Soluções de domínio baseadas no Modelo de Informação de Segurança Avançada (ASIM) para Microsoft Sentinel (pré-visualização)

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

As soluções essenciais da Microsoft são soluções de domínio publicadas pela Microsoft para Microsoft Sentinel. Estas soluções dispõem de conteúdo pronto a usar que pode operar em vários produtos em categorias específicas, como redes. Algumas destas soluções essenciais utilizam a técnica de normalização Advanced Security Information Model (ASIM) para normalizar os dados no momento da consulta ou no tempo de ingestão.

Importante

As soluções essenciais da Microsoft e a solução Network Session Essentials estão atualmente em pré-visualização. Os Termos Suplementares de Pré-visualização do Azure incluem termos legais adicionais que se aplicam a funcionalidades Azure que estão em beta, pré-visualização ou que ainda não foram lançadas para disponibilidade geral.

Porquê utilizar soluções essenciais da Microsoft baseadas em ASIM?

Quando várias soluções numa categoria de domínio partilham padrões de deteção semelhantes, faz sentido que os dados sejam capturados num esquema normalizado como o ASIM. As soluções essenciais utilizam este esquema ASIM para detetar ameaças em escala.

No hub de conteúdos, existem várias soluções de produtos para diferentes categorias de domínio, como "Segurança – Rede". Por exemplo, Azure Firewall, a Palo Alto Firewall e o Corelight têm soluções de produto para a categoria de domínio "Segurança - Rede".

  • Estas soluções têm diferentes componentes de ingestão de dados por predefinição. No entanto, existe um determinado padrão para a análise, investigação, livros e outros conteúdos na mesma categoria de domínio.
  • A maioria dos principais produtos de rede tem um conjunto básico comum de alertas de firewall que inclui ameaças maliciosas provenientes de endereços IP invulgares. O modelo de regra analítica é, em geral, duplicado para cada uma das categorias "Segurança – Rede" das soluções de produtos. Se estiver a executar vários produtos de rede, tem de verificar e configurar várias regras de análise individualmente, o que é ineficiente. Também receberia alertas por cada regra configurada e poderia acabar por sofrer de fadiga de alertas.
  • Se tiver consultas de investigação duplicadas, poderá ter experiências de investigação menos eficazes com o modo run-all de investigação. Estas consultas de pesquisa duplicadas também criam ineficiências quando os caçadores de ameaças selecionam e executam consultas semelhantes.

Pode considerar as soluções essenciais da Microsoft pelos seguintes motivos:

  • Um esquema normalizado torna mais fácil consultar os detalhes do incidente. Não tem de se lembrar da sintaxe específica de cada fornecedor para atributos de registo semelhantes.
  • Se não tiver de gerir conteúdos para várias soluções, é mais fácil utilizar a implementação de casos e o processamento de incidentes.
  • Uma vista consolidada do livro proporciona-lhe melhor visibilidade do ambiente e uma possível análise em tempo de consulta com analisadores ASIM de elevado desempenho.

Esquemas ASIM suportados

As soluções essenciais utilizam atualmente os seguintes esquemas ASIM:

  • Evento de auditoria
  • Evento de autenticação
  • Atividade DNS
  • Atividade de ficheiros
  • Sessão de rede
  • Evento do processo
  • Sessão Web

Para obter mais informações, veja Advanced Security Information Model (ASIM) schemas (Esquemas do Advanced Security Information Model [ASIM]).

Normalização do tempo de ingestão

Os resultados da normalização do tempo de ingestão podem ser ingeridos na seguinte tabela normalizada:

Para obter mais informações, veja Normalização do tempo de ingestão.

Conteúdo disponível com soluções essenciais de domínio baseadas em ASIM

A tabela seguinte descreve o tipo de conteúdo disponível com cada solução essencial. Para alguns casos de utilização específicos, poderá também utilizar o conteúdo disponível com a solução de produto Microsoft Sentinel.

Tipo de conteúdo descrição
Regra Analítica As regras analíticas disponíveis nas soluções essenciais baseadas em ASIM são genéricas e são adequadas para qualquer uma das soluções de produtos Microsoft Sentinel dependentes para esse domínio. A solução de produto Microsoft Sentinel pode ter um caso de utilização específico de origem abrangido como parte da regra analítica. Ative as regras da solução de produto do Microsoft Sentinel conforme necessário para o seu ambiente.
Consulta de investigação As consultas de investigação disponíveis nas soluções essenciais baseadas em ASIM são genéricas e uma boa opção para investigar ameaças de qualquer uma das soluções de produtos Microsoft Sentinel dependentes para esse domínio. A solução de produto Microsoft Sentinel pode ter uma consulta de investigação específica de origem disponível. Utilize as consultas de investigação da solução de produto Microsoft Sentinel conforme necessário para o seu ambiente.
Manual de procedimentos Espera-se que as soluções essenciais baseadas no ASIM consigam processar dados com um elevado número de eventos por segundo. Quando tiver conteúdos que utilizem esse volume de dados, poderá ter algum impacto no desempenho que pode causar um carregamento lento de livros ou resultados de consultas. Para resolver este problema, o manual de procedimentos de resumo resume os registos de origem e armazena as informações numa tabela predefinida. Ative o manual de procedimentos de resumo para permitir que as soluções essenciais consultem esta tabela.

Como os playbooks no Microsoft Sentinel se baseiam em fluxos de trabalho criados no Azure Logic Apps que criam recursos separados, poderão aplicar-se outros custos. Para obter mais informações, veja a página de preços do Azure Logic Apps. Também podem ser aplicados outros custos ao armazenamento dos dados resumidos.
Lista de observação As soluções essenciais baseadas em ASIM utilizam uma lista de observação que inclui vários conjuntos de condições para deteção de regras analíticas e consultas de investigação. A lista de observação permite-lhe realizar as seguintes tarefas:

- Efetue a monitorização focada com filtragem de dados.
- Alternar entre procura e deteção para cada item da lista.
- Mantenha o Tipo de limiar definido como Estático para tirar partido dos alertas baseados em limiares, enquanto os alertas baseados em anomalias aprenderiam com os últimos dias de dados (máximo de 14 dias).
- Modifique o Nome do Alerta, a Descrição, a Tática e a Gravidade com esta lista de observação para itens de lista individuais.
- Desative a deteção ao definir Severity como Disabled.
Livro de cálculo O livro disponível com as soluções essenciais baseadas em ASIM fornece uma vista consolidada de diferentes eventos e atividades que ocorrem no domínio dependente. Uma vez que este livro obtém resultados de um volume muito elevado de dados, pode haver algum atraso de desempenho. Se tiver problemas de desempenho, utilize o guia de procedimentos de sumarização.

Estas soluções essenciais, tal como outras soluções de domínio do Microsoft Sentinel, não têm um conector próprio. Dependem dos conectores específicos da origem nas soluções de produto do Microsoft Sentinel para obter os registos. Para compreender os produtos que a solução de domínio suporta, consulte a lista de pré-requisitos das soluções de produto que cada uma das soluções ASIM Domain Essentials apresenta. Instale uma ou mais das soluções de produto. Configure os conectores de dados para satisfazer as necessidades de dependência do produto subjacente e para permitir uma melhor utilização deste conteúdo de solução de domínio.

  • Last updated on