Migrar regras de deteção do Splunk para Microsoft Sentinel

As regras de deteção do Splunk são componentes de gestão de informações e eventos de segurança (SIEM) que se comparam às regras de análise no Microsoft Sentinel. Este artigo descreve os conceitos usados para identificar, comparar e migrar regras de detecção de Splunk para o Microsoft Sentinel. A melhor maneira de migrar as regras de detecção do Splunk para o Microsoft Sentinel é começar com a SIEM migration experience, que identifica regras analíticas prontas para uso (OOTB) para tradução automática.

Se quiser migrar a implantação do Splunk Observability, saiba mais sobre como migrar do Splunk para o Azure Monitor Logs.

Regras de auditoria

Microsoft Sentinel utiliza a análise de machine learning para criar incidentes acionáveis e de alta fidelidade. Algumas das suas detecções de Splunk existentes podem ser redundantes no Microsoft Sentinel, então não migre todas as detecções de Splunk às cegas. Examine as seguintes considerações de auditoria de regras ao identificar suas regras de detecção existentes.

• Certifique-se de que seleciona casos de utilização que justificam a migração de regras, considerando a prioridade comercial e a eficiência.
• Verifique se você compreende os tipos de regras do Microsoft Sentinel.
• Verifique se compreende a terminologia da regra.
• Reveja as regras desatualizadas que não têm alertas nos últimos 6 a 12 meses e determine se ainda são relevantes.
• Elimine alertas ou ameaças de baixo nível que ignora regularmente.
• Microsoft Sentinel Analytics requer que o tipo de dados esteja presente na área de trabalho do Log Analytics antes de uma regra ser ativada. Confirme se as fontes de dados necessárias estão conectadas e examine os métodos de conexão de dados. Revisite as conversações de recolha de dados para garantir a profundidade e a amplitude dos dados em todos os casos de utilização que planeia detetar. Em seguida, utilize a experiência de migração SIEM para garantir que as origens de dados são mapeadas adequadamente.

Migrar regras

Depois de identificar as detecções do Splunk a serem migradas, examine as seguintes considerações sobre o processo de migração:

• Compare a funcionalidade existente das regras de análise OOTB do Microsoft Sentinel com os seus casos de utilização atuais. Utilize a experiência de migração SIEM para ver que deteções do Splunk são convertidas automaticamente em modelos OOTB.
• Traduza as detecções que não se alinham com as regras de análise OOTB. A melhor forma de traduzir automaticamente deteções do Splunk é com a experiência de migração SIEM.
• Descubra mais algoritmos para os seus casos de utilização ao explorar recursos da comunidade, como o Marketplace de Deteção de Ameaças Principais do SOC.
• Traduzir manualmente as deteções se as regras incorporadas não estiverem disponíveis ou não forem traduzidas automaticamente. Crie as novas consultas KQL e reveja o mapeamento de regras.

Para obter mais informações, veja melhores práticas para migrar regras de deteção.

Passos de migração de regras

Siga estas etapas para validar, traduzir e testar cada regra de detecção do Splunk durante a migração para Microsoft Sentinel.

1. Verifique se tem um sistema de teste implementado para cada regra que pretende migrar.

   1. Prepare um processo de validação para as regras migradas, incluindo scripts e cenários de teste completos.

   2. Certifique-se de que a sua equipa tem recursos úteis para testar as regras migradas.

   3. Confirme que tem as origens de dados necessárias ligadas e reveja os métodos de ligação de dados.

2. Verifique se as deteções estão disponíveis como modelos OOTB no Microsoft Sentinel:

   • Utilize a experiência de migração SIEM para automatizar a tradução e a instalação dos modelos OOTB.

     Para obter mais informações, veja Utilizar a experiência de migração SIEM.

   • Se tiver casos de utilização não refletidos nas deteções, crie regras para a sua própria área de trabalho com modelos de regras OOTB.

     Em Microsoft Sentinel, aceda ao Hub de conteúdos.

     Filtrar Tipo de conteúdo para modelos de regras de análise.

     Localize e Instale/Atualize cada solução correspondente do hub de conteúdo ou modelo autônomo de regra de análise.

