將 Splunk 偵測規則移轉至 Microsoft Sentinel

Splunk 偵測規則是安全性資訊和事件管理 （SIEM） 元件，與 Sentinel Microsoft 中的分析規則相比較。 本文說明識別、比較和遷移至 Sentinel Microsoft的概念。 最佳方式是從 SIEM 遷移經驗開始，其會識別現成可用的（OOTB）分析規則，以自動轉譯這些規則。

如果您想要移轉 Splunk 可檢視性部署，請深入瞭解如何 從 Splunk 移轉至 Azure 監視器記錄。

稽核規則

Microsoft Sentinel 會使用機器學習分析來建立高精確度且可採取動作的事件。 某些現有的 Splunk 偵測在Microsoft Sentinel 中可能是多餘的，因此不要盲目移轉它們。 當您識別現有的偵測規則時，請檢閱這些考量事項。

• 請務必選取可證明規則移轉的使用案例，考慮商務優先順序和效率。
• 請確認您 了解 Microsoft Sentinel 規則類型。
• 請檢查您了解 規則術語。
• 檢閱過去 6-12 個月沒有警示的過時規則，並判斷它們是否仍然相關。
• 消除您定期忽略的低階威脅或警示。
• 確認已連線的資料來源，並檢閱資料連線方法。 Microsoft Sentinel Analytics 要求在啟用規則之前，數據類型會出現在 Log Analytics 工作區中。 回顧覽資料收集交談，以確認您打算在使用案例上偵測的資料深度和廣度。 然後使用 SIEM 移轉體驗 來確保數據源已適當對應。

移轉規則

識別要移轉的 Splunk 偵測之後，請檢閱移轉程式的下列考慮：

• 比較Microsoft Sentinel 的 OOTB 分析規則與目前使用案例的現有功能。 使用 SIEM 移轉體驗 來查看哪些 Splunk 偵測會自動轉換成 OOTB 範本。
• 轉譯不符合 OOTB 分析規則的偵測。 自動轉譯 Splunk 偵測的最佳方式是 搭配 SIEM 移轉體驗。
• 探索 SOC Prime Threat Detection Marketplace 等社群資源，以探索更多使用案例的演算法。
• 如果無法使用或未自動翻譯內建規則，請手動轉譯偵測。 建立新的 KQL 查詢，並檢閱 規則對應。

