Migrar regras de deteção do Splunk para Microsoft Sentinel

As regras de deteção do Splunk são componentes de gestão de informações e eventos de segurança (SIEM) que se comparam às regras de análise no Microsoft Sentinel. Este artigo descreve os conceitos usados para identificar, comparar e migrar regras de deteção de Splunk para o Microsoft Sentinel. A melhor forma de migrar as regras de deteção de Splunk para o Microsoft Sentinel é começar pela experiência de migração SIEM, que identifica regras de análise prontas a usar (OOTB) para tradução automática.

Se quiser migrar a implantação do Splunk Observability, obtenha mais informações sobre como migrar do Splunk para o Azure Monitor Logs.

Regras de auditoria

Microsoft Sentinel utiliza a análise de machine learning para criar incidentes acionáveis e de alta fidelidade. Algumas das tuas deteções de Splunk existentes podem ser redundantes no Microsoft Sentinel, por isso não migres todas as deteções de Splunk às cegas. Revise as seguintes considerações sobre auditoria de regras enquanto identifica as suas regras de deteção existentes.

• Certifique-se de que seleciona casos de utilização que justificam a migração de regras, considerando a prioridade comercial e a eficiência.
• Verifique se compreende os tipos de regras do Microsoft Sentinel.
• Verifique se compreende a terminologia da regra.
• Reveja as regras desatualizadas que não têm alertas nos últimos 6 a 12 meses e determine se ainda são relevantes.
• Elimine alertas ou ameaças de baixo nível que ignora regularmente.
• Microsoft Sentinel Analytics requer que o tipo de dados esteja presente na área de trabalho do Log Analytics antes de uma regra ser ativada. Confirme que as fontes de dados necessárias estão ligadas e reveja os métodos de ligação de dados. Revisite as conversações de recolha de dados para garantir a profundidade e a amplitude dos dados em todos os casos de utilização que planeia detetar. Em seguida, utilize a experiência de migração SIEM para garantir que as origens de dados são mapeadas adequadamente.

Migrar regras

Depois de identificar as deteções do Splunk que pretende migrar, reveja as seguintes considerações sobre o processo de migração:

• Compare a funcionalidade existente das regras de análise OOTB do Microsoft Sentinel com os seus casos de utilização atuais. Utilize a experiência de migração SIEM para ver que deteções do Splunk são convertidas automaticamente em modelos OOTB.
• Traduzir deteções que não se alinham com as regras analíticas OOTB. A melhor forma de traduzir automaticamente deteções do Splunk é com a experiência de migração SIEM.
• Descubra mais algoritmos para os seus casos de utilização ao explorar recursos da comunidade, como o Marketplace de Deteção de Ameaças Principais do SOC.
• Traduzir manualmente as deteções se as regras incorporadas não estiverem disponíveis ou não forem traduzidas automaticamente. Crie as novas consultas KQL e reveja o mapeamento de regras.

Para obter mais informações, veja melhores práticas para migrar regras de deteção.

Passos de migração de regras

Siga estes passos para validar, traduzir e testar cada regra de deteção de Splunk durante a migração para o Microsoft Sentinel.

1. Verifique se tem um sistema de teste implementado para cada regra que pretende migrar.

   1. Prepare um processo de validação para as regras migradas, incluindo scripts e cenários de teste completos.

   2. Certifique-se de que a sua equipa tem recursos úteis para testar as regras migradas.

   3. Confirme que tem as origens de dados necessárias ligadas e reveja os métodos de ligação de dados.

2. Verifique se as deteções estão disponíveis como modelos OOTB no Microsoft Sentinel:

   • Utilize a experiência de migração SIEM para automatizar a tradução e a instalação dos modelos OOTB.

     Para obter mais informações, veja Utilizar a experiência de migração SIEM.

   • Se tiver casos de utilização não refletidos nas deteções, crie regras para a sua própria área de trabalho com modelos de regras OOTB.

     Em Microsoft Sentinel, aceda ao Hub de conteúdos.

     Filtrar Tipo de conteúdo para modelos de regra de análise.

     Encontrar e Instalar/Atualizar cada solução correspondente do Content hub ou modelo autónomo de regra de análise.