     Para obter mais informações, consulte Detetar ameaças fora da caixa.

   • Se tiver deteções que não estão abrangidas pelas regras OOTB de Microsoft Sentinel, experimente primeiro a experiência de migração SIEM para tradução automática.

   • Se nem as regras OOTB nem a migração SIEM traduzirem completamente a deteção, crie a regra manualmente. Use as seguintes etapas para criar sua regra:

     1. Identifique as origens de dados que pretende utilizar na regra. Identifique as tabelas de Microsoft Sentinel que pretende consultar ao criar uma tabela de mapeamento entre origens de dados e tabelas de dados.

     2. Identifique quaisquer atributos, campos ou entidades nos seus dados que pretenda utilizar nas suas regras.

     3. Identifique os critérios e a lógica da regra. Ao identificar seus critérios de regra e lógica, considere usar modelos de regra como exemplos de como construir suas consultas KQL.

        Considere filtros, regras de correlação, listas ativas, conjuntos de referência, listas de observação, anomalias de deteção, agregações, etc. Pode utilizar referências fornecidas pelo siEM legado para compreender como mapear melhor a sintaxe da consulta.

     4. Identifique a condição de disparo e a ação da regra e, em seguida, crie e revise sua consulta KQL. Ao revisar sua consulta, considere os recursos de orientação sobre otimização de KQL.

3. Teste a regra com cada um dos seus casos de utilização relevantes. Se não fornecer os resultados esperados, reveja e edite o KQL e teste-o novamente.

4. Quando estiver satisfeito, considere a regra migrada. Crie um guia estratégico para sua ação de regra, conforme necessário. Para obter mais informações, veja Automatizar a resposta a ameaças com manuais de procedimentos no Microsoft Sentinel.

Saiba mais sobre as regras de análise:

• Crie regras de análise personalizadas para detetar ameaças. Utilize o agrupamento de alertas para reduzir a fadiga dos alertas ao agrupar alertas que ocorrem dentro de um determinado período de tempo.
• Mapeie campos de dados para entidades no Microsoft Sentinel para permitir que os engenheiros do SOC definam entidades como parte das provas a controlar durante uma investigação. O mapeamento de entidade também possibilita que os analistas do SOC tirem proveito de um intuitivo [gráfico de investigação] (investigate-cases.md#use-the-investigation-graph-to-deep-dive) que pode ajudar a reduzir o tempo e o esforço.
• Investigue incidentes com dados UEBA, como exemplo de como utilizar provas para ver eventos, alertas e quaisquer marcadores associados a um incidente específico no painel de pré-visualização de incidentes.
• A Linguagem de Consulta Kusto (KQL), que você pode usar para enviar solicitações somente leitura ao banco de dados do Log Analytics para processar dados e retornar resultados. O KQL também é utilizado em outros serviços da Microsoft, como Microsoft Defender para Ponto de Extremidade e Application Insights.

Compare a terminologia de regras

A tabela de comparação a seguir esclarece como uma regra baseada em KQL em Microsoft Sentinel corresponde a uma detecção baseada em SPL no Splunk.

Mapear e comparar exemplos de regras

Use as tabelas de exemplo de SPL para KQL e exemplos nesta seção para comparar e mapear regras do Splunk para o Microsoft Sentinel em vários cenários.

Compare comandos comuns de busca Splunk com exemplos de KQL

Esta tabela mapeia comandos comuns de busca SPL para seus equivalentes KQL no Microsoft Sentinel.

lookup comando: exemplo de KQL

Este exemplo de KQL é usado externaldata para replicar o padrão SPL lookup filtrando usuários contra uma fonte de dados externa.

Users 
| where UserID in ((externaldata (UserID:string) [
@"https://storageaccount.blob.core.windows.net/storagecontainer/users.txt" 
h@"?...SAS..." // Secret token to access the blob 
])) | ... 

stats comando: exemplo de KQL

Este exemplo do KQL é usado summarize para contar transações e somar totais, agrupados por fruta e mês.

