QRadar-detectieregels migreren naar Microsoft Sentinel

In dit artikel wordt beschreven hoe u uw QRadar-detectieregels kunt identificeren, vergelijken en migreren naar Microsoft Sentinel ingebouwde regels.

Regels identificeren en migreren

Microsoft Sentinel maakt gebruik van machine learning-analyse om incidenten met hoge kwaliteit en uitvoerbaar te maken. Sommige van uw bestaande detecties zijn mogelijk overbodig in Microsoft Sentinel. Migreer daarom niet al uw detectie- en analyseregels blindelings. Bekijk deze overwegingen bij het identificeren van uw bestaande detectieregels.

• Zorg ervoor dat u use cases selecteert die regelmigratie rechtvaardigen, rekening houdend met bedrijfsprioriteit en efficiëntie.
• Controleer of u Microsoft Sentinel regeltypen begrijpt.
• Controleer of u de terminologie van de regel begrijpt.
• Controleer eventuele regels die de afgelopen 6-12 maanden geen waarschuwingen hebben geactiveerd en bepaal of ze nog steeds relevant zijn.
• Elimineer bedreigingen op laag niveau of waarschuwingen die u regelmatig negeert.
• Gebruik bestaande functionaliteit en controleer of de ingebouwde analyseregels van Microsoft Sentinel uw huidige gebruiksscenario's kunnen aanpakken. Omdat Microsoft Sentinel gebruikmaakt van machine learning-analyse om incidenten met hoge kwaliteit en actie mogelijk te maken, zijn sommige van uw bestaande detecties waarschijnlijk niet meer vereist.
• Bevestig verbonden gegevensbronnen en controleer uw gegevensverbindingsmethoden. Ga opnieuw naar gesprekken over gegevensverzameling om ervoor te zorgen dat de gegevens diep en breed zijn in de gebruiksscenario's die u wilt detecteren.
• Verken communityresources zoals de SOC Prime Threat Detection Marketplace om te controleren of uw regels beschikbaar zijn.
• Overweeg of een online queryconversieprogramma, zoals Uncoder.io, voor uw regels kan werken.
• Als regels niet beschikbaar zijn of niet kunnen worden geconverteerd, moeten ze handmatig worden gemaakt met behulp van een KQL-query. Controleer de toewijzing van regels om nieuwe query's te maken.

Meer informatie over aanbevolen procedures voor het migreren van detectieregels.

Uw analyseregels migreren naar Microsoft Sentinel:

1. Controleer of u een testsysteem hebt voor elke regel die u wilt migreren.

   1. Bereid een validatieproces voor voor uw gemigreerde regels, inclusief volledige testscenario's en scripts.

   2. Zorg ervoor dat uw team nuttige bronnen heeft om uw gemigreerde regels te testen.

   3. Controleer of u alle vereiste gegevensbronnen hebt verbonden en controleer uw gegevensverbindingsmethoden.

2. Controleer of uw detecties beschikbaar zijn als ingebouwde sjablonen in de Content Hub:

   • Als de ingebouwde regels voldoende zijn, installeert u de relevante oplossingen en gebruikt u de sjablonen om regels voor uw werkruimte te maken.

     1. Ga in Microsoft Sentinel naar Inhoudsbeheer > Inhoudshub.
     2. Zoek en installeer de relevante analyseregel.

     Zie Microsoft Sentinel Out-of-the-Box-inhoud detecteren en beheren en Geplande analyseregels maken op basis van sjablonen voor meer informatie.

   • Als u detecties hebt die niet worden gedekt door de ingebouwde regels die beschikbaar zijn in de Inhoudshub, probeert u een online queryconversieprogramma, zoals Uncoder.io om uw query's te converteren naar KQL.

     Identificeer de triggervoorwaarde en regelactie en stel vervolgens uw KQL-query samen en controleer deze.

   • Als noch Content Hub-oplossingen noch een online regelconversieprogramma voldoende zijn, moet u de regel handmatig maken. Gebruik in dergelijke gevallen de volgende stappen om te beginnen met het maken van uw regel:

     1. Identificeer de gegevensbronnen die u in uw regel wilt gebruiken. U wilt een toewijzingstabel maken tussen gegevensbronnen en gegevenstabellen in Microsoft Sentinel om de tabellen te identificeren die u wilt opvragen.

