizacji oraz tworzenia interaktywnych raportów i środowisk.

Skoroszyty umożliwiają określanie sposobu prezentowania użytkownikom elementów sterujących parametrów. Na przykład wybierasz, czy sterowanie jest wyświetlane jako pole tekstowe czy rozwijane, czy pojedyncze czy wielowyborcze. Możesz również wybrać wartości do użycia, z tekstu, JSON, KQL lub Azure Resource Graph i nie tylko.

Przejrzyj obsługiwane parametry skoroszytu. Możesz odwoływać się do tych wartości parametrów w innych częściach tego samego zeszytu, używając przypisów lub rozwiększeń wartości.

5. Tworzenie lub aktualizowanie wizualizacji

Skoroszyty zapewniają bogaty zestaw możliwości wizualizacji danych. Zapoznaj się z poniższymi szczegółowymi przykładami każdego typu wizualizacji.

• Wizualizacje tekstowe
• Wizualizacje wykresów
• Wizualizacje siatki
• Wizualizacje kafelków
• Wizualizacje drzewa
• Wizualizacje grafu
• Wizualizacje mapy
• Wizualizacje plastra miodu
• Wizualizacje pasków złożonych

6. Podgląd i zapisywanie skoroszytu

Po zapisaniu zeszytu określ parametry i zweryfikowaj wyniki. Możesz również wypróbować automatyczne odświeżanie danych skoroszytu lub funkcję drukowania, aby wydrukować skoroszyt lub zapisać jako plik PDF.

Następny krok