如需詳細資訊，請參閱 移轉偵測規則的最佳做法。

規則移轉步驟

1. 請確認已備妥測試系統來處理您要移轉的每個規則。

   1. 準備移轉規則的驗證程式，包括完整的測試案例和腳本。

   2. 請確定您的小組有實用的資源 來測試已移轉的規則。

   3. 確認您已連線必要的數據源， 並檢閱您的數據連線方法。

2. 確認您的偵測是否在 Microsoft Sentinel 中以 OOTB 範本的形式提供：

   • 使用 SIEM 移轉體驗 ，將 OOTB 範本的翻譯和安裝自動化。

     如需詳細資訊，請參閱 使用 SIEM 移轉體驗。

   • 如果您有未反映在偵測中的使用案例，請使用 OOTB 規則範本為您自己的工作區建立規則。

     在 Microsoft Sentinel 中，前往 內容中樞。

     篩選分析規則範本的內容類型。

     尋找並 安裝/更新 每個對應的內容中樞解決方案或獨立分析規則範本。

     如需詳細資訊，請參閱 開箱即用的威脅偵測功能。

   • 如果您有Microsoft Sentinel 的 OOTB 規則未涵蓋的偵測，請先嘗試 SIEM 移轉體驗 進行自動轉譯。

   • 如果 OOTB 規則和 SIEM 移轉都無法完全轉譯偵測，請手動建立規則。 在這種情況下，請使用下列步驟來建立規則：

     1. 識別您想要在規則中使用的數據來源。 藉由建立數據源與數據表之間的對應數據表，來識別您想要查詢的Microsoft Sentinel 數據表。

     2. 識別您想要在規則中使用的數據中的任何屬性、欄位或實體。

     3. 識別您的規則準則和邏輯。 在這個階段，請考慮尋找規則範本作為如何建構 KQL 查詢的範例。

        請考慮篩選、相互關聯規則、作用中清單、參考集、關注清單、偵測異常、彙總等等。 您可以使用舊版 SIEM 所提供的參考，瞭解如何最好地映射查詢語法。

     4. 識別觸發條件和規則動作，然後建構並檢閱您的 KQL 查詢。 檢閱查詢時，請考慮 KQL 最佳化指引資源。

3. 使用每個相關使用案例測試規則。 如果它未提供預期的結果，請檢閱並編輯 KQL 並再次進行測試。

4. 當您滿意時，請考慮移轉的規則。 視需要為您的規則動作建立劇本。 如需詳細資訊，請參閱 在 Microsoft sentinel 中使用劇本將威脅回應自動化。

深入了解分析規則：

• 建立自定義分析規則來偵測威脅。 使用 警示群組 ，藉由將特定時間範圍內發生的警示分組，以減少警示疲勞。
• 在 Microsoft Sentinel 中將數據欄位對應至實體 ，使 SOC 工程師能夠將實體定義為調查期間追蹤的證據的一部分。 實體對應也可讓 SOC 分析師利用直覺式[調查圖表] (investigate-cases.md#use-the-investigation-graph-to-deep-dive)，協助縮短時間和精力。
• 使用 UEBA 數據調查事件，例如如何使用證據來突出顯示事件、警示，以及事件預覽窗格中與特定事件相關聯的任何書籤。
• Kusto 查詢語言 （KQL），可用來將唯讀要求傳送至 Log Analytics 資料庫來處理數據並傳回結果。 KQL 也會用於其他 Microsoft 服務，例如 Microsoft Defender for Endpoint 和 Microsoft Application Insights。

比較規則術語

相較於以搜尋處理語言 （SPL） 為基礎的 Splunk 偵測，下表可協助您釐清Microsoft Sentinel 中以 Kusto 查詢語言 （KQL） 為基礎的規則概念。

對應和比較規則範例

使用這些範例，在各種案例中從 Splunk 到 Microsoft Sentinel 比較和對應規則。

常見的搜尋命令

lookup 命令：KQL 範例

Users 
| where UserID in ((externaldata (UserID:string) [
@"https://storageaccount.blob.core.windows.net/storagecontainer/users.txt" 
h@"?...SAS..." // Secret token to access the blob 
])) | ... 

stats 命令：KQL 範例

Sales 
| summarize NumTransactions=count(), 
Total=sum(UnitPrice * NumUnits) by Fruit, 
StartOfMonth=startofmonth(SellDateTime) 

mstats 命令：KQL 範例

T | summarize count() by price_range=bin(price, 10.0) 

transaction 命令：SPL 範例

sourcetype=MyLogTable type=Event
| transaction ActivityId startswith="Start" endswith="Stop"
| Rename timestamp as StartTime
| Table City, ActivityId, StartTime, Duration

transaction 命令：KQL 範例

let Events = MyLogTable | where type=="Event";
Events
| where Name == "Start"
| project Name, City, ActivityId, StartTime=timestamp
| join (Events
| where Name == "Stop"
| project StopTime=timestamp, ActivityId)
on ActivityId
| project City, ActivityId, StartTime, 
Duration = StopTime – StartTime

用來 row_window_session() 計算串行化數據列集中數據行的會話開始值。

...| extend SessionStarted = row_window_session(
Timestamp, 1h, 5m, ID != prev(ID))

eventstats 命令：SPL 範例

… | bin span=1m _time
|stats count AS count_i by _time, category
| eventstats sum(count_i) as count_total by _time

eventstats 命令：KQL 範例

以下是 join 陳述式的範例：

let binSize = 1h;
let detail = SecurityEvent 
| summarize detail_count = count() by EventID,
tbin = bin(TimeGenerated, binSize);
let summary = SecurityEvent
| summarize sum_count = count() by 
tbin = bin(TimeGenerated, binSize);
detail 
| join kind=leftouter (summary) on tbin 
| project-away tbin1