     Para obter mais informações, consulte Detetar ameaças fora da caixa.

   • Se tiver deteções que não estão abrangidas pelas regras OOTB de Microsoft Sentinel, experimente primeiro a experiência de migração SIEM para tradução automática.

   • Se nem as regras OOTB nem a migração SIEM traduzirem completamente a deteção, crie a regra manualmente. Use os seguintes passos para criar a sua regra:

     1. Identifique as origens de dados que pretende utilizar na regra. Identifique as tabelas de Microsoft Sentinel que pretende consultar ao criar uma tabela de mapeamento entre origens de dados e tabelas de dados.

     2. Identifique quaisquer atributos, campos ou entidades nos seus dados que pretenda utilizar nas suas regras.

     3. Identifique os critérios e a lógica da regra. Ao identificar os seus critérios de regras e a lógica, considere usar modelos de regras como exemplos para construir as suas consultas KQL.

        Considere filtros, regras de correlação, listas ativas, conjuntos de referência, listas de observação, anomalias de deteção, agregações, etc. Pode utilizar referências fornecidas pelo siEM legado para compreender como mapear melhor a sintaxe da consulta.

     4. Identifique a condição de acionamento e a ação da regra e, em seguida, crie e reveja a consulta KQL. Ao analisar a sua consulta, considere os recursos com orientações para otimização do KQL.

3. Teste a regra com cada um dos seus casos de utilização relevantes. Se não fornecer os resultados esperados, reveja e edite o KQL e teste-o novamente.

4. Quando estiver satisfeito, considere a regra migrada. Crie um guia de procedimentos para a ação da sua regra, se necessário. Para obter mais informações, veja Automatizar a resposta a ameaças com manuais de procedimentos no Microsoft Sentinel.

Saiba mais sobre as regras de análise:

• Crie regras de análise personalizadas para detetar ameaças. Utilize o agrupamento de alertas para reduzir a fadiga dos alertas ao agrupar alertas que ocorrem dentro de um determinado período de tempo.
• Mapeie campos de dados para entidades no Microsoft Sentinel para permitir que os engenheiros do SOC definam entidades como parte das provas a controlar durante uma investigação. O mapeamento de entidades também permite que os analistas do SOC beneficiem de um [gráfico de investigação](investigate-cases.md#use-the-investigation-graph-to-deep-dive) intuitivo, que pode ajudar a reduzir o tempo e o esforço necessários.
• Investigue incidentes com dados UEBA, como exemplo de como utilizar provas para ver eventos, alertas e quaisquer marcadores associados a um incidente específico no painel de pré-visualização de incidentes.
• Linguagem de Consulta Kusto (KQL), que pode utilizar para enviar pedidos de leitura para a sua base de dados do Log Analytics para processar os dados e devolver os resultados. O KQL também é utilizado noutros serviços Microsoft, como o Microsoft Defender para Endpoint e o Application Insights.

Comparar a terminologia das regras

A tabela comparativa seguinte esclarece como uma regra baseada em KQL no Microsoft Sentinel corresponde a uma deteção baseada em SPL no Splunk.

Mapear e comparar exemplos de regras

Use as tabelas de exemplo SPL-para-KQL e exemplos nesta secção para comparar e mapear regras do Splunk para o Microsoft Sentinel em vários cenários.

Compare comandos comuns de pesquisa Splunk com exemplos de KQL

Esta tabela mapeia comandos comuns de pesquisa SPL para os seus equivalentes KQL no Microsoft Sentinel.

lookup comando: exemplo de KQL

Este exemplo de KQL é usado externaldata para replicar o padrão SPL lookup filtrando os utilizadores contra uma fonte de dados externa.

Users 
| where UserID in ((externaldata (UserID:string) [
@"https://storageaccount.blob.core.windows.net/storagecontainer/users.txt" 
h@"?...SAS..." // Secret token to access the blob 
])) | ... 

stats comando: exemplo de KQL

Este exemplo do KQL serve summarize para contar transações e somar totais, agrupados por fruta e mês.

