Granska Microsoft Sentinel frågor och aktiviteter

Den här artikeln beskriver hur du kan visa granskningsdata för frågor som körs och aktiviteter som utförs på din Microsoft Sentinel arbetsyta, till exempel för interna och externa efterlevnadskrav på din SOC-arbetsyta (Security Operations).

Microsoft Sentinel ger åtkomst till:

• Tabellen AzureActivity, som innehåller information om alla åtgärder som vidtas i Microsoft Sentinel, till exempel redigering av aviseringsregler. AzureActivity-tabellen loggar inte specifika frågedata. Mer information finns i Granskning med Azure-aktivitetsloggar.

• LaQueryLogs-tabellen, som innehåller information om de frågor som körs i Log Analytics, inklusive frågor som körs från Microsoft Sentinel. Mer information finns i Granskning med LAQueryLogs.

Förhandskrav

• Innan du kan köra exempelfrågorna i den här artikeln måste du ha relevanta data på din Microsoft Sentinel arbetsyta för att fråga efter och få åtkomst till Microsoft Sentinel.

  Mer information finns i Konfigurera Microsoft Sentinel innehåll och roller och behörigheter i Microsoft Sentinel.

Granskning med Azure aktivitetsloggar

Microsoft Sentinels granskningsloggar lagras i Azure Activity Logs, där AzureActivity-tabellen innehåller alla åtgärder som utförs i din Microsoft Sentinel-arbetsyta.

Använd AzureActivity-tabellen vid granskning av aktivitet i SOC-miljön med Microsoft Sentinel.

Så här frågar du AzureActivity-tabellen:

1. Installera Azure activity-lösningen för Sentinel lösning och anslut dataanslutningsappen Azure Activity för att starta strömmande granskningshändelser till en ny tabell med namnet AzureActivity.

2. Fråga efter data med hjälp av Kusto-frågespråk (KQL), precis som med andra tabeller:

   • I Azure-portalen kör du en fråga mot den här tabellen på sidan Loggar.
   • I Defender-portalen frågar du efter data i den här tabellen på sidan Undersökning och svar > Jakt >Avancerad jakt.

   Tabellen AzureActivity innehåller data från många tjänster, inklusive Microsoft Sentinel. Använd följande fråga för att filtrera AzureActivity-tabellen så att endast Microsoft Sentinel-operationer visas:

    AzureActivity
   | where OperationNameValue startswith "MICROSOFT.SECURITYINSIGHTS"
   

   Om du till exempel vill ta reda på vem som var den sista användaren som redigerade en viss analysregel använder du följande fråga (ersätt xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx med regel-ID:t för den regel som du vill kontrollera):

   AzureActivity
   | where OperationNameValue startswith "MICROSOFT.SECURITYINSIGHTS/ALERTRULES/WRITE"
   | where Properties contains "alertRules/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   | project Caller , TimeGenerated , Properties
   

Lägg till fler parametrar i frågan för att utforska tabellen AzureActivities ytterligare, beroende på vad du behöver rapportera. Följande avsnitt innehåller andra exempelfrågor som ska användas vid granskning med AzureActivity-tabelldata .

Mer information finns i Microsoft Sentinel data som ingår i Azure aktivitetsloggar.

Hitta alla åtgärder som vidtagits av en viss användare under de senaste 24 timmarna

Följande AzureActivity-tabellfråga visar alla åtgärder som vidtagits av en viss Microsoft Entra användare under de senaste 24 timmarna.

AzureActivity
| where OperationNameValue contains "SecurityInsights"
| where Caller == "[AzureAD username]"
| where TimeGenerated > ago(1d)

Hitta alla borttagningsåtgärder

För att identifiera Microsoft Sentinel-resurser som raderats, kör följande fråga för att filtrera Azure Activity-loggar för lyckade raderingsoperationer i din arbetsyta.

AzureActivity
| where OperationNameValue contains "SecurityInsights"
| where OperationName contains "Delete"
| where ActivityStatusValue contains "Succeeded"
| project TimeGenerated, Caller, OperationName

Microsoft Sentinel data som ingår i Azure aktivitetsloggar

Microsoft Sentinels granskningsloggar sparas i Azure Activity Logs och innehåller följande typer av information:

Du kan också använda Azure aktivitetsloggar för att söka efter användarauktoriseringar och licenser. I följande tabell visas till exempel valda åtgärder som finns i Azure aktivitetsloggar med den specifika resurs som loggdata hämtas från.

Mer information finns i händelseschemat Azure aktivitetslogg.

Granskning med LAQueryLogs

LaQueryLogs-tabellen innehåller information om loggfrågor som körs i Log Analytics. Eftersom Log Analytics används som Microsoft Sentinel underliggande datalager kan du konfigurera systemet för att samla in LAQueryLogs-data på din Microsoft Sentinel arbetsyta.

LAQueryLogs-data innehåller information som:

• När frågor kördes
• Vem körde frågor i Log Analytics
• Vilket verktyg som användes för att köra frågor i Log Analytics, till exempel Microsoft Sentinel
• Själva frågetexterna
• Prestandadata vid varje frågekörning

Så här kör du en fråga mot tabellen LAQueryLogs:

1. LaQueryLogs-tabellen är inte aktiverad som standard på Log Analytics-arbetsytan. Om du vill använda LAQueryLogs-data vid granskning i Microsoft Sentinel aktiverar du först LAQueryLogs i Log Analytics-arbetsytans område Diagnostikinställningar.

