Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Microsoft Defender для Интернета вещей позволяет защитить всю среду OT и Enterprise IoT, будь то защита существующих устройств или внедрение новых инноваций.
Microsoft Sentinel и Microsoft Defender Интернета вещей помогают устранить разрыв между проблемами безопасности ИТ и OT, а также предоставить командам SOC встроенные возможности для эффективного и эффективного обнаружения угроз безопасности и реагирования на них. Интеграция между Microsoft Defender для Интернета вещей и Microsoft Sentinel помогает организациям быстро обнаруживать многоэтапные атаки, которые часто пересекают границы ИТ и OT.
Этот соединитель позволяет выполнять потоковую передачу Microsoft Defender данных Интернета вещей в Microsoft Sentinel, что позволяет просматривать, анализировать оповещения Defender для Интернета вещей и реагировать на них, а также инциденты, которые они создают, в более широком контексте угроз в организации.
В этом руководстве вы узнаете, как:
- Подключение данных Defender для Интернета вещей к Microsoft Sentinel
- Использование Log Analytics для запроса данных оповещений Defender для Интернета вещей
Предварительные условия
Перед началом работы убедитесь, что для рабочей области установлены следующие требования:
Разрешения на чтение и запись в рабочей области Microsoft Sentinel. Дополнительные сведения см. в разделе Разрешения в Microsoft Sentinel.
Разрешения участника или владельца для подписки, к которой вы хотите подключиться, Microsoft Sentinel.
План Defender для Интернета вещей в подписке Azure с потоковой передачей данных в Defender для Интернета вещей. Дополнительные сведения см. в разделе Краткое руководство. Начало работы с Defender для Интернета вещей.
Подключение данных из Defender для Интернета вещей к Microsoft Sentinel
Начните с включения соединителя данных Defender для Интернета вещей для потоковой передачи всех событий Defender для Интернета вещей в Microsoft Sentinel.
Чтобы включить соединитель данных Defender для Интернета вещей, выполните следующие действия:
В Microsoft Sentinel в разделе Конфигурация выберите Соединители данных, а затем найдите соединитель данных Microsoft Defender для Интернета вещей.
В правом нижнем углу выберите Открыть страницу соединителя.
На вкладке Инструкции в разделе Конфигурация выберите Подключиться для каждой подписки, оповещения и оповещения устройств которой требуется передавать в Microsoft Sentinel.
Если вы внесли какие-либо изменения в подключение, обновление списка подписки может занять не более 10 секунд.
Дополнительные сведения см. в статье Подключение Microsoft Sentinel к службам Azure, Windows, Майкрософт и Amazon.
Просмотр оповещений Defender для Интернета вещей
После подключения подписки к Microsoft Sentinel вы сможете просматривать оповещения Defender для Интернета вещей в области журналов Microsoft Sentinel.
В Microsoft Sentinel выберите Журналы > AzureSecurityOfThings > SecurityAlert или найдите SecurityAlert.
Используйте следующие примеры запросов для фильтрации журналов и просмотра оповещений, созданных Defender для Интернета вещей:
Чтобы просмотреть все оповещения, созданные Defender для Интернета вещей, выполните приведенные далее действия.
SecurityAlert | where ProviderName == "IoTSecurity"Чтобы просмотреть определенные оповещения датчика, созданные Defender для Интернета вещей, выполните следующие действия:
SecurityAlert | where ProviderName == "IoTSecurity" | where tostring(parse_json(ExtendedProperties).SensorId) == “<sensor_name>”Чтобы просмотреть определенные оповещения обработчика OT, созданные Defender для Интернета вещей, выполните указанные действия.
SecurityAlert | where ProviderName == "IoTSecurity" | where ProductComponentName == "MALWARE" SecurityAlert | where ProviderName == "IoTSecurity" | where ProductComponentName == "ANOMALY" SecurityAlert | where ProviderName == "IoTSecurity" | where ProductComponentName == "PROTOCOL_VIOLATION" SecurityAlert | where ProviderName == "IoTSecurity" | where ProductComponentName == "POLICY_VIOLATION" SecurityAlert | where ProviderName == "IoTSecurity" | where ProductComponentName == "OPERATIONAL"Чтобы просмотреть оповещения с высоким уровнем серьезности, созданные Defender для Интернета вещей, выполните приведенные далее действия.
SecurityAlert | where ProviderName == "IoTSecurity" | where AlertSeverity == "High"Чтобы просмотреть определенные оповещения протокола, созданные Defender для Интернета вещей, выполните указанные действия.
SecurityAlert | where PProviderName == "IoTSecurity" | where tostring(parse_json(ExtendedProperties).Protocol) == "<protocol_name>"
Примечание.
Страница Журналы в Microsoft Sentinel основана на log Analytics Azure Monitor.
Дополнительные сведения см. в статье Общие сведения о запросах к журналам документации по мониторингу Azure и в модуле Write your first KQL query Learn .
Общие сведения о метках времени оповещений
Оповещения Defender для Интернета вещей в портал Azure и в консоли датчика отслеживают время первого обнаружения, последнего обнаружения и последнего изменения оповещений.
В следующей таблице описаны поля метки времени оповещений Defender для Интернета вещей с сопоставлением с соответствующими полями из Log Analytics, показанными в Microsoft Sentinel.
| Поле Defender для Интернета вещей | Описание | Поле Log Analytics |
|---|---|---|
| Первое обнаружение | Определяет, когда оповещение впервые было обнаружено в сети. | StartTime |
| Последнее обнаружение | Определяет время последнего обнаружения оповещения в сети и заменяет столбец Время обнаружения . | EndTime |
| Last activity (Последние действия) | Определяет время последнего изменения оповещения, включая обновления уровня серьезности или состояния вручную или автоматические изменения для обновлений устройств или де-дублирования устройств или оповещений. | TimeGenerated |
В Defender для Интернета вещей на портал Azure и консоли датчика столбец Последнее обнаружение отображается по умолчанию. Измените столбцы на странице Оповещения, чтобы при необходимости отображались столбцыПервое обнаружение и Последнее действие .
Дополнительные сведения см. в разделах Просмотр оповещений на портале Defender для Интернета вещей и Просмотр оповещений на датчике.
Общие сведения о нескольких записях на оповещение
Данные оповещений Defender для Интернета вещей передаются в Microsoft Sentinel и хранятся в рабочей области Log Analytics в таблице SecurityAlert.
Записи в таблице SecurityAlert создаются при каждом создании или обновлении оповещения в Defender для Интернета вещей. Иногда одно оповещение содержит несколько записей, например, когда оповещение было впервые создано, а затем снова при его обновлении.
В Microsoft Sentinel используйте следующий запрос, чтобы проверка записей, добавленных в таблицу SecurityAlert, для одного оповещения:
SecurityAlert
| where ProviderName == "IoTSecurity"
| where VendorOriginalId == "<Defender for IoT Alert ID>"
| sort by TimeGenerated desc
Обновления состояния оповещения или серьезности немедленно создают новые записи в таблице SecurityAlert.
Другие типы обновлений агрегируются до 12 часов, а новые записи в таблице SecurityAlert отражают только последние изменения. Примеры агрегированных обновлений:
- Обновления во время последнего обнаружения, например при обнаружении одного и того же оповещения несколько раз
- Новое устройство добавляется в существующее оповещение
- Свойства устройства для оповещения обновляются.
Дальнейшие действия
Решение Microsoft Defender для Интернета вещей представляет собой набор комплектного, готового содержимого, настроенного специально для данных Defender для Интернета вещей, и включает правила аналитики, книги и сборники схем.