將 Splunk 偵測規則遷移至 Microsoft Sentinel

Splunk 偵測規則是安全資訊與事件管理 (SIEM) 元件，相當於 Microsoft Sentinel 中的分析規則。 本文說明用來識別、比較及遷移 Splunk 偵測規則至 Microsoft Sentinel 的概念。 將 Splunk 偵測規則遷移至 Microsoft Sentinel 的最佳方式，是從SIEM 遷移體驗開始；此體驗可識別現成可用 (OOTB) 的分析規則，以進行自動轉換。

如果你想遷移你的 Splunk Observability 部署，請進一步了解如何從 Splunk 遷移到 Azure 監視器 日誌。

稽核規則

Microsoft Sentinel 利用機器學習分析來創造高保真度且可執行的事件。 你現有的一些 Splunk 偵測在 Microsoft Sentinel 中可能存在冗餘，所以不要盲目遷移所有 Splunk 偵測。 在確認現有偵測規則時，請檢視以下規則稽核考量。

• 務必選擇適合規則遷移的使用案例，考量業務優先順序與效率。
• 請確認你了解 Microsoft Sentinel 的規則類型。
• 確認你是否理解 規則術語。
• 檢視過去6到12個月內沒有警示的過時規則，判斷它們是否仍然適用。
• 消除你經常忽略的低階威脅或警報。
• Microsoft Sentinel Analytics 要求該資料型別必須在 Log Analytics 工作空間中存在，才能啟用規則。 確認你所需的資料來源是否已連接，並檢視你的資料連接方式。 重新檢視資料收集的討論，確保你計畫偵測的應用案例中資料深度與廣度。 接著利用 SIEM 遷移經驗 ，確保資料來源被正確映射。

遷移規則

在確定要遷移的 Splunk 偵測後，請檢視以下遷移流程的考量：

• 比較 Microsoft Sentinel 現有的 OOTB 分析規則功能與您目前的使用案例。 利用 SIEM 遷移體驗 ，看看哪些 Splunk 偵測會自動轉換成 OOTB 範本。
• 轉換不符合 OOTB 分析規則的偵測結果。 自動轉換 Splunk 偵測的最佳方式是使用 SIEM 遷移體驗。
• 透過探索社群資源，如 SOC Prime 威脅偵測市場，發掘更多適合您使用情境的演算法。
• 如果內建規則無法使用或無法自動翻譯，請手動翻譯偵測結果。 建立新的 KQL 查詢並檢視 規則映射。

欲了解更多資訊，請參閱 遷移偵測規則的最佳實務。

規則遷移步驟

在遷移到 Microsoft Sentinel 時，請依照以下步驟驗證、轉譯及測試每個 Splunk 偵測規則。

1. 確認你為每條想要遷移的規則都設置了測試系統。

   1. 準備一套為遷移規則的驗證流程，包括完整的測試情境和腳本。

   2. 確保你的團隊有可用的資源 來測試你遷移的規則。

   3. 確認你已連接所需的資料來源， 並檢視你的資料連接方式。

2. 確認你的偵測是否以 Microsoft Sentinel 的 OOTB 範本形式提供：

   • 利用 SIEM 遷移體驗 自動化翻譯與安裝 OOTB 範本。

     欲了解更多資訊，請參閱 使用 SIEM 遷移體驗。

   • 如果你的使用案例未反映在偵測中，請用 OOTB 規則範本為你自己的工作區建立規則。

     在 Microsoft Sentinel 中，請前往內容中心。

     篩選 內容類型 以取得 分析規則 範本。

     尋找並 安裝/更新 每個對應的內容集線器解決方案或獨立分析規則範本。

     欲了解更多資訊，請參閱「 開箱即用偵測威脅」。

   • 如果你遇到 Microsoft Sentinel OOTB 規則未涵蓋的偵測，請先試用 SIEM 遷移體驗以實現自動轉換。

   • 如果 OOTB 規則和 SIEM 遷移都無法完全轉換偵測，請手動建立規則。 請依照以下步驟建立你的規則：

     1. 請確定你想在規則中使用的資料來源。 透過建立資料來源與資料表的對應表，來辨識你想查詢的 Microsoft Sentinel 資料表。

     2. 識別你想在規則中使用的資料中的任何屬性、欄位或實體。

     3. 明確你的規則標準和邏輯。 在確定你的規則條件和邏輯時，可以考慮使用規則範本作為如何構建 KQL 查詢的範例。

        考慮篩選器、相關規則、活躍清單、參考集、監控清單、偵測異常、聚合等等。 你可以利用舊有 SIEM 提供的參考資料，了解如何 最佳地映射你的查詢語法。

     4. 先辨識觸發條件和規則動作，然後構建並檢視你的 KQL 查詢。 在檢視你的查詢時，請考慮 KQL 的優化指導資源。

3. 針對你所有相關的使用情境來測試這個規則。 如果沒有達到預期結果，請檢視並編輯 KQL 並再次測試。

4. 當你滿意時，即可視為該規則已完成遷移。 根據需要，為你的規則動作建立一套劇本。 如需詳細資訊，請參閱 在 Microsoft Sentinel 中使用劇本自動化威脅回應。