   Mer information finns i Granskningsfrågor i Azure Monitor-loggar.

2. Kör sedan frågor mot data med hjälp av KQL, precis som med andra tabeller.

   Följande fråga visar till exempel hur många frågor som kördes under den senaste veckan, per dag:

   LAQueryLogs
   | where TimeGenerated > ago(7d)
   | summarize events_count=count() by bin(TimeGenerated, 1d)
   

I följande avsnitt visas fler exempelfrågor som ska köras i tabellen LAQueryLogs när du granskar aktiviteter i SOC-miljön med hjälp av Microsoft Sentinel.

Antalet frågor som körs där svaret inte var "OK"

Använd följande fråga för att räkna Log Analytics-frågor som returnerade en icke-framgångsrik svarskod. Denna räkning inkluderar frågor som inte kördes eller returnerade något annat än ett HTTP 200 OK-svar .

LAQueryLogs
| where ResponseCode != 200 
| count 

Visa användare för CPU-intensiva frågor

För att hitta de användare eller klienter som kör de mest resurskrävande frågorna, använd följande fråga för att visa den högsta CPU-tidssökningen per Microsoft Entra-klient-ID, sorterad efter CPU-tid som förbrukats.

LAQueryLogs
|summarize arg_max(StatsCPUTimeMs, *) by AADClientId
| extend User = AADEmail, QueryRunTime = StatsCPUTimeMs
| project User, QueryRunTime, QueryText
| sort by QueryRunTime desc

Visa användare som har kört flest frågor den senaste veckan

Använd följande fråga för att sammanfatta hur många frågor varje användare kört under de senaste sju dagarna, vilket hjälper till att identifiera de mest aktiva användarna i din arbetsyta för granskning eller användningsanalys.

LAQueryLogs
| where TimeGenerated > ago(7d)
| summarize events_count=count() by AADEmail
| extend UserPrincipalName = AADEmail, Queries = events_count
| join kind= leftouter (
    SigninLogs)
    on UserPrincipalName
| project UserDisplayName, UserPrincipalName, Queries
| summarize arg_max(Queries, *) by UserPrincipalName
| sort by Queries desc

Konfigurera aviseringar för Microsoft Sentinel aktiviteter

Du kanske vill använda Microsoft Sentinel granskningsresurser för att skapa proaktiva aviseringar.

Till exempel, om du har känsliga tabeller i din Microsoft Sentinel-arbetsyta kan du upptäcka när dessa tabeller åtkoms. Följande fråga granskar åtkomsten till en specifik känslig tabell genom att lista frågor som refererat till den under de senaste 24 timmarna. Ersätt [Name of sensitive table] med namnet på tabellen du vill övervaka:

LAQueryLogs
| where QueryText contains "[Name of sensitive table]"
| where TimeGenerated > ago(1d)
| extend User = AADEmail, Query = QueryText
| project User, Query

Övervaka Microsoft Sentinel med arbetsböcker, regler och spelböcker

Använd Microsoft Sentinel egna funktioner för att övervaka händelser och åtgärder som inträffar inom Microsoft Sentinel.

• Övervaka med arbetsböcker. Flera inbyggda Microsoft Sentinel arbetsböcker kan hjälpa dig att övervaka arbetsyteaktivitet, inklusive information om de användare som arbetar på din arbetsyta, de analysregler som används, de MITRE-taktiker som omfattas mest, fördröjda eller stoppade inmatningar och SOC-teamets prestanda.

  Mer information finns i Visualisera och övervaka dina data med hjälp av arbetsböcker i Microsoft Sentinel och vanliga Microsoft Sentinel arbetsböcker

• Var uppmärksam på fördröjning vid inläsning. Om du är orolig för fördröjning i datainhämtningen, anger du en variabel i en analysregel som representerar fördröjningen.

  Följande analysregel kan till exempel hjälpa dig att se till att resultaten inte innehåller dubbletter och att loggarna inte missas när du kör reglerna:

  let ingestion_delay= 2min;let rule_look_back = 5min;CommonSecurityLog| where TimeGenerated >= ago(ingestion_delay + rule_look_back)| where ingestion_time() > (rule_look_back)
  - Calculating ingestion delay
    CommonSecurityLog| extend delay = ingestion_time() - TimeGenerated| summarize percentiles(delay,95,99) by DeviceVendor, DeviceProduct
  

  Mer information finns i Automatisera incidenthantering i Microsoft Sentinel med automatiseringsregler.

• Övervaka statusen för dataanslutningar med spelboken Lösningen för pushmeddelanden om anslutningsstatus för att upptäcka avstannat eller stoppat dataintag och skicka meddelanden när en anslutning har slutat samla in data eller maskiner har slutat rapportera.

Se Kusto-dokumentationen för operatorerna och funktionerna som används i KQL-exemplen i denna artikel:

• let-instruktion
• where-operator
• projektoperator
• count-operator
• sorteringsoperator
• extend-operator
• join-operator
• summarize-operator
• ago() funktion
• ingestion_time()-funktionen
• count()-aggregeringsfunktion
• aggregeringsfunktionen arg_max()

Mer information om KQL finns i översikten över Kusto-frågespråk (KQL).

Andra resurser:

• Snabbreferens för KQL
• Lärresurser för Kusto Query Language

Nästa steg

I Microsoft Sentinel använder du arbetsboken Workspace audit för att granska aktiviteterna i din SOC-miljö. Mer information finns i Visualisera och övervaka dina data.