Sales 
| summarize NumTransactions=count(), 
Total=sum(UnitPrice * NumUnits) by Fruit, 
StartOfMonth=startofmonth(SellDateTime) 

mstats comando: exemplo de KQL

Este exemplo do KQL agrupa valores métricos em faixas de preço e conta os registros em cada faixa.

T | summarize count() by price_range=bin(price, 10.0) 

transaction comando: exemplo de SPL

Este exemplo de SPL agrupa eventos relacionados de início e parada em uma única transação por ID de atividade.

sourcetype=MyLogTable type=Event
| transaction ActivityId startswith="Start" endswith="Stop"
| Rename timestamp as StartTime
| Table City, ActivityId, StartTime, Duration

transaction comando: exemplo de KQL

Este exemplo de KQL replica o agrupamento de transações SPL ao unir eventos de início e parada em um ID de atividade compartilhado e calcular a duração.

let Events = MyLogTable | where type=="Event";
Events
| where Name == "Start"
| project Name, City, ActivityId, StartTime=timestamp
| join (Events
| where Name == "Stop"
| project StopTime=timestamp, ActivityId)
on ActivityId
| project City, ActivityId, StartTime, 
Duration = StopTime – StartTime

Utilize row_window_session() para calcular valores de início de sessão para uma coluna num conjunto de linhas serializado.

...| extend SessionStarted = row_window_session(
Timestamp, 1h, 5m, ID != prev(ID))

eventstats comando: exemplo de SPL

Este exemplo de SPL calcula contagens de eventos por categoria em bins de um minuto e então adiciona um total por bin de tempo usando eventstats.

… | bin span=1m _time
|stats count AS count_i by _time, category
| eventstats sum(count_i) as count_total by _time

eventstats comando: exemplo de KQL

Aqui está um exemplo com a instrução join:

let binSize = 1h;
let detail = SecurityEvent 
| summarize detail_count = count() by EventID,
tbin = bin(TimeGenerated, binSize);
let summary = SecurityEvent
| summarize sum_count = count() by 
tbin = bin(TimeGenerated, binSize);
detail 
| join kind=leftouter (summary) on tbin 
| project-away tbin1

Aqui está um exemplo com a instrução make_list:

let binSize = 1m;
SecurityEvent
| where TimeGenerated >= ago(24h)
| summarize TotalEvents = count() by EventID, 
groupBin =bin(TimeGenerated, binSize)
|summarize make_list(EventID), make_list(TotalEvents), 
sum(TotalEvents) by groupBin
| mvexpand list_EventID, list_TotalEvents

anomalydetection comando: exemplo de SPL

Este exemplo de SPL detecta anomalias nos dados históricos de preços de fechamento ao longo de um período de 10 anos.

sourcetype=nasdaq earliest=-10y
| anomalydetection Close _ Price

anomalydetection comando: exemplo de KQL

Este exemplo do KQL utiliza funções de análise de séries temporais para detectar anomalias nas tendências de login de contas desativadas ao longo de um período de retrospecto de sete dias.

let LookBackPeriod= 7d;
let disableAccountLogon=SignIn
| where ResultType == "50057"
| where ResultDescription has "account is disabled";
disableAccountLogon
| make-series Trend=count() default=0 on TimeGenerated 
in range(startofday(ago(LookBackPeriod)), now(), 1d)
| extend (RSquare,Slope,Variance,RVariance,Interception,
LineFit)=series_fit_line(Trend)
| extend (anomalies,score) = 
series_decompose_anomalies(Trend)

Compare comandos Splunk eval comuns com equivalentes KQL

Esta tabela mapeia funções SPL eval comuns para seus equivalentes KQL no Microsoft Sentinel.

case(X,"Y",…) Exemplo de SPL

Este exemplo de SPL retorna uma string de mensagens diferente baseada no código de erro HTTP.

case(error == 404, "Not found",
error == 500,"Internal Server Error",
error == 200, "OK")

case(X,"Y",…) Exemplo de KQL

Este exemplo do KQL é usado case() para atribuir uma mensagem com base no valor do código de erro.