     2. Identificeer kenmerken, velden of entiteiten in uw gegevens die u in uw regels wilt gebruiken.

     3. Identificeer uw regelcriteria en logica. In deze fase kunt u regelsjablonen gebruiken als voorbeelden voor het samenstellen van uw KQL-query's als voorbeelden voor het samenstellen van uw KQL-query's.

        Denk aan filters, correlatieregels, actieve lijsten, verwijzingssets, volglijsten, detectieafwijkingen, aggregaties, enzovoort. U kunt verwijzingen van uw verouderde SIEM gebruiken om te begrijpen hoe u de querysyntaxis het beste kunt toewijzen.

     4. Identificeer de triggervoorwaarde en regelactie en stel vervolgens uw KQL-query samen en controleer deze. Wanneer u uw query bekijkt, kunt u rekening houden met hulpmiddelen voor KQL-optimalisatie.

3. Test de regel met elk van uw relevante use cases. Als er geen verwachte resultaten worden weergegeven, kunt u de KQL controleren en deze opnieuw testen.

4. Wanneer u tevreden bent, kunt u overwegen de regel te migreren. Maak zo nodig een playbook voor uw regelactie. Zie Reactie op bedreigingen automatiseren met playbooks in Microsoft Sentinel voor meer informatie.

Meer informatie over analyseregels:

• Geplande analyseregels in Microsoft Sentinel. Gebruik waarschuwingsgroepering om de vermoeidheid van waarschuwingen te verminderen door waarschuwingen te groeperen die binnen een bepaald tijdsbestek optreden.
• Wijs gegevensvelden toe aan entiteiten in Microsoft Sentinel zodat SOC-technici entiteiten kunnen definiëren als onderdeel van het bewijs dat tijdens een onderzoek moet worden bijgehouden. Entiteitstoewijzing maakt het ook mogelijk voor SOC-analisten om te profiteren van een intuïtieve onderzoeksgrafiek die kan helpen tijd en moeite te verminderen.
• Onderzoek incidenten met UEBA-gegevens, als voorbeeld van hoe u bewijs kunt gebruiken om gebeurtenissen, waarschuwingen en bladwijzers die aan een bepaald incident zijn gekoppeld, weer te geven in het voorbeeldvenster van incidenten.
• Kusto-querytaal (KQL), waarmee u alleen-lezenaanvragen kunt verzenden naar uw Log Analytics-database om gegevens te verwerken en resultaten te retourneren. KQL wordt ook gebruikt in andere Microsoft-services, zoals Microsoft Defender voor Eindpunt en Application Insights.

Regelterminologie vergelijken

Deze tabel helpt u het concept van een regel in Microsoft Sentinel te verduidelijken in vergelijking met QRadar.

Regelvoorbeelden toewijzen en vergelijken

Gebruik deze voorbeelden om regels van QRadar te vergelijken en toe te wijzen aan Microsoft Sentinel in verschillende scenario's.

Algemene syntaxis voor eigenschapstests

Dit is de QRadar-syntaxis voor een algemene regel voor eigenschapstests.

Algemene eigenschapstests: Voorbeeld van reguliere expressie (QRadar)

Hier volgt de syntaxis voor een voorbeeld van een algemene QRadar-eigenschapstestregel die gebruikmaakt van een reguliere expressie:

when any of <these properties> match <this regular expression>

Dit is de voorbeeldregel in QRadar.

Algemene eigenschapstests: Voorbeeld van reguliere expressie (KQL)

Dit is de algemene eigenschapstestregel met een reguliere expressie in KQL.

CommonSecurityLog
| where tostring(SourcePort) matches regex @"\d{1,5}" or tostring(DestinationPort) matches regex @"\d{1,5}"

Algemene eigenschapstests: voorbeeld van AQL-filterquery (QRadar)

Hier volgt de syntaxis voor een voorbeeld van een algemene QRadar-eigenschapstestregel die gebruikmaakt van een AQL-filterquery.

when the event matches <this> AQL filter query

Dit is de voorbeeldregel in QRadar.

Algemene eigenschapstests: voorbeeld van een AQL-filterquery (KQL)

Hier volgt de algemene regel voor eigenschapstests met een AQL-filterquery in KQL.

