Decida quais os componentes a incluir na sua solução

Este artigo discute os diferentes componentes de uma solução Microsoft Sentinel SIEM e como podem trabalhar em conjunto para responder a cenários importantes para os clientes.

O Microsoft Sentinel inclui mais de 400 conectores e outras capacidades para ajudar os clientes a centralizar e analisar dados de segurança de forma eficiente em termos de custos. Juntamente com a funcionalidade SIEM, estas capacidades permitem que clientes e parceiros criem soluções impactantes que podem ser publicadas através da Microsoft Security Store.

O SIEM Sentinel é usado por equipes de operações de segurança (SOC) para gerar deteções, investigar comportamentos mal-intencionados e remediar ameaças. Ao criar conectores do Sentinel para ingerir novos dados e ao criar conteúdo como regras de análise, playbooks, consultas de pesquisa de ameaças, analisadores e livros de trabalho, os parceiros podem ajudar as equipas do SOC a obter as informações de que necessitam para identificar ameaças e responder de forma adequada. As soluções Sentinel SIEM são publicadas através do Content Hub da Sentinel.

Recolha de dados

Quando está a construir uma integração Sentinel SIEM, é fundamental ter os dados certos para o seu cenário.

Os Sentinel Connectors trazem dados para o Sentinel, que podem depois ser analisados com conteúdos SIEM do Sentinel, como regras de análise e consultas de caça. Depois de os dados serem ingeridos, também podem ser replicados no data lake para análise adicional com recurso a blocos de notas Jupyter e agentes do Security Copilot.

Esses dados podem incluir os seguintes tipos:

Tipo	Description
Dados não tratados	Suporta deteções e processos de caça. Analise dados operacionais brutos nos quais sinais de atividade maliciosa podem estar presentes. Traga dados não processados para o Microsoft Sentinel para usar os recursos internos de busca e deteção do Microsoft Sentinel para identificar novas ameaças e muito mais. Exemplos: dados Syslog, dados CEF sobre Syslog, aplicativos, firewall, autenticação ou logs de acesso e muito mais.
Conclusões de segurança	Cria visibilidade de alerta e oportunidade de correlação. Alertas e deteções são conclusões que já foram feitas sobre ameaças. Contextualizar as deteções com todas as atividades e outras deteções visíveis nas investigações do Microsoft Sentinel, economiza tempo para os analistas e cria uma imagem mais completa de um incidente, resultando em melhor priorização e melhores decisões. Exemplos: alertas antimalware, processos suspeitos, comunicação com hosts maliciosos conhecidos, tráfego de rede que foi bloqueado e por quê, logons suspeitos, ataques de spray de senha detetados, ataques de phishing identificados, eventos de exfiltração de dados e muito mais.
Dados de referência	Cria contexto com ambientes referenciados, economizando esforço de investigação e aumentando a eficiência. Exemplos: CMDBs, bancos de dados de ativos de alto valor, bancos de dados de dependência de aplicativos, logs de atribuição de IP, coleções de inteligência de ameaças para enriquecimento e muito mais.
Informações sobre ameaças	Potencia a deteção de ameaças, contribuindo com indicadores de ameaças conhecidas. As informações sobre ameaças podem incluir indicadores atuais que representam ameaças imediatas ou indicadores históricos que são mantidos para prevenção futura. Os conjuntos de dados históricos geralmente são grandes e são melhor referenciados ad-hoc, em vez de importá-los diretamente para o Microsoft Sentinel.

Analisadores

Os analisadores são funções KQL que transformam dados personalizados de produtos de terceiros em um esquema ASIM normalizado. A normalização garante que os analistas SOC não precisem aprender detalhes sobre novos esquemas e, em vez disso, criar regras analíticas e procurar consultas no esquema normalizado com o qual já estão familiarizados. Analise os esquemas ASIM disponíveis fornecidos pelo Microsoft Sentinel para identificar esquemas ASIM relevantes (um ou mais) para seus dados, a fim de garantir uma integração mais fácil para analistas SOC e garantir que o conteúdo de segurança existente escrito para o esquema ASIM seja aplicável imediatamente aos dados do produto. Para obter mais informações sobre os esquemas ASIM disponíveis, consulte Esquemas ASIM (Advanced Security Information Model). Alternativamente, se o seu conector usar uma Regra de Recolha de Dados (DCR), pode normalizar os dados no momento de ingestão em vez de no momento da consulta. Para mais informações, consulte Transformar ou personalizar dados no momento de ingestão no Microsoft Sentinel (pré-visualização).

Visualization

Você pode incluir visualizações para ajudar os clientes a gerenciar e entender seus dados, incluindo exibições gráficas de como os dados fluem para o Microsoft Sentinel e como eles contribuem efetivamente para as deteções.

Monitorização e deteção

Os recursos de monitoramento e deteção do Sentinel criam deteções automatizadas para ajudar os clientes a dimensionar a experiência de sua equipe SOC.

As seções a seguir descrevem os elementos de monitoramento e deteção que você pode incluir em sua solução.