Sales 
| summarize NumTransactions=count(), 
Total=sum(UnitPrice * NumUnits) by Fruit, 
StartOfMonth=startofmonth(SellDateTime) 

mstats comando: exemplo de KQL

Este exemplo KQL agrupa valores métricos em faixas de preço e conta os registos em cada gama.

T | summarize count() by price_range=bin(price, 10.0) 

transaction comando: exemplo de SPL

Este exemplo de SPL agrupa eventos relacionados de início e paragem numa única transação por ID de atividade.

sourcetype=MyLogTable type=Event
| transaction ActivityId startswith="Start" endswith="Stop"
| Rename timestamp as StartTime
| Table City, ActivityId, StartTime, Duration

transaction comando: exemplo de KQL

Este exemplo de KQL replica o agrupamento de transações SPL ao juntar eventos de início e paragem num ID de atividade partilhado e calcular a duração.

let Events = MyLogTable | where type=="Event";
Events
| where Name == "Start"
| project Name, City, ActivityId, StartTime=timestamp
| join (Events
| where Name == "Stop"
| project StopTime=timestamp, ActivityId)
on ActivityId
| project City, ActivityId, StartTime, 
Duration = StopTime – StartTime

Utilize row_window_session() para calcular valores de início de sessão para uma coluna num conjunto de linhas serializado.

...| extend SessionStarted = row_window_session(
Timestamp, 1h, 5m, ID != prev(ID))

eventstats comando: exemplo de SPL

Este exemplo SPL calcula contagens de eventos por categoria em bins de um minuto e depois acrescenta um total por bin de tempo usando eventstats.

… | bin span=1m _time
|stats count AS count_i by _time, category
| eventstats sum(count_i) as count_total by _time

eventstats comando: exemplo de KQL

Segue-se um exemplo com a instrução join:

let binSize = 1h;
let detail = SecurityEvent 
| summarize detail_count = count() by EventID,
tbin = bin(TimeGenerated, binSize);
let summary = SecurityEvent
| summarize sum_count = count() by 
tbin = bin(TimeGenerated, binSize);
detail 
| join kind=leftouter (summary) on tbin 
| project-away tbin1

Segue-se um exemplo com a instrução make_list:

let binSize = 1m;
SecurityEvent
| where TimeGenerated >= ago(24h)
| summarize TotalEvents = count() by EventID, 
groupBin =bin(TimeGenerated, binSize)
|summarize make_list(EventID), make_list(TotalEvents), 
sum(TotalEvents) by groupBin
| mvexpand list_EventID, list_TotalEvents

anomalydetection comando: exemplo de SPL

Este exemplo de SPL deteta anomalias nos dados históricos de preços de fecho ao longo de um período de 10 anos.

sourcetype=nasdaq earliest=-10y
| anomalydetection Close _ Price

anomalydetection comando: exemplo de KQL

Este exemplo de KQL utiliza funções de análise de séries temporais para detetar anomalias nas tendências de início de sessão de contas desativadas ao longo de um período de análise de sete dias.

let LookBackPeriod= 7d;
let disableAccountLogon=SignIn
| where ResultType == "50057"
| where ResultDescription has "account is disabled";
disableAccountLogon
| make-series Trend=count() default=0 on TimeGenerated 
in range(startofday(ago(LookBackPeriod)), now(), 1d)
| extend (RSquare,Slope,Variance,RVariance,Interception,
LineFit)=series_fit_line(Trend)
| extend (anomalies,score) = 
series_decompose_anomalies(Trend)

Compare comandos Splunk eval comuns com equivalentes KQL

Esta tabela mapeia funções SPL eval comuns para os seus equivalentes KQL no Microsoft Sentinel.

case(X,"Y",…) Exemplo de SPL

Este exemplo de SPL devolve uma cadeia de mensagens diferente baseada no código de erro HTTP.

case(error == 404, "Not found",
error == 500,"Internal Server Error",
error == 200, "OK")

case(X,"Y",…) Exemplo de KQL

Este exemplo do KQL serve case() para atribuir uma mensagem com base no valor do código de erro.

