Criar consultas ou regras de detecção com watchlists no Microsoft Sentinel

Correlacione os dados de suas listas de observação com quaisquer dados do Microsoft Sentinel com operadores de tabela Kusto, como join e lookup. Ao criar uma watchlist, você define o SearchKey. A chave de pesquisa é o nome de uma coluna em seu Watchlist que você espera usar como uma junção com outros dados ou como um objeto frequente de pesquisas.

Para obter um desempenho de consulta ideal, use SearchKey como a chave para junções em suas consultas.

Criar consultas com listas de observação

Para usar uma watchlist em uma consulta de pesquisa, escreva uma consulta KQL (Linguagem de Consulta Kusto) que usa a função _GetWatchlist('watchlist-name') e usa SearchKey como a chave para sua junção.

1. Para o Microsoft Sentinel no Portal do Defender, selecione Microsoft Sentinel>Configuração>Lista de observação. Para o Microsoft Sentinel no portal do Azure, em Configuração, selecione Watchlist.

2. Selecione o Watchlist que você deseja usar.

3. Selecione Exibir em Logs.

   

4. Examine a guia Resultados . Os itens em seu Watchlist são extraídos automaticamente para sua consulta.

   O exemplo a seguir mostra os resultados da extração dos campos Nome e Endereço IP . O SearchKey é mostrado como sua própria coluna.

   

   O registro de data e hora das suas consultas será ignorado tanto na interface de consulta quanto nos alertas agendados.

5. Escreva uma consulta que use a função _GetWatchlist('watchlist-name') e use SearchKey como chave para sua junção.

   Por exemplo, a consulta de exemplo a seguir associa a coluna RemoteIPCountry na tabela Heartbeat à chave de pesquisa definida para a lista de observação denominada mywatchlist.

   Heartbeat
   | lookup kind=leftouter _GetWatchlist('mywatchlist') 
    on $left.RemoteIPCountry == $right.SearchKey
   

   Os resultados desta consulta de exemplo aparecem no Log Analytics, conforme mostrado na captura de tela a seguir.

   

Criar uma regra analítica com uma lista de observação

A função _GetWatchlist('watchlist-name') retorna o conteúdo de uma watchlist especificada para que você possa referenciar dados de watchlist diretamente em uma consulta. Para usar watchlists em regras de análise, crie uma regra que inclua essa função na consulta de regra.

1. Em Configuração, selecione Análise.

2. Selecione Criar e o tipo de regra que você deseja criar.

3. Na guia Geral , insira as informações apropriadas.

4. Na aba Definir lógica de regra, em Consulta de regra, use a função _GetWatchlist('<watchlist>') na consulta.

   Por exemplo, digamos que você tenha uma watchlist ipwatchlist chamada que você criou a partir de um arquivo CSV com os seguintes valores:

   IPAddress,Location
   10.0.100.11,Home
   172.16.107.23,Work
   10.0.150.39,Home
   172.20.32.117,Work

   O arquivo CSV se parece com a imagem a seguir.

   Para usar a _GetWatchlist função deste exemplo, sua consulta seria _GetWatchlist('ipwatchlist').

   

   Neste exemplo, incluímos apenas eventos de endereços IP na watchlist:

   //Watchlist as a variable
   let watchlist = (_GetWatchlist('ipwatchlist') | project IPAddress);
   Heartbeat
   | where ComputerIP in (watchlist)
   

   A consulta de exemplo a seguir usa a watchlist diretamente na consulta e a chave de pesquisa definida na watchlist.

   //Watchlist inline with the query
   //Use SearchKey for the best performance
   Heartbeat
   | where ComputerIP in ( 
       (_GetWatchlist('ipwatchlist')
       | project SearchKey)
   )
   

   A captura de tela a seguir mostra a consulta inline _GetWatchlist('ipwatchlist') usada na consulta da regra.

   

5. Conclua as demais guias no assistente de regra do Analytics.

As listas de observação são atualizadas no seu espaço de trabalho a cada 12 dias, atualizando o campo TimeGenerated. Para informações sobre como criar regras de análise personalizadas que utilizam listas de observação, veja Criar regras de análise personalizadas para detectar ameaças.

Exibir a lista de aliases de watchlist

O alias de uma lista de observação é o identificador exclusivo usado para fazer referência a uma lista de observação em consultas e regras de análise. Talvez seja necessário consultar uma lista de aliases das watchlists para identificar a watchlist a ser usada em uma consulta ou regra analítica.

1. Para o Microsoft Sentinel no portal do Azure, em Geral, selecione Logs.
   No portal do Defender, selecione Investigação & resposta>Caça>Caça avançada.

2. Na página Nova Consulta , execute a seguinte consulta: _GetWatchlistAlias.

3. Examine a lista de aliases na guia Resultados .

   

Para saber mais sobre os operadores e as instruções do Kusto usados nos exemplos desta página, confira a documentação do Kusto:

• where operador
• Operador de Projeto
• operador lookup
• operador in
• let instrução

Para obter mais informações sobre KQL, consulte Visão geral da Linguagem de Consulta Kusto (KQL).

Outros recursos:

• Referência rápida de KQL
• Recursos de aprendizado da Linguagem de Consulta Kusto

Conteúdo relacionado

Para saber mais sobre watchlists e Microsoft Sentinel, confira os seguintes artigos:

• Criar listas de acompanhamento
• Visualizar os dados recolhidos.
• Detectar ameaças com regras de análise internas.
• Use as pastas de trabalho para monitorar seus dados.