Praca z wywiadem zagrożeń Microsoft Sentinel

Przyspiesz wykrywanie i usuwanie zagrożeń dzięki usprawnionemu tworzeniu i zarządzaniu inteligencją zagrożeń. W tym artykule pokazano, jak jak w interfejsie zarządzania jak najlepiej zintegrować analizę zagrożeń, niezależnie od tego, czy uzyskujesz do niego dostęp z usługi Microsoft Sentinel w portalu usługi Defender, czy w witrynie Azure Portal.

• Tworzenie obiektów analizy zagrożeń przy użyciu ustrukturyzowanego wyrażenia informacji o zagrożeniach (STIX)
• Zarządzaj analizą zagrożeń poprzez wyświetlanie, opracowywanie i wizualizowanie

Wymagania wstępne

• Do zarządzania analizą zagrożeń potrzebne są uprawnienia współautora usługi Microsoft Sentinel lub wyższej roli przypisanej do konta użytkownika.
• Aby zaimportować i wyeksportować analizę zagrożeń, musisz zainstalować rozwiązanie analizy zagrożeń w usłudze Microsoft Sentinel i włączyć odpowiednie łączniki, zgodnie z opisem w temacie Używanie narzędzia STIX/TAXII do importowania i eksportowania analizy zagrożeń w usłudze Microsoft Sentinel.

Uzyskiwanie dostępu do interfejsu zarządzania

Odwołaj się do jednej z poniższych kart, w zależności od tego, gdzie chcesz pracować z analizą zagrożeń. Mimo że dostęp do interfejsu zarządzania różni się w zależności od używanego portalu, zadania tworzenia i zarządzania mają te same kroki po ich uruchomieniu.

Tworzenie analizy zagrożeń

Interfejs zarządzania umożliwia tworzenie obiektów STIX i wykonywanie innych typowych zadań analizy zagrożeń, takich jak tagowanie wskaźników i nawiązywanie połączeń między obiektami.

• Zdefiniuj relacje podczas tworzenia nowych obiektów STIX.
• Szybko utwórz wiele obiektów przy użyciu funkcji duplikatu, aby skopiować metadane z nowego lub istniejącego obiektu TI.

Aby uzyskać więcej informacji na temat obsługiwanych obiektów STIX, zobacz Analiza zagrożeń w usłudze Microsoft Sentinel.

Tworzenie nowego obiektu STIX

1. Wybierz Dodaj Nowy>obiekt TI.

   

2. Wybierz typ obiektu, a następnie wypełnij formularz na stronie Nowy obiekt TI . Wymagane pola są oznaczone czerwoną gwiazdką (*).

3. Rozważ wyznaczenie wartości poufności lub klasyfikacji według protokołu Traffic light protocol (TLP) dla obiektu TI. Aby uzyskać więcej informacji na temat tego, co te wartości reprezentują, zobacz Curate threat intelligence.

4. Jeśli wiesz, jak ten obiekt odnosi się do innego obiektu analizy zagrożeń, wskaż połączenie z typem relacji i odwołaniem docelowym.

5. Wybierz pozycję Dodaj dla pojedynczego obiektu lub Dodaj i zduplikuj , jeśli chcesz utworzyć więcej elementów z tymi samymi metadanymi. Na poniższej ilustracji przedstawiono wspólną sekcję metadanych każdego obiektu STIX, które są zduplikowane.

Zarządzanie analizą zagrożeń

Zoptymalizuj TI z twoich źródeł przy użyciu reguł przetwarzania. Zaktualizuj istniejące TI za pomocą narzędzia do tworzenia relacji. Użyj interfejsu zarządzania do wyszukiwania, filtrowania i sortowania, a następnie dodawania tagów do analizy zagrożeń.

Optymalizowanie źródeł danych analizy zagrożeń przy użyciu reguł pozyskiwania

Zmniejsz szum z kanałów informacyjnych TI, rozszerz ważność wskaźników o wysokiej wartości i dodaj znaczące tagi do obiektów przychodzących. Są to tylko niektóre przypadki użycia reguł przetwarzania. Poniżej przedstawiono kroki rozszerzania daty ważności na wskaźniki o wysokiej wartości.

1. Wybierz Reguły pozyskiwania, aby otworzyć zupełnie nową stronę, na której można wyświetlić istniejące reguły oraz tworzyć logikę nowych reguł.

   

2. Wprowadź opisową nazwę reguły. Strona reguł wprowadzania ma wystarczającą przestrzeń na nazwę, ale jest to jedyny dostępny opis tekstowy, który pozwala odróżnić reguły bez ich edytowania.

