Visualiser data i Microsoft Sentinel datasø ved hjælp af projektmapper

Hvis du kører Microsoft Sentinel projektmapper oven på Microsoft Sentinel datasødata, kan SOC-teams visualisere og overvåge sikkerhedsdata direkte fra søen ved hjælp af KQL (Kusto Query Language) uden at duplikere eller transformere data. Ved at vælge Sentinel datasø som datakilden i en projektmappe kan analytikere køre de samme analyseforespørgsler, der bruges til undersøgelser og jagt. De kan gengive dem som interaktive diagrammer og tabeller til driftsmæssig overvågning og rapportering. Brug af Sentinel datasø som en projektmappedatakilde muliggør konsistente analyser på tværs af forespørgsler, understøtter længere dataopbevaring og skaleres med historiske data i stor mængde. Dette gør projektmapper ideelle til avanceret trusselsjagt, tendensanalyse og dashboards til administration.

I denne artikel gennemgås processen med at oprette projektmapper til brug af Microsoft Sentinel datasø som datakilde. Du kan få flere oplysninger om brug af projektmapper med Sentinel under Visualiser og overvåg dine data ved hjælp af projektmapper i Microsoft Sentinel.

Når du bruger Sentinel datasø som datakilde for dine projektmapper, skal du huske på vigtigheden af forespørgselsydeevne, da visualiseringer af projektmapper automatisk kanrefreres og udføres gentagne gange. Forespørgsler skal være begrænset med passende tidsfiltre, opsummering og projektioner for at undgå scanning af overdrevne historiske data i søen. Forespørgsler, der er tilpasset korrekt, sikrer, at dashboards forbliver dynamiske, mens de stadig bruger langsigtede data med stor mængde til analyse.

Opret en projektmappe med Microsoft Sentinel datasø som datakilde

1. På Defender-portalen skal du gå til Microsoft Sentinel>Threat-administrationsprojektmapper>.

2. Vælg kubeikonet i øverste højre hjørne for at vælge de arbejdsområder, du vil gemme dine projektmapper.

3. Vælg Tilføj projektmappe.

   

   Der åbnes en ny projektmappe med en grundlæggende forespørgsel og et visuelt element med et pardiagram.

4. Vælg Rediger.

   

5. Under diagrammet skal du vælge Tilføj og derefter vælge Tilføj datakilde og visualisering.

   

6. Vælg Sentinel datasø som datakilde.

7. Vælg det arbejdsområde, der indeholder tabellen SignInLogs i datasøen.

8. Indsæt følgende KQL i forespørgselseditoren:

   AWSCloudTrail
   | where isnotempty(ErrorCode)
   | summarize FailedEvents = count()
       by bin(TimeGenerated, 1h), SourceIpAddress, UserIdentityPrincipalid
   | where FailedEvents > 3
   | summarize FailedEvents = sum(FailedEvents) by UserIdentityPrincipalid
   | top 10 by FailedEvents
   

9. Under Visualisering skal du vælge Liggende søjlediagram.

10. Vælg Kør forespørgsel for at visualisere resultaterne.

11. Vælg Udført redigering for at afslutte redigeringstilstanden og få vist din visualisering.

    

    Denne visualisering viser de øverste 10 AWS-hovedidentiteter, der genererer det højeste antal mislykkede API-kald i AWSCloudTrail-logge. Mislykkede hændelser samles og filtreres for at fremhæve identiteter med gentagne fejl. Diagrammet hjælper analytikere med hurtigt at identificere potentielt mistænkelige eller forkert konfigurerede identiteter, der producerer unormale fejlmønstre.

    Bemærk!

    VisualiseringstypenAngivet af forespørgsel understøttes ikke.

    Relative tidsintervaller, f.eks > ago(10d) . understøttes op til 90 dage. Absolutte tidsintervaller understøttes i henhold til din politik for dataopbevaring.

12. Vælg Færdig med at redigere på projektmappesiden.

13. Vælg Gem for at gemme projektmappen i dit bibliotek og give projektmappen et navn og en placering.

14. Du kan få vist din gemte projektmappe på listen over projektmapper og vælge den for at få vist de visualiseringer, du har oprettet. Du kan også redigere projektmappen når som helst for at opdatere forespørgslerne eller visualiseringerne.

Relateret indhold

• KQL-forespørgsler i Microsoft Sentinel datasø
• Visualiser og overvåg dine data ved hjælp af projektmapper i Microsoft Sentinel