以下是 make_list 陳述式的範例：

let binSize = 1m;
SecurityEvent
| where TimeGenerated >= ago(24h)
| summarize TotalEvents = count() by EventID, 
groupBin =bin(TimeGenerated, binSize)
|summarize make_list(EventID), make_list(TotalEvents), 
sum(TotalEvents) by groupBin
| mvexpand list_EventID, list_TotalEvents

anomalydetection 命令：SPL 範例

sourcetype=nasdaq earliest=-10y
| anomalydetection Close _ Price

anomalydetection 命令：KQL 範例

let LookBackPeriod= 7d;
let disableAccountLogon=SignIn
| where ResultType == "50057"
| where ResultDescription has "account is disabled";
disableAccountLogon
| make-series Trend=count() default=0 on TimeGenerated 
in range(startofday(ago(LookBackPeriod)), now(), 1d)
| extend (RSquare,Slope,Variance,RVariance,Interception,
LineFit)=series_fit_line(Trend)
| extend (anomalies,score) = 
series_decompose_anomalies(Trend)

一般 eval 命令

case(X,"Y",…) SPL 範例

case(error == 404, "Not found",
error == 500,"Internal Server Error",
error == 200, "OK")

case(X,"Y",…) KQL 範例

T
| extend Message = case(error == 404, "Not found", 
error == 500,"Internal Server Error", "OK") 

if(X,Y,Z) KQL 範例

iif(floor(Timestamp, 1d)==floor(now(), 1d), 
"today", "anotherday")

isint(X) KQL 範例

iif(gettype(X) =="long","TRUE","FALSE")

isstr(X) KQL 範例

iif(gettype(X) =="string","TRUE","FALSE")

like(X,"y") 例

… | where field has "addr"

… | where field contains "addr"

… | where field startswith "addr"

… | where field matches regex "^addr.*"

min(X,…) KQL 範例

min_of (expr_1, expr_2 ...)

…|summarize min(expr)

…| summarize arg_min(Price,*) by Product

mvfilter(X) KQL 範例

T | mv-apply Metric to typeof(real) on 
(
 top 2 by Metric desc
)

mvjoin(X,Y) KQL 範例

strcat_array(dynamic([1, 2, 3]), "->")

relative time(X,Y) KQL 範例

let toUnixTime = (dt:datetime)
{
(dt - datetime(1970-01-01))/1s 
};

replace(X,Y,Z) KQL 範例

replace( @'^(\d{1,2})/(\d{1,2})/', @'\2/\1/',date)

strptime(X,Y) KQL 範例

format_datetime(datetime('2017-08-16 11:25:10'),
'HH:mm')

time() KQL 範例

format_datetime(datetime(2015-12-14 02:03:04),
'h:m:s')

tostring(X,Y)

以字串形式傳回 X 的欄位值。

• 如果 X 的值是數字，則 X 重新格式化為字串值。
• 如果 X 是布林值， 則 X 重新格式化為 TRUE 或 FALSE。
• 如果 X 是數字，則第二個引數 Y 是選擇性，可以是 hex (將 X 轉換成十六進位)、commas (以逗號和兩個小數位數來格式化 X)，或 duration (將 X 從以秒為單位的時間格式轉換成看得懂的時間格式：HH:MM:SS)。

tostring(X,Y) SPL 範例

此範例傳回：

foo=615 and foo2=00:10:15:

… | eval foo=615 | eval foo2 = tostring(
foo, "duration")

urldecode(X) SPL 範例

urldecode("http%3A%2F%2Fwww.splunk.com%2Fdownload%3Fr%3Dheader")

常見的 stats 命令 KQL 範例

下一步

在本文中，您已了解如何將移轉規則從 Splunk 對應至 Microsoft Sentinel。