Personalizar atividades na linha do tempo da página da entidade

Visão geral das atividades personalizadas na linha do tempo

O Microsoft Sentinel rastreia e apresenta atividades nas linhas do tempo das entidades nativamente. Você também pode criar atividades personalizadas e fazê-las aparecer na linha do tempo. Atividades personalizadas são baseadas em consultas de dados de entidades de qualquer fonte de dados conectada. Os exemplos a seguir mostram como você pode usar esse recurso:

• Adicione novas atividades à linha do tempo da entidade modificando os modelos de atividade prontos para uso existentes.

• Adicione novas atividades a partir de logs personalizados. Por exemplo, a partir de um log de controle de acesso físico, você pode adicionar as atividades de entrada e saída de um usuário para uma área restrita específica - digamos, uma sala de servidor - à linha do tempo do usuário.

Abrir a página de personalização da atividade

Para abrir a página de personalização da atividade, escolha a guia que corresponde ao portal que você está usando:

• Se você usa o Microsoft Sentinel no portal do Azure, selecione a guia Azure portal abaixo.
• Para usuários do portal do Microsoft Defender, selecione a guia Defender portal.

Na página Personalizar atividades do Sentinel, você verá uma lista de todas as atividades que criou na guia Minhas atividades. Na guia Modelos de atividade, você verá a coleção de atividades oferecidas prontas para uso pelos pesquisadores de segurança da Microsoft. Estas são as atividades que já estão sendo rastreadas e exibidas nas linhas do tempo das suas páginas de entidade.

• Desde que você não tenha criado nenhuma atividade definida pelo usuário, suas páginas de entidade exibirão todas as atividades listadas na guia Modelos de atividade .

• Depois de criar ou personalizar uma atividade, suas páginas de entidade exibirão apenas as atividades que aparecem na guia Minhas atividades .

• Se você quiser continuar vendo as atividades prontas para uso nas páginas de entidade, você deverá criar uma atividade para cada modelo que deseja que seja acompanhado e exibido. Siga as instruções em Criar uma atividade de um modelo.

Criar uma atividade a partir de um modelo

Use as etapas a seguir para criar uma atividade personalizada a partir de um modelo pronto para uso existente.

1. Selecione a guia Modelos de atividade para ver as várias atividades disponíveis por padrão. Você pode filtrar a lista por tipo de entidade, bem como por fonte de dados. Selecionar uma atividade na lista exibirá as seguintes informações no painel de detalhes:

   • Uma descrição da atividade

   • A fonte de dados que fornece os eventos que compõem a atividade

   • Os identificadores usados para identificar a entidade nos dados brutos

   • A consulta que resulta na detecção dessa atividade

2. Selecione Criar atividade na parte inferior do painel de detalhes para iniciar o assistente de criação de atividade.

   • Portal do Azure
   • Portal do Defender

   

3. O Assistente de atividade - Criar nova atividade a partir do modelo será aberto, com seus campos já preenchidos a partir do modelo. Você pode fazer alterações da forma que quiser nas guias Geral e Configuração de atividade ou deixar as configurações preenchidas anteriormente inalteradas para continuar exibindo a atividade pronta para uso.

4. Quando estiver satisfeito, selecione a guia Revisar e criar . Quando você vir a mensagem Validação aprovada , clique no botão Criar na parte inferior.

Criar uma atividade do zero

Na parte superior da página de atividades, clique em Adicionar atividade para iniciar o assistente de criação de atividade.

O Assistente de atividade - Criar nova atividade será aberto, com os campos em branco.

Definir configurações gerais de atividade

Na guia Geral , forneça os metadados básicos para a atividade.

1. Digite um nome para sua atividade (exemplo: "usuário adicionado ao grupo").

2. Insira uma descrição da atividade (exemplo: "alteração na associação ao grupo de usuários com base na ID de evento 4728 do Windows").

3. Selecione o tipo de entidade (usuário ou host) que esta consulta acompanhará.

4. Você pode filtrar por parâmetros adicionais para ajudar a refinar a consulta e otimizar seu desempenho. Por exemplo, você pode filtrar usuários do Active Directory escolhendo o parâmetro IsDomainJoined e definindo o valor como True.

5. Você pode selecionar o status inicial da atividade como Ativado ou Desativado.

6. Selecione Avançar: Configuração de atividade para prosseguir para a próxima guia.

   

Configurar as definições de consulta de atividade e de exibição

Como escrever a consulta de atividades

Na guia Configuração de atividade , escreva ou cole a consulta KQL que será usada para detectar a atividade da entidade escolhida e determinar como ela será representada na linha do tempo.

Para correlacionar eventos e detectar a atividade personalizada, a consulta KQL requer vários parâmetros que dependem do tipo de entidade. Esses parâmetros são os identificadores da entidade.

