Creare elenchi di controllo in Microsoft Sentinel

Gli elenchi di controllo in Microsoft Sentinel consentono di correlare i dati di un'origine dati fornita con gli eventi nell'ambiente Microsoft Sentinel. Ad esempio, è possibile creare una watchlist con un elenco di asset di valore elevato, dipendenti terminati o account di servizio nell'ambiente.

È possibile creare un watchlist usando uno dei metodi seguenti:

• Caricare un file watchlist da una cartella locale
• Caricare un file watchlist dall'account di archiviazione Azure
• Creare manualmente una watchlist

È attualmente possibile caricare file locali di dimensioni fino a 3,8 MB. Un file di dimensioni superiori a 3,8 MB e fino a 500 MB è considerato un elenco di controllo di grandi dimensioni. Per caricare una watchlist di grandi dimensioni, caricare il file in un account di archiviazione Azure. Prima di creare una watchlist, esaminare le limitazioni delle watchlist.

I dati nella tabella Log Analytics Watchlist vengono conservati per 28 giorni.

Caricare una watchlist da una cartella locale

Sono disponibili due modi per caricare un file CSV dal computer locale per creare una watchlist.

• Per un file watchlist creato senza un modello watchlist: selezionare Aggiungi nuovo e immettere le informazioni necessarie.
• Per un file watchlist creato da un modello scaricato da Microsoft Sentinel: passare alla scheda Modelli watchlist (anteprima). Selezionare l'opzione Crea dal modello. Azure popola automaticamente il nome, la descrizione e l'alias della watchlist.

Caricare una watchlist da un file creato

Se non è stato usato un modello watchlist per creare il file:

1. Nel portale di Defender passare a Microsoft Sentinel>Configuration>Watchlist.

2. Selezionare + Nuovo per aprire la procedura guidata Watchlist.

   

3. Nella pagina Generale immettere il nome, la descrizione e l'alias per l'elenco di controllo e quindi selezionare Avanti: Origine.

   

4. Nella pagina Origine usare le informazioni nella tabella seguente per caricare i dati dell'elenco di controllo e quindi selezionare Avanti: Rivedi e crea.

   Campo	Descrizione
   Tipo di origine	File locale
   Tipo di file	File CSV con un'intestazione (.csv)
   Numero di righe prima della riga con intestazioni	Immettere il numero di righe prima della riga di intestazione presente nel file di dati.
   Caricare il file	Trascinare e rilasciare il file di dati oppure selezionare Cerca file e selezionare il file da caricare.
   SearchKey	Immettere il nome di una colonna nell'elenco di controllo che si prevede di usare come join con altri dati o un oggetto frequente di ricerche. Ad esempio, se l'elenco di controllo del server contiene nomi di paese/area geografica e i rispettivi codici paese a due lettere e si prevede di usare spesso i codici paese per la ricerca o l'aggiunta, usare la colonna Codice come chiave di ricerca.

   Nota

   Se il file CSV è maggiore di 3,8 MB, è necessario usare le istruzioni per Creare un elenco di controllo di grandi dimensioni da un file in archiviazione Azure.

   

5. Esaminare le informazioni, verificare che siano corrette e quindi selezionare Crea.

   

   Una notifica viene visualizzata dopo la creazione dell'elenco di controllo.

La creazione dell'elenco di controllo e la disponibilità dei nuovi dati nelle query potrebbero richiedere alcuni minuti.

Caricare una watchlist creata da un modello (anteprima)

Per creare una watchlist da un modello popolato:

1. Nel portale di Defender passare a Microsoft Sentinel>Configuration>Watchlist.

2. Selezionare la scheda Modelli (anteprima).

3. Selezionare il modello appropriato dall'elenco per visualizzare i dettagli del modello nel riquadro di destra.

4. Selezionare Crea dal modello per aprire la procedura guidata Watchlist.

   

5. Nella pagina Generale si noti che i campi Nome, Descrizione e Alias sono tutti di sola lettura. Selezionare Avanti: Origine.

6. Nella pagina Origine selezionare Cerca file e quindi selezionare il file creato dal modello.

7. Selezionare Avanti: Rivedi e crea, quindi selezionare Crea. Una notifica viene visualizzata dopo la creazione dell'elenco di controllo.

La creazione dell'elenco di controllo e la disponibilità dei nuovi dati nelle query potrebbero richiedere alcuni minuti.