了解更多關於分析規則的資訊：

• 建立自訂分析規則來偵測威脅。 使用 警報分組，將指定時間範圍內發生的警報歸為一組，以減少警報疲勞。
• 將資料欄位映射到 Microsoft Sentinel 中的實體，讓 SOC 工程師能將實體定義為調查過程中追蹤的證據。 實體對應也讓 SOC 分析師能夠利用一個直觀的 [調查圖] (investigate-cases.md#use-the-investigation-graph-to-deep-dive)，以協助減少所需的時間和精力。
• 以 UEBA 資料調查事件，示範如何利用證據在事件預覽窗格中顯示事件、警示及與特定事件相關的書籤。
• Kusto 查詢語言 (KQL) ，你可以用它向你的 Log Analytics 資料庫發送唯讀請求，以處理資料並回傳結果。 KQL 也被用於其他 Microsoft 服務，例如 適用於端點的 Microsoft Defender 和 Application Insights。

比較規則術語

以下比較表說明了 Microsoft Sentinel 中基於 KQL 的規則如何對應於 Splunk 中基於 SPL 的偵測。

繪製並比較規則範例

利用本節的 SPL 轉 KQL 範例表與範例，在不同情境下比較並對應 Splunk 與 Microsoft Sentinel 的規則。

比較常見的 Splunk 搜尋指令與 KQL 範例

此表將常見的 SPL 搜尋指令對應至 Microsoft Sentinel 中的 KQL 對應指令。

lookup 命令：KQL 範例

這個 KQL 範例用 externaldata 來複製 SPL lookup 模式，透過過濾使用者與外部資料來源。

Users 
| where UserID in ((externaldata (UserID:string) [
@"https://storageaccount.blob.core.windows.net/storagecontainer/users.txt" 
h@"?...SAS..." // Secret token to access the blob 
])) | ... 

stats 命令：KQL 範例

這個 KQL 範例用 summarize 來計算交易並加總，依水果和月份分組。

Sales 
| summarize NumTransactions=count(), 
Total=sum(UnitPrice * NumUnits) by Fruit, 
StartOfMonth=startofmonth(SellDateTime) 

mstats 命令：KQL 範例

此 KQL 範例將指標值分組到價格區間，並計算每個區間的紀錄。

T | summarize count() by price_range=bin(price, 10.0) 

transaction command：SPL 範例

此 SPL 範例依活動 ID 將相關的開始與停止事件合併為單一交易。

sourcetype=MyLogTable type=Event
| transaction ActivityId startswith="Start" endswith="Stop"
| Rename timestamp as StartTime
| Table City, ActivityId, StartTime, Duration

transaction 命令：KQL 範例

此 KQL 範例透過將共享活動 ID 上的開始與停止事件結合並計算持續時間，來複製 SPL 交易群組。

let Events = MyLogTable | where type=="Event";
Events
| where Name == "Start"
| project Name, City, ActivityId, StartTime=timestamp
| join (Events
| where Name == "Stop"
| project StopTime=timestamp, ActivityId)
on ActivityId
| project City, ActivityId, StartTime, 
Duration = StopTime – StartTime

使用 row_window_session() 來計算序列化資料列集中欄位的工作階段起始值。

...| extend SessionStarted = row_window_session(
Timestamp, 1h, 5m, ID != prev(ID))

eventstats command：SPL 範例

此 SPL 範例計算每類別一分鐘的事件計數，並用 附加每個時間區的總數 eventstats。

… | bin span=1m _time
|stats count AS count_i by _time, category
| eventstats sum(count_i) as count_total by _time

eventstats 命令：KQL 範例

以下是使用 join 陳述式的範例：

let binSize = 1h;
let detail = SecurityEvent 
| summarize detail_count = count() by EventID,
tbin = bin(TimeGenerated, binSize);
let summary = SecurityEvent
| summarize sum_count = count() by 
tbin = bin(TimeGenerated, binSize);
detail 
| join kind=leftouter (summary) on tbin 
| project-away tbin1

以下是使用 make_list 陳述式的範例：

let binSize = 1m;
SecurityEvent
| where TimeGenerated >= ago(24h)
| summarize TotalEvents = count() by EventID, 
groupBin =bin(TimeGenerated, binSize)
|summarize make_list(EventID), make_list(TotalEvents), 
sum(TotalEvents) by groupBin
| mvexpand list_EventID, list_TotalEvents

anomalydetection command：SPL 範例

此 SPL 範例偵測了 10 年期間歷史收盤價資料中的異常。

sourcetype=nasdaq earliest=-10y
| anomalydetection Close _ Price

anomalydetection 命令：KQL 範例

這個 KQL 範例使用時間序列分析功能，偵測七天回顧期內身障者登入趨勢的異常。

let LookBackPeriod= 7d;
let disableAccountLogon=SignIn
| where ResultType == "50057"
| where ResultDescription has "account is disabled";
disableAccountLogon
| make-series Trend=count() default=0 on TimeGenerated 
in range(startofday(ago(LookBackPeriod)), now(), 1d)
| extend (RSquare,Slope,Variance,RVariance,Interception,
LineFit)=series_fit_line(Trend)
| extend (anomalies,score) = 
series_decompose_anomalies(Trend)