T
| extend Message = case(error == 404, "Not found", 
error == 500,"Internal Server Error", "OK") 

if(X,Y,Z) Exemplo de KQL

Este exemplo do KQL é usado iif() para indicar se um carimbo de data e hora corresponde ao dia atual.

iif(floor(Timestamp, 1d)==floor(now(), 1d), 
"today", "anotherday")

isint(X) Exemplo de KQL

Este exemplo de KQL verifica se X possui um tipo compatível com inteiros usando gettype e iif.

iif(gettype(X) =="long","TRUE","FALSE")

isstr(X) Exemplo de KQL

Este exemplo de KQL verifica se X é um valor de cadeia usando gettype e iif.

iif(gettype(X) =="string","TRUE","FALSE")

like(X,"y") exemplo

Esses exemplos de KQL mostram vários operadores de correspondência de strings que você pode usar para replicar o padrão de correspondência SPL like .

… | where field has "addr"

… | where field contains "addr"

… | where field startswith "addr"

… | where field matches regex "^addr.*"

min(X,…) Exemplo de KQL

Esses exemplos de KQL mostram diferentes formas de calcular valores mínimos usando min_of, min, e arg_min.

min_of (expr_1, expr_2 ...)

…|summarize min(expr)

…| summarize arg_min(Price,*) by Product

mvfilter(X) Exemplo de KQL

Este exemplo de KQL é usado mv-apply para filtrar e reduzir conteúdo multivalorado, semelhante à função SPL mvfilter .

T | mv-apply Metric to typeof(real) on 
(
 top 2 by Metric desc
)

mvjoin(X,Y) Exemplo de KQL

Este exemplo de KQL é usado strcat_array para unir elementos de array em uma única string com um separador personalizado.

strcat_array(dynamic([1, 2, 3]), "->")

relative time(X,Y) Exemplo de KQL

Este exemplo de KQL converte um valor de data-hora para tempo de época Unix para cálculos em tempo relativo.

let toUnixTime = (dt:datetime)
{
(dt - datetime(1970-01-01))/1s 
};

replace(X,Y,Z) Exemplo de KQL

Este exemplo de KQL usa replace() com um padrão regex para trocar as partes do mês e do dia de uma sequência de datas.

replace( @'^(\d{1,2})/(\d{1,2})/', @'\2/\1/',date)

strptime(X,Y) Exemplo de KQL

Este exemplo de KQL é usado format_datetime para exibir apenas as horas e minutos a partir de um valor de data-hora.

format_datetime(datetime('2017-08-16 11:25:10'),
'HH:mm')

time() Exemplo de KQL

Este exemplo do KQL formata um valor de data-hora como uma sequência de tempo mostrando horas, minutos e segundos.

format_datetime(datetime(2015-12-14 02:03:04),
'h:m:s')

tostring(X,Y) descrição

A função SPL tostring(X,Y) converte valores em strings e suporta várias opções de formatação. Ele retorna um valor de campo de X como uma cadeia.

• Se o valor de X for um número, X será reformatado para um valor de cadeia.
• Se X for um valor booleano, X é reformatado para TRUE ou FALSE.
• Se X for um número, o segundo argumento Y é opcional e pode ser hex (convertido X num hexadecimal), commas (formatos com vírgulas X e duas casas decimais) ou duration (converte X de um formato de tempo em segundos para um formato de tempo legível: HH:MM:SS).

tostring(X,Y) Exemplo de SPL

Este tostring exemplo de SPL retorna:

foo=615 and foo2=00:10:15:

… | eval foo=615 | eval foo2 = tostring(
foo, "duration")

urldecode(X) Exemplo de SPL

Este exemplo SPL decodifica uma string codificada por URL de volta à sua forma original.

urldecode("http%3A%2F%2Fwww.splunk.com%2Fdownload%3Fr%3Dheader")

Compare comandos Splunk stats comuns com equivalentes KQL

Esta tabela mapeia funções comuns de agregação SPL stats para seus equivalentes KQL no Microsoft Sentinel.

Próximas etapas

Você aprendeu a identificar, comparar e mapear regras de detecção do Splunk para as regras de análise do Microsoft Sentinel. Continue migrando sua automação SOAR.