Creare un elenco di controllo di grandi dimensioni da un file in archiviazione Azure (anteprima)

Se si dispone di una watchlist di grandi dimensioni fino a 500 MB, caricare il file watchlist nell'account di archiviazione Azure. Creare quindi un URL di firma di accesso condiviso per Microsoft Sentinel per recuperare i dati dell'elenco di controllo. Un URL di firma di accesso condiviso è un URI che contiene sia l'URI della risorsa che il token di firma di accesso condiviso di una risorsa, ad esempio un file CSV nell'account di archiviazione. Aggiungere infine l'elenco di controllo all'area di lavoro in Microsoft Sentinel.

Per altre informazioni sulle firme di accesso condiviso, vedere Azure Token di firma di accesso condiviso di Archiviazione.

Passaggio 1: Caricare un file watchlist in archiviazione Azure

Per caricare un file watchlist di grandi dimensioni nell'account di archiviazione Azure, usare AzCopy o il portale di Azure.

1. Se non si dispone già di un account di archiviazione Azure, creare un account di archiviazione. L'account di archiviazione può trovarsi in un gruppo di risorse o in un'area diversa dall'area di lavoro in Microsoft Sentinel.
2. Usare AzCopy o il portale di Azure per caricare il file CSV con i dati dell'elenco di controllo nell'account di archiviazione.

Caricare il file con AzCopy

Caricare file e directory nell'archiviazione BLOB usando l'utilità da riga di comando AzCopy v10. Per altre informazioni, vedere Caricare file nell'archivio BLOB Azure usando AzCopy.

1. Se non si dispone già di un contenitore di archiviazione, crearne uno eseguendo il comando seguente.

   azcopy make 
   https://<storage-account-name>.<blob or dfs>.core.windows.net/<container-name>
   

2. Eseguire quindi il comando seguente per caricare il file.

   azcopy copy '<local-file-path>' 'https://<storage-account-name>.<blob or dfs>.core.windows.net/<container-name>/<blob-name>'
   

Caricare il file in portale di Azure

Se non si usa AzCopy, caricare il file usando il portale di Azure. Passare all'account di archiviazione in portale di Azure per caricare il file CSV con i dati dell'elenco di controllo.

1. Se non si dispone già di un contenitore di archiviazione esistente, creare un contenitore. Per il livello di accesso pubblico al contenitore, usare il valore predefinito impostato su Privato (nessun accesso anonimo).
2. Caricare un BLOB in blocchi per caricare il file CSV nell'account di archiviazione.

Passaggio 2: Creare l'URL della firma di accesso condiviso

Creare un URL di firma di accesso condiviso per Microsoft Sentinel per recuperare i dati dell'elenco di controllo.

1. Seguire la procedura descritta in Creare token di firma di accesso condiviso per i BLOB nel portale di Azure.
2. Impostare l'ora di scadenza del token di firma di accesso condiviso su almeno sei ore.
3. Mantenere vuoto il valore predefinito per Indirizzi IP consentiti .
4. Copiare il valore per l'URL di firma di accesso condiviso blob.

Passaggio 3: Aggiungere Azure alla scheda CORS

Prima di usare un URI di firma di accesso condiviso, aggiungere il portale di Azure alla condivisione delle risorse tra origini (CORS).

1. Passare alle impostazioni dell'account di archiviazione, pagina Condivisione risorse .
2. Selezionare la scheda Servizio BLOB .
3. Aggiungere https://*.portal.azure.net alla tabella delle origini consentite.
4. Selezionare i metodi consentiti appropriati di GET e OPTIONS.
5. Salvare la configurazione.

Per altre informazioni, vedere Supporto di CORS per l'archiviazione Azure.

Passaggio 4: Aggiungere l'elenco di controllo a un'area di lavoro

1. Nel portale di Defender passare a Microsoft Sentinel>Configuration>Watchlist.

2. Selezionare + Nuovo per aprire la procedura guidata Watchlist.

3. Nella pagina Generale immettere il nome, la descrizione e l'alias per l'elenco di controllo e quindi selezionare Avanti: Origine.

4. Nella pagina Origine usare le informazioni nella tabella seguente per caricare i dati dell'elenco di controllo e quindi selezionare Avanti: Rivedi e crea.

