Страницы сущностей в Microsoft Sentinel

Когда вы столкнулись с учетной записью пользователя, именем узла, IP-адресом или ресурсом Azure в ходе исследования инцидента, вы можете решить, что хотите узнать больше об этом. Например, вам может потребоваться узнать историю его действий, появляется ли она в других оповещениях или инцидентах, была ли выполнена непредвиденная или непредвиденная, а также т. д. Короче говоря, вам нужна информация, которая поможет определить, какую угрозу представляют эти сущности, и направить расследование соответствующим образом.

В этой статье описывается Microsoft Sentinel страниц сущностей в портал Azure. Сведения о страницах сущностей на портале Defender см. в следующих разделах:

• Страница сущности пользователя в Microsoft Defender
• Страница сущности устройства в Microsoft Defender
• Страница сущности IP-адреса в Microsoft Defender

Страницы сущности

В таких ситуациях можно выбрать сущность (она будет отображаться в виде ссылки для щелчка) и перейти на страницу сущности— таблицу с полезной информацией о ней. Вы также можете перейти на страницу сущностей, выполнив поиск сущностей непосредственно на странице поведения сущностей Microsoft Sentinel. Типы сведений, которые вы найдете на страницах сущностей, включают основные факты о сущности, временная шкала важных событий, связанных с этой сущностью, и аналитические сведения о поведении сущности.

В частности, страницы сущностей состоят из трех частей:

• Панель слева содержит сведения об идентификации сущности, собранные из таких источников данных, как Microsoft Entra ID, монитор Azure, действия Azure, Azure Resource Manager, Microsoft Defender для облака, CEF/Syslog и Microsoft Defender XDR (со всеми компонентами).

• На центральной панели отображается графическое и текстовое временная шкала важных событий, связанных с сущностью, таких как оповещения, закладки, аномалии и действия. Действия — это агрегаты важных событий из Log Analytics. Запросы, которые определяют эти действия, разрабатываются исследовательскими группами Майкрософт по безопасности, и теперь вы можете добавлять собственные настраиваемые запросы для обнаружения действий по вашему выбору.

• На правой панели отображаются аналитические сведения о поведении сущности. Эти аналитические сведения постоянно разрабатываются исследовательскими группами майкрософт по безопасности. Они основаны на различных источниках данных и обеспечивают контекст для сущности и наблюдаемых действий, помогая быстро выявлять аномальное поведение и угрозы безопасности.

Если вы расследуете инцидент с помощью нового интерфейса исследования, вы сможете увидеть панельную версию страницы сущности прямо на странице сведений об инциденте. У вас есть список всех сущностей в данном инциденте, и при выборе сущности открывается боковая панель с тремя "карточками" ( "Информация", "Временная шкала" и "Аналитика"), где отображаются все те же сведения, описанные выше, в течение определенного периода времени, соответствующего времени оповещений в инциденте.

Если вы используете Microsoft Sentinel на портале Defender, панели временная шкала и аналитические сведения отображаются на вкладке события Sentinel на странице сущности Defender.

временная шкала

Временная шкала является основной частью вклада страницы сущностей в аналитику поведения в Microsoft Sentinel. В нем представлена история о событиях, связанных с сущностями, помогая понять действия сущности в течение определенного периода времени.

Вы можете выбрать диапазон времени из нескольких предустановленных параметров (например , за последние 24 часа) или задать для него любой настраиваемый интервал времени. Кроме того, можно задать фильтры, ограничивающие сведения в временная шкала определенными типами событий или оповещений.

В временная шкала включены следующие типы элементов.

• Оповещения: любые оповещения, в которых сущность определена как сопоставленная сущность. Обратите внимание, что если ваша организация создала пользовательские оповещения с помощью правил аналитики, необходимо убедиться, что сопоставление сущностей правил выполнено правильно.

• Закладки: любые закладки, включающие определенную сущность, показанную на странице.

• Аномалии. Обнаружение UEBA на основе динамических базовых показателей, созданных для каждой сущности в различных входных данных и в отношении ее собственных исторических действий, одноранговых узлов и действий организации в целом.

• Действия: агрегирование важных событий, связанных с сущностью. Широкий спектр действий собирается автоматически, и теперь вы можете настроить этот раздел, добавив действия по своему выбору.

Аналитика сущностей

Аналитика сущностей — это запросы, определенные исследователями безопасности Майкрософт, которые помогают аналитикам более эффективно и эффективно исследовать. Аналитические сведения представлены как часть страницы сущностей и предоставляют ценные сведения о безопасности узлов и пользователей в виде табличных данных и диаграмм. Наличие сведений здесь означает, что вам не нужно объезд в Log Analytics. Аналитика включает данные о входах, добавлении групп, аномальных событиях и т. д., а также расширенные алгоритмы машинного обучения для обнаружения аномального поведения.

Аналитические сведения основаны на следующих источниках данных:

• Системный журнал (Linux)
• SecurityEvent (Windows)
• AuditLogs (Microsoft Entra ID)
• SigninLogs (Microsoft Entra ID)
• OfficeActivity (Office 365)
• BehaviorAnalytics (Microsoft Sentinel UEBA)
• Пульс (агент мониторинга Azure)
• CommonSecurityLog (Microsoft Sentinel)

Как правило, каждое представление сущности, отображаемое на странице сущности, сопровождается ссылкой, которая приведет вас на страницу, где отображается запрос, лежащий в основе аналитических сведений, а также результаты, что позволяет изучить результаты более подробно.

• В Microsoft Sentinel в портал Azure ссылка перейдет на страницу Журналы.
• На портале Microsoft Defender ссылка перейдет на страницу Расширенная охота.

Использование страниц сущностей

Страницы сущностей предназначены для нескольких сценариев использования. Доступ к ней можно получить из управления инцидентами, из графика исследования, закладок или непосредственно со страницы поиска сущностей в разделе Поведение сущностей в главном меню Microsoft Sentinel.

Сведения о странице сущностей хранятся в таблице BehaviorAnalytics, подробно описанной в справочнике по Microsoft Sentinel UEBA.

Поддерживаемые страницы сущностей

Microsoft Sentinel в настоящее время предлагает следующие страницы сущностей:

• Учетная запись пользователя

• Узел

• IP-адрес (предварительная версия)

  Примечание.

  Страница сущности IP-адреса (в предварительной версии) содержит данные о географическом расположении, предоставляемые службой Microsoft Threat Intelligence. Эта служба объединяет данные о географическом расположении от решений Майкрософт и сторонних поставщиков и партнеров. Затем данные доступны для анализа и исследования в контексте инцидента безопасности. Дополнительные сведения см. в статье Обогащение сущностей в Microsoft Sentinel с данными о географическом расположении с помощью REST API (общедоступная предварительная версия).

• ресурс Azure (предварительная версия)

• Устройство Интернета вещей (предварительная версия) — пока только в Microsoft Sentinel в портал Azure.

Дальнейшие действия

В этом документе вы узнали о получении сведений о сущностях в Microsoft Sentinel с помощью страниц сущностей. Дополнительные сведения о сущностях и способах их использования см. в следующих статьях:

• Сведения о сущностях в Microsoft Sentinel.
• Настройка действий на временной шкале страниц сущности.
• Выявление расширенных угроз с помощью аналитики поведения пользователей и сущностей (UEBA) в Microsoft Sentinel
• Включите аналитику поведения сущностей в Microsoft Sentinel.
• Поиск угроз безопасности.