Use um identificador forte para mapeamento um a um entre os resultados da consulta e a entidade. Um identificador fraco pode gerar resultados imprecisos. Saiba mais sobre entidades e identificadores fortes versus fracos.

A tabela a seguir fornece informações sobre os identificadores das entidades.

Identificadores fortes para entidades de conta e host

Pelo menos um identificador é necessário em uma consulta.

Com base no tipo de entidade que você selecionou na aba Geral , você verá os identificadores disponíveis. Selecione um identificador para colar na consulta na localização do cursor.

SecurityEvent
| where EventID == "4728"
| where (SubjectUserSid == '{{Account_Sid}}' ) or (SubjectUserName == '{{Account_Name}}' and SubjectDomainName == '{{Account_NTDomain}}' )
| project TimeGenerated, SubjectUserName, MemberName, MemberSid, GroupName=TargetUserName

Apresentando a atividade na linha do tempo

Por uma questão de conveniência, talvez você queira determinar como a atividade é apresentada na linha do tempo adicionando parâmetros dinâmicos à saída da atividade.

O Microsoft Sentinel fornece parâmetros internos para você usar, e você também pode usar outros parâmetros com base nos campos projetados na consulta.

Use o seguinte formato para seus parâmetros: {{ParameterName}}

Depois que a consulta de atividade passar pela validação e exibir o link Exibir resultados da consulta abaixo da janela de consulta, você poderá expandir a seção Valores disponíveis para exibir os parâmetros disponíveis para você usar ao criar um título de atividade dinâmica.

Selecione o ícone Copiar ao lado de um parâmetro específico para copiar esse parâmetro para sua área de transferência para que você possa colá-lo no campo Título da atividade acima.

Adicione qualquer um dos seguintes parâmetros à sua consulta:

• Qualquer campo projetado na consulta.

• Identificadores de entidade de todas as entidades mencionadas na consulta.

• StartTimeUTC, para adicionar a hora de início da atividade, no horário UTC.

• EndTimeUTC, para adicionar a hora de término da atividade, no horário UTC.

• Count, para resumir várias saídas de consulta KQL em uma única saída.

  O count parâmetro adiciona o seguinte comando à consulta em segundo plano, mesmo que ele não seja exibido totalmente no editor:

  Summarize count() by <each parameter you’ve projected in the activity>
  

  Em seguida, quando você usa o filtro Tamanho do Bucket nas páginas de entidades, o seguinte comando também é adicionado à consulta executada em segundo plano:

  Summarize count() by <each parameter you’ve projected in the activity>, bin (TimeGenerated, Bucket in Hours)
  

O exemplo a seguir mostra um título de atividade que usa parâmetros dinâmicos:

Quando estiver satisfeito com a consulta e o título da atividade, selecione Avançar: Revisão.

Confira mais informações sobre os operadores E funções KQL usados nos exemplos de consulta de atividade, na documentação do Kusto:

• where operador
• Operador de Projeto
• operador summarize
• Função bin()
• função de agregação count()

Para obter mais informações sobre KQL, consulte Visão geral da Linguagem de Consulta Kusto (KQL).

Outros recursos:

• Referência rápida de KQL
• Recursos de aprendizado da Linguagem de Consulta Kusto

Examinar as configurações e criar a atividade

Use a guia Examinar e criar para validar sua configuração e finalizar a atividade.

1. Verifique todas as informações de configuração da sua atividade personalizada.

2. Quando a mensagem de validação aprovada for exibida, clique em Criar para criar a atividade. Você poderá editá-lo ou alterá-lo posteriormente na guia Minhas Atividades .

Gerenciar suas atividades

Gerencie suas atividades personalizadas na guia Minhas Atividades. Clique nas reticências (...) ao final da linha de uma atividade para:

• Edite a atividade.
• Duplique a atividade para criar uma nova e ligeiramente diferente.
• Exclua a atividade.
• Desabilite a atividade (sem excluí-la).

Exibir atividades em uma página de entidade

Sempre que você acessar uma página de entidade, todas as consultas de atividade habilitadas para essa entidade serão executadas, fornecendo informações atualizadas em tempo real na linha do tempo da entidade. Você verá as atividades na linha do tempo, ao lado de alertas e marcadores.

Você pode usar o filtro de conteúdo da linha do tempo para mostrar apenas atividades (ou qualquer combinação de atividades, alertas e marcadores).

Você também pode usar o filtro Atividades para apresentar ou ocultar atividades específicas.

Próximas etapas

Para saber mais sobre entidades e atividades de linha do tempo personalizadas, confira os seguintes artigos:

• Tenha uma visão completa das páginas de entidades.
• Saiba mais sobre a Análise do Comportamento de Usuários e Entidades (UEBA).
• Veja a lista completa de entidades e identificadores.