Tworzenie zapytań lub reguł wykrywania za pomocą list obserwowanych w usłudze Microsoft Sentinel

Skoreluj dane listy obserwowanych z dowolnymi danymi usługi Microsoft Sentinel za pomocą operatorów tabelarycznych Kusto, takich jak join i lookup. Podczas tworzenia listy obserwowanych należy zdefiniować SearchKey. Klucz wyszukiwania to nazwa kolumny na liście obserwowanych, która ma być używana jako sprzężenie z innymi danymi lub częstym obiektem wyszukiwania.

Aby uzyskać optymalną wydajność zapytań, użyj SearchKey jako klucza do sprzężeń w zapytaniach.

Tworzenie zapytań za pomocą list obserwowanych

Aby użyć listy obserwacyjnej w zapytaniu wyszukiwania, napisz zapytanie Kusto, które używa funkcji _GetWatchlist('watchlist-name') i używa SearchKey jako klucza do połączenia.

1. Dla Microsoft Sentinel w portalu Defender wybierz Microsoft Sentinel>Konfiguracja>Lista obserwacyjna. W przypadku usługi Microsoft Sentinel w witrynie Azure Portal w obszarze Konfiguracja wybierz pozycję Lista obserwowana.

2. Wybierz listę do obejrzenia, której chcesz użyć.

3. Wybierz Wyświetl w dziennikach.

   

4. Przejrzyj kartę Wyniki . Elementy na liście obserwowanych są automatycznie wyodrębniane dla zapytania.

   W poniższym przykładzie przedstawiono wyniki wyodrębniania pól Nazwa i Adres IP . Klucz wyszukiwania jest wyświetlany jako własna kolumna.

   

   Sygnatura czasowa zapytań zostanie zignorowana zarówno w interfejsie użytkownika zapytania, jak i w zaplanowanych alertach.

5. Napisz zapytanie, które używa funkcji _GetWatchlist('watchlist-name') i używa SearchKey jako klucza łączenia.

   Na przykład następujące przykładowe zapytanie łączy kolumnę RemoteIPCountry w Heartbeat tabeli z kluczem wyszukiwania zdefiniowanym dla listy obserwowanej o nazwie mywatchlist.

   Heartbeat
   | lookup kind=leftouter _GetWatchlist('mywatchlist') 
    on $left.RemoteIPCountry == $right.SearchKey
   

   Na poniższej ilustracji przedstawiono wyniki tego przykładowego zapytania w usłudze Log Analytics.

   

Tworzenie reguły analizy z listą obserwowaną

Aby użyć list do obejrzenia w regułach analizy, utwórz regułę przy użyciu funkcji _GetWatchlist('watchlist-name') w zapytaniu.

1. W obszarze Konfiguracja wybierz pozycję Analiza.

2. Wybierz pozycję Utwórz i typ reguły, którą chcesz utworzyć.

3. Na karcie Ogólne wprowadź odpowiednie informacje.

4. Na karcie Ustaw logikę reguły użyj funkcji w zapytaniu w obszarze _GetWatchlist('<watchlist>').

   Załóżmy na przykład, że masz listę obserwowaną o nazwie ipwatchlist utworzoną na podstawie pliku CSV z następującymi wartościami:

   IPAddress,Location
   10.0.100.11,Home
   172.16.107.23,Work
   10.0.150.39,Home
   172.20.32.117,Work

   Plik CSV wygląda podobnie do poniższej ilustracji.

   Aby użyć funkcji w tym przykładzie _GetWatchlist , zapytanie będzie następujące _GetWatchlist('ipwatchlist'): .

   

   W tym przykładzie uwzględniamy tylko zdarzenia z adresów IP na liście obserwowanych:

   //Watchlist as a variable
   let watchlist = (_GetWatchlist('ipwatchlist') | project IPAddress);
   Heartbeat
   | where ComputerIP in (watchlist)
   

   Poniższe przykładowe zapytanie używa wbudowanej listy kontrolnej z zapytaniem i kluczem wyszukiwania zdefiniowanym dla listy obserwowanych.

   //Watchlist inline with the query
   //Use SearchKey for the best performance
   Heartbeat
   | where ComputerIP in ( 
       (_GetWatchlist('ipwatchlist')
       | project SearchKey)
   )
   

   Na poniższej ilustracji przedstawiono to ostatnie zapytanie używane w zapytaniu reguły.

   

5. Wypełnij pozostałe karty w kreatorze reguł analizy.

Listy do obejrzenia są odświeżane w obszarze roboczym co 12 dni, aktualizując TimeGenerated pole. Aby uzyskać więcej informacji, zobacz Tworzenie niestandardowych reguł analizy w celu wykrywania zagrożeń.

Wyświetlanie listy aliasów listy obserwowanych

Może być konieczne wyświetlenie listy aliasów listy obserwowanych, aby zidentyfikować listę obserwowanych do użycia w regule zapytania lub analizy.

1. W przypadku usługi Microsoft Sentinel w witrynie Azure Portal w obszarze Ogólne wybierz pozycję Dzienniki.
   W portalu usługi Defender wybierz pozycję Badanie i reagowanie>Wyszukiwanie>Zaawansowane wyszukiwanie zagrożeń.

2. Na stronie Nowe zapytanie uruchom następujące zapytanie: _GetWatchlistAlias.

3. Przejrzyj listę aliasów na karcie Wyniki .

   

Więcej informacji na temat następujących elementów używanych w poprzednich przykładach można znaleźć w dokumentacji usługi Kusto:

• operator where
• operator projektu
• operator wyszukiwania
• operator in
• let instrukcja

Aby uzyskać więcej informacji na temat języka KQL, zobacz Omówienie języka Kusto Query Language (KQL).

Inne zasoby:

• Szybki przewodnik KQL
• Zasoby szkoleniowe dotyczące języka zapytań Kusto

Powiązana zawartość

W tym dokumencie przedstawiono sposób używania list do obejrzenia w usłudze Microsoft Sentinel w celu wzbogacania danych i ulepszania badań. Aby dowiedzieć się więcej o usłudze Microsoft Sentinel, zobacz następujące artykuły:

• Tworzenie list do obejrzenia
• Dowiedz się, jak uzyskać wgląd w dane i potencjalne zagrożenia.
• Rozpocznij wykrywanie zagrożeń za pomocą usługi Microsoft Sentinel.
• Monitorowanie danych za pomocą skoroszytów .