Доменные решения на основе расширенной информационной модели безопасности (ASIM) для Microsoft Sentinel (предварительная версия)

  • Применяется к: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Основные решения Майкрософт — это доменные решения, опубликованные корпорацией Майкрософт для Microsoft Sentinel. Эти решения содержат готовую информацию, которая может работать в нескольких продуктах для определенных категорий, таких как сеть. Некоторые из этих основных решений используют метод нормализации Advanced Security Information Model (ASIM) для нормализации данных во время запроса или приема.

Важно!

Основные решения Майкрософт и решение "Основные сетевые сеансы" в настоящее время находятся в предварительной версии. Дополнительные условия предварительной версии Azure включают дополнительные юридические условия, применимые к Azure функциям, которые находятся в бета-версии, предварительной версии или еще не выпущены в общедоступную версию.

Зачем использовать основные решения Майкрософт на основе ASIM?

Если несколько решений в категории домена используют аналогичные шаблоны обнаружения, имеет смысл записывать данные по нормализованной схеме, такой как ASIM. Основные решения используют эту схему ASIM для обнаружения угроз в большом масштабе.

В центре содержимого есть несколько решений продуктов для различных категорий доменов, таких как "Безопасность — сеть". Например, Брандмауэр Azure, Palo Alto Firewall и Corelight имеют решения для категории доменов "Безопасность — сеть".

  • Эти решения имеют различные компоненты приема данных по дизайну. Но существует определенный шаблон для аналитики, охоты, книг и другого содержимого в той же категории домена.
  • Большинство основных сетевых продуктов имеют общий базовый набор оповещений брандмауэра, который включает вредоносные угрозы, поступающие с необычных IP-адресов. Шаблон правила аналитики, как правило, дублируется для каждого из категорий "Безопасность — сеть" решений продукта. Если вы используете несколько сетевых продуктов, необходимо проверка и настроить несколько правил аналитики по отдельности, что неэффективно. Вы также будете получать оповещения для каждого настроенного правила, и это может привести к усталости оповещений.
  • Если у вас есть дубликативные охотничьи запросы, у вас может быть менее производительный опыт охоты в режиме охоты на выполнение всех. Эти дубликативные запросы охоты также вводят неэффективность для охотников за угрозами при выборе и выполнении аналогичных запросов.

Вы можете рассмотреть основные решения Майкрософт по следующим причинам:

  • Нормализованная схема упрощает запрос сведений об инциденте. Вам не нужно запоминать другой синтаксис поставщика для аналогичных атрибутов журнала.
  • Если вам не нужно управлять содержимым для нескольких решений, развертывание вариантов использования и обработка инцидентов будет проще.
  • Консолидированное представление книги обеспечивает улучшенную видимость среды и возможное синтаксический анализ времени запроса с помощью высокопроизводительных синтаксического анализатора ASIM.

Поддерживаемые схемы ASIM

Основные решения в настоящее время охватывают следующие различные схемы ASIM, которые Sentinel поддерживают:

  • Событие аудита
  • Событие проверки подлинности
  • Действия DNS
  • Действие с файлом
  • Сетевой сеанс
  • Событие обработки
  • Веб-сеанс

Дополнительные сведения см. в разделе Схемы расширенной информационной модели безопасности (ASIM).

Нормализация времени приема

Результаты нормализации времени приема можно принимать в следующую нормализованную таблицу:

Дополнительные сведения см. в разделе Нормализация времени приема.

Содержимое, доступное в основных решениях для доменов на основе ASIM

В следующей таблице описан тип содержимого, доступного для каждого важного решения. В некоторых конкретных вариантах использования также может потребоваться использовать содержимое, доступное в решении Microsoft Sentinel продукта.

Тип содержимого description
Аналитическое правило Аналитические правила, доступные в основных решениях на основе ASIM, являются универсальными и хорошо подходят для любого из зависимых Microsoft Sentinel решений продуктов для этой области. Решение Microsoft Sentinel продукта может иметь конкретный исходный вариант использования, рассматриваемый как часть аналитического правила. Включите Microsoft Sentinel правила решения продуктов при необходимости для вашей среды.
Запрос охоты Охотничьи запросы, доступные в основных решениях на основе ASIM, являются универсальными и хорошо подходят для поиска угроз из любого из зависимых Microsoft Sentinel решений продуктов для этой области. Решение Microsoft Sentinel продукта может иметь запрос охоты для конкретного источника, доступный из коробки. Используйте запросы поиска из решения Microsoft Sentinel продукта по мере необходимости для вашей среды.
Playbook Ожидается, что основные решения на основе ASIM будут обрабатывать данные с большим количеством событий в секунду. Если у вас есть содержимое, использующее этот объем данных, может возникнуть некоторое влияние на производительность, что может привести к замедлению загрузки книг или результатов запросов. Чтобы решить эту проблему, сборник схем формирования сводных данных обобщает исходные журналы и сохраняет сведения в предопределенную таблицу. Включите сборник схем формирования сводных данных, чтобы разрешить основным решениям запрашивать эту таблицу.

Так как сборники схем в Microsoft Sentinel основаны на рабочих процессах, встроенных в Azure Logic Apps, которые создают отдельные ресурсы, могут взиматься другие расходы. Дополнительные сведения см. на странице цен на Azure Logic Apps. За хранение сводных данных также может взиматься другая плата.
Список Основные решения на основе ASIM используют список отслеживания, включающий несколько наборов условий для обнаружения аналитических правил и охоты на запросы. Список отслеживания позволяет выполнять следующие задачи:

— Выполнять целенаправленный мониторинг с фильтрацией данных.
— переключение между охотой и обнаружением для каждого элемента списка.
— Оставьте тип порогастатическим , чтобы использовать оповещение на основе порога, в то время как оповещения на основе аномалий будут учиться за последние несколько дней данных (не более 14 дней).
— Изменение имени оповещения, описания, тактики и серьезности с помощью этого списка отслеживания для отдельных элементов списка.
— Отключить обнаружение, установив для параметра Серьезность значение Отключено.
Книга Книга, доступная с основными решениями на основе ASIM, предоставляет консолидированное представление о различных событиях и действиях, происходящих в зависимом домене. Так как эта книга извлекается из очень большого объема данных, может возникнуть некоторая задержка производительности. Если у вас возникли проблемы с производительностью, используйте сборник схем формирования сводных данных.

Эти важные решения, как и другие решения Microsoft Sentinel предметной области, не имеют собственного соединителя. Они зависят от исходных соединителей в Microsoft Sentinel решений продуктов для извлечения журналов. Сведения о продуктах, поддерживаемых решением домена, см. в списке необходимых решений для каждого из списков основных решений asIM. Установите одно или несколько решений продукта. Настройте соединители данных в соответствии с базовыми потребностями в зависимости от продукта и для более эффективного использования содержимого решения предметной области.

  • Last updated on