Metodtips för Microsoft Sentinel

Vägledning för bästa praxis finns i den tekniska dokumentationen för Microsoft Sentinel. Den här artikeln beskriver några viktiga riktlinjer som du kan använda när du distribuerar, hanterar och använder Microsoft Sentinel.

Viktigt

Efter den 31 mars 2027 kommer Microsoft Sentinel inte längre att stödjas i Azure Portal och kommer endast att vara tillgängligt i Microsoft Defender-portalen. Alla kunder som använder Microsoft Sentinel i Azure Portal omdirigeras till Defender-portalen och använder endast Microsoft Sentinel i Defender-portalen.

Om du fortfarande använder Microsoft Sentinel i Azure Portal rekommenderar vi att du börjar planera övergången till Defender-portalen för att säkerställa en smidig övergång och dra full nytta av den enhetliga säkerhetsåtgärdsupplevelse som erbjuds av Microsoft Defender.

Information om hur du kommer igång med Microsoft Sentinel finns i distributionsguiden som beskriver de övergripande stegen för att planera, distribuera och finjustera din Microsoft Sentinel distribution. I den guiden väljer du de angivna länkarna för att hitta detaljerad vägledning för varje steg i distributionen.

Implementera en arkitektur med en plattform

Microsoft Sentinel är integrerad med en modern datasjö som erbjuder prisvärd, långsiktig lagring som gör det möjligt för team att förenkla datahantering, optimera kostnader och påskynda införandet av AI. Microsoft Sentinel-datasjön möjliggör en enhetlig plattformsarkitektur för säkerhetsdata och ger analytiker en enhetlig frågeupplevelse genom att utnyttja Microsoft Sentinels omfattande ekosystem av anslutningsprogram. Mer information finns i Microsoft Sentinel-data lake.

Registrera Microsoft Sentinel till Microsoft Defender-portalen och integrera med Microsoft Defender XDR

Överväg att registrera Microsoft Sentinel till Microsoft Defender-portalen för att förena funktioner med Microsoft Defender XDR som incidenthantering och avancerad jakt.

Observera att om du inte registrerar Microsoft Sentinel till Microsoft Defender-portalen:

  • I juli 2026 omdirigeras alla Microsoft Sentinel kunder som använder Azure Portal till Defender-portalen.
  • Fram till dess kan du använda Defender XDR-dataanslutningen för att integrera Microsoft Defender tjänstdata med Microsoft Sentinel i Azure Portal.

Följande bild visar hur Microsofts XDR-lösning sömlöst integreras med Microsoft Sentinel.

Diagram över en Microsoft Sentinel- och Microsoft Defender XDR-arkitektur i Microsoft Defender-portalen.

Mer information finns i följande artiklar:

Integrera Microsofts säkerhetstjänster

Microsoft Sentinel får stöd av de komponenter som skickar data till din arbetsyta och blir ännu kraftfullare genom integrationer med andra Microsoft-tjänster. Alla loggar som matas in i produkter, till exempel Microsoft Defender for Cloud Apps, Microsoft Defender för Endpoint och Microsoft Defender for Identity, gör det möjligt för dessa tjänster att skapa identifieringar och i sin tur tillhandahålla dessa identifieringar till Microsoft Sentinel. Loggar kan också matas in direkt i Microsoft Sentinel för att ge en mer fullständig bild av händelser och incidenter.

Mer än att mata in aviseringar och loggar från andra källor ger Microsoft Sentinel också:

Kapacitet Beskrivning
Upptäckt av hot Hotidentifieringsfunktioner med artificiell intelligens, så att du kan skapa och presentera interaktiva visuella objekt via arbetsböcker, köra spelböcker för att automatiskt agera på aviseringar, integrera maskininlärningsmodeller för att förbättra dina säkerhetsåtgärder samt mata in och hämta berikningsflöden från hotinformationsplattformar.
Hotundersökning Med funktioner för hotundersökning kan du visualisera och utforska aviseringar och entiteter, identifiera avvikelser i användar- och entitetsbeteende och övervaka realtidshändelser under en undersökning.
Datainsamling Samla in data för alla användare, enheter, program och infrastruktur, både lokalt och i flera moln.
Hotsvar Funktioner för hothantering, till exempel spelböcker som integreras med Azure tjänster och dina befintliga verktyg.
Partnerintegreringar Integrerar med partnerplattformar med hjälp av Microsoft Sentinel dataanslutningar och tillhandahåller viktiga tjänster för SOC-team.

