Edistynyt monivaihehyökkäyksen tunnistaminen Microsoft Sentinel

Microsoft Sentinel käyttää skaalattaviin koneoppimisalgoritmeihin perustuvaa korrelaatiomoduulia Fusionin avulla tunnistaakseen automaattisesti useita vaiheittaisia hyökkäyksiä (tunnetaan myös nimellä kehittyneet pysyvät uhat tai APT) tunnistamalla poikkeavien käyttäytymisten ja epäilyttävien toimintojen yhdistelmiä, joita havaitaan tappoketjun eri vaiheissa. Näiden löytöjen perusteella Microsoft Sentinel luo tapauksia, joita muuten olisi vaikea saada kiinni. Nämä tapaukset koostuvat kahdesta tai useammasta hälytyksestä tai toiminnasta. Nämä tapaukset ovat suunniteltuja pieniä määriä, suurta tarkkuutta ja suurta vakavuutta.

Ympäristöösi mukautettuna tämä tunnistustekniikka ei ainoastaan vähennä vääriä positiivisia suhteita, vaan se voi myös havaita hyökkäyksiä, joissa on rajallisia tai puuttuvia tietoja.

Koska fuusio korreloi useita signaaleja eri tuotteista edistyneiden monivaihehyökkäysten havaitsemiseksi, onnistuneet fuusiotunnistukset esitetään fuusiotapauksina Microsoft Sentinel Incidents -sivulla, ei hälytyksinä, ja ne tallennetaan SecurityIncident-taulukkoonLogs-taulukossa eikä SecurityAlert-taulukossa.

Fuusion määrittäminen

Fuusio on oletusarvoisesti käytössä Microsoft Sentinel analytiikkasääntönä nimeltä Edistynyt monivaiheisen hyökkäyksen tunnistaminen. Voit tarkastella ja muuttaa säännön tilaa, määrittää lähdesignaaleja, jotka sisällytetään Fusion ML -malliin, tai jättää pois tiettyjä tunnistusmalleja, jotka eivät ehkä koske ympäristöäsi fuusiotunnistuksesta. Lue, miten voit määrittää fuusiosäännön.

Microsoft Sentinel työtiloissa, jotka on otettu käyttöön Microsoft Defender-portaalissa, Fuusio on poistettu käytöstä. Sen toiminnot korvataan Microsoft Defender XDR korrelaatiomoduulilla.

Fuusio uusille uhille

Fuusion määrittäminen

Fuusio on oletusarvoisesti käytössä Microsoft Sentinel analytiikkasääntönä nimeltä Edistynyt monivaiheisen hyökkäyksen tunnistaminen. Voit tarkastella ja muuttaa säännön tilaa, määrittää lähdesignaaleja, jotka sisällytetään Fusion ML -malliin, tai jättää pois tiettyjä tunnistusmalleja, jotka eivät ehkä koske ympäristöäsi fuusiotunnistuksesta. Lue, miten voit määrittää fuusiosäännön.

Saatat haluta lopettaa fuusion, jos olet ottanut asiakkaan hallitsemat avaimet (CMK) käyttöön työtilassasi. Microsoft Sentinel käyttää tällä hetkellä 30 päivän historiallisia tietoja fuusiomoottorin koneoppimisalgoritmien harjoittamiseen, ja nämä tiedot salataan aina Microsoftin avaimilla, kun ne kulkevat koneoppimisputken läpi. Harjoitustietoja ei kuitenkaan salata CMK:n avulla. Jos haluat estää fuusion käytön, poista käytöstä multistage Attack Detectionin edistynyt analytiikkasääntö Microsoft Sentinel. Lisätietoja on artikkelissa Fuusiosääntöjen määrittäminen.

Fuusio poistetaan käytöstä, kun Microsoft Sentinel lisätään Defender-portaaliin. Kun työskentelet Defender-portaalissa, Fusionin tarjoama toiminto korvataan Microsoft Defender XDR korrelaatiomoduulilla.

Fuusio uusille uhille (esikatselu)

Tietoturvatapahtumien määrä kasvaa edelleen, ja hyökkäysten laajuus ja hienostuneisuus lisääntyvät jatkuvasti. Voimme määrittää tunnetut hyökkäysskenaariot, mutta entä uudet ja tuntemattomat uhat ympäristössäsi?