Agentes do Copilot de Segurança

Os agentes do Security Copilot automatizam tarefas repetitivas e reduzem as cargas de trabalho manuais. Eles melhoram a segurança e as operações de TI na nuvem, segurança e privacidade de dados, identidade e segurança de rede. Para o Sentinel, os agentes podem consultar o SIEM ou o data lake e chamar APIs para enriquecer os dados do Microsoft Sentinel. Eles podem utilizar trabalhos de notebook para processamento ou análise intensiva de dados e utilizar qualquer número de plug-ins.

Regras de análise

As regras do Google Analytics são deteções sofisticadas que podem criar alertas precisos e significativos.

Adicione regras de análise à sua solução para ajudar os seus clientes a beneficiarem dos dados do seu sistema no Microsoft Sentinel. Por exemplo, as regras de análise podem ajudar a fornecer conhecimento e informações sobre as atividades que podem ser detetadas nos dados fornecidos pela integração.

Eles podem emitir alertas (eventos notáveis), incidentes (unidades de investigação) ou acionar scripts de automação.

Você pode adicionar regras de análise incluindo-as em uma solução e por meio da comunidade Microsoft Sentinel ThreatHunters. Contribua através da comunidade para incentivar a criatividade da comunidade sobre dados de origem de parceiros, ajudando os clientes com deteções mais confiáveis e eficazes.

Consultas de pesquisa

As consultas de caça permitem que os analistas SOC procurem proativamente novas anomalias que não são detetadas pelas regras de análise agendadas no momento. As consultas de prospeção guiam os analistas SOC a fazerem as perguntas certas para detetar problemas a partir dos dados que já estão disponíveis no Microsoft Sentinel e ajudam-nos a identificar cenários de ameaças potenciais. Ao incluir consultas de busca, você pode ajudar os clientes a encontrar ameaças desconhecidas nos dados fornecidos.

Livros

Os cadernos de trabalho fornecem relatórios e painéis interativos que ajudam os utilizadores a visualizar dados de segurança e identificar padrões. A necessidade de pastas de trabalho depende do caso de uso específico. Ao desenhar a sua solução, pense em cenários que sejam melhor explicados visualmente. Por exemplo, os cadernos de exercícios são adequados para resumir falhas de autenticação e padrões de login suspeitos nos seus dados, visualizar distribuições geográficas da atividade de ameaças, mapear eventos detetados para táticas e técnicas MITRE ATT&CK, mostrar tendências em atividade bloqueada ou sinalizada ao longo do tempo, ou fornecer uma visão rápida das principais ameaças e anomalias emergidas dos dados do seu conector.

Investigação

O gráfico de investigação Sentinel fornece aos investigadores dados relevantes quando deles necessitam, proporcionando visibilidade sobre incidentes de segurança e alertas através de entidades ligadas. Os investigadores podem usar o gráfico de investigação para encontrar eventos relevantes ou relacionados, contribuindo para a ameaça que está sob investigação.

Os parceiros podem contribuir para o gráfico de investigação fornecendo:

Alertas e incidentes do Microsoft Sentinel, criados através de regras de análise em soluções de parceiros.
Consultas de exploração personalizadas para dados fornecidos pelo parceiro. Consultas de exploração personalizadas fornecem exploração avançada e conectividade entre dados e insights para investigadores de segurança.

Resposta

Os playbooks suportam fluxos de trabalho com automação avançada, executando tarefas relacionadas à segurança em ambientes de clientes. São fundamentais para garantir que os analistas SOC não estejam sobrecarregados com itens táticos e possam focar-se na causa mais estratégica e profunda das vulnerabilidades. Por exemplo, se um alerta de alta gravidade for detetado, um manual pode iniciar automaticamente uma série de ações, como notificar a equipe de segurança, isolar os sistemas afetados e coletar logs relevantes para análise posterior.

Os playbooks podem ajudar de qualquer uma das seguintes formas:

Bloquear uma conta de utilizador ou endereço IP num produto parceiro em resposta a um incidente Sentinel.
Enriquecimento de um incidente com contexto de utilizador, dispositivo ou ameaça obtido através de uma API externa.
Criar ou atualizar um ticket num sistema ITSM como o ServiceNow ou o Jira quando um incidente Sentinel é aberto ou escalado.
Fechar ou atualizar um incidente numa plataforma parceira quando o incidente correspondente do Sentinel é resolvido.
Envio de detalhes do incidente e um link direto de investigação para um canal do Teams ou Slack para conhecimento imediato dos analistas.

Ao desenhar a sua solução, pense nas ações automatizadas que podem ser tomadas para resolver incidentes criados pelas regras de análise definidas na sua solução.

Exemplos de cenários do Sentinel SIEM

As seções a seguir descrevem cenários de parceiros comuns e recomendações sobre o que incluir em uma solução para cada cenário.

O seu produto gera dados importantes para as investigações de segurança

Cenário: seu produto gera dados que podem informar investigações de segurança.

Exemplo: Os produtos que fornecem alguma forma de dados de log incluem firewalls, agentes de segurança de aplicativos em nuvem, sistemas de acesso físico, saída Syslog, aplicativos LOB comercialmente disponíveis e construídos pela empresa, servidores, metadados de rede, qualquer coisa entregue em Syslog no formato Syslog ou CEF ou por API REST no formato JSON.

Como usar seus dados no Microsoft Sentinel: importe os dados do seu produto para o Microsoft Sentinel por meio de um conector de dados para fornecer análises, buscas, investigações, visualizações e muito mais.