3. Wybierz typ obiektu. Ten przypadek użycia jest oparty na rozszerzeniu Valid from właściwości, która jest dostępna tylko dla Indicator typów obiektów.

4. Dodaj warunek i SourceEquals wybierz wartość o wysokiej wartości Source.

5. Dodaj warunek dla ConfidenceGreater than or equal i wprowadź Confidence wynik.

6. Wybierz akcję. Ponieważ chcemy zmodyfikować ten wskaźnik, wybierz pozycję Edit.

7. Wybierz akcję Dodaj dla Valid until, Extend byi wybierz przedział czasu w dniach.

8. Rozważ dodanie tagu, aby wskazać wysoką wartość umieszczoną na tych wskaźnikach, na przykład Extended. Data modyfikacji nie jest aktualizowana przez reguły przetwarzania.

9. Wybierz zamówienie, dla którego chcesz uruchomić regułę. Reguły są uruchamiane od najniższego numeru kolejności do najwyższego. Każda reguła ocenia każdy obiekt pozyskany.

10. Jeśli reguła jest gotowa do włączenia, przełącz pozycję Stan na włączone.

11. Wybierz pozycję Dodaj , aby utworzyć regułę pozyskiwania.

Aby uzyskać więcej informacji, zobacz Reguły pozyskiwania analizy zagrożeń.

Curate threat intelligence with the relationship builder (Tworzenie analiz zagrożeń za pomocą konstruktora relacji)

Łączenie obiektów analizy zagrożeń za pomocą konstruktora relacji. W konstruktorze istnieje maksymalnie 20 relacji, ale można utworzyć więcej połączeń za pomocą wielu iteracji i dodając odwołania docelowe relacji dla nowych obiektów.

1. Wybierz Dodaj nową>relację TI.

2. Zacznij od istniejącego obiektu TI, takiego jak aktor zagrożenia lub wzorzec ataku, w którym pojedynczy obiekt łączy się z co najmniej jednym istniejącym obiektem, na przykład wskaźnikami.

3. Dodaj typ relacji zgodnie z najlepszymi rozwiązaniami opisanymi w poniższej tabeli i w tabeli podsumowania relacji referencyjnej STIX 2.1:

   Typ pokrewieństwa	opis
   Duplikat Pochodzi z Powiązane z	Typowe relacje zdefiniowane dla dowolnego obiektu domeny STIX (SDO) Aby uzyskać więcej informacji, zobacz dokumentację STIX 2.1 dotyczącą typowych relacji
   Cele	Attack pattern lub Threat actor cele Identity
   Zastosowania	Threat actor Używa Attack pattern
   Przypisane do	Threat actor Przypisane do Identity
   Wskazuje	Indicator Wskazuje Attack pattern lub Threat actor
   Podszywa się	Threat actor Udaje Identity

4. Użyj poniższej ilustracji jako przykładu używania konstruktora relacji. W tym przykładzie pokazano, jak nawiązać połączenie między aktorem zagrożenia a wzorcem ataku, wskaźnikiem i tożsamością przy użyciu konstruktora relacji w portalu usługi Defender.

   

5. Ukończ relację, konfigurując wspólne właściwości.

Wyświetlanie analizy zagrożeń w interfejsie zarządzania

Użyj interfejsu zarządzania, aby sortować, filtrować i przeszukiwać analizę zagrożeń z dowolnego źródła, z którego zostały pozyskane bez konieczności pisania zapytania usługi Log Analytics.

1. Z poziomu interfejsu zarządzania rozwiń menu Co chcesz wyszukać?

2. Wybierz typ obiektu STIX lub pozostaw wartość domyślną Wszystkie typy obiektów.

3. Wybierz warunki przy użyciu operatorów logicznych.

4. Wybierz obiekt, o którym chcesz wyświetlić więcej informacji.

Na poniższej ilustracji użyto wielu źródeł do wyszukiwania, umieszczając je w grupie OR, natomiast wiele warunków zgrupowano za pomocą operatora AND.

Usługa Microsoft Sentinel wyświetla tylko najnowszą wersję informacji wywiadowczych o zagrożeniach w tym widoku. Aby uzyskać więcej informacji na temat aktualizowania obiektów, zobacz Cykl życia analizy zagrożeń.

Wskaźniki adresów IP i nazw domen są wzbogacone dodatkowymi GeoLocation danymi, WhoIs dzięki czemu można zapewnić więcej kontekstu dla wszystkich badań, w których znaleziono wskaźnik.

Oto przykład.

