Wprowadzenie do notatników Jupyter i biblioteki MSTICPy w usłudze Microsoft Sentinel

W tym artykule opisano, jak uruchomić notes Wprowadzenie dla notesów uczenia maszynowego usługi Microsoft Sentinel, który ustawia podstawowe konfiguracje do uruchamiania notesów Jupyter w usłudze Microsoft Sentinel oraz zawiera przykłady uruchamiania prostych zapytań.

Zeszyt Poradnik wprowadzający dla notesów uczenia maszynowego usługi Microsoft Sentinel korzysta z biblioteki MSTICPy, która jest zaawansowaną biblioteką języka Python przeznaczoną do ulepszania analiz zabezpieczeń i wyszukiwania zagrożeń w notesach usługi Microsoft Sentinel. Udostępnia wbudowane narzędzia do wzbogacania danych, wizualizacji, wykrywania anomalii i zautomatyzowanych zapytań, pomagając analitykom usprawnić przepływ pracy bez rozbudowanego kodowania niestandardowego.

Aby uzyskać więcej informacji, zobacz Korzystanie z notatników do wspierania dochodzeń i Korzystanie z notatników Jupyter do szukania zagrożeń bezpieczeństwa.

Wymagania wstępne

Przed rozpoczęciem upewnij się, że masz wymagane uprawnienia i zasoby.

Instalacja i uruchomienie notatnika Przewodnik na start

W tej procedurze opisano sposób uruchamiania notatnika za pomocą usługi Microsoft Sentinel.

1. W przypadku usługi Microsoft Sentinel w portalu usługi Defender wybierz Microsoft Sentinel>, zarządzanie zagrożeniami>, Notesy. Dla Microsoft Sentinel w Azure portal, w sekcji Zarządzanie zagrożeniami, wybierz Notatniki.

2. Na karcie Szablony wybierz pozycję Przewodnik wprowadzający dla notesów uczenia maszynowego usługi Microsoft Sentinel .

3. Wybierz Utwórz z szablonu.

4. Edytuj nazwę i wybierz odpowiedni obszar roboczy usługi Azure Machine Learning.

5. Wybierz pozycję Zapisz , aby zapisać go w obszarze roboczym usługi Azure Machine Learning.

6. Wybierz pozycję Uruchom notes , aby uruchomić notes. Notatnik zawiera serię komórek.

   • Komórki markdown zawierają tekst i grafikę z instrukcjami dotyczącymi korzystania z notesu
   • Komórki kodu zawierają kod wykonywalny, który wykonuje funkcje notesu

7. W górnej części strony wybierz pozycję Kompter.

8. Kontynuuj, odczytując komórki markdown i uruchamiając komórki kodu w kolejności, korzystając z instrukcji w notesie. Pomijanie komórek lub ich brak kolejności może spowodować błędy w dalszej części notesu.

   W zależności od wykonywanej funkcji kod w komórce może działać szybko lub może upłynąć trochę czasu do zakończenia. Gdy komórka jest uruchomiona, przycisk odtwarzania zmienia się na pokrętło ładowania, a stan jest wyświetlany w dolnej części komórki wraz z upływem czasu.

   Przy pierwszym uruchomieniu komórki kodu może to potrwać kilka minut, aby rozpocząć sesję w zależności od ustawień obliczeniowych. Pojawia się wskazanie Gotowe, gdy notes jest gotowy do uruchamiania komórek kodowych. Przykład:

   

Notatnik Przewodnik wprowadzający do notesów uczenia maszynowego usługi Microsoft Sentinel zawiera sekcje dotyczące następujących działań:

Kod w przewodniku Szybkiego Startu dotyczącym notesów ML usługi Microsoft Sentinel uruchamia narzędzie MpConfigEdit, które zawiera serię kart do konfigurowania środowiska notesów. Podczas wprowadzania zmian w narzędziu MpConfigEdit pamiętaj, aby zapisać zmiany przed kontynuowaniem. Ustawienia notesu są przechowywane w pliku msticpyconfig.yaml, który jest automatycznie wypełniany początkowymi ustawieniami dla twojego obszaru roboczego.

