Обработка ложных срабатываний в Microsoft Sentinel

Microsoft Sentinel правила аналитики уведомляют вас о подозрительных событиях в сети. Ни одно аналитическое правило не бывает идеальным, и вы неизбежно столкнётесь с ложными срабатываниями, которые нужно обработать. В этой статье объясняется, как обрабатывать ложные срабатывания либо с помощью автоматизации, либо путем изменения запланированных правил аналитики.

Ложноположительные причины и предотвращение

Даже в корректно настроенном правиле аналитики ложные срабатывания часто связаны с конкретными сущностями, такими как пользователи или IP-адреса, которые следует исключить из этого правила.

Ниже приведены распространенные сценарии.

• Обычная деятельность определённых пользователей, обычно главных сервисов (автоматизированных идентификаторов, используемых приложениями и сервисами), демонстрирует подозрительную закономерность.
• Преднамеренные действия по проверке безопасности, поступающие с известных IP-адресов, обнаруживаются как вредоносные.
• Правило, исключающее частные IP-адреса, также должно исключать некоторые внутренние IP-адреса, которые не являются частными.

В этой статье описаны два способа избежать ложноположительных результатов:

• Правила автоматизации создают исключения без изменения правил аналитики.
• Запланированные изменения правил аналитики позволяют создавать более подробные и постоянные исключения.

В следующей таблице описаны характеристики каждого метода:

Добавление исключений с помощью правил автоматизации (только портал Azure)

Следующая процедура описывает, как добавить правило автоматизации при обнаружении ошибочного срабатывания. Эта процедура поддерживается только в портале Azure.

Если Microsoft Sentinel подключен к порталу Defender, создайте правила автоматизации с нуля на основе сведений об инциденте. Дополнительные сведения см. в статье Автоматизация реагирования на угрозы в Microsoft Sentinel с помощью правил автоматизации.

Чтобы добавить правило автоматизации для обработки ложноположительных результатов, выполните приведенные далее действия.

1. В Microsoft Sentinel в разделе Инциденты выберите инцидент, для которого нужно создать исключение.

2. На боковой панели сведений об инциденте выберите Действия > Создать правило автоматизации.

3. На боковой панели Создание нового правила автоматизации при необходимости измените новое имя правила, чтобы определить исключение, а не только имя правила генерации оповещений.

4. В разделе Условия при необходимости добавьте дополнительные имена правил Аналитикидля применения исключения. Выберите раскрывающийся список, содержащий имя правила аналитики, и выберите в списке дополнительные правила аналитики.

5. На боковой панели отображаются конкретные сущности в текущем инциденте, которые могли вызвать ложноположительный результат. Сохраните автоматические предложения или измените предлагаемые условия для точной настройки исключения. Например, можно изменить условие для IP-адреса, чтобы применить его ко всей подсети.

   

6. После того как вас устроят условия, прокрутите вниз на боковой панели, чтобы продолжить настройку действий правила:

   

   • Правило уже настроено для закрытия инцидента, соответствующего условиям исключения.
   • Вы можете оставить указанную причину закрытия как есть или изменить ее, если другая причина является более подходящей.
   • К автоматически закрытому инциденту можно добавить комментарий, объясняющий исключение. Например, можно указать, что инцидент был вызван известными административными действиями.
   • По умолчанию срок действия правила истекает автоматически через 24 часа. Такой срок действия может быть именно тем, что вам нужно, и снижает вероятность ложноотрицательных ошибок. Если требуется более длительное исключение, установите для параметра срок действия правила более позднее время.

7. При необходимости можно добавить дополнительные действия. Например, можно добавить тег в инцидент или запустить сборник схем для отправки сообщения электронной почты или уведомления или синхронизации с внешней системой.

8. Нажмите кнопку Применить , чтобы активировать исключение.

Добавляйте исключения за счёт изменения запросов к правилам аналитики

Вы также можете реализовать исключения, изменив запрос к правилу аналитики. Исключения можно включить непосредственно в правило или, по возможности, использовать ссылку на список отслеживания. Затем можно управлять списком исключений в списке отслеживания.

Изменение запроса

Подробные инструкции по использованию мастера правил аналитики для создания и изменения правил аналитики см. в статье Создание настраиваемых правил аналитики для обнаружения угроз.

Чтобы изменить существующие правила аналитики, выберите Автоматизация в меню навигации Microsoft Sentinel слева. Выберите правило, которое нужно изменить, а затем щелкните Изменить в правом нижнем углу, чтобы открыть мастер правил аналитики.