Microsoft Sentinel koneoppimiskäyttöinen fuusiomoduuli voi auttaa sinua löytämään nousevat ja tuntemattomat uhat ympäristöstäsi laajennetun koneoppimisanalyysin avulla ja korreloimalla laajemman laajojen poikkeavien signaalien laajuuden ja pitämällä hälytyksen väsymyksen alhaisena.

Fuusiomoottorin koneoppimisalgoritmit oppivat jatkuvasti olemassa olevista hyökkäyksistä ja soveltavat analyysejä sen perusteella, miten tietoturva-analyytikot ajattelevat. Sen vuoksi se voi havaita aiemmin havaitsemattomia uhkia miljoonista poikkeavuuksista koko ympäristössäsi, mikä auttaa pysymään askeleen edellä hyökkääjiä.

Uusien uhkien yhdistäminen tukee tietojen keräämistä ja analysointia seuraavista lähteistä:

• Valmiiden poikkeamien tunnistuksia

• Microsoft-palveluiden ilmoitukset:

  • Microsoft Entra ID suojaus
  • Microsoft Defender for Cloud
  • Microsoft Defender IoT:lle
  • Microsoft Defender XDR
  • Microsoft Defender for Cloud Apps
  • Microsoft Defender for Endpoint
  • Microsoft Defender for Identity
  • Microsoft Defender for Office 365

• Ilmoitukset ajoitetun analysoinnin säännöistä. Analysointisäännöissä on oltava kill-chain (taktiikot) ja entiteettikartoitustiedot, jotta fuusiota voidaan käyttää.

Sinun ei tarvitse yhdistää kaikkia yllä lueteltuja tietolähteitä, jotta Fuusio uusissa uhissa toimisi. Mitä enemmän tietolähteitä olet yhdistänyt, sitä laajempi kattavuus ja sitä enemmän uhkia Fusion löytää.

Kun fuusiomoottorin korrelaatiot johtavat uuden uhan havaitsemiseen, Microsoft Sentinel luo suuren vakavuusasteen tapahtuman nimeltä Fuusion havaitsemat mahdolliset monivaiheiset hyökkäystoimet.

Fuusio kiristysohjelmille

Microsoft Sentinel fuusiomoduuli luo tapahtuman, kun se havaitsee useita erityyppisiä ilmoituksia seuraavista tietolähteistä ja määrittää, että ne saattavat liittyä kiristyshaittaohjelmatoimintaan:

• Microsoft Defender for Cloud
• Microsoft Defender for Endpoint
• Microsoft Defender for Identity liitin
• Microsoft Defender for Cloud Apps
• Microsoft Sentinel ajoitettuja analytiikkasääntöjä. Fusion käsittelee vain ajoitettuja analytiikkasääntöjä, joissa on tietoa taktiikasta ja yhdistetyistä entiteeteistä.

Tällaiset fuusiotapaukset nimetään useiksi hälytyksiksi, jotka mahdollisesti liittyvät ransomware-toimintaan havaittuina, ja ne luodaan, kun asianmukaisia hälytyksiä havaitaan tietyn ajanjakson aikana ja ne liittyvät hyökkäyksen suoritus- ja puolustuskiertovaiheisiin .

Esimerkiksi Microsoft Sentinel aiheuttaisi tapahtuman mahdollisista kiristyshaittaohjelmatoiminnoista, jos seuraavat hälytykset käynnistetään samalle isännälle tietyssä ajassa:

Skenaariopohjaiset fuusiotunnistimet

Seuraavassa osiossa luetellaan skenaariopohjaisia monivaiheisia hyökkäyksiä, jotka on ryhmitelty uhkien luokituksen mukaan ja jotka Microsoft Sentinel havaitsee fuusion korrelaatiomoduulin avulla.

Jotta nämä fuusiopohjaisen hyökkäyksen havaitsemisskenaariot voidaan ottaa käyttöön, niihin liittyvät tietolähteet on otettava käyttöön Log Analytics -työtilassasi. Saat lisätietoja kustakin skenaariosta ja siihen liittyvistä tietolähteistä valitsemalla alla olevasta taulukosta linkit.

Aiheeseen liittyvä sisältö

Lisätietoja on seuraavissa artikkeleissa:

• Microsoft Sentinel Fusion Enginen havaitsemat skenaariot
• Määritä moniajohyökkäysten tunnistamisen (Fusion) säännöt Microsoft Sentinel