Migrera Splunk-identifieringsregler till Microsoft Sentinel

Splunk-identifieringsregler är SIEM-komponenter (säkerhetsinformation och händelsehantering) som jämförs med analysregler i Microsoft Sentinel. Denna artikel beskriver de koncept som används för att identifiera, jämföra och migrera Splunk-detekteringsregler till Microsoft Sentinel. Det bästa sättet att migrera Splunk-identifieringsregler till Microsoft Sentinel är att börja med SIEM-migreringsupplevelsen, som identifierar OOTB-analysregler (out-of-the-box) för automatisk översättning.

Om du vill migrera Splunk Observability-distributionen kan du läsa mer om hur du migrerar från Splunk till Azure Monitor-loggar.

Granskningsregler

Microsoft Sentinel använder maskininlärningsanalys för att skapa incidenter med hög återgivning och åtgärd. Några av dina befintliga Splunk-detektioner kan vara redundanta i Microsoft Sentinel, så migrera inte alla Splunk-detektioner blint. Granska följande överväganden för regelgranskning när du identifierar dina befintliga identifieringsregler.

• Se till att välja användningsfall som motiverar regelmigrering, med hänsyn till affärsprioritet och effektivitet.
• Kontrollera att du förstår Microsoft Sentinel regeltyper.
• Kontrollera att du förstår regelterminologin.
• Granska inaktuella regler som inte har aviseringar under de senaste 6–12 månaderna och ta reda på om de fortfarande är relevanta.
• Eliminera hot eller aviseringar på låg nivå som du rutinmässigt ignorerar.
• Microsoft Sentinel Analytics kräver att datatypen finns på Log Analytics-arbetsytan innan en regel aktiveras. Bekräfta att dina datakällor som krävs är anslutna och granska dina dataanslutningsmetoder. Gå tillbaka till datainsamlingskonversationer för att säkerställa datadjup och bredd i de användningsfall som du planerar att identifiera. Använd sedan SIEM-migreringsupplevelsen för att se till att datakällorna mappas på rätt sätt.

Migrering av regler

När du har identifierat de Splunk-identifieringar som ska migreras läser du följande överväganden för migreringsprocessen:

• Jämför befintliga funktioner i Microsoft Sentinel OOTB-analysregler med dina aktuella användningsfall. Använd SIEM-migreringsfunktionen för att se vilka Splunk-identifieringar som automatiskt konverteras till OOTB-mallar.
• Översätt detekteringar som inte matchar OOTB-analysregler. Det bästa sättet att översätta Splunk-identifieringar automatiskt är med SIEM-migreringsupplevelsen.
• Upptäck fler algoritmer för dina användningsfall genom att utforska communityresurser som SOC Prime Threat Detection Marketplace.
• Översätt detekteringar manuellt om inbyggda regler saknas eller inte översätts automatiskt. Skapa de nya KQL-frågorna och granska regelmappningen.

Mer information finns i metodtips för migrering av identifieringsregler.

Steg för regelmigrering

Följ dessa steg för att verifiera, översätta och testa varje Splunk-identifieringsregel under migreringen till Microsoft Sentinel.

1. Kontrollera att du har ett testsystem för varje regel som du vill migrera.

   1. Förbered en valideringsprocess för dina migrerade regler, inklusive fullständiga testscenarier och skript.

   2. Se till att ditt team har användbara resurser för att testa dina migrerade regler.

   3. Bekräfta att du har de datakällor som krävs anslutna och granska dina dataanslutningsmetoder.

2. Kontrollera om dina identifieringar är tillgängliga som OOTB-mallar i Microsoft Sentinel:

   • Använd SIEM-migreringsupplevelsen för att automatisera översättning och installation av OOTB-mallarna.

     Mer information finns i Använda SIEM-migreringsmiljön.

   • Om du har användningsfall som inte återspeglas i identifieringarna skapar du regler för din egen arbetsyta med OOTB-regelmallar.

     I Microsoft Sentinel går du till innehållshubben.

     Filtrera Innehållstyp för mallar för analysregler.

     Hitta och installera/uppdatera varje motsvarande innehållshubblösning eller fristående analysregelmall.

