Personnaliser les activités sur les chronologies de page d’entité

Présentation

En plus des activités suivies et présentées dans la chronologie par Microsoft Sentinel sans configuration supplémentaire, vous pouvez créer toutes autres activités dont vous souhaitez effectuer le suivi et les présenter également sur la chronologie. Vous pouvez créer des activités personnalisées basées sur des requêtes de données d’entité à partir de toutes les sources de données connectées. Les exemples suivants illustrent la façon dont vous pouvez utiliser cette fonctionnalité :

• Ajoutez de nouvelles activités à la chronologie de l’entité en modifiant les modèles d’activité prêts à l’emploi existants.

• Ajoutez de nouvelles activités à partir de journaux personnalisés. Par exemple, à partir d’un journal de contrôle d’accès physique, vous pouvez ajouter les activités d’entrée et de sortie d’un utilisateur pour une zone restreinte particulière (par exemple, une salle de serveur) à la chronologie de l’utilisateur.

Prise en main

• Les utilisateurs de Microsoft Sentinel dans le portail Azure, sélectionnez l’onglet Portail Azure ci-dessous.
• Les utilisateurs du portail Microsoft Defender, sélectionnez l’onglet Portail Defender .

Dans la page Personnaliser les activités Sentinel , vous verrez une liste des activités que vous avez créées dans l’onglet Mes activités . Sous l’onglet Modèles d’activité, vous verrez la collection d’activités proposées par les chercheurs en sécurité Microsoft. Ce sont les activités qui font déjà l’objet d’un suivi et qui sont affichées dans les chronologies de vos pages d’entité.

• Tant que vous n’avez pas créé d’activités définies par l’utilisateur, vos pages d’entité affichent toutes les activités répertoriées sous l’onglet Modèles d’activité .

• Une fois que vous avez créé ou personnalisé une activité, vos pages d’entité affichent uniquement ces activités, qui apparaissent sous l’onglet Mes activités .

• Si vous souhaitez continuer à voir les activités prêtes à l’emploi dans vos pages d’entité, vous devez créer une activité pour chaque modèle à suivre et afficher. Suivez les instructions de la section « Créer une activité à partir d’un modèle » ci-dessous.

Créer une activité à partir d’un modèle

1. Sélectionnez l’onglet Modèles d’activité pour afficher les différentes activités disponibles par défaut. Vous pouvez filtrer la liste par type d’entité et par source de données. Lorsque vous sélectionnez une activité dans la liste, les renseignements suivants s’affichent dans le volet d’informations :

   • Une description de l’activité

   • La source de données qui fournit les événements qui composent l’activité

   • Les identificateurs utilisés pour identifier l’entité dans les données brutes

   • La requête qui entraîne la détection de cette activité

2. Sélectionnez Créer une activité en bas du volet d’informations pour démarrer l’Assistant Création d’activité.

   • portail Azure
   • Portail Defender

   

3. Assistant Activité : créer une activité à partir du modèle s’ouvre, avec ses champs déjà remplis à partir du modèle. Vous pouvez apporter des modifications comme vous le souhaitez dans les onglets Configuration générale et Activité, ou laisser tout tel quel pour continuer à afficher l'activité par défaut.

4. Lorsque vous êtes satisfait, sélectionnez l’onglet Vérifier et créer . Lorsque vous voyez le message de validation passé , cliquez sur le bouton Créer en bas.

Créer une activité à partir de zéro

En haut de la page des activités, cliquez sur Ajouter une activité pour démarrer l’Assistant Création d’activité.

L'assistant d'activité - Créer une nouvelle activité s'ouvrira, avec ses champs vides.

Onglet Général

1. Entrez un nom pour votre activité (exemple : « Utilisateur ajouté au groupe »).

2. Entrez une description de l’activité (exemple : « Modification de l’appartenance au groupe d’utilisateurs basée sur l’ID d’événement Windows 4728 »).

3. Sélectionnez le type d’entité (utilisateur ou hôte) que cette requête doit suivre.

4. Vous pouvez filtrer par paramètres supplémentaires pour affiner la requête et optimiser ses performances. Par exemple, vous pouvez filtrer pour les utilisateurs Active Directory en choisissant le paramètre IsDomainJoined et en définissant la valeur sur True.

5. Vous pouvez sélectionner l’état initial de l’activité sur Activé ou Désactivé.

6. Sélectionnez Suivant : Configuration de l’activité pour passer à l’onglet suivant.

   

Onglet Configuration de l’activité

Écriture de la requête d’activité

Ici, vous allez écrire ou coller la requête KQL qui sera utilisée pour détecter l’activité de l’entité choisie, et déterminer comment elle sera représentée dans la chronologie.

Pour mettre en corrélation les événements et détecter l’activité personnalisée, KQL requiert une entrée de plusieurs paramètres, selon le type d’entité. Les paramètres sont les différents identificateurs de l’entité en question.

