katseluluettelot Microsoft Sentinel

Microsoft Sentinel katseluluettelot auttavat suojausanalyytikoita korreloimaan ja täydentämään tapahtumatietoja tehokkaasti. Niiden avulla voit joustavasti hallita viitetietoja, kuten suuriarvoisten resurssien luetteloita tai irtisanottuja työntekijöitä. Integroi katseluluettelot tunnistussääntöihin, uhkien metsästykseen ja vastaustyönkulkuihin, jotta voit vähentää hälytysväsymystä ja vastata uhkiin nopeammin. Tässä artikkelissa kerrotaan, miten katseluluetteloja käytetään Microsoft Sentinel, esitellään keskeiset skenaariot ja rajoitukset sekä annetaan ohjeita katseluluetteloiden luomiseen ja kyselyyn suojaustoimintojasi parantamiseksi.

Käytä katseluluetteloita haku-, havaitsemissäännöissä, uhkien metsästyksessä ja vastausten toistokirjoissa. Katseluluettelot tallennetaan Microsoft Sentinel työtilaan Watchlist taulukossa nimi-arvo-pareina. Ne on tallennettu välimuistiin optimaalisen kyselyjen suorituskyvyn ja pienen viiveen takaamista varten.

Milloin katseluluetteloita kannattaa käyttää?

Käytä katseluluetteloita seuraavissa tilanteissa:

• Tutki uhkia ja reagoi tapauksiin nopeasti tuomalla IP-osoitteita, tiedoston hajautuksia ja muita tietoja CSV-tiedostoista. Kun olet tuonut tiedot, käytä katseluluettelon nimi-arvo-pareja ilmoitussääntöjen liitoksille ja suodattimille, uhkien metsästykselle, työkirjoille, muistikirjoille ja kyselyille.

• Tuo yritystiedot katseluluettelona. Voit esimerkiksi tuoda käyttäjäluetteloita, joilla on etuoikeutettu järjestelmän käyttöoikeus, tai luetteloita irtisanotuista työntekijöistä. Luo sitten katseluluettelon avulla sallittuja luetteloita ja estoluetteloita, joiden avulla voit tunnistaa tai estää kyseisiä käyttäjiä kirjautumasta verkkoon.

• Vähennä hälytysväsymystä. Luo sallittujen luetteloita, joiden avulla voidaan estää tietyn käyttäjäryhmän ilmoitukset, esimerkiksi sellaisten valtuutettujen IP-osoitteiden käyttäjien ilmoitukset, jotka suorittavat tehtäviä, jotka normaalisti käynnistäisivät ilmoituksen. Estä hyvänlaatuisten tapahtumien muuttuminen hälytyksiksi.

• Täydennä tapahtumatietoja. Lisää nimi-arvoyhdistelmiä ulkoisista tietolähteistä tapahtumatietoihin katseluluetteloiden avulla.

Katseluluettelon rajoitukset

Suosittelemme tutustumaan seuraaviin rajoituksiin ennen katseluluetteloiden luomista:

Microsoft Sentinel katseluluettelon luontimenetelmät

Luo katseluluettelot Microsoft Sentinel jollakin seuraavista tavoista:

• Tiedoston lataaminen paikallisesta kansiosta tai Azure tallennustililtäsi.

• Lataa katseluluettelomalli Microsoft Sentinel, lisää tietosi ja lataa tiedosto, kun luot katseluluettelon.

Jos haluat luoda katseluluettelon suuresta tiedostosta (enintään 500 Mt), lataa tiedosto Azure tallennustiliisi. Luo SAS(Shared Access Signature) -URL-osoite, jotta Microsoft Sentinel voivat noutaa katseluluettelon tiedot. SAS:n URL-osoite sisältää sekä resurssin URI-tunnuksen että RESURSSIN SAS-tunnuksen, kuten CSV-tiedoston tallennustililläsi. Lisää katseluluettelo työtilaasi Microsoft Sentinel.

Lisätietoja on seuraavissa artikkeleissa:

• Katseluluettelojen luominen Microsoft Sentinel
• Sisäiset katseluluettelorakenteet
• Azure Tallennustilan SAS-tunnus

Hakujen ja tunnistussääntöjen katseluluettelot kyselyissä

Jos haluat korreloida katseluluettelon tiedot muihin Microsoft Sentinel tietoihin, käytä Kusto-taulukko-operaattoreita, kuten join ja lookup -taulukkoaWatchlist. Microsoft Sentinel luo seuraavat toiminnot työtilaan, jotta katseluluetteloihin voi viitata ja tehdä kyselyjä:

• _GetWatchlistAlias - palauttaa kaikkien katseluluetteloiden tunnukset
• _GetWatchlist - kyselee määritetyn katseluluettelon nimi-arvo-pareja

Kun luot katseluluettelon, määrität SearchKey-kohteen. Hakuavain on sen katseluluettelossa olevan sarakkeen nimi, jota odotat käytettäväsi liitoksena muiden tietojen kanssa tai usein haettavana objektina. Oletetaan esimerkiksi, että sinulla on palvelimen katseluluettelo, joka sisältää maan/alueen nimet ja niiden kaksikirjaimisen maakoodin. Odotat käyttäväni maakoodeja usein hauissa tai liitoksissa. Käytät siis maakoodisaraketta hakuavaimena.

Heartbeat
| lookup kind=leftouter _GetWatchlist('mywatchlist') 
  on $left.RemoteIPCountry == $right.SearchKey

Katsotaan muita esimerkkikyselyitä.

Oletetaan, että haluat käyttää katseluluetteloa analytiikkasäännössä. Voit luoda katseluluettelon ipwatchlist , jossa on sarakkeita ille IPAddress ja Location. IPAddress Asetat hakuavaimeksi.

Jos haluat sisällyttää katseluluetteloon vain IP-osoitteiden tapahtumia, voit käyttää kyselyä, jossa watchlist sitä käytetään muuttujana tai sidottuna.

Tässä esimerkkikyselyssä katseluluetteloa käytetään muuttujana:

  //Watchlist as a variable
  let watchlist = (_GetWatchlist('ipwatchlist') | project IPAddress);
  Heartbeat
  | where ComputerIP in (watchlist)

Tämä esimerkkikysely käyttää katseluluetteloa sisäisesti kyselyn ja katseluluettelolle määritetyn hakuavaimen kanssa.

  //Watchlist inline with the query
  //Use SearchKey for the best performance
  Heartbeat
  | where ComputerIP in ( 
      (_GetWatchlist('ipwatchlist')
      | project SearchKey)
  )

Lisätietoja on Kusto-dokumentaation kohdassa Kyselyjen ja tunnistussääntöjen luominen katseluluetteloiden avulla Microsoft Sentinel ja seuraavissa artikkeleissa:

• where-operaattori
• projektioperaattori
• hakuoperaattori
• operaattorina
• let-lause

Lisätietoja KQL:stä on Kusto Query Languagen (KQL) yleiskatsauksessa.

Muut resurssit:

• KQL-pikaopas
• Kusto-kyselyn kielenoppimisresurssit

Aiheeseen liittyvä sisältö

Lisätietoja on seuraavissa artikkeleissa:

• Katseluluetteloiden luominen
• Kyselyjen ja tunnistussääntöjen luominen katseluluetteloiden avulla
• Katseluluetteloiden hallinta