Bien démarrer avec les notebooks Jupyter et MSTICPy dans Microsoft Sentinel

Cet article explique comment exécuter le Prise en main guide pour Microsoft Sentinel bloc-notes ML Notebooks, qui configure des configurations de base pour l’exécution de notebooks Jupyter dans Microsoft Sentinel et fournit des exemples d’exécution de requêtes simples.

Le guide Prise en main pour Microsoft Sentinel notebook ML Notebooks utilise MSTICPy, une bibliothèque Python puissante conçue pour améliorer les enquêtes de sécurité et la chasse aux menaces dans Microsoft Sentinel notebooks. Il fournit des outils intégrés pour l’enrichissement des données, la visualisation, la détection des anomalies et les requêtes automatisées, ce qui aide les analystes à rationaliser leur flux de travail sans codage personnalisé étendu.

Pour plus d’informations, consultez Utiliser des notebooks pour alimenter les investigations et Utiliser des notebooks Jupyter pour rechercher les menaces de sécurité.

Configuration requise

Avant de commencer, vérifiez que vous disposez des autorisations et des ressources nécessaires.

Installer et exécuter le notebook Prise en main Guide

Cette procédure décrit comment lancer votre notebook avec Microsoft Sentinel.

1. Pour Microsoft Sentinel dans le portail Defender, sélectionnez Microsoft Sentinel>Notebooks de gestion>. Pour Microsoft Sentinel dans le Portail Azure, sous Gestion des menaces, sélectionnez Notebooks.

2. Sous l’onglet Modèles, sélectionnez Guide de Prise en main pour les notebooks ML Microsoft Sentinel .

3. Sélectionnez Créer à partir d’un modèle.

4. Modifiez le nom et sélectionnez l’espace de travail Machine Learning Azure le cas échéant.

5. Sélectionnez Enregistrer pour l’enregistrer dans votre espace de travail Machine Learning Azure.

6. Sélectionnez Lancer le notebook pour exécuter le notebook. Le notebook contient une série de cellules :

   • Les cellules Markdown contiennent du texte et des graphiques avec des instructions pour l’utilisation du bloc-notes
   • Les cellules de code contiennent du code exécutable qui exécute les fonctions du notebook

7. En haut de la page, sélectionnez votre calcul.

8. Continuez en lisant les cellules Markdown et en exécutant les cellules de code dans l’ordre, en suivant les instructions du notebook. Ignorer des cellules ou les exécuter dans le désordre peut entraîner des erreurs plus tard dans le notebook.

   Selon la fonction en cours d’exécution, le code dans la cellule peut s’exécuter rapidement, ou l’exécution peut prendre un certain temps. Lorsque la cellule est en cours d’exécution, le bouton de lecture devient un spinner de chargement, et le status s’affiche en bas de la cellule, avec le temps écoulé.

   La première fois que vous exécutez une cellule de code, il peut y avoir plusieurs minutes pour démarrer la session, en fonction de vos paramètres de calcul. Une indication Prêt s’affiche lorsque le notebook est prêt à exécuter des cellules de code. Par exemple :

   

Le Prise en main Guide for Microsoft Sentinel ML Notebooks contient des sections pour les activités suivantes :

Le code du guide Prise en main pour les notebooks ML Microsoft Sentinel lance l’outil MpConfigEdit, qui comporte une série d’onglets pour configurer votre environnement de notebook. Lorsque vous apportez des modifications dans l’outil MpConfigEdit , veillez à enregistrer vos modifications avant de continuer. Les paramètres du notebook sont stockés dans le fichier msticpyconfig.yaml , qui est automatiquement rempli avec les détails initiaux de votre espace de travail.

Veillez à lire attentivement les cellules Markdown afin de comprendre complètement le processus, y compris chacun des paramètres et le fichier msticpyconfig.yaml . Les étapes suivantes, les ressources supplémentaires et les questions fréquemment posées à partir du wiki Azure Sentinel Notebooks sont liées à la fin du bloc-notes.

Personnaliser vos requêtes (facultatif)

Le Prise en main Guide for Microsoft Sentinel ML Notebooks fournit des exemples de requêtes que vous pouvez utiliser pour en savoir plus sur les notebooks. Personnalisez les requêtes intégrées en ajoutant une logique de requête supplémentaire ou exécutez des requêtes complètes à l’aide de la exec_query fonction . Par exemple, la plupart des requêtes intégrées prennent en charge le add_query_items paramètre , que vous pouvez utiliser pour ajouter des filtres ou d’autres opérations aux requêtes.

1. Exécutez la cellule de code suivante pour ajouter une trame de données qui résume le nombre d’alertes par nom d’alerte :

   from datetime import datetime, timedelta
   
   qry_prov.SecurityAlert.list_alerts(
      start=datetime.utcnow() - timedelta(28),
       end=datetime.utcnow(),
       add_query_items="| summarize NumAlerts=count() by AlertName"
   )
   

2. Passez une chaîne de requête Langage de requête Kusto complète (KQL) au fournisseur de requêtes. La requête s’exécute sur l’espace de travail connecté, et les données sont retournées sous la forme d’un DataFrame panda. Courir:

   # Define your query
   test_query = """
   OfficeActivity
   | where TimeGenerated > ago(1d)
   | take 10
   """
   
   # Pass the query to your QueryProvider
   office_events_df = qry_prov.exec_query(test_query)
   display(office_events_df.head())
   
   

Pour plus d’informations, reportez-vous aux rubriques suivantes :

• Informations de référence sur la requête MSTICPy
• Exécution de requêtes prédéfinies MSTICPy

Appliquer des conseils à d’autres notebooks

Les étapes décrites dans cet article expliquent comment exécuter le Prise en main Guide pour Microsoft Sentinel bloc-notes ML Notebooks dans votre espace de travail Machine Learning Azure via Microsoft Sentinel. Vous pouvez également utiliser cet article comme guide pour effectuer des étapes similaires pour exécuter des notebooks dans d’autres environnements, y compris localement.

Plusieurs notebooks Microsoft Sentinel n’utilisent pas MSTICPy, comme les notebooks d’analyseur d’informations d’identification ou les exemples PowerShell et C#. Les notebooks qui n’utilisent pas MSTICpy n’ont pas besoin de la configuration MSTICPy décrite dans cet article.

Essayez d’autres notebooks Microsoft Sentinel, tels que :

• Configuration de votre environnement de notebook
• Présentation des fonctionnalités des notebooks Cybersec
• Exemples de Machine Learning dans notebooks
• La série Entity Explorer, y compris les variantes pour les comptes, les domaines et les URL, les adresses IP et les hôtes Linux ou Windows.

Pour plus d’informations, reportez-vous aux rubriques suivantes :

• Notebooks Jupyter avec fonctionnalités de chasse Microsoft Sentinel
• Configurations avancées pour les notebooks Jupyter et MSTICPy dans Microsoft Sentinel
• Créer votre premier bloc-notes Microsoft Sentinel (série de blog)
• Linux Host Explorer Notebook procédure pas à pas (blog)

Contenu connexe

Pour plus d’informations, reportez-vous aux rubriques suivantes :

• Documentation MSTICPy
• Notebooks Jupyter : introduction
• The Infosec Jupyterbook
• Pourquoi utiliser Jupyter pour les enquêtes de sécurité
• Enquêtes de sécurité avec les notebooks Microsoft Sentinel &