Bestäm vilka komponenter som ska ingå i din lösning

I den här artikeln beskrivs de olika komponenterna i en Microsoft Sentinel SIEM-lösning och hur de kan arbeta tillsammans för att hantera viktiga kundscenarier.

Microsoft Sentinel innehåller mer än 400 anslutningsappar och andra funktioner som hjälper kunder att centralisera och analysera säkerhetsdata på ett kostnadseffektivt sätt. Tillsammans med SIEM-funktioner gör dessa funktioner det möjligt för kunder och partner att skapa effektfulla lösningar som kan publiceras via Microsoft Security Store.

Sentinel SIEM används av SOC-team (Security Operations) för att generera identifieringar, undersöka skadligt beteende och åtgärda hot. Genom att skapa Sentinel-anslutningsappar för att hämta nya data, och genom att skapa innehåll som analysregler, spelböcker, jaktfrågor, parsare och arbetsböcker, kan partner hjälpa SOC-team att få den information de behöver för att identifiera hot och svara på lämpligt sätt. Sentinel SIEM-lösningar publiceras via Sentinels innehållshubb.

Datainsamling

När du skapar en Sentinel SIEM-integrering är det viktigt att ha rätt data för ditt scenario.

Sentinel-anslutningsappar tar in data till Sentinel, som sedan kan analyseras med hjälp av Sentinel SIEM-innehåll, till exempel analysregler och jaktfrågor. När datan har förts in kan den också speglas till datasjön för ytterligare analys med hjälp av Jupyter-notebookar och Security Copilot-agenter.

Dessa data kan innehålla följande typer:

Type	Description
Ej bearbetade data	Stöder identifieringar och jaktprocesser. Analysera rådata där tecken på skadlig aktivitet kan finnas. Ta med obearbetade data till Microsoft Sentinel för att använda Microsoft Sentinels inbyggda jakt- och identifieringsfunktioner för att identifiera nya hot med mera. Exempel: Syslog-data, CEF-data över Syslog, program, brandvägg, autentisering eller åtkomstloggar med mera.
Säkerhetsslutsatser	Skapar aviseringssynlighet och möjlighet till korrelation. Aviseringar och identifieringar är slutsatser som redan har gjorts om hot. Att sätta identifieringar i kontext med alla aktiviteter och andra identifieringar som visas i Microsoft Sentinel-undersökningar, sparar tid för analytiker och skapar en mer fullständig bild av en incident, vilket resulterar i bättre prioritering och bättre beslut. Exempel: aviseringar mot skadlig kod, misstänkta processer, kommunikation med kända dåliga värdar, nätverkstrafik som blockerades och varför, misstänkta inloggningar, identifierade lösenordssprayattacker, identifierade nätfiskeattacker, dataexfiltreringshändelser med mera.
Referensdata	Skapar kontext med refererade miljöer, sparar undersökningsarbete och ökar effektiviteten. Exempel: CMDB:er, tillgångsdatabaser med högt värde, beroendedatabaser för program, IP-tilldelningsloggar, hotinformationssamlingar för berikning med mera.
Hotinformation	Underlättar hotidentifiering genom att bidra med indikatorer för kända hot. Hotinformation kan innehålla aktuella indikatorer som representerar omedelbara hot eller historiska indikatorer som bevaras för framtida förebyggande åtgärder. Historiska datauppsättningar är ofta mycket stora och det är bäst att de refereras till ad hoc och direkt på plats, snarare än att importeras direkt till Microsoft Sentinel.

Parser

Parsare är KQL-funktioner som omvandlar anpassade data från produkter från tredje part till ett normaliserat ASIM-schema. Normalisering säkerställer att SOC-analytiker inte behöver lära sig mer om nya scheman och i stället skapa analysregler och jaktfrågor på det normaliserade schema som de redan är bekanta med. Granska tillgängliga ASIM-scheman som tillhandahålls av Microsoft Sentinel för att identifiera relevanta ASIM-scheman (ett eller flera) för dina data för att säkerställa enklare registrering för SOC-analytiker och för att säkerställa att det befintliga säkerhetsinnehållet som skrivits för ASIM-schemat är tillämpligt för dina produktdata. Mer information om tillgängliga ASIM-scheman finns i ASIM-scheman (Advanced Security Information Model). Om anslutningsappen använder en datainsamlingsregel (DCR) kan du också normalisera data vid inmatningstid i stället för vid frågetillfället. Mer information finns i Transformera eller anpassa data vid inmatningstid i Microsoft Sentinel (förhandsversion).

Visualization

Du kan inkludera visualiseringar som hjälper kunder att hantera och förstå dina data genom att inkludera grafiska vyer över hur väl data flödar in i Microsoft Sentinel och hur effektivt de bidrar till identifieringar.

Övervakning och identifiering

Sentinels övervaknings- och identifieringsfunktioner skapar automatiserade identifieringar som hjälper kunderna att skala sitt SOC-teams expertis.

I följande avsnitt beskrivs övervaknings- och identifieringselement som du kan inkludera i din lösning.

Security-Copilot-agenter

Security Copilot-agenter automatiserar repetitiva uppgifter och minskar manuella arbetsbelastningar. De förbättrar säkerheten och IT-driften i molnet, datasäkerhet och sekretess, identitet och nätverkssäkerhet. För Sentinel kan agenter köra frågor mot SIEM eller datasjön och anropa API:er för att utöka Microsoft Sentinel-data. De kan använda notebook-jobb för intensiv databearbetning eller analys och använda valfritt antal plugin-program.

