Работа с аналитическими правилами обнаружения почти в реальном времени (NRT) в Microsoft Sentinel

  • Применяется к: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Важно!

Пользовательские обнаружения теперь — лучший способ создавать новые правила в Microsoft Sentinel SIEM и Microsoft Defender XDR. С настраиваемыми обнаружениями вы можете сократить затраты на прием данных, получить неограниченное количество обнаружений в режиме реального времени и воспользоваться бесшовной интеграцией с данными, функциями и действиями по исправлению в Defender XDR благодаря автоматическому сопоставлению сущностей. Дополнительные сведения см. в статье Пользовательские обнаружения теперь представляют собой единый интерфейс для создания обнаружений в Microsoft Defender XDR.

правила аналитики Microsoft Sentinel практически в реальном времени обеспечивают своевременное обнаружение угроз. Этот тип правила был разработан для обеспечения высокой скорости реагирования, выполняя запрос с интервалами всего в одну минуту.

В настоящее время шаблоны правил NRT имеют ограниченное приложение, как описано в рекомендациях по правилам NRT, но технология быстро развивается и растет.

Важно!

После 31 марта 2027 г. Microsoft Sentinel больше не будет поддерживаться в портале Azure и будет доступен только в портале Microsoft Defender. Все клиенты, использующие Microsoft Sentinel в портал Azure, будут перенаправлены на портал Defender и будут использовать Microsoft Sentinel только на портале Defender.

Если вы по-прежнему используете Microsoft Sentinel в портал Azure, рекомендуется начать планирование перехода на портал Defender, чтобы обеспечить плавный переход и в полной мере воспользоваться преимуществами унифицированных операций безопасности, предлагаемых Microsoft Defender.

Просмотреть правила почти реального времени (NRT)

Чтобы просмотреть существующие правила NRT, отфильтруйте список правил аналитики по типу правила:

  1. В меню навигации Microsoft Defender разверните Microsoft Sentinel, затем — Configuration. Выберите Аналитика.

  2. На экране Аналитика с выбранной вкладкой Активные правила отфильтруйте список по шаблонам NRT :

    1. Выберите Добавить фильтр и выберите Тип правила в списке фильтров.

    2. В результирующем списке выберите NRT. Затем нажмите кнопку Применить.

Создайте правила NRT

Вы создаете правила NRT так же, как и обычные правила аналитики запросов по расписанию:

Чтобы создать правило NRT на портале Defender, выполните следующие действия.

  1. В меню навигации Microsoft Defender разверните Microsoft Sentinel, затем — Configuration. Выберите Аналитика.

  2. На панели действий в верхней части сетки выберите +Создать и выберите правило запроса NRT. Откроется мастер правил аналитики.

    На снимке экрана показано, как создать новое правило NRT.

  1. Выполните действия, описанные в разделе "Создание правила аналитики запланированных запросов ", чтобы завершить работу мастера правил Аналитики.

    Конфигурация правил NRT во многом такая же, как и у запланированных правил аналитики.

    • В логике запроса можно ссылаться на несколько таблиц и списков отслеживания .

    • Вы можете использовать все методы обогащения оповещений: сопоставление сущностей, пользовательские сведения и сведения об оповещении.

    • Вы можете выбрать, как объединять оповещения в инциденты и как отключать выполнение запроса, если был получен определенный результат.

    • Вы можете автоматизировать реагирование как на оповещения, так и на инциденты.

    • Запрос правила можно выполнить в нескольких рабочих областях.

    Однако из-за характера и ограничений правил NRT следующие функции запланированных правил аналитики будут недоступны в мастере:

    • Планирование запросов не настраивается, так как запросы автоматически выполняются один раз в минуту с периодом обратного просмотра в одну минуту.
    • Пороговое значение оповещения не имеет значения, так как оповещение всегда создается.
    • Конфигурация группирования событий теперь доступна в ограниченной степени. Вы можете настроить правило NRT так, чтобы оно генерировало отдельное оповещение для каждого события, максимум для 30 событий. Если вы выбрали этот параметр и правило приводит к более чем 30 событиям, для первых 29 событий будут созданы оповещения о одном событии, а 30-е оповещение будет суммировать все события в результирующем наборе.

    Кроме того, из-за ограничений размера оповещений запрос должен использовать инструкции project для включения только необходимых полей из таблицы. В противном случае информация, которую вы хотите отобразить, может быть обрезана.

Связанные материалы

Дополнительные сведения о правилах NRT см. в следующих статьях:

  • Last updated on