     Mer information finns i Identifiera hot direkt.

   • Om du har identifieringar som inte omfattas av Microsoft Sentinel OOTB-regler kan du först prova SIEM-migrering för automatisk översättning.

   • Om varken OOTB-reglerna eller SIEM-migreringen helt översätter identifieringen skapar du regeln manuellt. Använd följande steg för att skapa regeln:

     1. Identifiera de datakällor som du vill använda i regeln. Identifiera de Microsoft Sentinel tabeller som du vill köra frågor mot genom att skapa en mappningstabell mellan datakällor och datatabeller.

     2. Identifiera eventuella attribut, fält eller entiteter i dina data som du vill använda i dina regler.

     3. Identifiera dina regelkriterier och logik. När du identifierar dina regelkriterier och logik bör du överväga att använda regelmallar som exempel för hur du skapar dina KQL-frågor.

        Överväg filter, korrelationsregler, aktiva listor, referensuppsättningar, visningslistor, identifieringsavvikelser, aggregeringar och så vidare. Du kan använda referenser från din äldre SIEM för att förstå hur du bäst mappar din frågesyntax.

     4. Identifiera utlösarvillkoret och regelåtgärden och konstruera och granska sedan KQL-frågan. När du granskar din fråga kan du ta hjälp av vägledningsresurser för KQL-optimering.

3. Testa regeln med var och en av dina relevanta användningsfall. Om den inte ger förväntade resultat granskar du och redigerar KQL och testar den igen.

4. När du är nöjd kan du betrakta regeln som migrerad. Skapa en spelbok för regelåtgärden efter behov. Mer information finns i Automatisera hotsvar med spelböcker i Microsoft Sentinel.

Läs mer om analysregler:

• Skapa anpassade analysregler för att identifiera hot. Använd aviseringsgruppering för att minska aviseringströttheten genom att gruppera aviseringar som inträffar inom en viss tidsram.
• Mappa datafält till entiteter i Microsoft Sentinel så att SOC-tekniker kan definiera entiteter som en del av de bevis som ska spåras under en undersökning. Entitetsmappning gör det också möjligt för SOC-analytiker att dra nytta av ett intuitivt [undersökningsdiagram] (investigate-cases.md#use-the-investigation-graph-to-deep-dive) som kan bidra till att minska tid och arbete.
• Undersök incidenter med UEBA-data, som ett exempel på hur du använder bevis för att visa händelser, aviseringar och bokmärken som är associerade med en viss incident i fönstret incidentförhandsgranskning.
• Kusto-frågespråk (KQL) som du kan använda för att skicka skrivskyddade begäranden till Log Analytics-databasen för att bearbeta data och returnera resultat. KQL används också i andra Microsoft-tjänster, till exempel Microsoft Defender för Endpoint och Application Insights.

Jämför regelterminologi

I följande jämförelsetabell beskrivs hur en KQL-baserad regel i Microsoft Sentinel motsvarar en SPL-baserad identifiering i Splunk.

Mappa och jämföra regelexempel

Använd SPL-till-KQL-exempeltabellerna och exemplen i detta avsnitt för att jämföra och kartlägga regler från Splunk till Microsoft Sentinel i olika scenarier.

Jämför vanliga Splunk-sökkommandon med KQL-exempel

Denna tabell mappar vanliga SPL-sökkommandon till deras KQL-motsvarigheter i Microsoft Sentinel.

lookup kommando: KQL-exempel

Detta KQL-exempel använder externaldata det för att replikera SPL-mönstret lookup genom att filtrera användare mot en extern datakälla.

Users 
| where UserID in ((externaldata (UserID:string) [
@"https://storageaccount.blob.core.windows.net/storagecontainer/users.txt" 
h@"?...SAS..." // Secret token to access the blob 
])) | ... 

stats kommando: KQL-exempel

Detta KQL-exempel används summarize för att räkna transaktioner och summera totaler, grupperade efter frukt och månad.

Sales 
| summarize NumTransactions=count(), 
Total=sum(UnitPrice * NumUnits) by Fruit, 
StartOfMonth=startofmonth(SellDateTime) 

mstats kommando: KQL-exempel

Detta KQL-exempel placerar metriska värden i prisintervall och räknar posterna i varje intervall.