CommonSecurityLog
| where SourceIP == '10.1.1.10'

Algemene eigenschapstests: is gelijk aan/niet gelijk aan voorbeeld (QRadar)

Hier volgt de syntaxis voor een voorbeeld van een algemene QRadar-eigenschapstestregel die gebruikmaakt van de equals operator of not equals .

and when <this property> <equals/not equals> <this property>

Dit is de voorbeeldregel in QRadar.

Algemene eigenschapstests: is gelijk aan/niet gelijk aan voorbeeld (KQL)

Dit is de algemene eigenschapstestregel met de equals operator of not equals in KQL.

CommonSecurityLog
| where SourceIP == DestinationIP

Syntaxis van datum-/tijdtests

Dit is de QRadar-syntaxis voor een datum-/tijdtestregel.

Datum-/tijdtests: geselecteerde dag van het maandvoorbeeld (QRadar)

Hier volgt de syntaxis voor een voorbeeld van een QRadar-regel voor datum-/tijdtests die een geselecteerde dag van de maand gebruikt.

and when the event(s) occur <on/after/before> the <selected> day of the month

Dit is de voorbeeldregel in QRadar.

Datum-/tijdtests: geselecteerde dag van het maandvoorbeeld (KQL)

Hier volgt de regel voor datum-/tijdtests met een geselecteerde dag van de maand in KQL.

SecurityEvent
 | where dayofmonth(TimeGenerated) < 4

Datum-/tijdtests: voorbeeld van geselecteerde dag van de week (QRadar)

Hier volgt de syntaxis voor een voorbeeld van een QRadar-regel voor datum-/tijdtests die een geselecteerde dag van de week gebruikt:

and when the event(s) occur on any of <these days of the week{Monday, Tuesday, Wednesday, Thursday, Friday, Saturday, Sunday}>

Dit is de voorbeeldregel in QRadar.

Datum-/tijdtests: voorbeeld van geselecteerde dag van de week (KQL)

Dit is de regel voor datum-/tijdtests met een geselecteerde dag van de week in KQL.

SecurityEvent
 | where dayofweek(TimeGenerated) between (3d .. 5d)

Datum-/tijdtests: na/voor/bij voorbeeld (QRadar)

Hier volgt de syntaxis voor een voorbeeld van een QRadar-regel voor datum-/tijdtests die gebruikmaakt van de afteroperator , beforeof at .

and when the event(s) occur <after/before/at> <this time{12.00AM, 12.05AM, ...11.50PM, 11.55PM}>

Dit is de voorbeeldregel in QRadar.

Datum/tijd-tests: na/voor/bij voorbeeld (KQL)

Dit is de regel voor datum-/tijdtests die gebruikmaakt van de afteroperator , beforeof at in KQL.

SecurityEvent
| where format_datetime(TimeGenerated,'HH:mm')=="23:55"

TimeGenerated is in UTC/GMT.

Syntaxis van gebeurteniseigenschapstests

Dit is de QRadar-syntaxis voor een testregel voor een gebeurteniseigenschap.

Gebeurteniseigenschapstests: VOORBEELD VAN IP-protocol (QRadar)

Hier volgt de syntaxis voor een voorbeeld van een QRadar-gebeurteniseigenschapstestregel die gebruikmaakt van een IP-protocol.

and when the IP protocol is one of the following <protocols>

Dit is de voorbeeldregel in QRadar.

Gebeurteniseigenschapstests: VOORBEELD VAN IP-protocol (KQL)

CommonSecurityLog
| where Protocol in ("UDP","ICMP")

Tests van gebeurteniseigenschappen: Voorbeeld van tekenreeks voor gebeurtenislading (QRadar)

Hier volgt de syntaxis voor een voorbeeld van een QRadar-gebeurteniseigenschapsregel die gebruikmaakt van een Event Payload tekenreekswaarde.

and when the Event Payload contains <this string>

Dit is de voorbeeldregel in QRadar.

Tests van gebeurteniseigenschappen: Voorbeeld van tekenreeks voor gebeurtenislading (KQL)

CommonSecurityLog
| where DeviceVendor has "Palo Alto"

search "Palo Alto"

Als u de prestaties wilt optimaliseren, vermijdt u het gebruik van de search opdracht als u de tabelnaam al kent.

