Arbeta med Microsoft Sentinel hotinformation

Påskynda hotidentifiering och åtgärder med effektivare skapande och hantering av hotinformation. Den här artikeln visar hur du får ut det mesta av integreringen av hotinformation i hanteringsgränssnittet, oavsett om du använder den från Microsoft Sentinel i Defender-portalen eller Azure Portal.

• Skapa hotinformationsobjekt med strukturerat uttryck för hotinformation (STIX)
• Hantera hotinformation genom att visa, sammanställa och visualisera

Förhandskrav

• Du behöver behörighet för rollen Microsoft Sentinel Contributor eller en högre roll som har tilldelats ditt användarkonto för att hantera hotinformation.
• Om du vill importera och exportera hotinformation måste du installera hotinformationslösningen i Microsoft Sentinel och aktivera relevanta anslutningsappar, enligt beskrivningen i Använda STIX/TAXII för att importera och exportera hotinformation i Microsoft Sentinel.

Få åtkomst till hanteringsgränssnittet

Få åtkomst till gränssnittet för hantering av hotinformation från antingen Defender-portalen eller Azure-portalen. Även om navigationsvägen skiljer sig mellan portaler, har skapande- och hanteringsuppgifterna samma steg när du når hanteringsgränssnittet.

Skapa hotinformation

Använd hanteringsgränssnittet för att skapa STIX-objekt och utföra andra vanliga hotinformationsuppgifter, till exempel indikatortaggning och upprätta anslutningar mellan objekt.

• Definiera relationer när du skapar nya STIX-objekt.
• Skapa snabbt flera objekt med hjälp av dubblettfunktionen för att kopiera metadata från ett nytt eller befintligt TI-objekt.

Mer information om STIX-objekt som stöds finns i Hotinformation i Microsoft Sentinel.

Skapa ett nytt STIX-objekt

Utför följande steg för att skapa ett nytt STIX-objekt i hanteringsgränssnittet.

1. Välj Lägg till nytt>TI-objekt.

   

2. Välj Objekttyp och fyll sedan i formuläret på sidan Nytt TI-objekt . Obligatoriska fält är markerade med en röd asterisk (*).

3. Överväg att ange ett känslighetsvärde eller TLP-klassificering ( Traffic Light Protocol ) till TI-objektet. För mer information om vad känslighetsvärden och TLP-betyg representerar, se Curate threat intelligence.

4. Om du vet hur det här objektet relaterar till ett annat hotinformationsobjekt anger du anslutningen med relationstypen och målreferensen.

5. Välj Lägg till för ett enskilt objekt eller Lägg till och duplicera om du vill skapa fler objekt med samma metadata. När du väljer Lägg till och duplicera kopieras det gemensamma metadataavsnittet för varje STIX-objekt till det nya objektet.

Hantera hotunderrättelser

Optimera TI från dina källor med regler för inhämtning. Sammanställ befintlig TI med relationsverktyget. Använd hanteringsgränssnittet för att söka, filtrera och sortera och lägg sedan till taggar i din hotinformation.

Optimera flöden för hotinformation med regler för inhämtning

Minska bruset från dina TI-flöden, utöka giltigheten för indikatorer med högt värde och lägg till meningsfulla taggar i inkommande objekt. Dessa uppgifter är bara några av användningsfallen för insamlingsregler. Här följer stegen för att utöka datumet för Valid until indikatorer med högt värde.

1. Välj Inmatningsregler för att öppna en helt ny sida för att visa befintliga regler och skapa ny regellogik.

   

2. Ange ett beskrivande namn för regeln. Sidan för inmatningsregler har gott om regler för namnet, men det är den enda textbeskrivning som är tillgänglig för att särskilja dina regler utan att redigera dem.

3. Välj Objekttyp. Exemplet med att förlänga indikatorns giltighet baseras på Valid from egenskapen, som endast är tillgänglig för Indicator objekttyper.

4. Lägg till villkor för SourceEquals och välj ditt höga värde Source.

5. Lägg till villkor för ConfidenceGreater than or equal och ange en Confidence poäng.

6. Välj Åtgärden. Eftersom regeln ska ändra matchningsindikatorer, välj Edit.

7. Välj åtgärden Lägg till för Valid untiloch Extend byvälj ett tidsintervall i dagar.

8. Överväg att lägga till en tagg för att ange det höga värdet för dessa indikatorer, till exempel Extended. Objektets Modified datumfält uppdateras inte av inmatningsregler.

9. Välj den ordningsföljd som du vill att regeln ska köras i. Regler tillämpas från lägsta till högsta ordningsnummer. Varje regel utvärderar varje objekt som matas in.

10. Om regeln är redo att aktiveras växlar du Status till på.

11. Välj Lägg till för att skapa inmatningsregeln.

Mer information finns i Inmatningsregler för hotinformation.

