Kom i gang med Jupyter-notatblokker og MSTICPy i Microsoft Sentinel

Denne artikkelen beskriver hvordan du kjører Komme i gang Guide For Microsoft Sentinel ML Notebooks-notatblokken, som konfigurerer grunnleggende konfigurasjoner for å kjøre Jupyter-notatblokker i Microsoft Sentinel, og inneholder eksempler for kjøring av enkle spørringer.

Komme i gang-veiledningen for Microsoft Sentinel ML Notebooks-notatblokk bruker MSTICPy, et kraftig Python-bibliotek som er utformet for å forbedre sikkerhetsundersøkelser og trusseljakt i Microsoft Sentinel notatblokker. Den inneholder innebygde verktøy for databerikelse, visualisering, avviksregistrering og automatiserte spørringer, slik at analytikere effektiviserer arbeidsflyten uten omfattende egendefinert koding.

Hvis du vil ha mer informasjon, kan du se Bruke notatblokker til å drive undersøkelser og bruke Jupyter-notatblokker til å lete etter sikkerhetstrusler.

Forutsetninger

Før du begynner, må du kontrollere at du har de nødvendige tillatelsene og ressursene.

Installere og kjøre Komme i gang veiledningsnotatblokk

Denne fremgangsmåten beskriver hvordan du starter notatblokken med Microsoft Sentinel.

1. Hvis du vil ha Microsoft Sentinel i Defender-portalen, velger du Microsoft Sentinel>Lese notatblokker for administrasjon>. Velg Notatblokker under Trusselbehandling for Microsoft Sentinel i Azure Portal.

2. Velg A Komme i gang Veiledning for Microsoft Sentinel ML-notatblokker fra Maler-fanen.

3. Velg Opprett fra mal.

4. Rediger navnet, og velg arbeidsområdet Azure Machine Learning etter behov.

5. Velg Lagre for å lagre den i arbeidsområdet for Azure Machine Learning.

6. Velg Start notatblokk for å kjøre notatblokken. Notatblokken inneholder en rekke celler:

   • Markdown-celler inneholder tekst og grafikk med instruksjoner for bruk av notatblokken
   • Kodeceller inneholder kjørbar kode som utfører notatblokkfunksjonene

7. Velg databehandling øverst på siden.

8. Fortsett ved å lese markdown-celler og kjøre kodeceller i rekkefølge ved hjelp av instruksjonene i notatblokken. Hvis du hopper over celler eller kjører dem utenfor rekkefølge, kan det føre til feil senere i notatblokken.

   Koden i cellen kan kjøre raskt, eller det kan ta litt tid å fullføre, avhengig av hvilken funksjon som utføres. Når cellen kjører, endres avspillingsknappen til en innlastingsspinner, og statusen vises nederst i cellen, sammen med det forløpte tidspunktet.

   Første gang du kjører en kodecelle, kan det være flere minutter å starte økten, avhengig av databehandlingsinnstillingene. En klar indikasjon vises når notatblokken er klar til å kjøre kodeceller. Eksempel:

   

Komme i gang-veiledningen for Microsoft Sentinel ML-notatblokker inneholder inndelinger for følgende aktiviteter:

Koden i Komme i gang Guide For Microsoft Sentinel ML Notebooks starter MpConfigEdit-verktøyet, som har en rekke faner for konfigurasjon av notatblokkmiljøet. Når du gjør endringer i MpConfigEdit-verktøyet , må du huske å lagre endringene før du fortsetter. Innstillingene for notatblokken lagres i msticpyconfig.yaml-filen , som automatisk fylles ut med innledende detaljer for arbeidsområdet.

Pass på å lese gjennom markdown-cellene nøye slik at du forstår prosessen fullstendig, inkludert hver av innstillingene og msticpyconfig.yaml-filen . Neste trinn, ekstra ressurser og vanlige spørsmål fra wikien Azure Sentinel notatblokker kobles fra slutten av notatblokken.

Tilpasse spørringene (valgfritt)

Komme i gang-veiledningen for Microsoft Sentinel ML-notatblokker inneholder eksempelspørringer som du kan bruke når du lærer om notatblokker. Tilpass de innebygde spørringene ved å legge til mer spørringslogikk, eller kjør fullstendige spørringer ved hjelp av exec_query funksjonen. De fleste innebygde spørringer støtter for eksempel parameteren add_query_items , som du kan bruke til å tilføye filtre eller andre operasjoner i spørringene.

1. Kjør følgende kodecelle for å legge til en dataramme som oppsummerer antall varsler etter varselnavn:

   from datetime import datetime, timedelta
   
   qry_prov.SecurityAlert.list_alerts(
      start=datetime.utcnow() - timedelta(28),
       end=datetime.utcnow(),
       add_query_items="| summarize NumAlerts=count() by AlertName"
   )
   

2. Send en fullstendig spørringsstreng for Kusto Query Language (KQL) til spørringsleverandøren. Spørringen kjøres mot det tilkoblede arbeidsområdet, og dataene returneres som en panda DataFrame. Kjøre:

   # Define your query
   test_query = """
   OfficeActivity
   | where TimeGenerated > ago(1d)
   | take 10
   """
   
   # Pass the query to your QueryProvider
   office_events_df = qry_prov.exec_query(test_query)
   display(office_events_df.head())
   
   

Hvis du vil ha mer informasjon, kan du se:

• MSTICPy-spørringsreferansen
• Kjøre forhåndsdefinerte MSTICPy-spørringer

Bruke veiledning for andre notatblokker

Fremgangsmåten i denne artikkelen beskriver hvordan du kjører Komme i gang-veiledningen for Microsoft Sentinel ML-notatblokker i Azure Machine Learning-arbeidsområdet via Microsoft Sentinel. Du kan også bruke denne artikkelen som veiledning for å utføre lignende trinn for å kjøre notatblokker i andre miljøer, inkludert lokalt.

Flere Microsoft Sentinel notatblokker bruker ikke MSTICPy, for eksempel notatblokkene credential scanner eller PowerShell og C#. Notatblokker som ikke bruker MSTICpy, trenger ikke MSTICPy-konfigurasjonen som er beskrevet i denne artikkelen.

Prøv andre Microsoft Sentinel notatblokker, for eksempel:

• Konfigurere notatblokkmiljøet
• En innføring i nettsekunders notatblokkfunksjoner
• Eksempler på maskinlæring i notatblokker
• Entity Explorer-serien, inkludert variasjoner for kontoer, domener og nettadresser, IP-adresser og Linux- eller Windows-verter.

Hvis du vil ha mer informasjon, kan du se:

• Jupyter-notatblokker med Microsoft Sentinel jaktfunksjoner
• Avanserte konfigurasjoner for Jupyter-notatblokker og MSTICPy i Microsoft Sentinel
• Opprette din første Microsoft Sentinel notatblokk (bloggserie)
• gjennomgang av notatblokk for Linux-vertsutforsker (blogg)

Beslektet innhold

Hvis du vil ha mer informasjon, kan du se:

• MSTICPy-dokumentasjon
• Jupyter-notatblokker: En introduksjon
• The Infosec Jupyterbook
• Hvorfor bruke Jupyter for sikkerhetsundersøkelser
• Sikkerhetsundersøkelser med Microsoft Sentinel & notatblokker