T
| extend Message = case(error == 404, "Not found", 
error == 500,"Internal Server Error", "OK") 

if(X,Y,Z) Exemplo de KQL

Este exemplo do KQL serve iif() para indicar se um carimbo temporal corresponde ao dia atual.

iif(floor(Timestamp, 1d)==floor(now(), 1d), 
"today", "anotherday")

isint(X) Exemplo de KQL

Este exemplo de KQL verifica se X tem um tipo compatível com inteiros usando gettype e iif.

iif(gettype(X) =="long","TRUE","FALSE")

isstr(X) Exemplo de KQL

Este exemplo de KQL verifica se X é um valor de cadeia usando gettype e iif.

iif(gettype(X) =="string","TRUE","FALSE")

like(X,"y") exemplo

Estes exemplos de KQL mostram vários operadores de correspondência de strings que pode usar para replicar o correspondimento de padrões SPL like .

… | where field has "addr"

… | where field contains "addr"

… | where field startswith "addr"

… | where field matches regex "^addr.*"

min(X,…) Exemplo de KQL

Estes exemplos de KQL mostram diferentes formas de calcular valores mínimos usando min_of, min, e arg_min.

min_of (expr_1, expr_2 ...)

…|summarize min(expr)

…| summarize arg_min(Price,*) by Product

mvfilter(X) Exemplo de KQL

Este exemplo de KQL serve mv-apply para filtrar e reduzir conteúdo multivalorado, semelhante à função SPL mvfilter .

T | mv-apply Metric to typeof(real) on 
(
 top 2 by Metric desc
)

mvjoin(X,Y) Exemplo de KQL

Este exemplo de KQL serve strcat_array para unir elementos de array numa única string com um separador personalizado.

strcat_array(dynamic([1, 2, 3]), "->")

relative time(X,Y) Exemplo de KQL

Este exemplo de KQL converte um valor de data-hora para tempo de época Unix para cálculos em tempo relativo.

let toUnixTime = (dt:datetime)
{
(dt - datetime(1970-01-01))/1s 
};

replace(X,Y,Z) Exemplo de KQL

Este exemplo de KQL usa replace() , com um padrão regex, para trocar as partes do mês e do dia de uma sequência de datas.

replace( @'^(\d{1,2})/(\d{1,2})/', @'\2/\1/',date)

strptime(X,Y) Exemplo de KQL

Este exemplo de KQL serve format_datetime apenas para mostrar as horas e minutos a partir de um valor de data-hora.

format_datetime(datetime('2017-08-16 11:25:10'),
'HH:mm')

time() Exemplo de KQL

Este exemplo de KQL formata um valor de data-hora como uma cadeia de tempo que mostra horas, minutos e segundos.

format_datetime(datetime(2015-12-14 02:03:04),
'h:m:s')

tostring(X,Y) Descrição

A função SPL tostring(X,Y) converte valores em strings e suporta várias opções de formatação. Devolve um valor de campo de X como uma cadeia.

• Se o valor de X for um número, X será reformatado para um valor de cadeia.
• Se X for um valor booleano, X é reformatado para TRUE ou FALSE.
• Se X for um número, o segundo argumento Y é opcional e pode ser hex (convertido X num hexadecimal), commas (formatos com vírgulas X e duas casas decimais) ou duration (converte X de um formato de tempo em segundos para um formato de tempo legível: HH:MM:SS).

tostring(X,Y) Exemplo de SPL

Este tostring exemplo de SPL devolve:

foo=615 and foo2=00:10:15:

… | eval foo=615 | eval foo2 = tostring(
foo, "duration")

urldecode(X) Exemplo de SPL

Este exemplo SPL decodifica uma cadeia codificada por URL de volta à sua forma original.

urldecode("http%3A%2F%2Fwww.splunk.com%2Fdownload%3Fr%3Dheader")

Compare comandos Splunk stats comuns com equivalentes KQL

Esta tabela mapeia funções comuns de agregação SPL stats para os seus equivalentes KQL no Microsoft Sentinel.

Passos seguintes

Aprendeste a identificar, comparar e mapear regras de deteção de Splunk para as regras de análise do Microsoft Sentinel. Continue a migrar a sua automação SOAR.