Sammanställ hotunderrättelser med hjälp av relationsverktyget

Koppla samman hotinformationsobjekt med verktyget för relationer. Det finns högst 20 relationer i byggaren samtidigt, men fler anslutningar kan skapas via flera iterationer och genom att lägga till relationsmålreferenser för nya objekt.

1. Välj Lägg till ny>TI-relation.

2. Börja med ett befintligt TI-objekt, till exempel en hotaktör eller ett attackmönster, där det enskilda objektet är kopplat till ett eller flera befintliga objekt, till exempel indikatorer.

3. Lägg till relationstypen enligt de metodtips som beskrivs i följande tabell och i referensrelationssammanfattningstabellen för STIX 2.1:

   Relationstyp	Beskrivning
   Dubblett av Härledd från Relaterat till	Vanliga relationer som definierats för alla STIX-domänobjekt (SDO) Mer information finns i STIX 2.1-referens om vanliga relationer
   Mål	Attack pattern eller Threat actor Mål Identity
   Användningsområden	Threat actor Använder Attack pattern
   Tillskrivs	Threat actor Tillskrivs Identity
   Indikerar	Indicator Indikerar Attack pattern eller Threat actor
   Utger sig för att vara	Threat actor Imiterar Identity

4. Som exempel på en relationsbyggarkonfiguration kan du koppla en hotaktör till ett attackmönster, indikator och identitet i Defender-portalen.

   

5. Slutför relationen genom att konfigurera Vanliga egenskaper.

Visa din hotinformation i hanteringsgränssnittet

Använd hanteringsgränssnittet för att sortera, filtrera och söka efter din hotinformation från den källa de matades in från utan att skriva en Log Analytics-fråga.

1. Från hanteringsgränssnittet expanderar du menyn Vad vill du söka efter?

2. Välj en STIX-objekttyp eller lämna standardobjekttyperna Alla.

3. Välj villkor med logiska operatorer.

4. Välj det objekt som du vill visa mer information om.

Du kan till exempel söka efter flera källor genom att placera dem i en OR grupp, samtidigt som du grupperar flera villkor med operatorn AND .

Microsoft Sentinel visar endast den senaste versionen av din hotinformation i hanteringsgränssnittet. Mer information om hur objekt uppdateras finns i Livscykel för hotinformation.

IP- och domännamnsindikatorer berikas med extra GeoLocation och WhoIs data så att du kan ge mer kontext för eventuella undersökningar där indikatorn hittas.

Här är ett exempel på en indikator berikad med GeoLocation och WhoIs data.

Tagga och redigera hotinformation

Taggning av hotinformation är ett snabbt sätt att gruppera objekt så att de blir lättare att hitta. Vanligtvis kan du använda taggar som är relaterade till en viss incident. Men om ett objekt representerar hot från en viss känd aktör eller välkänd attackkampanj bör du överväga att skapa en relation i stället för en tagg.

1. Använd hanteringsgränssnittet för att sortera, filtrera och söka efter din hotinformation.
2. När du har hittat de objekt som du vill arbeta med väljer du ett eller flera objekt av samma typ.
3. Välj Lägg till taggar och tagga alla samtidigt med en eller flera taggar.
4. Eftersom taggning är i fritt format rekommenderar vi att du skapar vanliga namngivningskonventioner för taggar i din organisation.

Redigera hotinformation ett objekt i taget, oavsett om det skapas direkt i Microsoft Sentinel eller från partnerkällor, till exempel TIP- och TAXII-servrar. För hotinformation som skapats i hanteringsgränssnittet kan alla fält redigeras. För hotinformation som matas in från partnerkällor är endast specifika fält redigerbara, inklusive taggar, förfallodatum, Konfidens och Återkallad. Oavsett om hotinformationen skapades i Microsoft Sentinel eller hämtades från en partnerkälla, visas endast den senaste versionen av objektet i hanteringsgränssnittet.

Mer information om hur hotinformation uppdateras finns i Visa din hotinformation.

Hitta och visa hotinformation med frågor

Visa din hotinformation med frågor, oavsett vilken källfeed eller metod du använde för att mata in dem.

Hotindikatorer lagras i tabellen Microsoft Sentinel ThreatIntelIndicators. Tabellen ThreatIntelIndicators utgör grunden för hotintelligenssökningar som utförs av andra funktioner i Microsoft Sentinel, såsom Analytics, Hunting och Workbooks.

Mer information finns i Visa hotinformation.

Visualisera din hotinformation med arbetsböcker

Använd en specialbyggd Microsoft Sentinel arbetsbok för att visualisera viktig information om din hotinformation i Microsoft Sentinel och anpassa arbetsboken efter dina affärsbehov.

Utför följande steg för att hitta arbetsboken för hotinformation i Microsoft Sentinel och anpassa den.