Analysregler

Analysregler är avancerade identifieringar som kan skapa korrekta och meningsfulla aviseringar.

Lägg till analysregler i din lösning för att hjälpa dina kunder att dra nytta av data från systemet i Microsoft Sentinel. Till exempel kan analysregler hjälpa till att ge expertis och insikter om de aktiviteter som kan identifieras i de data som din integrering levererar.

De kan skicka aviseringar (anmärkningsvärda händelser), incidenter (undersökningar) eller utlösa automatiseringsåtgärdsplaner.

Du kan lägga till analysregler genom att inkludera dem i en lösning och via Microsoft Sentinel ThreatHunters-communityn. Bidra via communityn för att uppmuntra communityns kreativitet framför partnerbaserade data, vilket hjälper kunder med mer tillförlitliga och effektiva identifieringar.

Jaktfrågor

Med jaktfrågor kan SOC-analytiker proaktivt söka efter nya avvikelser som inte identifieras av de för närvarande schemalagda analysreglerna. Jaktfrågor vägleder SOC-analytiker till att ställa rätt frågor för att hitta problem från data som redan är tillgängliga i Microsoft Sentinel och hjälper dem att identifiera potentiella hotscenarier. Genom att inkludera jaktfrågor kan du hjälpa kunder att hitta okända hot i de data du anger.

Arbetsböcker

Arbetsböcker tillhandahåller interaktiva rapporter och instrumentpaneler som hjälper användare att visualisera säkerhetsdata och identifiera mönster. Behovet av arbetsböcker beror på det specifika användningsfallet. När du utformar din lösning bör du tänka på scenarier som bäst förklaras visuellt. Arbetsböcker passar till exempel bra för att sammanfatta autentiseringsfel och misstänkta inloggningsmönster i dina data, visualisera geografiska fördelningar av hotaktivitet, mappa identifierade händelser till MITRE ATT&CK-taktiker och -tekniker, visa trender i blockerad eller flaggad aktivitet över tid eller ge en snabb överblick över de främsta hoten och avvikelserna som visas från anslutningsappens data.

Undersökning

Sentinel-undersökningsdiagrammet ger utredare relevanta data när de behöver dem, vilket ger insyn om säkerhetsincidenter och aviseringar via anslutna entiteter. Utredare kan använda undersökningsdiagrammet för att hitta relevanta eller relaterade, bidragande händelser till hotet som är under utredning.

Partner kan bidra till undersökningsdiagrammet genom att tillhandahålla:

Microsoft Sentinel-aviseringar och incidenter som skapats via analysregler i partnerlösningar.
Anpassade utforskningsfrågor för partnerbaserade data. Anpassade utforskningsfrågor ger omfattande utforskning och anslutning mellan data och insikter för säkerhetsutredare.

Svar

Arbetsböcker stöder arbetsflöden med omfattande automatisering och utför säkerhetsrelaterade uppgifter i kundmiljöer. De är avgörande för att säkerställa att SOC-analytiker inte överbelastas av taktiska uppgifter och kan fokusera på de mer strategiska och djupare grundorsakerna till sårbarheter. Om till exempel en avisering med hög allvarlighetsgrad identifieras kan en spelbok automatiskt initiera en serie åtgärder, till exempel att meddela säkerhetsteamet, isolera berörda system och samla in relevanta loggar för ytterligare analys.

Spelböcker kan hjälpa dig på något av följande sätt:

Blockera ett användarkonto eller en IP-adress i en partnerprodukt som svar på en Sentinel-incident.
Utöka en incident med användar-, enhets- eller hotkontext som hämtats från ett externt API.
Skapa eller uppdatera en biljett i ett ITSM-system, till exempel ServiceNow eller Jira när en Sentinel-incident öppnas eller eskaleras.
Stänga eller uppdatera en incident på en partnerplattform när motsvarande Sentinel-incident har lösts.
Skicka incidentinformation och en direkt undersökningslänk till en Teams- eller Slack-kanal för omedelbar analytikermedvetenhet.

När du utformar din lösning bör du tänka på de automatiserade åtgärder som kan vidtas för att lösa incidenter som skapats av de analysregler som definierats i din lösning.

Exempel på Sentinel SIEM-scenario

I följande avsnitt beskrivs vanliga partnerscenarier och rekommendationer för vad som ska ingå i en lösning för varje scenario.

Din produkt genererar data som är viktiga för säkerhetsundersökningar

Scenario: Din produkt genererar data som kan informera säkerhetsundersökningar.

Exempel: Produkter som tillhandahåller någon form av loggdata är brandväggar, molnprogramsäkerhetskoordinatorer, fysiska åtkomstsystem, Syslog-utdata, kommersiellt tillgängliga och företagsbyggda LOB-program, servrar, nätverksmetadata, allt som kan levereras via Syslog i Syslog- eller CEF-format eller via REST API i JSON-format.

Så här använder du dina data i Microsoft Sentinel: Importera produktens data till Microsoft Sentinel via en dataanslutning för att tillhandahålla analys, jakt, undersökningar, visualiseringar med mera.