Avansert angrepsgjenkjenning i fleretrinn i Microsoft Sentinel

Microsoft Sentinel bruker Fusion, en korrelasjonsmotor basert på skalerbare maskinlæringsalgoritmer, til automatisk å oppdage flertrinnsangrep (også kjent som avanserte vedvarende trusler eller APT) ved å identifisere kombinasjoner av uregelmessig atferd og mistenkelige aktiviteter som observeres på ulike stadier i kill-kjeden. Basert på disse funnene genererer Microsoft Sentinel hendelser som ellers ville vært vanskelige å fange. Disse hendelsene består av to eller flere varsler eller aktiviteter. Etter design er disse hendelsene lavvolum, høy gjengivelse og høy alvorlighetsgrad.

Tilpasset for miljøet ditt, reduserer denne gjenkjenningsteknologien ikke bare falske positive priser, men kan også oppdage angrep med begrenset eller manglende informasjon.

Siden Fusion korrelerer flere signaler fra ulike produkter for å oppdage avanserte flertrinnsangrep, presenteres vellykkede Fusion-gjenkjenninger som Fusion-hendelser på siden Microsoft Sentinel Hendelser og ikke som varsler, og lagres i SecurityIncident-tabellen i Logger og ikke i SecurityAlert-tabellen.

Konfigurer fusjon

Fusion aktiveres som standard i Microsoft Sentinel, som en analyseregel kalt Avansert angrepsgjenkjenning med flere trinn. Du kan vise og endre statusen for regelen, konfigurere kildesignaler som skal inkluderes i Fusion ML-modellen, eller utelukke bestemte gjenkjenningsmønstre som kanskje ikke gjelder for miljøet ditt, fra Fusion-gjenkjenning. Finn ut hvordan du konfigurerer Fusion-regelen.

For Microsoft Sentinel arbeidsområder som er innebygd i Microsoft Defender-portalen, deaktiveres Fusion. Funksjonaliteten erstattes av Microsoft Defender XDR korrelasjonsmotor.

Fusjon for nye trusler

Konfigurer fusjon

Fusion aktiveres som standard i Microsoft Sentinel, som en analyseregel kalt Avansert angrepsgjenkjenning med flere trinn. Du kan vise og endre statusen for regelen, konfigurere kildesignaler som skal inkluderes i Fusion ML-modellen, eller utelukke bestemte gjenkjenningsmønstre som kanskje ikke gjelder for miljøet ditt, fra Fusion-gjenkjenning. Finn ut hvordan du konfigurerer Fusion-regelen.

Du vil kanskje melde deg ut av Fusion hvis du har aktivert kundeadministrerte nøkler (CMK) i arbeidsområdet. Microsoft Sentinel bruker for tiden 30 dager med historiske data til å lære opp Fusion-motorens maskinlæringsalgoritmer, og disse dataene krypteres alltid ved hjelp av Microsofts nøkler når de passerer gjennom maskinlæringsforløpet. Opplæringsdataene krypteres imidlertid ikke ved hjelp av CMK. Hvis du vil melde deg ut av Fusion, deaktiverer du den avanserte analyseregelen for angrepsgjenkjenning med fleretrinn i Microsoft Sentinel. Hvis du vil ha mer informasjon, kan du se Konfigurer fusjonsregler.

Fusion deaktiveres når Microsoft Sentinel er innebygd i Defender-portalen. Når du arbeider i Defender-portalen, erstattes funksjonaliteten som leveres av Fusion av Microsoft Defender XDR korrelasjonsmotor.

Fusjon for nye trusler (forhåndsversjon)

Volumet av sikkerhetshendelser fortsetter å vokse, og omfanget og raffinementet av angrep øker stadig. Vi kan definere de kjente angrepsscenarioene, men hva med de fremvoksende og ukjente truslene i miljøet ditt?

Microsoft Sentinel ML-drevet Fusion-motor kan hjelpe deg med å finne de nye og ukjente truslene i miljøet ditt ved å bruke utvidet ML-analyse og ved å koordinere et bredere omfang av uregelmessige signaler, samtidig som varseltrettheten er lav.

Fusion-motorens ML-algoritmer lærer hele tiden av eksisterende angrep og bruker analyser basert på hvordan sikkerhetsanalytikere tenker. Det kan derfor oppdage tidligere uoppdagede trusler fra millioner av uregelmessige atferder på tvers av kill-kjeden i hele miljøet ditt, noe som hjelper deg med å holde deg ett skritt foran angriperne.

Fusion for nye trusler støtter datainnsamling og analyse fra følgende kilder:

• Forhåndsdefinerte avviksregistreringer

• Varsler fra Microsoft-tjenester:

  • Microsoft Entra ID Protection
  • Microsoft Defender for skyen
  • Microsoft Defender for IoT
  • Microsoft Defender XDR
  • Microsoft Defender for skyapper
  • Microsoft Defender for endepunkt
  • Microsoft Defender for identitet
  • Microsoft Defender for Office 365

• Varsler fra planlagte analyseregler. Analyseregler må inneholde kill-chain (taktikk) og enhetstilordningsinformasjon for å kunne brukes av Fusion.

Du trenger ikke å ha koblet til alle datakildene som er oppført ovenfor for å få Fusion til å fungere for nye trusler. Men jo flere datakilder du har koblet til, jo bredere dekning, og jo flere trusler Fusion vil finne.

Når Fusion-motorens korrelasjoner resulterer i påvisning av en fremvoksende trussel, genererer Microsoft Sentinel en hendelse med høy alvorlighetsgrad med tittelen Mulige flertrinns angrepsaktiviteter oppdaget av Fusion.

Fusjon for løsepengevirus

Microsoft Sentinel's Fusion-motor genererer en hendelse når den oppdager flere varsler av forskjellige typer fra følgende datakilder, og fastslår at de kan være relatert til løsepengevirusaktivitet:

• Microsoft Defender for skyen
• Microsoft Defender for endepunkt
• Microsoft Defender for identitet kobling
• Microsoft Defender for skyapper
• Microsoft Sentinel planlagte analyseregler. Fusion vurderer bare planlagte analyseregler med taktikkinformasjon og tilordnede enheter.

Slike Fusion hendelser kalles Flere varsler muligens relatert til Ransomware aktivitet oppdaget, og genereres når relevante varsler oppdages i løpet av en bestemt tidsramme og er knyttet til Execution og Defense Evasion stadier av et angrep.

For eksempel vil Microsoft Sentinel generere en hendelse for mulige løsepengevirusaktiviteter hvis følgende varsler utløses på samme vert innen en bestemt tidsramme:

Scenariobaserte fusjonsgjenkjenninger

Den følgende delen viser hvilke typer scenariobaserte flertrinnsangrep, gruppert etter trusselklassifisering, som Microsoft Sentinel oppdager ved hjelp av Fusion-korrelasjonsmotoren.

For å aktivere disse Fusion-drevne angrepsgjenkjenningsscenarioene må de tilknyttede datakildene tas inn i Log Analytics-arbeidsområdet. Velg koblingene i tabellen nedenfor for å lære om hvert scenario og tilknyttede datakilder.

Beslektet innhold

Hvis du vil ha mer informasjon, kan du se:

• Scenarier oppdaget av Microsoft Sentinel Fusion-motoren
• Konfigurer flertrinns regler for angrepsregistrering (Fusion) i Microsoft Sentinel