Migrar para o Microsoft Sentinel com a experiência de migração de SIEM

A ferramenta de migração SIEM analisa deteções de Splunk, incluindo deteções personalizadas, e recomenda as regras de deteção Microsoft Sentinel mais adequadas. Também fornece recomendações para conectores de dados, tanto Microsoft como conectores de terceiros disponíveis no Content Hub, para permitir as deteções recomendadas. Os clientes podem acompanhar a migração atribuindo o estatuto correto a cada cartão de recomendação.

A experiência de Migração SIEM inclui as seguintes funcionalidades:

• A experiência se concentra na migração do monitoramento de segurança do Splunk para o Microsoft Sentinel e no mapeamento de regras de análise prontas para uso (OOTB) sempre que possível.
• A experiência suporta a migração de deteções Splunk para as regras de análise Microsoft Sentinel.

Pré-requisitos

• Microsoft Sentinel no portal Microsoft Defender
• Pelo menos permissões do Microsoft Sentinel Contributor no espaço de trabalho Microsoft Sentinel
• Copilot de Segurança ativado no seu tenant com pelo menos uma função de operador de espaço de trabalho atribuída

Exportar regras de deteção do seu SIEM atual

Na aplicação de Pesquisa e Relatórios do Splunk, execute a seguinte consulta:

| rest splunk_server=local count=0 /servicesNS/-/-/saved/searches | search disabled=0 | search alert_threshold != "" | table title, search, description, cron_schedule, dispatch.earliest_time, alert.severity, alert_comparator, alert_threshold, alert.suppress.period, id, eai:acl.app, actions, action.correlationsearch.annotations, action.correlationsearch.enabled | tojson | table _raw | rename _raw as alertrules | mvcombine delim=", " alertrules | append [ | rest splunk_server=local count=0 /servicesNS/-/-/admin/macros | table title,definition,args,iseval | tojson | table _raw | rename _raw as macros | mvcombine delim=", " macros ] | filldown alertrules |tail 1 

Precisas de um papel de administrador Splunk para exportar todos os alertas Splunk. Para obter mais informações, consulte Acesso de utilizador baseado em funções do Splunk.

Iniciar a experiência de migração SIEM

Depois de exportar as regras, faça o seguinte:

1. Aceda a security.microsoft.com.

2. No separador de Otimização SOC , selecione Configurar o seu novo SIEM.

   

3. Selecionar Migrar a partir do Splunk:

   

4. Carregue os dados de configuração que exportou do seu SIEM atual e selecione Próximo.

   

   A ferramenta de migração analisa a exportação e identifica o número de fontes de dados e regras de deteção no ficheiro que forneceste. Use esta informação para confirmar que tem a exportação correta.

   Se os dados não parecerem corretos, selecione Substituir ficheiro no canto superior direito e carregue uma nova exportação. Quando o ficheiro correto for carregado, selecione Próximo.

   

5. Selecione um espaço de trabalho e depois selecione Iniciar Análise.

   

   A ferramenta de migração mapeia as regras de deteção para as fontes de dados e regras de deteção do Microsoft Sentinel. Se não houver recomendações no espaço de trabalho, criam-se recomendações. Se existirem recomendações existentes, a ferramenta apaga-as e substitui-as por novas.

   

6. Atualize a página e selecione o estado da análise de configuração do SIEM para ver o progresso da análise:

   

   Esta página não atualiza automaticamente. Para ver o estado mais recente, feche e reabra a página.

   A análise está concluída quando os três pontos de verificação estão verdes. Se as três marcas estiverem verdes mas não houver recomendações, significa que não foram encontradas coincidências para as suas regras.

   

   Quando a análise termina, a ferramenta de migração gera recomendações baseadas em casos de uso, agrupadas por soluções do Content Hub. Pode também descarregar um relatório detalhado da análise. O relatório contém uma análise detalhada dos empregos de migração recomendados, incluindo as regras do Splunk para as quais não encontrámos uma boa solução, não foram detetadas ou não se aplicaram.

   

   Filtrar o tipo de recomendação por configuração do SIEM para ver recomendações de migração.

7. Selecione um dos cartões de recomendação para visualizar as fontes de dados e regras mapeadas.

   

   A ferramenta associa as regras Splunk aos conectores de dados Microsoft Sentinel prontos a usar e às regras de deteção incorporadas do Microsoft Sentinel. O separador 'connectores' mostra os conectores de dados que correspondem às regras do seu SIEM e o estado (ligado ou desligado). Se quiseres usar um conector que não está ligado, podes ligar pelo separador do conector. Se não estiver instalado um conector, vai ao Content hub e instala a solução que contém o conector que queres usar.

   

   A aba de deteções mostra a seguinte informação:

   • Recomendações da ferramenta de migração SIEM.
   • A regra atual de deteção de Splunk do teu ficheiro carregado.
   • O estado da regra de deteção no Microsoft Sentinel. O estado pode ser:
     • Ativado: A regra de deteção é criada a partir do modelo da regra, está ativada e ativa devido a uma ação anterior.
     • Desativada: A regra de deteção está instalada a partir do Content Hub, mas não está ativada no espaço de trabalho Microsoft Sentinel
     • Não em uso: A regra de deteção foi instalada a partir do Content Hub e está disponível como modelo para ativação
     • Não instalado: A regra de deteção não foi instalada a partir do Content Hub
   • Os conectores necessários que precisam de ser configurados para trazer os registos necessários para a regra de deteção recomendada. Se não estiver disponível um conector necessário, há um painel lateral com um assistente para o instalar a partir do Content Hub. Se todos os conectores necessários estiverem ligados, aparece uma marca de verificação verde.

   

Ativar regras de deteção

Quando selecionas uma regra, abre-se o painel lateral de detalhes das regras e podes ver os detalhes do modelo de regras.

• Se o conector de dados associado estiver instalado e configurado, selecione Ativar deteção para ativar a regra de deteção.

  

• Selecione Mais ações>Criar manualmente para abrir o assistente de regras de análise para que possa rever e editar a regra antes de a ativar.

• Se a regra já estiver ativada, selecione Editar para abrir o assistente de regras de análise e rever e editar a regra.

  

  O assistente mostra a regra Splunk SPL e podes compará-la com o Microsoft Sentinel KQL.

  

Se o conector de dados não estiver instalado e configurado para transmitir registos, a opção de ativar deteção fica desativada.

• Pode ativar várias regras ao mesmo tempo selecionando as caixas de seleção ao lado de cada regra que pretende ativar e depois selecionando Ativar deteções selecionadas no topo da página.

  

A ferramenta de migração SIEM não instala explicitamente quaisquer conectores nem ativa regras de deteção.

Limitações

• A ferramenta de migração mapeia as regras exportadas para conectores de dados do Microsoft Sentinel prontos para uso e as regras de deteção.