Watchlists dans Microsoft Sentinel

Les watchlists dans Microsoft Sentinel aident les analystes de sécurité à corréler et à enrichir efficacement les données d’événements. Ils vous offrent un moyen flexible de gérer les données de référence, comme des listes de ressources de grande valeur ou des employés licenciés. Intégrez des watchlists à vos règles de détection, à la chasse aux menaces et aux workflows de réponse pour réduire la fatigue des alertes et répondre plus rapidement aux menaces. Cet article explique comment utiliser des watchlists dans Microsoft Sentinel, décrit les principaux scénarios et limitations, et fournit des conseils sur la création et l’interrogation de watchlists pour améliorer vos opérations de sécurité.

Utilisez des watchlists dans vos playbooks de recherche, de détection, de repérage des menaces et de réponse. Les watchlists sont stockées dans votre espace de travail Microsoft Sentinel dans la table sous forme Watchlist de paires nom-valeur. Ils sont mis en cache pour des performances de requête optimales et une faible latence.

Quand utiliser les watchlists

Utilisez des watchlists dans les scénarios suivants :

• Examinez les menaces et répondez rapidement aux incidents en important des adresses IP, des hachages de fichiers et d’autres données à partir de fichiers CSV. Après avoir importé les données, utilisez des paires nom-valeur de watchlist pour les jointures et les filtres dans les règles d’alerte, la chasse aux menaces, les classeurs, les notebooks et les requêtes.

• Importer des données métier en tant que watchlist. Par exemple, importez des listes d’utilisateurs avec un accès système privilégié ou des listes d’employés licenciés. Ensuite, utilisez la watchlist pour créer des listes d’autorisation et des listes de blocage afin de détecter ou d’empêcher ces utilisateurs de se connecter au réseau.

• Réduire la fatigue des alertes. Créez des listes d’autorisation pour supprimer les alertes d’un groupe d’utilisateurs, comme les utilisateurs d’adresses IP autorisées qui effectuent des tâches qui déclenchent normalement l’alerte. Empêcher les événements bénins de devenir des alertes.

• Enrichir les données d’événement. Utilisez des watchlists pour ajouter des combinaisons nom-valeur à partir de sources de données externes à vos données d’événement.

Limitations de la watchlist

Nous vous recommandons de passer en revue les limitations suivantes avant de créer des watchlists :

Microsoft Sentinel méthodes de création de watchlist

Utilisez l’une des méthodes suivantes pour créer des watchlists dans Microsoft Sentinel :

• Chargement d’un fichier à partir d’un dossier local ou de votre compte de stockage Azure.

• Téléchargez un modèle watchlist à partir de Microsoft Sentinel, ajoutez vos données, puis chargez le fichier lorsque vous créez la watchlist.

Pour créer une watchlist à partir d’un fichier volumineux (jusqu’à 500 Mo), chargez le fichier dans votre compte de stockage Azure. Créez une URL de signature d’accès partagé (SAS) afin que Microsoft Sentinel puissiez récupérer les données de watchlist. Une URL SAS inclut à la fois l’URI de ressource et le jeton SAP pour une ressource, comme un fichier CSV dans votre compte de stockage. Ajoutez la watchlist à votre espace de travail dans Microsoft Sentinel.

Pour plus d’informations, reportez-vous aux rubriques suivantes :

• Créer des watchlists dans Microsoft Sentinel
• Schémas de watchlist intégrés
• Jeton SAS de stockage Azure

Watchlists dans les requêtes pour les règles de recherche et de détection

Pour mettre en corrélation vos données de watchlist avec d’autres données Microsoft Sentinel, utilisez des opérateurs tabulaires Kusto tels que join et lookup avec la Watchlist table. Microsoft Sentinel crée les fonctions suivantes dans l’espace de travail pour vous aider à référencer et interroger vos watchlists :

• _GetWatchlistAlias - retourne les alias de toutes vos watchlists
• _GetWatchlist - interroge les paires nom-valeur de la watchlist spécifiée

Lorsque vous créez une watchlist, vous définissez searchKey. La clé de recherche est le nom d’une colonne de votre watchlist que vous prévoyez d’utiliser comme jointure avec d’autres données ou comme objet de recherche fréquent. Par exemple, supposons que vous disposez d’une watchlist de serveur qui contient les noms de pays/régions et leurs codes de pays à deux lettres respectifs. Vous prévoyez d’utiliser souvent les codes de pays pour les recherches ou les jointures. Vous utilisez donc la colonne country code comme clé de recherche.

Heartbeat
| lookup kind=leftouter _GetWatchlist('mywatchlist') 
  on $left.RemoteIPCountry == $right.SearchKey

Examinons d’autres exemples de requêtes.

Supposons que vous souhaitiez utiliser une watchlist dans une règle d’analyse. Vous créez une watchlist appelée ipwatchlist avec des colonnes pour IPAddress et Location. Vous définissez IPAddress en tant que SearchKey.

Pour inclure uniquement des événements provenant d’adresses IP dans la watchlist, vous pouvez utiliser une requête où watchlist est utilisé comme variable ou inline.

Cet exemple de requête utilise la watchlist comme variable :

  //Watchlist as a variable
  let watchlist = (_GetWatchlist('ipwatchlist') | project IPAddress);
  Heartbeat
  | where ComputerIP in (watchlist)

Cet exemple de requête utilise la watchlist inline avec la requête et la clé de recherche définies pour la watchlist.

  //Watchlist inline with the query
  //Use SearchKey for the best performance
  Heartbeat
  | where ComputerIP in ( 
      (_GetWatchlist('ipwatchlist')
      | project SearchKey)
  )

Pour plus d’informations, consultez Créer des requêtes et des règles de détection avec des watchlists dans Microsoft Sentinel et les articles suivants dans la documentation Kusto :

• where, opérateur
• opérateur de projet
• Opérateur de recherche
• in, opérateur
• let , instruction

Pour plus d’informations sur KQL, consultez vue d’ensemble de Langage de requête Kusto (KQL).

Autres ressources :

• Informations de référence rapides sur KQL
• ressources d’apprentissage Langage de requête Kusto

Contenu connexe

Pour plus d’informations, reportez-vous aux rubriques suivantes :

• Créer des watchlists
• Créer des requêtes et des règles de détection avec des watchlists
• Gérer les watchlists