Kom i gang med Jupyter-notesbøger og MSTICPy i Microsoft Sentinel

I denne artikel beskrives det, hvordan du kører Introduktion Vejledning til Microsoft Sentinel ML Notebooks-notesbog, som konfigurerer grundlæggende konfigurationer til kørsel af Jupyter-notesbøger i Microsoft Sentinel og indeholder eksempler på kørsel af simple forespørgsler.

Den Introduktion vejledning til Microsoft Sentinel-notesbøger til ML bruger MSTICPy, et effektivt Python-bibliotek, der er designet til at forbedre sikkerhedsundersøgelser og trusselsjagt i Microsoft Sentinel notesbøger. Den indeholder indbyggede værktøjer til databerigelse, visualisering, registrering af uregelmæssigheder og automatiserede forespørgsler, hvilket hjælper analytikere med at strømline deres arbejdsproces uden omfattende brugerdefineret kodning.

Du kan finde flere oplysninger under Brug notesbøger til at styrke undersøgelser og Brug Jupyter-notesbøger til at jage efter sikkerhedstrusler.

Forudsætninger

Før du begynder, skal du sørge for, at du har de nødvendige tilladelser og ressourcer.

Installér og kør notesbogen Introduktion Guide

I denne procedure beskrives det, hvordan du starter notesbogen med Microsoft Sentinel.

1. For Microsoft Sentinel på Defender-portalen skal du vælge Microsoft Sentinel>Nreat administrere>notesbøger. For Microsoft Sentinel i Azure Portal skal du under Trusselsadministration vælge Notesbøger.

2. Under fanen Skabeloner skal du vælge En Introduktion vejledning til Microsoft Sentinel ML-notesbøger .

3. Vælg Opret fra skabelon.

4. Rediger navnet, og vælg det Azure Machine Learning-arbejdsområde efter behov.

5. Vælg Gem for at gemme den i dit Azure Machine Learning-arbejdsområde.

6. Vælg Start notesbog for at køre notesbogen. Notesbogen indeholder en række celler:

   • Markdown-celler indeholder tekst og grafik med instruktioner til brug af notesbogen
   • Kodeceller indeholder eksekverbar kode, der udfører notesbogfunktionerne

7. Vælg din beregning øverst på siden.

8. Fortsæt ved at læse Markdown-celler og køre kodeceller i rækkefølge ved hjælp af vejledningen i notesbogen. Det kan medføre fejl senere i notesbogen, hvis du springer celler over eller løber tør for dem.

   Afhængigt af den funktion, der udføres, kan koden i cellen køre hurtigt, eller det kan tage noget tid at fuldføre den. Når cellen kører, ændres afspilningsknappen til en indlæsningsskala, og status vises nederst i cellen sammen med den forløbne tid.

   Første gang du kører en kodecelle, kan det tage flere minutter at starte sessionen, afhængigt af dine beregningsindstillinger. Der vises en klar indikation, når notesbogen er klar til at køre kodeceller. Det kan f.eks. være:

   

Notesbogen Introduktion vejledning til Microsoft Sentinel ML-notesbøger indeholder afsnit til følgende aktiviteter:

Koden i Introduktion Vejledning til Microsoft Sentinel ML Notebooks starter MpConfigEdit-værktøjet, som indeholder en række faner til konfiguration af notesbogmiljøet. Når du foretager ændringer i MpConfigEdit-værktøjet , skal du sørge for at gemme dine ændringer, før du fortsætter. Indstillinger for notesbogen gemmes i filen msticpyconfig.yaml , som automatisk udfyldes med de første oplysninger om dit arbejdsområde.

Sørg for at læse Markdown-cellerne omhyggeligt, så du forstår processen fuldstændigt, herunder hver af indstillingerne og filen msticpyconfig.yaml . Næste trin, ekstra ressourcer og ofte stillede spørgsmål fra wikien til Azure Sentinel Notesbøger er sammenkædet fra slutningen af notesbogen.

Tilpas dine forespørgsler (valgfrit)

Notesbogen Introduktion Vejledning til Microsoft Sentinel ML-notesbøger indeholder eksempelforespørgsler, som du kan bruge, når du lærer om notesbøger. Tilpas de indbyggede forespørgsler ved at tilføje mere forespørgselslogik, eller kør komplette forespørgsler ved hjælp af funktionen exec_query . De fleste indbyggede forespørgsler understøtter add_query_items f.eks. parameteren , som du kan bruge til at føje filtre eller andre handlinger til forespørgslerne.

1. Kør følgende kodecelle for at tilføje en dataramme, der opsummerer antallet af beskeder efter beskednavn:

   from datetime import datetime, timedelta
   
   qry_prov.SecurityAlert.list_alerts(
      start=datetime.utcnow() - timedelta(28),
       end=datetime.utcnow(),
       add_query_items="| summarize NumAlerts=count() by AlertName"
   )
   

2. Send en komplet KQL-forespørgselsstreng (Kusto Query Language) til forespørgselsudbyderen. Forespørgslen kører i forhold til det forbundne arbejdsområde, og dataene returneres som en Panda DataFrame. Køre:

   # Define your query
   test_query = """
   OfficeActivity
   | where TimeGenerated > ago(1d)
   | take 10
   """
   
   # Pass the query to your QueryProvider
   office_events_df = qry_prov.exec_query(test_query)
   display(office_events_df.head())
   
   

Du kan finde flere oplysninger under:

• MSTICPy-forespørgselsreference
• Kørsel af MSTICPy foruddefinerede forespørgsler

Anvend vejledning til andre notesbøger

I trinnene i denne artikel beskrives det, hvordan du kører Introduktion-vejledningen til Microsoft Sentinel notesbog til ML-notesbøger i dit Azure Machine Learning-arbejdsområde via Microsoft Sentinel. Du kan også bruge denne artikel som vejledning til at udføre lignende trin for at køre notesbøger i andre miljøer, herunder lokalt.

Flere Microsoft Sentinel notesbøger bruger ikke MSTICPy, f.eks. notesbøgerne for Credential Scanner eller PowerShell- og C#-eksemplerne. Notesbøger, der ikke bruger MSTICpy, har ikke brug for den MSTICPy-konfiguration, der er beskrevet i denne artikel.

Prøv andre Microsoft Sentinel notesbøger, f.eks.:

• Konfiguration af notesbogmiljøet
• En præsentation af funktioner i cybersec-notesbogen
• Eksempler på maskinel indlæring i notesbøger
• Entity Explorer-serien, herunder variationer for konti, domæner og URL-adresser, IP-adresser og Linux eller Windows-værter.

Du kan finde flere oplysninger under:

• Jupyter-notesbøger med Microsoft Sentinel jagtmuligheder
• Avancerede konfigurationer til Jupyter-notesbøger og MSTICPy i Microsoft Sentinel
• Opret din første Microsoft Sentinel notesbog (blogserie)
• gennemgang af Linux host Explorer-notesbog (blog)

Relateret indhold

Du kan finde flere oplysninger under:

• MSTICPy-dokumentation
• Jupyter Notesbøger: En introduktion
• The Infosec Jupyterbook
• Hvorfor bruge Jupyter til sikkerhedsundersøgelser
• Sikkerhedsundersøgelser med Microsoft Sentinel & notesbøger