Trabalhar com regras de análise de detecção de anomalias no Microsoft Sentinel

O recurso de anomalias personalizáveis do Microsoft Sentinel fornece modelos integrados de anomalias que oferecem valor imediato, prontos para uso. Esses modelos de anomalias foram desenvolvidos para serem robustos usando milhares de fontes de dados e milhões de eventos, mas o recurso de anomalias personalizáveis também permite alterar limites e parâmetros para as anomalias facilmente dentro da interface do usuário. As regras de anomalia são ativadas por padrão, portanto gerarão anomalias imediatamente, sem necessidade de configuração adicional. Você pode encontrar e consultar essas anomalias na tabela Anomalias na seção Logs .

Exibir modelos de regra de anomalia personalizáveis

Agora você pode encontrar regras de anomalia exibidas em uma grade na guia Anomalias na página Análise .

1. Para usuários do portal do Microsoft Defender, selecione Análise de Configuração > do Microsoft Sentinel > no menu de navegação do Microsoft Defender.

   Para usuários do Microsoft Sentinel no portal do Azure, selecione Análise no menu de navegação do Microsoft Sentinel.

2. Na página Análise , selecione a guia Anomalias .

3. Para filtrar a lista por um ou mais dos critérios a seguir, selecione Adicionar filtro e escolha de acordo.

   • Status - se a regra está habilitada ou desabilitada.

   • Táticas - as táticas do framework MITRE ATT&CK abrangidas pela anomalia.

   • Técnicas - as técnicas do framework MITRE ATT&CK abrangidas pela anomalia.

   • Fontes de dados - o tipo de logs que precisam ser ingeridos e analisados para que a anomalia seja definida.

4. Selecione uma regra e exiba as seguintes informações no painel de detalhes:

   • Descrição explica como a anomalia funciona e os dados necessários.

   • Táticas e técnicas são as táticas e técnicas do framework MITRE ATT&CK abrangidas pela anomalia.

   • Os parâmetros são os atributos configuráveis para a anomalia.

   • Threshold é um valor configurável que indica o grau em que um evento deve ser incomum antes que uma anomalia seja criada.

   • A frequência da regra é o tempo entre os trabalhos de processamento de log que encontram as anomalias.

   • O status da regra informa se a regra é executada no modo de Produção ou de Pré-lançamento (preparo) quando habilitada.

   • A versão da anomalia mostra a versão do modelo usada por uma regra. Se você quiser alterar a versão usada por uma regra que já está ativa, será necessário recriar a regra.

As regras que vêm com o Microsoft Sentinel pronto para uso não podem ser editadas ou excluídas. Para personalizar uma regra, você deve primeiro criar uma duplicata da regra e, em seguida, personalizar a duplicata. Para obter instruções completas, consulte Ajustar regras de anomalias.

Avaliar a qualidade das anomalias

Você pode ver o desempenho de uma regra de anomalia examinando uma amostra das anomalias criadas por uma regra nas últimas 24 horas.

1. Para usuários do Microsoft Sentinel no portal do Azure, selecione Análise no menu de navegação do Microsoft Sentinel.

   Para usuários do portal do Microsoft Defender, selecione Análise de Configuração > do Microsoft Sentinel > no menu de navegação do Microsoft Defender.

2. Na página Análise , selecione a guia Anomalias .

3. Selecione a regra que você deseja avaliar e copie o identificador dela na parte superior do painel de detalhes à direita.

4. No menu de navegação do Microsoft Sentinel, selecione Logs.

5. Se uma galeria de Consultas aparecer por cima, feche-a.

6. Selecione a guia Tabelas no painel esquerdo da página Logs .

7. Defina o filtro Intervalo de tempo como Últimas 24 horas.

8. Copie a consulta Kusto abaixo e cole-a na janela de consulta (onde diz "Digite sua consulta aqui ou..."):

   Anomalies 
   | where RuleId contains "<RuleId>"
   

   Cole o ID da regra que você copiou acima no lugar de <RuleId> entre aspas.

