Rekommendationer för SOC-optimeringstyper

Använd rekommendationer för SOC-optimering för att minska täckningsluckorna mot specifika hot och öka inmatningshastigheten mot data som inte ger säkerhetsvärde. SOC-optimeringar hjälper dig att optimera din Microsoft Sentinel arbetsyta, utan att soc-teamen lägger tid på manuell analys och forskning.

Microsoft Sentinel SOC-optimeringar omfattar följande typer av rekommendationer:

• Rekommendationer för datavärde föreslår sätt att förbättra dataanvändningen, till exempel en bättre dataplan för din organisation.

• Täckningsbaserade rekommendationer föreslår att du lägger till kontroller för att förhindra täckningsluckor som kan leda till sårbarheter i attacker eller scenarier som kan leda till ekonomisk förlust. Täckningsrekommendationer omfattar:

  • Hotbaserade rekommendationer: Rekommenderar att du lägger till säkerhetskontroller som hjälper dig att identifiera täckningsluckor för att förhindra attacker och sårbarheter.
  • AI MITRE ATT&CK-taggningsrekommendationer (förhandsversion): Använder artificiell intelligens för att föreslå taggning av säkerhetsidentifieringar med MITRE ATT&CK-taktiker och tekniker.
  • Riskbaserade rekommendationer (förhandsversion): Rekommenderar att du implementerar kontroller för att åtgärda täckningsluckor som är kopplade till användningsfall som kan leda till affärsrisker eller ekonomiska förluster, inklusive operativa, finansiella, ryktesmässiga, efterlevnads- och juridiska risker.

• Liknande organisationers rekommendationer föreslår att data matas in från de typer av källor som används av organisationer som har liknande inmatningstrender och branschprofiler som dina.

Den här artikeln innehåller en detaljerad referens till de typer av SOC-optimeringsrekommendationer som är tillgängliga.

Rekommendationer för optimering av datavärde

För att optimera förhållandet mellan kostnads-/säkerhetsvärde använder SOC-optimeringen knappast dataanslutningar eller tabeller. SOC-optimering föreslår sätt att antingen minska kostnaden för en tabell eller förbättra dess värde, beroende på din täckning. Den här typen av optimering kallas även för datavärdesoptimering.

Datavärdeoptimeringar tittar bara på fakturerbara tabeller som matat in data under de senaste 30 dagarna.

I följande tabell visas de tillgängliga typerna av rekommendationer för SOC-optimering av datavärde:

Om en tabell väljs för UEBA eller en matchande analysregel för hotinformation rekommenderar SOC-optimering inte några ändringar i inmatningen.

Oanvända kolumner (förhandsversion)

SOC-optimeringen innehåller även oanvända kolumner i dina tabeller. I följande tabell visas tillgängliga typer av kolumner som är tillgängliga för SOC-optimeringsrekommendationer:

Rekommendationer för täckningsbaserad optimering

Rekommendationer för täckningsbaserad optimering hjälper dig att minska täckningsluckorna mot specifika hot eller scenarier som kan leda till affärsrisker och ekonomisk förlust.

Rekommendationer för hotbaserad optimering

För att optimera datavärdet rekommenderar SOC-optimering att du lägger till säkerhetskontroller i din miljö i form av extra identifieringar och datakällor med hjälp av en hotbaserad metod. Den här optimeringstypen kallas även för täckningsoptimering och baseras på Microsofts säkerhetsforskning.

SOC-optimering ger hotbaserade rekommendationer genom att analysera dina inmatade loggar och aktiverade analysregler och sedan jämföra dem med de loggar och identifieringar som behövs för att hantera specifika typer av attacker.

Hotbaserade optimeringar beaktar både fördefinierade och användardefinierade identifieringar.

I följande tabell visas tillgängliga typer av rekommendationer för hotbaserad SOC-optimering:

AI MITRE ATT&CK-taggningsrekommendationer (förhandsversion)

FUNKTIONEN AI MITRE ATT&CK-taggning använder artificiell intelligens för att automatiskt tagga säkerhetsidentifieringar. AI-modellen körs på kundens arbetsyta för att skapa taggningsrekommendationer för otaggade identifieringar med relevanta MITRE ATT-&CK-taktiker och tekniker.

Kunder kan använda dessa rekommendationer för att säkerställa att deras säkerhetstäckning är grundlig och exakt. Detta säkerställer fullständig och korrekt säkerhetstäckning, vilket förbättrar funktionerna för hotidentifiering och svar.

Det här är tre sätt att tillämpa rekommendationer för AI MITRE ATT&CK-taggning:

• Tillämpa rekommendationen på en specifik analysregel.
• Tillämpa rekommendationen på alla analysregler på arbetsytan.
• Tillämpa inte rekommendationen på några analysregler.

Riskbaserade optimeringsrekommendationer (förhandsversion)

Riskbaserade optimeringar beaktar verkliga säkerhetsscenarier med en uppsättning affärsrisker som är associerade med dem, inklusive operativa, finansiella, ryktesmässiga, efterlevnads- och juridiska risker. Rekommendationerna baseras på den Microsoft Sentinel riskbaserade säkerhetsmetoden.

För att ge riskbaserade rekommendationer tittar SOC-optimeringen på dina inmatade loggar och analysregler och jämför dem med de loggar och identifieringar som krävs för att skydda, identifiera och svara på specifika typer av attacker som kan orsaka affärsrisker. Riskbaserade rekommendationer optimeringar överväga både fördefinierade och användardefinierade identifieringar.

I följande tabell visas tillgängliga typer av riskbaserade SOC-optimeringsrekommendationer:

Rekommendationer för liknande organisationer

SOC-optimering använder avancerad maskininlärning för att identifiera tabeller som saknas på din arbetsyta, men som används av organisationer med liknande inmatningstrender och branschprofiler. Den visar hur andra organisationer använder dessa tabeller och rekommenderar relevanta datakällor, tillsammans med relaterade regler, för att förbättra din säkerhetstäckning.

Överväganden

• En arbetsyta får bara liknande organisationsrekommendationer om maskininlärningsmodellen identifierar betydande likheter med andra organisationer och identifierar tabeller som de har men inte du. Socs i sina tidiga eller onboarding faser är mer benägna att få dessa rekommendationer än SOCs med en högre mognadsnivå. Alla arbetsytor får inte liknande organisationsrekommendationer.

• Maskininlärningsmodellerna kommer aldrig åt eller analyserar innehållet i kundloggar eller matar in dem när som helst. Inga kunddata, innehåll eller personuppgifter (EUII) exponeras för analysen. Rekommendationerna baseras på maskininlärningsmodeller som enbart förlitar sig på organisations identifierbar information (OII) och systemmetadata.

Relaterat innehåll

• Använda SOC-optimeringar programmatiskt (förhandsversion)
• Blogg: SOC-optimering: frigör kraften i precisionsdriven säkerhetshantering

Nästa steg

• Få åtkomst till SOC-optimering