Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Книги Microsoft Sentinel позволяют командам SOC визуализировать и отслеживать данные по безопасности напрямую из озера данных. Аналитики используют KQL (язык запросов Kusto) для запроса к озеру без дублирования или преобразования данных. Выберите озеро данных Sentinel в качестве источника данных в книге, чтобы выполнить те же запросы, которые используются для расследований и охоты. Затем отобразите результаты в виде интерактивных диаграмм и таблиц для мониторинга и подготовки отчетов. Выполнение запросов рабочих книг напрямую к озеру данных Sentinel поддерживает согласованность аналитики для всех запросов, обеспечивает более длительное хранение данных и масштабируется с учётом больших объёмов исторических данных. Последовательная аналитика, более длительное хранение данных и масштабируемость больших объёмов делают рабочие книги идеальными для поиска угроз, анализа трендов и управления руководящими панелями.
В этой статье описывается процесс создания книг, использующих озеро данных Microsoft Sentinel в качестве источника данных. Дополнительные сведения об использовании книг в Microsoft Sentinel см. в статье «Визуализация и мониторинг данных с помощью книг в Microsoft Sentinel».
Производительность запросов важна, потому что визуальные элементы в книге могут автоматически обновляться и выполняться много раз. Добавьте фильтры по времени, суммируйте результаты и выберите только нужные столбцы. Добавление временных фильтров, суммирование результатов и проецирование только необходимых столбцов предотвращают сканирование запросами слишком большого количества исторических данных. Грамотно ограниченные запросы обеспечивают быструю работу панелей мониторинга, при этом позволяя использовать долгосрочные данные для анализа.
Создайте книгу, используя озеро данных Microsoft Sentinel в качестве источника данных
Выполните следующие действия, чтобы создать книгу, использующую озеро данных Microsoft Sentinel в качестве источника данных:
На портале Defender перейдите в Microsoft Sentinel>Управление угрозами>Книги.
Выберите значок в виде куба в правом верхнем углу, чтобы выбрать рабочие области, в которых вы хотите сохранять свои книги.
Выберите Добавить книгу.
Откроется новая книга с базовым запросом и визуальным элементом par chart.
Выберите Изменить.
На диаграмме выберите Добавить, а затем — Добавить источник данных и визуализацию.
Выберите озеро данных Sentinel в качестве источника данных.
Выберите рабочую область, содержащую таблицу SignInLogs, в озере данных.
Вставьте следующий KQL-код в редактор запросов:
AWSCloudTrail | where isnotempty(ErrorCode) | summarize FailedEvents = count() by bin(TimeGenerated, 1h), SourceIpAddress, UserIdentityPrincipalid | where FailedEvents > 3 | summarize FailedEvents = sum(FailedEvents) by UserIdentityPrincipalid | top 10 by FailedEventsВ разделе Визуализация выберите Линейчатая диаграмма.
Выберите Выполнить запрос , чтобы визуализировать результаты.
Выберите Готово редактирование , чтобы выйти из режима редактирования и просмотреть визуальный элемент.
Эта визуализация показывает 10 основных идентификаторов субъектов AWS с наибольшим количеством неудачных вызовов API в журналах AWS CloudTrail. События с ошибками подсчитываются и фильтруются для отображения учетных записей с повторяющимися ошибками. Используйте столбчатую диаграмму неудачных событий, чтобы выявить подозрительные или неправильно настроенные личности, которые приводят к необычным паттернам отказов.
Примечание.
Тип визуализации, заданный запросом, не поддерживается.
Относительные временные диапазоны, такие как
> ago(10d), работают в пределах до 90 дней. Абсолютные диапазоны времени следуют политике хранения данных.На странице книги выберите Готовое редактирование.
Нажмите кнопку Сохранить , чтобы сохранить книгу в библиотеке, указав имя и расположение.
Вы можете просмотреть сохраненную книгу в списке книг и выбрать ее, чтобы просмотреть созданные визуализации. Вы также можете в любое время отредактировать книгу, чтобы обновить запросы или визуализации.
