Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
L'esecuzione di Microsoft Sentinel cartelle di lavoro sui dati di Microsoft Sentinel data lake consente ai team SOC di visualizzare e monitorare i dati di sicurezza direttamente dal lago usando KQL (Linguaggio di query Kusto), senza duplicare o trasformare i dati. Selezionando Sentinel data lake come origine dati in una cartella di lavoro, gli analisti possono eseguire le stesse query analitiche usate per le indagini e la ricerca. È possibile eseguirne il rendering come grafici interattivi e tabelle per il monitoraggio operativo e la creazione di report. L'uso di Sentinel data lake come origine dati della cartella di lavoro consente analisi coerenti tra query, supporta una conservazione dei dati più lunga e ridimensiona con dati cronologici con volumi elevati. In questo modo le cartelle di lavoro sono ideali per la ricerca avanzata delle minacce, l'analisi delle tendenze e i dashboard esecutivi.
Questo articolo illustra il processo di creazione di cartelle di lavoro per l'uso di Microsoft Sentinel data lake come origine dati. Per altre informazioni sull'uso di cartelle di lavoro con Sentinel, vedere Visualizzare e monitorare i dati usando le cartelle di lavoro in Microsoft Sentinel.
Quando si usa Sentinel data lake come origine dati per le cartelle di lavoro, tenere presente l'importanza delle prestazioni delle query perché la visualizzazione della cartella di lavoro può essere ripetutamente aggiornata ed eseguita ripetutamente. Le query devono avere un ambito con filtri temporali, riepiloghi e proiezioni appropriati per evitare l'analisi di dati cronologici eccessivi nel lake. Le query con ambito appropriato garantiscono che i dashboard rimangano reattivi mentre usano dati a lungo termine e volumi elevati per l'analisi.
Creare una cartella di lavoro con Microsoft Sentinel data lake come origine dati
Nel portale di Defender passare a Microsoft Sentinel Reat managementWorkbooks.In the Defender portal, go to Microsoft Sentinel>Threat management> Workbooks.
Selezionare l'icona del cubo nell'angolo in alto a destra per selezionare le aree di lavoro da archiviare.
Selezionare Aggiungi cartella di lavoro.
Verrà visualizzata una nuova cartella di lavoro con una query di base e un oggetto visivo grafico par.
Selezionare Modifica.
Nel grafico selezionare Aggiungi e quindi Aggiungi origine dati e visualizzazione.
Selezionare Sentinel data lake come origine dati.
Selezionare l'area di lavoro contenente la tabella SignInLogs nel data lake.
Incollare il KQL seguente nell'editor di query:
AWSCloudTrail | where isnotempty(ErrorCode) | summarize FailedEvents = count() by bin(TimeGenerated, 1h), SourceIpAddress, UserIdentityPrincipalid | where FailedEvents > 3 | summarize FailedEvents = sum(FailedEvents) by UserIdentityPrincipalid | top 10 by FailedEventsIn Visualizzazione selezionare Grafico a barre.
Selezionare Esegui query per visualizzare i risultati.
Selezionare Fine modifica per uscire dalla modalità di modifica e visualizzare l'oggetto visivo.
Questo oggetto visivo mostra le prime 10 identità entità AWS che generano il numero più elevato di chiamate API non riuscite nei log AWSCloudTrail. Gli eventi non riusciti vengono aggregati e filtrati per evidenziare le identità con errori ripetuti. Il grafico consente agli analisti di identificare rapidamente identità potenzialmente sospette o non configurate correttamente che producono modelli di errore anomali.
Nota
Il tipo di visualizzazioneImpostato per query non è supportato.
Gli intervalli di tempo relativi, ad
> ago(10d)esempio, sono supportati fino a 90 giorni. Gli intervalli di tempo assoluti sono supportati in base ai criteri di conservazione dei dati.Nella pagina della cartella di lavoro selezionare Fine modifica.
Selezionare Salva per salvare la cartella di lavoro nella raccolta, assegnando alla cartella di lavoro un nome e un percorso.
È possibile visualizzare la cartella di lavoro salvata nell'elenco delle cartelle di lavoro e selezionarla per visualizzare le visualizzazioni create. È anche possibile modificare la cartella di lavoro in qualsiasi momento per aggiornare le query o gli oggetti visivi.