T | summarize count() by price_range=bin(price, 10.0) 

transaction kommando: SPL-exempel

Detta SPL-exempel grupperar relaterade start- och stopphändelser i en enda transaktion efter aktivitets-ID.

sourcetype=MyLogTable type=Event
| transaction ActivityId startswith="Start" endswith="Stop"
| Rename timestamp as StartTime
| Table City, ActivityId, StartTime, Duration

transaction kommando: KQL-exempel

Detta KQL-exempel replikerar SPL-transaktionsgruppering genom att slå ihop start- och stopphändelser på ett delat aktivitets-ID och beräkna varaktigheten.

let Events = MyLogTable | where type=="Event";
Events
| where Name == "Start"
| project Name, City, ActivityId, StartTime=timestamp
| join (Events
| where Name == "Stop"
| project StopTime=timestamp, ActivityId)
on ActivityId
| project City, ActivityId, StartTime, 
Duration = StopTime – StartTime

Använd row_window_session() för att beräkna sessionsstartvärden för en kolumn i en serialiserad raduppsättning.

...| extend SessionStarted = row_window_session(
Timestamp, 1h, 5m, ID != prev(ID))

eventstats kommando: SPL-exempel

Detta SPL-exempel beräknar händelseantal per kategori i en-minut-bins och lägger sedan till en totalsumma per tid-bin med hjälp av eventstats.

… | bin span=1m _time
|stats count AS count_i by _time, category
| eventstats sum(count_i) as count_total by _time

eventstats kommando: KQL-exempel

Här är ett exempel med satsen join:

let binSize = 1h;
let detail = SecurityEvent 
| summarize detail_count = count() by EventID,
tbin = bin(TimeGenerated, binSize);
let summary = SecurityEvent
| summarize sum_count = count() by 
tbin = bin(TimeGenerated, binSize);
detail 
| join kind=leftouter (summary) on tbin 
| project-away tbin1

Här är ett exempel med satsen make_list:

let binSize = 1m;
SecurityEvent
| where TimeGenerated >= ago(24h)
| summarize TotalEvents = count() by EventID, 
groupBin =bin(TimeGenerated, binSize)
|summarize make_list(EventID), make_list(TotalEvents), 
sum(TotalEvents) by groupBin
| mvexpand list_EventID, list_TotalEvents

anomalydetection kommando: SPL-exempel

Detta SPL-exempel upptäcker avvikelser i historiska stängningskursdata under en tioårsperiod.

sourcetype=nasdaq earliest=-10y
| anomalydetection Close _ Price

anomalydetection kommando: KQL-exempel

Detta KQL-exempel använder tidsserieanalysfunktioner för att upptäcka avvikelser i trender för inloggning med inaktiverade konton under en sju dagars tillbakablicksperiod.

let LookBackPeriod= 7d;
let disableAccountLogon=SignIn
| where ResultType == "50057"
| where ResultDescription has "account is disabled";
disableAccountLogon
| make-series Trend=count() default=0 on TimeGenerated 
in range(startofday(ago(LookBackPeriod)), now(), 1d)
| extend (RSquare,Slope,Variance,RVariance,Interception,
LineFit)=series_fit_line(Trend)
| extend (anomalies,score) = 
series_decompose_anomalies(Trend)

Jämför vanliga Splunk-kommandon eval med KQL-ekvivalenter

Denna tabell mappar vanliga SPL-funktioner eval till deras KQL-motsvarigheter i Microsoft Sentinel.

case(X,"Y",…) SPL-exempel

Detta SPL-exempel returnerar en annan meddelandesträng baserat på HTTP-felkoden.

case(error == 404, "Not found",
error == 500,"Internal Server Error",
error == 200, "OK")

case(X,"Y",…) KQL-exempel

Detta KQL-exempel använder case() för att tilldela ett meddelande baserat på felkodens värde.