Tagowanie i edytowanie analizy zagrożeń

Tagowanie analizy zagrożeń to szybki sposób grupowania obiektów w celu ułatwienia ich znajdowania. Zazwyczaj można stosować tagi związane z konkretnym zdarzeniem. Jeśli jednak obiekt reprezentuje zagrożenia ze strony określonego znanego aktora lub dobrze znanej kampanii ataku, rozważ utworzenie relacji zamiast tagu.

1. Użyj interfejsu zarządzania do sortowania, filtrowania i wyszukiwania analizy zagrożeń.
2. Po znalezieniu obiektów, z którymi chcesz pracować, zaznacz jeden lub więcej obiektów tego samego typu.
3. Wybierz Dodaj tagi i oznacz je wszystkie jednocześnie jednym lub więcej tagami.
4. Ponieważ tagowanie jest bezpłatne, zalecamy utworzenie standardowych konwencji nazewnictwa tagów w organizacji.

Edytuj jednocześnie jeden obiekt analizy zagrożeń, niezależnie od tego, czy został utworzony bezpośrednio w usłudze Microsoft Sentinel, czy ze źródeł partnerskich, takich jak serwery TIP i TAXII. W przypadku informacji o zagrożeniach utworzonych w interfejsie zarządzania wszystkie pola można edytować. W przypadku informacji o zagrożeniach pozyskanych ze źródeł partnerów można edytować tylko określone pola, w tym tagi, datę wygaśnięcia, wiarygodność i unieważnione. Tak czy inaczej, tylko najnowsza wersja obiektu jest wyświetlana w interfejsie zarządzania.

Aby uzyskać więcej informacji na temat aktualizowania inteligencji zagrożeń, zobacz Wyświetlanie analizy zagrożeń.

Znajdowanie i wyświetlanie analizy zagrożeń za pomocą zapytań

W tej procedurze opisano sposób wyświetlania analizy zagrożeń za pomocą zapytań, niezależnie od źródła danych lub metody użytej do ich pozyskiwania.

Wskaźniki zagrożeń są przechowywane w tabeli usługi Microsoft Sentinel ThreatIntelligenceIndicator . Ta tabela jest podstawą zapytań analizy zagrożeń wykonywanych przez inne funkcje usługi Microsoft Sentinel, takie jak Analytics, Hunting i Workbooks.

Aby uzyskać więcej informacji, zobacz Wyświetlanie analizy zagrożeń.

Wizualizowanie analizy zagrożeń za pomocą skoroszytów

Użyj specjalnie utworzonego skoroszytu usługi Microsoft Sentinel, aby zwizualizować kluczowe informacje o analizie zagrożeń w usłudze Microsoft Sentinel i dostosować skoroszyt zgodnie z potrzebami biznesowymi.

Poniżej przedstawiono sposób znajdowania skoroszytu analizy zagrożeń udostępnionego w usłudze Microsoft Sentinel oraz przykład sposobu wprowadzania zmian w skoroszycie w celu jego dostosowania.

1. W witrynie Azure Portal przejdź do usługi Microsoft Sentinel.

2. Wybierz obszar roboczy, do którego zaimportowałeś wskaźniki zagrożeń, używając jednego z łączników danych analizy zagrożeń.

3. W sekcji Zarządzanie zagrożeniami w menu usługi Microsoft Sentinel wybierz pozycję Skoroszyty.

4. Znajdź skoroszyt zatytułowany Analiza zagrożeń. Sprawdź, czy masz dane w ThreatIntelligenceIndicator tabeli.

   

5. Wybierz pozycję Zapisz i wybierz lokalizację platformy Azure, w której ma być przechowywany skoroszyt. Ten krok jest wymagany, jeśli zamierzasz zmodyfikować skoroszyt w jakikolwiek sposób i zapisać zmiany.

6. Teraz wybierz pozycję Wyświetl zapisany skoroszyt , aby otworzyć skoroszyt do wyświetlania i edytowania.

7. Teraz powinny zostać wyświetlone domyślne wykresy dostarczone przez szablon. Aby zmodyfikować wykres, wybierz pozycję Edytuj w górnej części strony, aby uruchomić tryb edycji skoroszytu.

8. Dodaj nowy wykres wskaźników zagrożeń według typu zagrożenia. Przewiń do dołu strony i wybierz pozycję Dodaj zapytanie.