1. Från Azure Portal går du till Microsoft Sentinel.

2. Välj den arbetsyta dit du importerade hotindikatorer med någon av de två dataanslutningarna för underrättelsedata om hot.

3. Under avsnittet Hothantering på menyn Microsoft Sentinel väljer du Arbetsböcker.

4. Leta upp arbetsboken Hotinformation. Kontrollera att du har data i tabellen ThreatIntelIndicators .

   

5. Välj Spara och välj en Azure plats där arbetsboken ska lagras. Att spara arbetsboken krävs om du tänker ändra arbetsboken på något sätt och spara dina ändringar.

6. Välj nu Visa sparad arbetsbok för att öppna arbetsboken för visning och redigering.

7. Nu bör du se standarddiagrammen som tillhandahålls av mallen. Om du vill ändra ett diagram väljer du Redigera överst på sidan för att starta redigeringsläget för arbetsboken.

8. Lägg till ett nytt diagram över hotindikatorer efter hottyp. Rulla längst ned på sidan och välj Lägg till fråga.

9. Lägg till följande text i textrutan Log Query för Log Analytics-arbetsytan:

   ThreatIntelligenceIndicator
   | summarize count() by ThreatType
   

   Mer information om operatorn summarize och count() aggregeringsfunktionen som används i den här frågan finns i Kusto-dokumentationen:

   • summarize-operator
   • count()-aggregeringsfunktion

10. På den nedrullningsbara menyn Visualisering väljer du Stapeldiagram.

11. Välj Redigerat klart och visa det nya diagrammet för arbetsboken.

    

Arbetsböcker ger kraftfulla interaktiva instrumentpaneler som ger dig insikter om alla aspekter av Microsoft Sentinel. Du kan utföra många uppgifter med arbetsböcker och de angivna mallarna är en bra utgångspunkt. Anpassa mallarna eller skapa nya instrumentpaneler genom att kombinera många datakällor så att du kan visualisera dina data på unika sätt.

Microsoft Sentinel-arbetsböcker baseras på Azure Monitor-arbetsböcker, vilket innebär att det finns omfattande dokumentation och många fler mallar tillgängliga. Mer information finns i Skapa interaktiva rapporter med Azure Övervaka arbetsböcker.

Det finns också en omfattande resurs för Azure Övervaka arbetsböcker på GitHub, där du kan ladda ned fler mallar och bidra med egna mallar.

Exportera hotinformation

Microsoft Sentinel låter dig exportera hotinformation till andra destinationer. Om du till exempel har matat in hotinformation med hjälp av dataanslutningsappen Hotinformation – TAXII kan du exportera hotinformation tillbaka till källplattformen för delning av dubbelriktad intelligens. Microsoft Sentinel hotintelligensexportfunktion minskar behovet av manuella processer eller anpassade playbooks för att distribuera hotintelligens.

Så här exporterar du hotinformation:

1. För Microsoft Sentinel i Defender-portalen väljer du Hotinformation > Intel-hantering. För Microsoft Sentinel i Azure Portal väljer du Hothantering > Hotinformation.

2. Markera ett eller flera STIX-objekt och välj sedan Exportera i verktygsfältet överst på sidan. Till exempel:

   • Defender-portalen
   • Azure Portal

   

3. I fönstret Exportera går du till listrutan Exportera TI och väljer den server som du vill exportera hotinformationen till.

   Om det inte finns någon server listad behöver du först konfigurera en TAXII 2.1-server för export, som beskrivs i Aktivera Threat Intelligence - TAXII Export data connector. Microsoft Sentinel stöder för närvarande endast export till TAXII 2.1-baserade plattformar.

4. Välj Exportera.

   Viktigt

   När du exporterar hotinformationsobjekt utför systemet en massåtgärd. Det finns ett känt problem där den här massåtgärden ibland misslyckas. Om bulkexportoperationen misslyckas kommer du att se en varning när du öppnar exportsidan, som ber dig ta bort den misslyckade åtgärden från bulkoperationernas historikvy. Microsoft Sentinel pausar efterföljande exportoperationer tills du tar bort den misslyckade operationen.

Så här kommer du åt exporthistoriken:

1. Gå till det exporterade objektet på sidan Intel-hantering (Defender-portalen) eller Hotinformation (Azure Portal).
2. I kolumnen Exporter väljer du Visa exporthistorik för att visa exporthistoriken för objektet.

Relaterat innehåll

Mer information finns i följande artiklar:

• Hotinformation i Microsoft Sentinel
• Anslut Microsoft Sentinel till STIX/TAXII-hotinformationsflöden.
• Se vilka TIP:er, TAXII-flöden och berikningar som enkelt kan integreras med Microsoft Sentinel.

Mer information om KQL finns i översikten över Kusto-frågespråk (KQL).

Andra resurser:

• Snabbreferens för KQL
• Lärresurser för Kusto Query Language