Auditar consultas e atividades de Microsoft Sentinel

Este artigo descreve como pode ver os dados de auditoria das consultas executadas e as atividades executadas na área de trabalho do Microsoft Sentinel, como para requisitos de conformidade internos e externos na área de trabalho de Operações de Segurança (SOC).

Microsoft Sentinel fornece acesso a:

• A tabela AzureActivity, que fornece detalhes sobre todas as ações realizadas no Microsoft Sentinel, como editar regras de alerta. A tabela AzureActivity não regista dados de consulta específicos. Para obter mais informações, veja Auditing with Azure Activity logs (Auditoria com registos de Atividades do Azure).

• A tabela LAQueryLogs, que fornece detalhes sobre as consultas executadas no Log Analytics, incluindo consultas executadas a partir de Microsoft Sentinel. Para obter mais informações, veja Auditing with LAQueryLogs (Auditoria com LAQueryLogs).

Pré-requisitos

• Antes de poder executar com êxito as consultas de exemplo neste artigo, tem de ter dados relevantes na área de trabalho Microsoft Sentinel para consultar e aceder a Microsoft Sentinel.

  Para obter mais informações, veja Configurar Microsoft Sentinel conteúdo e Funções e permissões no Microsoft Sentinel.

Auditoria com registos de Atividades do Azure

Os registos de auditoria do Microsoft Sentinel são mantidos nos Registos de Atividades do Azure, onde a tabela AzureActivity inclui todas as ações realizadas na área de trabalho Microsoft Sentinel.

Utilize a tabela AzureActivity ao auditar a atividade no seu ambiente SOC com Microsoft Sentinel.

Para consultar a tabela AzureActivity:

1. Instale a solução Azure Activity para Sentinel e ligue o conector de dados Azure Activity para começar a transmitir eventos de auditoria para uma nova tabela chamada AzureActivity.

2. Consulte os dados com Linguagem de Pesquisa Kusto (KQL), tal como faria com qualquer outra tabela:

   • Na portal do Azure, consulte esta tabela na página Registos.
   • No portal do Defender, consulte esta tabela na página Investigação & resposta > Pesquisa >Pesquisa avançada.

   A tabela AzureActivity inclui dados de muitos serviços, incluindo Microsoft Sentinel. Use a seguinte consulta para filtrar a tabela AzureActivity e mostrar apenas as operações do Microsoft Sentinel:

    AzureActivity
   | where OperationNameValue startswith "MICROSOFT.SECURITYINSIGHTS"
   

   Por exemplo, para saber quem foi o último utilizador a editar uma regra de análise específica, utilize a seguinte consulta (substituindo xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx pelo ID da regra que pretende verificar):

   AzureActivity
   | where OperationNameValue startswith "MICROSOFT.SECURITYINSIGHTS/ALERTRULES/WRITE"
   | where Properties contains "alertRules/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   | project Caller , TimeGenerated , Properties
   

Adicione mais parâmetros à sua consulta para explorar mais detalhadamente a tabela AzureActivities, consoante o que precisa de apresentar no relatório. As secções seguintes fornecem outras consultas de exemplo a utilizar ao auditar com os dados da tabela AzureActivity .

Para obter mais informações, consulte Dados do Microsoft Sentinel incluídos nos registos de atividade do Azure.

Localizar todas as ações realizadas por um utilizador específico nas últimas 24 horas

A seguinte consulta da tabela AzureActivity lista todas as ações executadas por um utilizador Microsoft Entra específico nas últimas 24 horas.

AzureActivity
| where OperationNameValue contains "SecurityInsights"
| where Caller == "[AzureAD username]"
| where TimeGenerated > ago(1d)

Localizar todas as operações de eliminação

Para identificar os recursos do Microsoft Sentinel que foram eliminados, execute a seguinte consulta para filtrar os registos de atividade do Azure para operações de eliminação bem-sucedidas no seu espaço de trabalho.

AzureActivity
| where OperationNameValue contains "SecurityInsights"
| where OperationName contains "Delete"
| where ActivityStatusValue contains "Succeeded"
| project TimeGenerated, Caller, OperationName

Dados do Microsoft Sentinel incluídos nos registos de atividade do Azure

Os registos de auditoria do Microsoft Sentinel são mantidos nos Registos de Atividades do Azure e incluem os seguintes tipos de informações:

Também pode utilizar o Azure Registos de atividades para verificar a existência de autorizações e licenças de utilizador. Por exemplo, a tabela seguinte lista as operações selecionadas encontradas no Azure Registos de atividades com o recurso específico a partir do qual os dados de registo são extraídos.

Para obter mais informações, consulte esquema de eventos do Registo de Atividades do Azure.

Auditoria com LAQueryLogs

A tabela LAQueryLogs fornece detalhes sobre as consultas de registo executadas no Log Analytics. Uma vez que o Log Analytics é utilizado como arquivo de dados subjacente do Microsoft Sentinel, pode configurar o sistema para recolher dados do LAQueryLogs na área de trabalho Microsoft Sentinel.

Os dados do LAQueryLogs incluem informações como:

• Quando as consultas foram executadas
• Quem executou consultas no Log Analytics
• Que ferramenta foi utilizada para executar consultas no Log Analytics, como Microsoft Sentinel
• Os próprios textos da consulta
• Dados de desempenho em cada execução de consulta

Para consultar a tabela LAQueryLogs:

1. A tabela LAQueryLogs não está ativada por predefinição na área de trabalho do Log Analytics. Para utilizar dados laQueryLogs ao auditar no Microsoft Sentinel, ative primeiro os LAQueryLogs na área de definições diagnóstico da área de trabalho do Log Analytics.