9. Dodaj następujący tekst do pola Zapytanie dziennika w obszarze roboczym Log Analytics :

   ThreatIntelligenceIndicator
   | summarize count() by ThreatType
   

   Zobacz więcej informacji na temat następujących elementów używanych w poprzednim przykładzie w dokumentacji usługi Kusto:

   • operator podsumowania
   • count() , funkcja agregacji

10. Z menu rozwijanego Wizualizacja wybierz Wykres słupkowy.

11. Wybierz pozycję Zakończono edytowanie i wyświetl nowy wykres dla skoroszytu.

    

Skoroszyty udostępniają interaktywne, zaawansowane pulpity nawigacyjne, które dają wgląd we wszystkie aspekty usługi Microsoft Sentinel. Wiele zadań można wykonywać za pomocą skoroszytów, a udostępnione szablony są doskonałym punktem wyjścia. Dostosuj szablony lub utwórz nowe pulpity nawigacyjne, łącząc wiele źródeł danych, aby umożliwić wizualizowanie danych w unikatowy sposób.

Skoroszyty usługi Microsoft Sentinel są oparte na skoroszytach usługi Azure Monitor, dlatego dostępna jest obszerna dokumentacja i wiele innych szablonów. Aby uzyskać więcej informacji, zobacz Tworzenie interaktywnych raportów za pomocą skoroszytów usługi Azure Monitor.

Istnieje również bogaty zasób dla skoroszytów usługi Azure Monitor w witrynie GitHub, w którym można pobrać więcej szablonów i współtworzyć własne szablony.

Eksportowanie analizy zagrożeń

Usługa Microsoft Sentinel umożliwia eksportowanie analizy zagrożeń do innych miejsc docelowych. Jeśli na przykład pozyskano analizę zagrożeń przy użyciu łącznika danych Analiza zagrożeń — TAXII , możesz wyeksportować analizę zagrożeń z powrotem do platformy źródłowej na potrzeby udostępniania analizy dwukierunkowej. Funkcja eksportu zmniejsza potrzebę ręcznego przetwarzania lub niestandardowych podręczników w celu dystrybucji analizy zagrożeń.

Aby wyeksportować analizę zagrożeń:

1. W przypadku usługi Microsoft Sentinel w portalu usługi Defender wybierz pozycję Zarządzanie funkcją Analizy > zagrożeń Intel. W przypadku usługi Microsoft Sentinel w portalu Azure wybierz Zarządzanie zagrożeniami > Informacje o zagrożeniach.

2. Wybierz co najmniej jeden obiekt STIX, a następnie wybierz pozycję Eksportuj na pasku narzędzi w górnej części strony. Przykład:

   • Portal Defender
   • Portal Azure

   

3. W okienku Eksportuj z listy rozwijanej Eksportuj ti wybierz serwer, do którego chcesz wyeksportować analizę zagrożeń.

   Jeśli na liście nie ma serwera, musisz najpierw skonfigurować serwer na potrzeby eksportu, zgodnie z opisem w temacie Włączanie analizy zagrożeń — łącznik danych eksportu TAXII. Usługa Microsoft Sentinel obecnie obsługuje eksportowanie wyłącznie do platform opartych na TAXII 2.1.

4. Wybierz Eksportuj.

   Ważne

   Podczas eksportowania obiektów analizy zagrożeń system wykonuje operację zbiorczą. Istnieje znany problem polegający na tym, że ta operacja zbiorcza czasami kończy się niepowodzeniem. Jeśli tak się stanie, po otwarciu panelu bocznego Eksportuj zostanie wyświetlone ostrzeżenie z prośbą o usunięcie akcji, która zakończyła się niepowodzeniem z widoku historii operacji zbiorczych. System wstrzymuje kolejne operacje do momentu usunięcia operacji, która zakończyła się niepowodzeniem.

Aby uzyskać dostęp do historii eksportu:

1. Przejdź do wyeksportowanego elementu na stronie zarządzania Intel (portal Defender) lub stronie analizy zagrożeń (portal Azure).
2. W kolumnie Eksporty wybierz pozycję Wyświetl historię eksportu , aby wyświetlić historię eksportu dla tego elementu.

Powiązana zawartość

Aby uzyskać więcej informacji, zobacz następujące artykuły:

• Analiza zagrożeń w usłudze Microsoft Sentinel.
• Połącz Microsoft Sentinel z źródłami wywiadu o zagrożeniach STIX/TAXII.
• Zobacz, które elementy TIPs, TAXII feeds i wzbogacenia można łatwo zintegrować z usługą Microsoft Sentinel.

Aby uzyskać więcej informacji na temat języka KQL, zobacz Omówienie języka Kusto Query Language (KQL).

Inne zasoby:

• Szybki przewodnik po języku KQL
• Zasoby szkoleniowe dotyczące języka zapytań Kusto