T
| extend Message = case(error == 404, "Not found", 
error == 500,"Internal Server Error", "OK") 

if(X,Y,Z) KQL-exempel

Detta KQL-exempel används iif() för att ange om en tidsstämpel är aktuell på den aktuella dagen.

iif(floor(Timestamp, 1d)==floor(now(), 1d), 
"today", "anotherday")

isint(X) KQL-exempel

Detta KQL-exempel kontrollerar om X har en heltalskompatibel typ genom att använda gettype och iif.

iif(gettype(X) =="long","TRUE","FALSE")

isstr(X) KQL-exempel

Detta KQL-exempel kontrollerar om X är ett strängvärde genom att använda gettype och iif.

iif(gettype(X) =="string","TRUE","FALSE")

like(X,"y") Exempel

Dessa KQL-exempel visar flera strängmatchningsoperatorer som du kan använda för att replikera SPL-mönstermatchning like .

… | where field has "addr"

… | where field contains "addr"

… | where field startswith "addr"

… | where field matches regex "^addr.*"

min(X,…) KQL-exempel

Dessa KQL-exempel visar olika sätt att beräkna minimivärden med hjälp av min_of, min, och arg_min.

min_of (expr_1, expr_2 ...)

…|summarize min(expr)

…| summarize arg_min(Price,*) by Product

mvfilter(X) KQL-exempel

Detta KQL-exempel använder mv-apply det för att filtrera och minska innehåll med flera värden, liknande SPL-funktionen mvfilter .

T | mv-apply Metric to typeof(real) on 
(
 top 2 by Metric desc
)

mvjoin(X,Y) KQL-exempel

Detta KQL-exempel använder strcat_array att sammanfoga arrayelement till en enda sträng med en anpassad separator.

strcat_array(dynamic([1, 2, 3]), "->")

relative time(X,Y) KQL-exempel

Detta KQL-exempel konverterar ett datetime-värde till Unix-epoktid för relativa tidsberäkningar.

let toUnixTime = (dt:datetime)
{
(dt - datetime(1970-01-01))/1s 
};

replace(X,Y,Z) KQL-exempel

Detta KQL-exempel använder replace() med ett regex-mönster för att byta ut månads- och dagdelarna av en datumsträng.

replace( @'^(\d{1,2})/(\d{1,2})/', @'\2/\1/',date)

strptime(X,Y) KQL-exempel

Detta KQL-exempel använder format_datetime endast att visa timmar och minuter från ett datumtidsvärde.

format_datetime(datetime('2017-08-16 11:25:10'),
'HH:mm')

time() KQL-exempel

Detta KQL-exempel formaterar ett datumtidsvärde som en tidssträng som visar timmar, minuter och sekunder.

format_datetime(datetime(2015-12-14 02:03:04),
'h:m:s')

tostring(X,Y) Beskrivning

SPL-funktionen tostring(X,Y) konverterar värden till strängar och stöder flera formateringsalternativ. Den returnerar ett fältvärde av X som en sträng.

• Om värdet X för är ett tal X formateras det om till ett strängvärde.
• Om X är ett booleskt värde X formateras om till TRUE eller FALSE.
• Om X är ett tal är det andra argumentet Y valfritt och kan antingen vara hex (konverterar X till ett hexadecimalt), commas (format med kommatecken och två decimaler) eller X (konverterar från ett tidsformat duration i sekunder till ett läsbart tidsformatX: HH:MM:SS).

tostring(X,Y) SPL-exempel

Detta tostring SPL-exempel ger:

foo=615 and foo2=00:10:15:

… | eval foo=615 | eval foo2 = tostring(
foo, "duration")

urldecode(X) SPL-exempel

Detta SPL-exempel avkodar en URL-kodad sträng tillbaka till dess ursprungliga form.

urldecode("http%3A%2F%2Fwww.splunk.com%2Fdownload%3Fr%3Dheader")

Jämför vanliga Splunk-kommandon stats med KQL-ekvivalenter

Denna tabell mappar vanliga SPL-aggregeringsfunktioner stats till deras KQL-motsvarigheter i Microsoft Sentinel.

Nästa steg

Du har lärt dig att identifiera, jämföra och mappa Splunk-identifieringsregler till Microsoft Sentinel analysregler. Fortsätt att migrera din SOAR-automatisering.