Чтобы добавить исключение в типичную преамбулу правила, можно добавить условие, например такое, как where IPAddress !in ('<ip addresses>'), в начале запроса правила. Эта строка исключает из правила определенные IP-адреса.

let timeFrame = 1d;
SigninLogs
| where TimeGenerated >= ago(timeFrame)
| where IPAddress !in ('10.0.0.8', '192.168.12.1')
...

Этот тип исключения не ограничивается IP-адресами. Вы можете исключить определенных пользователей с помощью UserPrincipalName поля или исключить определенные приложения с помощью AppDisplayName.

Можно также исключить несколько атрибутов. Например, чтобы исключить оповещения из IP-адреса 10.0.0.8 или пользователя user@microsoft.com, используйте:

| where IPAddress !in ('10.0.0.8')
| where UserPrincipalName != 'user@microsoft.com'

Чтобы реализовать более детальное исключение, если применимо, и снизить вероятность ложноотрицательных значений, можно объединить атрибуты. Следующее исключение применяется только в том случае, если оба значения отображаются в одном оповещении:

| where IPAddress != '10.0.0.8' and UserPrincipalName != 'user@microsoft.com'

Исключение подсетей

Для исключения диапазонов IP-адресов, используемых организацией, требуется исключение подсети. В следующем примере показано, как исключить подсети.

Оператор ipv4_lookup является оператором обогащения, а не оператором фильтрации. Строка where isempty(network) фактически выполняет фильтрацию, сохраняя только события, IP-адрес которых не соответствует какой-либо записи подсети.

let subnets = datatable(network:string) [ "111.68.128.0/17", "5.8.0.0/19", ...];
let timeFrame = 1d;
SigninLogs
| where TimeGenerated >= ago(timeFrame)
| evaluate ipv4_lookup(subnets, IPAddress, network, return_unmatched = true)
| where isempty(network)
...

Использование списков отслеживания для управления исключениями

Список отслеживания можно использовать для управления списком исключений вне самого правила. Если применимо, это решение имеет следующие преимущества:

• Аналитик может добавлять исключения, не изменяя правило, что лучше следовать рекомендациям SOC.
• Один и тот же список отслеживания может применяться к нескольким правилам, включив централизованное управление исключениями.

Использование списка наблюдения похоже на использование прямого исключения. Используйте _GetWatchlist('<watchlist name>') для вызова списка отслеживания:

let timeFrame = 1d;
let logonDiff = 10m;
let allowlist = (_GetWatchlist('ipallowlist') | project IPAddress);
SigninLogs
| where TimeGenerated >= ago(timeFrame)
| where IPAddress !in (allowlist)
...

Вы также можете выполнять фильтрацию подсети с помощью списка отслеживания. Например, в приведенном выше коде исключения подсетей можно заменить определение подсетей datatable списком отслеживания:

let subnets = _GetWatchlist('subnetallowlist');

Для получения дополнительной информации об операторах и функциях Kusto, используемых в примерах запросов к исключениям, см. документацию Kusto:

• инструкция let
• where оператор
• project оператор
• datatable оператор
• Оператор подключаемого модуля evaluate
• Функция ago()
• Функция isempty()
• ipv4_lookup плагин

Дополнительные сведения о KQL см. в статье Общие сведения о язык запросов Kusto (KQL).

Другие ресурсы

• Краткий справочник по KQL
• Учебные материалы по языку запросов Kusto Query Language

Пример. Управление исключениями для решения Microsoft Sentinel для приложений SAP®

Решение Microsoft Sentinel для приложений SAP® предоставляет функции, которые можно использовать для исключения пользователей или систем из активации оповещений.

• Исключить пользователей. Используйте функцию SAPUsersGetVIP , чтобы:

  • Вызовите теги для пользователей, которые вы хотите исключить из активации оповещений. Помечайте пользователей в списке наблюдения SAP_User_Config, используя звездочки (*) как подстановочные знаки, чтобы помечать всех пользователей по заданному шаблону имени.
  • Перечисление конкретных ролей и (или) профилей SAP, которые необходимо исключить из активации оповещений.

• Исключить системы. Используйте функции, поддерживающие параметр SelectedSystemRoles , чтобы определить, что оповещения запускаются только определенными типами систем, включая только производственные системы, только системы UAT или и то, и другое.

Дополнительные сведения см. в справочнике по данным решения Microsoft Sentinel для приложений SAP®.

Связанные материалы

Дополнительные сведения см. в разделе:

• Использование данных UEBA для анализа ложноположительных результатов
• Автоматизация обработки инцидентов в Microsoft Sentinel с помощью правил автоматизации
• Создание настраиваемых правил аналитики для обнаружения угроз
• Использование списков просмотра Microsoft Sentinel