9. Selecione Executar.

Quando você tiver alguns resultados, poderá começar a avaliar a qualidade das anomalias. Se você não tiver resultados, tente aumentar o intervalo de tempo.

Expanda os resultados de cada anomalia e, em seguida, expanda o campo AnomalyReasons . Isso dirá por que a anomalia foi disparada.

A "razoabilidade" ou "utilidade" de uma anomalia pode depender das condições do seu ambiente, mas um motivo comum para uma regra de anomalia produzir muitas anomalias é que o limite é muito baixo.

Ajustar regras de anomalias

Embora as regras de anomalia sejam projetadas para oferecer máxima eficácia desde o início, cada situação é única e, às vezes, precisam ser ajustadas.

Como não é possível editar uma regra ativa original, primeiro você deve duplicar uma regra de anomalia ativa e personalizar a cópia.

A regra de anomalia original continuará em execução até que você a desabilite ou exclua. A regra original continua sendo executada por design, para que você possa comparar os resultados gerados pela configuração original e pela nova. As regras duplicadas são desabilitadas por padrão. Você só pode fazer uma cópia personalizada de qualquer regra de anomalia. As tentativas de fazer uma segunda cópia falharão.

1. Para alterar a configuração de uma regra de anomalia, selecione a regra na lista da guia Anomalias .

2. Clique com o botão direito em qualquer lugar na linha da regra ou clique com o botão esquerdo nas reticências (...) no final da linha e, em seguida, selecione Duplicar no menu de contexto.

   Uma nova regra aparecerá na lista, com as seguintes características:

   • O nome da regra será o mesmo que o original, com " - Personalizado" anexado ao final.
   • O status da regra será Desabilitado.
   • O selo FLGT aparecerá no início da linha para indicar que a regra está no modo Flighting.

3. Para personalizar essa regra, selecione a regra e selecione Editar no painel de detalhes ou no menu de contexto da regra.

4. A regra é aberta no assistente de regra do Analytics. Aqui você pode alterar os parâmetros da regra e seu limite. Os parâmetros que podem ser alterados variam de acordo com cada tipo de anomalia e algoritmo.

   Você pode visualizar os resultados de suas alterações no painel Visualização de resultados. Selecione uma ID de anomalia na visualização de resultados para ver por que o modelo de ML identifica essa anomalia.

5. Habilite a regra personalizada para gerar resultados. Algumas de suas alterações podem exigir que a regra seja executada novamente, portanto, você deve aguardar a conclusão e voltar para marcar os resultados na página de logs. A regra de anomalia personalizada é executada no modo Flighting (teste) por padrão. A regra original continua a ser executada no modo de produção por padrão.

6. Para comparar os resultados, volte à tabela de Anomalias em Logs para avaliar a nova regra conforme descrito anteriormente em Avaliar a qualidade das anomalias, mas use a seguinte consulta para procurar anomalias geradas pela regra original e também pela regra duplicada.

   Anomalies 
   | where AnomalyTemplateId contains "<RuleId>"
   

   Cole a ID da regra copiada da regra original no lugar de <RuleId> entre aspas. O valor de AnomalyTemplateId nas regras original e duplicada é idêntico ao valor de RuleId na regra original.

Se estiver satisfeito com os resultados da regra personalizada, você pode voltar para a guia Anomalias, selecionar a regra personalizada, selecionar o botão Editar e, na guia Geral, alterá-la de Pré-lançamento para Produção. A regra original será alterada automaticamente para Flighting, pois você não pode ter duas versões da mesma regra em produção ao mesmo tempo.

Próximas etapas

Saiba mais sobre a detecção de anomalias no Microsoft Sentinel:

• Obtenha algumas informações básicas sobre anomalias personalizáveis.
• Exibir os tipos de anomalias disponíveis no Microsoft Sentinel.
• Explorar outros tipos de regra de análise.