Avancerad identifiering av flerstegsattack i Microsoft Sentinel

Microsoft Sentinel använder Fusion, en korrelationsmotor baserad på skalbara maskininlärningsalgoritmer, för att automatiskt identifiera flerstegsattacker (kallas även avancerade beständiga hot eller APT) genom att identifiera kombinationer av avvikande beteenden och misstänkta aktiviteter som observeras i olika stadier av dödskedjan. Baserat på dessa upptäckter genererar Microsoft Sentinel incidenter som annars skulle vara svåra att fånga. Dessa incidenter omfattar två eller flera aviseringar eller aktiviteter. De här incidenterna är avsiktligt lågvolym, hög återgivning och hög allvarlighetsgrad.

Den här identifieringstekniken är anpassad för din miljö och minskar inte bara antalet falska positiva identifieringar utan kan också identifiera attacker med begränsad eller saknad information.

Eftersom Fusion korrelerar flera signaler från olika produkter för att identifiera avancerade flerstegsattacker visas lyckade fusionsidentifieringar som fusionsincidenter på sidan Microsoft Sentinel incidenter och inte som aviseringar, och lagras i tabellen SecurityIncident i Loggar och inte i tabellen SecurityAlert.

Konfigurera fusion

Fusion är aktiverat som standard i Microsoft Sentinel, som en analysregel som kallas Avancerad identifiering av flerstegsattacker. Du kan visa och ändra status för regeln, konfigurera källsignaler som ska ingå i Fusion ML-modellen eller exkludera specifika identifieringsmönster som kanske inte är tillämpliga för din miljö från fusionsidentifiering. Lär dig hur du konfigurerar fusionsregeln.

Fusion är inaktiverat för Microsoft Sentinel arbetsytor som är registrerade på Microsoft Defender-portalen. Dess funktioner ersätts av den Microsoft Defender XDR korrelationsmotorn.

Fusion för nya hot

Konfigurera fusion

Fusion är aktiverat som standard i Microsoft Sentinel, som en analysregel som kallas Avancerad identifiering av flerstegsattacker. Du kan visa och ändra status för regeln, konfigurera källsignaler som ska ingå i Fusion ML-modellen eller exkludera specifika identifieringsmönster som kanske inte är tillämpliga för din miljö från fusionsidentifiering. Lär dig hur du konfigurerar fusionsregeln.

Du kanske vill avregistrera dig från Fusion om du har aktiverat kundhanterade nycklar (CMK) på din arbetsyta. Microsoft Sentinel använder för närvarande 30 dagars historiska data för att träna Fusion-motorns maskininlärningsalgoritmer, och dessa data krypteras alltid med Hjälp av Microsofts nycklar när de passerar genom maskininlärningspipelinen. Träningsdata krypteras dock inte med cmk. Om du vill avanmäla dig från Fusion inaktiverar du analysregeln advanced multistage attackidentifiering i Microsoft Sentinel. Mer information finns i Konfigurera fusionsregler.

Fusion inaktiveras när Microsoft Sentinel registreras i Defender-portalen. När du arbetar i Defender-portalen ersätts i stället funktionerna som tillhandahålls av Fusion av den Microsoft Defender XDR korrelationsmotorn.

Fusion för nya hot (förhandsversion)

Mängden säkerhetshändelser fortsätter att växa och omfattningen och sofistikeringen av attacker ökar ständigt. Vi kan definiera kända attackscenarier, men vad sägs om de nya och okända hoten i din miljö?

Microsoft Sentinel ML-baserade fusionsmotor kan hjälpa dig att hitta de nya och okända hoten i din miljö genom att tillämpa utökad ML-analys och genom att korrelera ett bredare omfång av avvikande signaler, samtidigt som varningströttheten är låg.

Fusionsmotorns ML-algoritmer lär sig ständigt av befintliga attacker och tillämpar analys baserat på hur säkerhetsanalytiker tänker. Den kan därför identifiera tidigare oupptäckta hot från miljontals avvikande beteenden i hela killkedjan i din miljö, vilket hjälper dig att ligga steget före angriparna.

Fusion för nya hot stöder datainsamling och analys från följande källor:

• Färdiga avvikelseidentifieringar

• Aviseringar från Microsoft-tjänster:

  • Microsoft Entra ID Skydd
  • Microsoft Defender for Molnet
  • Microsoft Defender för IoT
  • Microsoft Defender XDR
  • Microsoft Defender for Cloud Apps
  • Microsoft Defender för Endpoint
  • Microsoft Defender for Identity
  • Microsoft Defender för Office 365

• Aviseringar från schemalagda analysregler. Analysregler måste innehålla kill chain (taktik) och entitetsmappningsinformation för att kunna användas av Fusion.

Du behöver inte ha anslutit alla datakällor som anges ovan för att fusion för nya hot ska fungera. Men ju fler datakällor du har anslutit, desto bredare täckning och desto fler hot hittar Fusion.

När fusionsmotorns korrelationer resulterar i identifiering av ett framväxande hot genererar Microsoft Sentinel en incident med hög allvarlighetsgrad med titeln Möjliga flerstegsattackaktiviteter som identifierats av Fusion.

Fusion för utpressningstrojaner

Microsoft Sentinel fusionsmotor genererar en incident när den identifierar flera aviseringar av olika typer från följande datakällor och fastställer att de kan vara relaterade till utpressningstrojanaktivitet:

• Microsoft Defender for Molnet
• Microsoft Defender för Endpoint
• Microsoft Defender for Identity anslutningsapp
• Microsoft Defender for Cloud Apps
• Microsoft Sentinel schemalagda analysregler. Fusion tar endast hänsyn till schemalagda analysregler med taktikinformation och mappade entiteter.

Sådana fusionsincidenter namnges Flera aviseringar som kan vara relaterade till aktiviteter med utpressningstrojaner som identifieras och genereras när relevanta aviseringar identifieras under en viss tidsram och är associerade med stegen för körning och försvarsundandragande i en attack.

Till exempel skulle Microsoft Sentinel generera en incident för möjliga aktiviteter med utpressningstrojaner om följande aviseringar utlöses på samma värd inom en viss tidsram:

Scenariobaserade fusionsidentifieringar

I följande avsnitt visas de typer av scenariobaserade flerstegsattacker, grupperade efter hotklassificering, som Microsoft Sentinel identifierar med hjälp av fusionskorrelationsmotorn.

För att aktivera dessa fusionsdrivna attackidentifieringsscenarier måste deras associerade datakällor matas in på Log Analytics-arbetsytan. Välj länkarna i tabellen nedan för att lära dig mer om varje scenario och dess associerade datakällor.

Relaterat innehåll

Mer information finns i:

• Scenarier som identifieras av Microsoft Sentinel Fusion-motorn
• Konfigurera regler för multistageattackidentifiering (Fusion) i Microsoft Sentinel