Pamiętaj, aby dokładnie przeczytać komórki markdown, aby całkowicie zrozumieć proces, w tym każde z ustawień oraz plik msticpyconfig.yaml. Następne kroki, dodatkowe zasoby i często zadawane pytania z wiki notesów usługi Azure Sentinel są dostępne na końcu notesu.

Dostosowywanie zapytań (opcjonalnie)

Przewodnik "Pierwsze Kroki" dla notesów usługi Microsoft Sentinel ML zawiera przykładowe zapytania, które możesz wykorzystać podczas nauki o notesach. Dostosuj wbudowane zapytania, dodając więcej logiki zapytań lub uruchamiając kompletne zapytania przy użyciu exec_query funkcji . Na przykład większość wbudowanych zapytań obsługuje add_query_items parametr , którego można użyć do dołączania filtrów lub innych operacji do zapytań.

1. Uruchom następującą komórkę kodu, aby dodać ramkę danych podsumowującą liczbę alertów według nazwy alertu:

   from datetime import datetime, timedelta
   
   qry_prov.SecurityAlert.list_alerts(
      start=datetime.utcnow() - timedelta(28),
       end=datetime.utcnow(),
       add_query_items="| summarize NumAlerts=count() by AlertName"
   )
   

2. Przekaż pełny ciąg zapytania języka Kusto Query Language (KQL) do dostawcy zapytań. Zapytanie jest uruchamiane względem połączonego obszaru roboczego, a dane są zwracane jako ramka danych panda. Biegnij:

   # Define your query
   test_query = """
   OfficeActivity
   | where TimeGenerated > ago(1d)
   | take 10
   """
   
   # Pass the query to your QueryProvider
   office_events_df = qry_prov.exec_query(test_query)
   display(office_events_df.head())
   
   

Aby uzyskać więcej informacji, zobacz:

• Referencja zapytań MSTICPy
• Uruchamianie wstępnie zdefiniowanych zapytań MSTICPy

Stosowanie wskazówek do innych notebooków

W krokach opisanych w tym artykule opisano sposób uruchamiania notesu Wprowadzenie dla notesów uczenia maszynowego usługi Microsoft Sentinel w obszarze roboczym usługi Azure Machine Learning za pośrednictwem usługi Microsoft Sentinel. Możesz również użyć tego artykułu jako wskazówek dotyczących wykonywania podobnych kroków, aby uruchamiać notesy w innych środowiskach, w tym lokalnie.

Kilka notesów usługi Microsoft Sentinel nie korzysta z biblioteki MSTICPy, takich jak notesy skanera poświadczeń ani przykładów programu PowerShell i języka C#. Notesy, które nie korzystają z MSTICpy, nie wymagają konfiguracji MSTICPy opisanej w tym tekście.

Wypróbuj inne notesy usługi Microsoft Sentinel, takie jak:

• Konfigurowanie środowiska laptopa
• Przewodnik po funkcjach notesu Cybersec
• Przykłady uczenia maszynowego w notesach
• Seria Entity Explorer , w tym odmiany kont, domen i adresów URL, adresów IP i hostów z systemem Linux lub Windows.

Aby uzyskać więcej informacji, zobacz:

• Notatniki Jupyter z funkcjami wykrywania zagrożeń w usłudze Microsoft Sentinel
• Zaawansowane konfiguracje notesów Jupyter i biblioteki MSTICPy w usłudze Microsoft Sentinel
• Tworzenie pierwszego notesu usługi Microsoft Sentinel (seria blogów)
• Przewodnik po eksploracji hostów w notatniku systemu Linux (blog)

Powiązana zawartość

Aby uzyskać więcej informacji, zobacz:

• Dokumentacja MSTICPy
• Zeszyty Jupyter: wprowadzenie
• Podręcznik Jupyterbook programu Infosec
• Dlaczego warto używać programu Jupyter do badania zabezpieczeń
• Badania zabezpieczeń za pomocą usługi Microsoft Sentinel i notesów