Il est préférable de sélectionner un identificateur fort afin d’avoir un mappage un-à-un entre les résultats de la requête et l’entité. La sélection d’un identificateur faible peut générer des résultats inexacts. En savoir plus sur les entités et les identificateurs forts et faibles.

Le tableau suivant fournit des informations sur les identifiants des entités.

Identificateurs forts pour les entités de compte et d’hôte

Au moins un identifiant est requis dans une requête.

En fonction de l’entité sélectionnée, vous verrez les identificateurs disponibles. En cliquant sur les identificateurs appropriés, vous collez l’identificateur dans la requête, à l’emplacement du curseur.

SecurityEvent
| where EventID == "4728"
| where (SubjectUserSid == '{{Account_Sid}}' ) or (SubjectUserName == '{{Account_Name}}' and SubjectDomainName == '{{Account_NTDomain}}' )
| project TimeGenerated, SubjectUserName, MemberName, MemberSid, GroupName=TargetUserName

Présentation de l’activité dans la chronologie

Par souci pratique, vous pouvez déterminer comment l’activité est présentée dans la chronologie en ajoutant des paramètres dynamiques à la sortie de l’activité.

Microsoft Sentinel fournit des paramètres intégrés que vous pouvez utiliser. Vous pouvez également en utiliser d’autres en fonction des champs que vous avez projetés dans la requête.

Utilisez le format suivant pour vos paramètres : {{ParameterName}}

Une fois la requête d'activité validée et que le lien Afficher les résultats de la requête apparaît sous la fenêtre de requête, vous pourrez étendre la section Valeurs disponibles pour voir les paramètres que vous pouvez utiliser lors de la création d'un titre d'activité dynamique.

Sélectionnez l’icône Copier en regard d’un paramètre spécifique pour copier ce paramètre dans le Presse-papiers afin de pouvoir le coller dans le champ Titre de l’activité ci-dessus.

Ajoutez l’un des paramètres suivants à votre requête :

• Tout champ que vous projetez dans la requête.

• Identificateurs de toutes les entités mentionnées dans la requête.

• StartTimeUTC, pour ajouter l’heure de début de l’activité, en heure UTC.

• EndTimeUTC, pour ajouter l’heure de fin de l’activité, en heure UTC.

• Count, pour résumer plusieurs sorties de requête KQL en une seule sortie.

  Le paramètre count ajoute la commande suivante à votre requête en arrière-plan, même si elle ne s’affiche pas entièrement dans l’éditeur :

  Summarize count() by <each parameter you’ve projected in the activity>
  

  Ensuite, lorsque vous utilisez le filtre Taille du compartiment dans les pages d’entité, la commande suivante est également ajoutée à la requête exécutée en arrière-plan :

  Summarize count() by <each parameter you’ve projected in the activity>, bin (TimeGenerated, Bucket in Hours)
  

Exemple :

Lorsque vous êtes satisfait de votre requête et de votre titre d’activité, sélectionnez Suivant : Vérifier.

Consultez plus d’informations sur les éléments suivants utilisés dans les exemples précédents dans la documentation Kusto :

• Opérateur where
• opérateur de projet
• résumer opérateur
• bin() fonction
• fonction d’agrégation count()

Pour plus d’informations sur KQL, consultez la vue d’ensemble du langage de requête Kusto (KQL).

Autres ressources :

• Référence rapide KQL
• Ressources d’apprentissage du langage de requête Kusto

Onglet Vérifier et créer

1. Vérifiez toutes les informations de configuration de votre activité personnalisée.

2. Lorsque le message de validation transmis s’affiche, cliquez sur Créer pour créer l’activité. Vous pouvez le modifier ou le modifier ultérieurement dans l’onglet Mes activités .

Gérer vos activités

Gérez vos activités personnalisées à partir de l’onglet Mes activités . Cliquez sur les points de suspension (...) à la fin de la ligne d’une activité pour :

• Modifier l’activité.
• Dupliquer l’activité pour en créer une nouvelle, légèrement différente.
• Supprimer l’activité.
• Désactiver l’activité (sans la supprimer).

Afficher les activités dans une page d’entité

Chaque fois que vous entrez sur une page d’entité, toutes les requêtes d’activité activées pour cette entité s’exécutent, ce qui vous permet d’obtenir des informations à la minute près dans la chronologie de l’entité. Vous verrez les activités dans la chronologie, en même temps que les alertes et les signets.

Vous pouvez utiliser le filtre de contenu chronologie pour présenter uniquement les activités (ou toute combinaison d’activités, d’alertes et de signets).

Vous pouvez également utiliser le filtre Activités pour présenter ou masquer des activités spécifiques.

Étapes suivantes

Dans ce document, vous avez appris à créer des activités personnalisées pour vos chronologies de page d’entité. Pour en savoir plus sur Microsoft Sentinel, consultez les articles suivants :

• Obtenez l’image complète sur les pages d’entité.
• Découvrez-en plus sur l’analytique du comportement des utilisateurs et des entités (UEBA).
• Consultez la liste complète des entités et des identificateurs.