   Para obter mais informações, veja Auditar consultas nos registos do Azure Monitor.

2. Em seguida, consulte os dados com KQL, tal como faria com qualquer outra tabela.

   Por exemplo, a seguinte consulta mostra quantas consultas foram executadas na última semana, por dia:

   LAQueryLogs
   | where TimeGenerated > ago(7d)
   | summarize events_count=count() by bin(TimeGenerated, 1d)
   

As secções seguintes mostram mais consultas de exemplo a executar na tabela LAQueryLogs ao auditar atividades no seu ambiente SOC com Microsoft Sentinel.

O número de consultas executadas em que a resposta não era "OK"

Use a seguinte consulta para contar consultas do Log Analytics que devolveram um código de resposta sem sucesso. Esta contagem inclui consultas que falharam em execução ou devolveram algo que não fosse uma resposta HTTP 200 OK .

LAQueryLogs
| where ResponseCode != 200 
| count 

Mostrar os utilizadores de consultas com utilização intensiva de CPU

Para encontrar os utilizadores ou clientes que executam as consultas mais intensivas em recursos, use a seguinte consulta para revelar a maior consulta em tempo de CPU por ID de cliente Microsoft Entra, ordenada por tempo consumido pela CPU.

LAQueryLogs
|summarize arg_max(StatsCPUTimeMs, *) by AADClientId
| extend User = AADEmail, QueryRunTime = StatsCPUTimeMs
| project User, QueryRunTime, QueryText
| sort by QueryRunTime desc

Mostrar os utilizadores que executaram mais consultas na semana passada

Use a seguinte consulta para resumir quantas consultas cada utilizador realizou nos últimos sete dias, o que ajuda a identificar os utilizadores mais ativos no seu espaço de trabalho para auditoria ou análise de utilização.

LAQueryLogs
| where TimeGenerated > ago(7d)
| summarize events_count=count() by AADEmail
| extend UserPrincipalName = AADEmail, Queries = events_count
| join kind= leftouter (
    SigninLogs)
    on UserPrincipalName
| project UserDisplayName, UserPrincipalName, Queries
| summarize arg_max(Queries, *) by UserPrincipalName
| sort by Queries desc

Configurar alertas para atividades do Microsoft Sentinel

Pode querer utilizar os recursos de auditoria do Microsoft Sentinel para criar alertas proativos.

Por exemplo, se tiver tabelas sensíveis no seu espaço de trabalho Microsoft Sentinel, pode detetar quando essas tabelas são acedidas. A consulta seguinte audita o acesso a uma tabela sensível específica, listando consultas que a referenciaram nas últimas 24 horas. Substitua [Name of sensitive table] pelo nome da tabela que pretende monitorizar:

LAQueryLogs
| where QueryText contains "[Name of sensitive table]"
| where TimeGenerated > ago(1d)
| extend User = AADEmail, Query = QueryText
| project User, Query

Monitorize o Microsoft Sentinel com livros de trabalho, regras e playbooks

Utilize as próprias funcionalidades do Microsoft Sentinel para monitorizar eventos e ações que ocorrem no Microsoft Sentinel.

• Monitorize com livros de exercícios. Vários livros de exercícios incorporados do Microsoft Sentinel podem ajudá-lo a monitorizar a atividade do espaço de trabalho, incluindo informações sobre os utilizadores que trabalham no seu espaço de trabalho, as regras de análise utilizadas, as táticas MITRE com maior cobertura, as ingestões bloqueadas ou interrompidas e o desempenho da equipa de SOC.

  Para obter mais informações, consulte Visualize e monitorize os seus dados com livros no Microsoft Sentinel e Livros do Microsoft Sentinel frequentemente utilizados

• Atenção ao atraso na ingestão. Se estiver preocupado com o atraso na ingestão, defina uma variável numa regra de análise para representar o atraso.

  Por exemplo, a seguinte regra de análise pode ajudar a garantir que os resultados não incluem duplicados e que os registos não são perdidos ao executar as regras:

  let ingestion_delay= 2min;let rule_look_back = 5min;CommonSecurityLog| where TimeGenerated >= ago(ingestion_delay + rule_look_back)| where ingestion_time() > (rule_look_back)
  - Calculating ingestion delay
    CommonSecurityLog| extend delay = ingestion_time() - TimeGenerated| summarize percentiles(delay,95,99) by DeviceVendor, DeviceProduct
  

  Para obter mais informações, veja Automatizar o processamento de incidentes em Microsoft Sentinel com regras de automatização.

• Monitorize o estado do conector de dados com o playbook Solução de Notificações Push sobre o Estado de Funcionamento do Conector para detetar ingestões interrompidas ou paradas e enviar notificações quando um conector tiver deixado de recolher dados ou quando as máquinas tiverem deixado de comunicar.

Consulte a documentação da Kusto para os operadores e funções usados nos exemplos do KQL neste artigo:

• instrução let
• where operador
• projeto operador
• operador count
• operador de ordenação
• operador extend
• operador de associação
• summarize operador
• função ago()
• função ingestion_time()
• função de agregação count()
• função de agregação arg_max()

Para obter mais informações sobre o KQL, veja Descrição geral do Linguagem de Pesquisa Kusto (KQL).

Outros recursos:

• Referência rápida do KQL
• recursos de aprendizagem da Kusto Query Language

Passos seguintes

No Microsoft Sentinel, utilize o livro de trabalho Auditoria da área de trabalho para auditar as atividades no seu ambiente SOC. Para obter mais informações, veja Visualizar e monitorizar os seus dados.