Gegevensvelden toewijzen aan entiteiten in Microsoft Sentinel

Entiteitstoewijzing is een integraal onderdeel van de configuratie van geplande analyseregels. Het verrijkt de uitvoer van de regels (waarschuwingen en incidenten) met essentiële informatie die fungeert als de bouwstenen van eventuele onderzoeksprocessen en herstelacties die erop volgen.

De onderstaande procedure maakt deel uit van de wizard voor het maken van analyseregels. Het wordt hier onafhankelijk behandeld om het scenario van het toevoegen of wijzigen van entiteitstoewijzingen in een bestaande analyseregel aan te pakken.

Entiteiten toewijzen

1. Voer de pagina Analyse in de portal in via welke u toegang hebt tot Microsoft Sentinel:

   • Azure Portal
   • Defender-portal

   Selecteer in de sectie Configuratie van het navigatiemenu Microsoft Sentinel de optie Analyse.

2. Selecteer een geplande queryregel en selecteer Bewerken in het detailvenster. U kunt ook een nieuwe regel maken door boven aan het scherm op Geplande queryregel maken te > klikken.

3. Selecteer het tabblad Regellogica instellen . Als er een nieuwe regel is, typt u een query in het venster Regelquery .

4. Vouw in de sectie Waarschuwingsverbeteringentiteitstoewijzing uit.

   

5. Selecteer in de nu uitgevouwen sectie Entiteitstoewijzingde optie Nieuwe entiteit toevoegen.

   

6. Selecteer een entiteitstype in de vervolgkeuzelijst Entiteit .

   

7. Selecteer een id voor de entiteit. Id's zijn kenmerken van een entiteit waarmee deze voldoende kan worden geïdentificeerd. Kies er een in de vervolgkeuzelijst Id en kies vervolgens een gegevensveld in de vervolgkeuzelijst Waarde dat overeenkomt met de id. Met enkele uitzonderingen wordt de lijst Waarde ingevuld met de gegevensvelden in de tabel die is gedefinieerd als het onderwerp van de regelquery.

   U kunt maximaal drie id's definiëren voor een bepaalde entiteitstoewijzing. Sommige id's zijn vereist, andere zijn optioneel. U moet ten minste één vereiste id kiezen. Als u dat niet doet, wordt u in een waarschuwingsbericht aangegeven welke id's vereist zijn. Voor het beste resultaat( voor maximale unieke identificatie) moet u waar mogelijk sterke id's gebruiken. Als u meerdere sterke id's gebruikt, is er een grotere correlatie tussen gegevensbronnen mogelijk. Bekijk de volledige lijst met beschikbare entiteiten en id's.

   

8. Selecteer Nieuwe entiteit toevoegen om meer entiteiten toe te wijzen. U kunt maximaal tien entiteitstoewijzingen definiëren in één analyseregel. U kunt ook meer dan één van hetzelfde type toewijzen. U kunt bijvoorbeeld twee IP-entiteiten toewijzen, één uit een bron-IP-adresveld en één uit een doel-IP-adresveld . Op deze manier kunt u ze beide volgen.

   Als u van gedachten verandert of als u een fout hebt gemaakt, kunt u een entiteitstoewijzing verwijderen door te klikken op het prullenbakpictogram naast de vervolgkeuzelijst entiteit.

9. Wanneer u klaar bent met het toewijzen van entiteiten, klikt u op het tabblad Controleren en maken . Zodra de regelvalidatie is geslaagd, klikt u op Opslaan.

Opmerkingen over de nieuwe versie

• Omdat de nieuwe versie nu algemeen beschikbaar (GA) is, is de tijdelijke oplossing met de functievlag voor het gebruik van de oude versie niet meer beschikbaar.

• Als u eerder entiteitstoewijzingen hebt gedefinieerd voor deze analyseregel met behulp van de oude versie, worden deze automatisch geconverteerd naar de nieuwe versie.

Volgende stappen

In dit document hebt u geleerd hoe u gegevensvelden kunt toewijzen aan entiteiten in Microsoft Sentinel analyseregels. Zie de volgende artikelen voor meer informatie over Microsoft Sentinel:

• Verken de andere manieren om uw waarschuwingen te verrijken:
  • Details van aangepaste surface-gebeurtenissen in waarschuwingen in Microsoft Sentinel
  • Waarschuwingsdetails aanpassen in Microsoft Sentinel
• Krijg het volledige beeld van geplande queryanalyseregels.
• Meer informatie over entiteiten in Microsoft Sentinel.