Skapa anpassade integreringslösningar (partner)

För partner som vill skapa anpassade lösningar som kan integreras med Microsoft Sentinel, se Skapa och publicera Microsoft Sentinel SIEM-lösningar.

Planera incidenthanterings- och svarsprocessen

Följande bild visar rekommenderade steg i en incidenthanterings- och svarsprocess.

Diagram som visar incidenthanteringsprocessen: Prioritering. Förberedelse. Sanering. Utrotning. Aktiviteter efter incident.

Följande tabell innehåller övergripande uppgifter för incidenthantering och svar samt relaterade metodtips. Mer information finns i Microsoft Sentinel incidentundersökning i Azure Portal eller Incidenter och aviseringar i Microsoft Defender-portalen.

Uppgift Metodtips
Sidan Granska incidenter Granska en incident på sidan Incidenter , som visar en lista över namn, allvarlighetsgrad och relaterade aviseringar, loggar och eventuella intressanta entiteter. Du kan också hoppa från incidenter till insamlade loggar och verktyg som är relaterade till incidenten.
Använd incidentdiagram Granska incidentdiagrammet för en incident för att se hela omfattningen av en attack. Du kan sedan skapa en tidslinje med händelser och identifiera omfattningen av en hotkedja.
Granska incidenter för att identifiera falsklarm Använd data om viktiga entiteter, till exempel konton, URL:er, IP-adress, värdnamn, aktiviteter, tidslinje för att förstå om du har en falsk positiv identifiering till hands, i vilket fall du kan stänga incidenten direkt.

Om du upptäcker att incidenten är en verklig träff kan du agera direkt från sidan Incidenter för att undersöka loggar och entiteter samt utforska hotkedjan. När du har identifierat hotet och skapat en åtgärdsplan kan du använda andra verktyg i Microsoft Sentinel och andra Microsoft-säkerhetstjänster för att fortsätta undersöka.
Visualisera information Ta en titt på översiktsinstrumentpanelen i Microsoft Sentinel för att få en bild av säkerhetsläget i din organisation. Mer information finns i Visualisera insamlade data.

Förutom information och trender på Microsoft Sentinel översiktssida är arbetsböcker värdefulla utredningsverktyg. Använd till exempel arbetsboken Investigation Insights för att undersöka specifika incidenter tillsammans med eventuella associerade entiteter och aviseringar. Med den här arbetsboken kan du fördjupa dig i entiteter genom att visa relaterade loggar, åtgärder och aviseringar.
Sök efter hot När du undersöker och söker efter grundorsaker, kör inbyggda frågor för hotjakt och kontrollera resultaten för eventuella komprometteringsindikatorer. Mer information finns i Hotjakt i Microsoft Sentinel.
Entitetsbeteende Entitetsbeteende i Microsoft Sentinel gör det möjligt för användare att granska och undersöka åtgärder och aviseringar för specifika entiteter, till exempel undersöka konton och värdnamn. Mer information finns i:

- Aktivera användar- och entitetsbeteendeanalys (UEBA) i Microsoft Sentinel
- Undersöka incidenter med UEBA-data
- Referens för Microsoft Sentinel UEBA-berikningar
Visningslistor Använd en bevakningslista som kombinerar data från inhämtade data och externa källor, till exempel berikningsdata. Skapa till exempel listor över IP-adressintervall som används av din organisation eller nyligen avslutade anställda. Använd visningslistor med spelböcker för att samla in berikningsdata, till exempel lägga till skadliga IP-adresser i visningslistor som ska användas under identifiering, hotjakt och undersökningar.

Under en incident använder du visningslistor för att innehålla undersökningsdata och tar sedan bort dem när undersökningen är klar för att säkerställa att känsliga data inte förblir i vyn.

Mer information finns i Visningslistor i Microsoft Sentinel.

Optimera datainsamling och inmatning

Granska metodtipsen för Microsoft Sentinel datainsamling, bland annat prioritering av dataanslutningar, filtrering av loggar och optimering av datainmatning.

Gör dina Kusto-frågespråk frågor snabbare

Granska bästa praxis för Kusto-frågespråket för att göra frågor snabbare.

Relaterat innehåll

  • Last updated on