   Campo	Descrizione
   Tipo di origine	Archiviazione Azure (anteprima)
   Selezionare un tipo per il set di dati	File CSV con un'intestazione (.csv)
   Numero di righe prima della riga con intestazioni	Immettere il numero di righe prima della riga di intestazione presente nel file di dati.
   URL firma di accesso condiviso BLOB (anteprima)	Incollare l'URL di accesso condiviso creato.
   SearchKey	Immettere il nome di una colonna nell'elenco di controllo che si prevede di usare come join con altri dati o un oggetto frequente di ricerche. Ad esempio, se l'elenco di controllo del server contiene nomi di paese/area geografica e i rispettivi codici paese a due lettere e si prevede di usare spesso i codici paese per la ricerca o l'aggiunta, usare la colonna Codice come chiave di ricerca.

5. Esaminare le informazioni, verificare che siano corrette e quindi selezionare Crea. Una notifica viene visualizzata dopo la creazione dell'elenco di controllo.

La creazione di un elenco di controllo di grandi dimensioni e la disponibilità dei nuovi dati nelle query potrebbero richiedere del tempo.

Creare manualmente una watchlist (anteprima)

Per creare una watchlist da zero:

1. Nel portale di Defender passare a Microsoft Sentinel>Configuration>Watchlist.

2. Selezionare + Nuovo per aprire la procedura guidata Watchlist.

3. Nella pagina Generale immettere il nome, la descrizione e l'alias per l'elenco di controllo e quindi selezionare Avanti: Origine.

4. Nella pagina Origine scegliere Manuale (anteprima) come tipo di origine.

5. Aggiungere e definire i nomi delle colonne per l'elenco di controllo. Scegliere la colonna che funge da chiave di ricerca. Questa chiave è la colonna nell'elenco di controllo che si prevede di usare come join con altri dati o un oggetto frequente di ricerche.

   

6. Selezionare Avanti: Rivedi e crea.

7. Esaminare le informazioni, verificare che siano corrette e quindi selezionare Crea. Una notifica viene visualizzata dopo la creazione dell'elenco di controllo.

La creazione dell'elenco di controllo e la disponibilità dei nuovi dati nelle query potrebbero richiedere alcuni minuti.

Visualizzare lo stato dell'elenco di controllo

Per visualizzare lo stato di un elenco di controllo nell'area di lavoro:

1. Nel portale di Defender passare a Microsoft Sentinel>Configuration>Watchlist.

2. Nella scheda Espressioni di controllo personali selezionare l'elenco di controllo.

3. Nella pagina dei dettagli esaminare lo stato (anteprima).On the details page, review the Status (Preview).

   

4. Quando lo stato è Completato, selezionare Visualizza nei log per usare l'elenco di controllo in una query. La visualizzazione dell'elenco di controllo in Log Analytics potrebbe richiedere alcuni minuti.

   

Scaricare il modello watchlist (anteprima)

Scaricare uno dei modelli watchlist da Microsoft Sentinel per popolare i dati. Caricare quindi il file quando si crea l'elenco di controllo in Microsoft Sentinel.

Ogni modello watchlist predefinito ha un proprio set di dati elencato nel file CSV allegato al modello. Per altre informazioni, vedere Schemi watchlist predefiniti.

Per scaricare uno dei modelli watchlist:

1. Nel portale di Defender passare a Microsoft Sentinel>Configuration>Watchlist.

2. Selezionare la scheda Modelli (anteprima).

3. Selezionare un modello nell'elenco per visualizzare i dettagli del modello nel riquadro di destra.

4. Selezionare i puntini di sospensione ... alla fine della riga.

5. Selezionare Scarica schema.

   

6. Popolare la versione locale del file e salvarlo in locale come file CSV.

7. Seguire la procedura per caricare l'elenco di controllo creato da un modello (anteprima).

Elenchi di controllo eliminati e ricreati nella visualizzazione Log Analytics

Se si elimina e si ricrea un elenco di controllo, è possibile che vengano visualizzate sia le voci eliminate che le voci ricreate in Log Analytics entro il contratto di servizio di cinque minuti per l'inserimento dei dati. Se queste voci vengono visualizzate insieme in Log Analytics per un periodo di tempo più lungo, inviare un ticket di supporto.

Contenuto correlato

Per altre informazioni su Microsoft Sentinel, vedere gli articoli seguenti:

• Informazioni su come ottenere visibilità sui dati e sulle potenziali minacce
• Introduzione al rilevamento delle minacce con Microsoft Sentinel
• Usare le cartelle di lavoro per monitorare i dati.
• Gestire le watchlist
• Compilare query e regole di rilevamento con watchlist