比較常見的 Splunk eval 指令與 KQL 的對應指令

此表將常見的 SPL eval 函式映射到 Microsoft Sentinel 中的 KQL 對應函式。

case(X,"Y",…) SPL 範例

此 SPL 範例會根據 HTTP 錯誤碼回傳不同的訊息字串。

case(error == 404, "Not found",
error == 500,"Internal Server Error",
error == 200, "OK")

case(X,"Y",…) KQL 範例

這個 KQL 範例用 case() 來根據錯誤碼值指派訊息。

T
| extend Message = case(error == 404, "Not found", 
error == 500,"Internal Server Error", "OK") 

if(X,Y,Z) KQL 範例

這個 KQL 範例用 iif() 來標示時間戳記是否落在當前日期。

iif(floor(Timestamp, 1d)==floor(now(), 1d), 
"today", "anotherday")

isint(X) KQL 範例

此 KQL 範例透過使用 gettype 和 iif來檢查是否有X整數相容型別。

iif(gettype(X) =="long","TRUE","FALSE")

isstr(X) KQL 範例

此 KQL 範例透過 X 使用 gettype 和 iif來檢查 是否為字串值。

iif(gettype(X) =="string","TRUE","FALSE")

like(X,"y") 範例

這些 KQL 範例展示了幾個可用來複製 SPL like 模式匹配的字串匹配運算子。

… | where field has "addr"

… | where field contains "addr"

… | where field startswith "addr"

… | where field matches regex "^addr.*"

min(X,…) KQL 範例

這些 KQL 範例展示了利用 min_of、 min、 和 arg_min計算最小值的不同方法。

min_of (expr_1, expr_2 ...)

…|summarize min(expr)

…| summarize arg_min(Price,*) by Product

mvfilter(X) KQL 範例

這個 KQL 範例用 mv-apply 來過濾並減少多值內容，類似於 SPL mvfilter 函數。

T | mv-apply Metric to typeof(real) on 
(
 top 2 by Metric desc
)

mvjoin(X,Y) KQL 範例

這個 KQL 範例是用 strcat_array 自訂分隔符將陣列元素合併成單一字串。

strcat_array(dynamic([1, 2, 3]), "->")

relative time(X,Y) KQL 範例

此 KQL 範例將 datetime 值轉換為 Unix 的紀元時間以進行相對時間計算。

let toUnixTime = (dt:datetime)
{
(dt - datetime(1970-01-01))/1s 
};

replace(X,Y,Z) KQL 範例

這個 KQL 範例使用 replace() 正則表達式模式來交換日期字串中的月份和日子部分。

replace( @'^(\d{1,2})/(\d{1,2})/', @'\2/\1/',date)

strptime(X,Y) KQL 範例

此 KQL 範例僅 format_datetime 顯示 datetime 值的小時與分鐘。

format_datetime(datetime('2017-08-16 11:25:10'),
'HH:mm')

time() KQL 範例

此 KQL 範例將 datetime 值格式化為顯示小時、分鐘與秒的時間字串。

format_datetime(datetime(2015-12-14 02:03:04),
'h:m:s')

tostring(X,Y) 描述

SPL tostring(X,Y) 函式將數值轉換為字串，並支援多種格式化選項。 它會回傳一個欄位值 X ，作為一個字串。

• 若 的 X 值為數字， X 則會被重新格式化為字串值。
• 若 X 為布林值， X 則被重新格式化為 TRUE 或 FALSE。
• 若 X 為數字，則第二個引數 Y 為選填，且可以是 hex（將 X 轉換為十六進位）、commas（將 X 格式化為帶有逗號和兩位小數的格式），或 duration（將 X 從以秒為單位的時間格式轉換為可讀的時間格式：HH:MM:SS）。

tostring(X,Y) SPL 範例

此 tostring SPL 範例回傳：

foo=615 and foo2=00:10:15:

… | eval foo=615 | eval foo2 = tostring(
foo, "duration")

urldecode(X) SPL 範例

此 SPL 範例將 URL 編碼的字串解碼回原始形式。

urldecode("http%3A%2F%2Fwww.splunk.com%2Fdownload%3Fr%3Dheader")

比較常見的 Splunk stats 指令與 KQL 的對應指令

此表格將常見的 SPL stats 聚合函式映射到 Microsoft Sentinel 中的 KQL 對應函式。

後續步驟

你學會了如何識別、比較並將 Splunk 偵測規則與 Microsoft Sentinel 分析規則對應。 繼續移轉您的 SOAR 自動化作業。