Functies: syntaxis van tellers

Dit is de QRadar-syntaxis voor een functieregel die gebruikmaakt van tellers.

Tellers: voorbeeld van gebeurteniseigenschap en tijd (QRadar)

Hier volgt de syntaxis voor een voorbeeld van een QRadar-functieregel die gebruikmaakt van een gedefinieerd aantal gebeurteniseigenschappen in een gedefinieerd aantal minuten.

and when at least <this many> events are seen with the same <event properties> in <this many> <minutes>

Dit is de voorbeeldregel in QRadar.

Tellers: gebeurteniseigenschap en tijdvoorbeeld (KQL)

CommonSecurityLog
| summarize Count = count() by SourceIP, DestinationIP
| where Count >= 5

Functies: syntaxis van negatieve voorwaarden

Dit is de QRadar-syntaxis voor een functieregel die gebruikmaakt van negatieve voorwaarden.

Voorbeeld van negatieve voorwaarden (QRadar)

Hier volgt de syntaxis voor een voorbeeld van een QRadar-functieregel die negatieve voorwaarden gebruikt.

and when none of <these rules> match in <this many> <minutes> after <these rules> match with the same <event properties>

Hier volgen twee gedefinieerde regels in QRadar. De negatieve voorwaarden zijn gebaseerd op deze regels.

Hier volgt een voorbeeld van de regel voor negatieve voorwaarden op basis van de bovenstaande regels.

Voorbeeld van negatieve voorwaarden (KQL)

let spanoftime = 10m;
let Test2 = (
CommonSecurityLog
| where Protocol !in ("UDP","ICMP")
| where TimeGenerated > ago(spanoftime)
);
let Test6 = (
CommonSecurityLog
| where SourceIP == DestinationIP
);
Test2
| join kind=rightanti Test6 on $left. SourceIP == $right. SourceIP and $left. Protocol ==$right. Protocol

Functies: syntaxis van eenvoudige voorwaarden

Hier volgt de QRadar-syntaxis voor een functieregel die gebruikmaakt van eenvoudige voorwaarden.

Voorbeeld van eenvoudige voorwaarden (QRadar)

Hier volgt de syntaxis voor een voorbeeld van een QRadar-functieregel die gebruikmaakt van eenvoudige voorwaarden.

and when an event matches <any|all> of the following <rules>

Dit is de voorbeeldregel in QRadar.

Voorbeeld van eenvoudige voorwaarden (KQL)

CommonSecurityLog
| where Protocol !in ("UDP","ICMP") or SourceIP == DestinationIP

Syntaxis van IP-/poorttests

Dit is de QRadar-syntaxis voor een IP-/poorttestregel.

IP-/poorttests: voorbeeld van bronpoort (QRadar)

Dit is de syntaxis voor een voorbeeld van een QRadar-regel die een bronpoort opgeeft.

and when the source port is one of the following <ports>

Dit is de voorbeeldregel in QRadar.

IP-/poorttests: voorbeeld van bronpoort (KQL)

CommonSecurityLog
| where SourcePort == 20

IP-/poorttests: voorbeeld van bron-IP (QRadar)

Hier volgt de syntaxis voor een voorbeeld-QRadar-regel die een bron-IP opgeeft.

and when the source IP is one of the following <IP addresses>

Dit is de voorbeeldregel in QRadar.

IP-/poorttests: Voorbeeld van bron-IP (KQL)

CommonSecurityLog
| where SourceIP in ("10.1.1.1","10.2.2.2")

Syntaxis van logboekbrontests

Dit is de QRadar-syntaxis voor een regel voor logboekbrontests.

Voorbeeld van logboekbron (QRadar)

Hier volgt de syntaxis voor een QRadar-voorbeeldregel die logboekbronnen opgeeft.

and when the event(s) were detected by one or more of these <log source types>

Dit is de voorbeeldregel in QRadar.

Voorbeeld van logboekbron (KQL)

OfficeActivity
| where OfficeWorkload == "Exchange"

Volgende stappen

In dit artikel hebt u geleerd hoe u uw migratieregels van QRadar kunt toewijzen aan Microsoft Sentinel.