Обнаружение современных многоэтапных атак в Microsoft Sentinel

Microsoft Sentinel использует fusion, подсистему корреляции, основанную на масштабируемых алгоритмах машинного обучения, для автоматического обнаружения многоэтапных атак (также известных как сложные постоянные угрозы или APT) путем выявления сочетаний аномального поведения и подозрительных действий, наблюдаемых на различных этапах цепочки уничтожения. На основе этих открытий Microsoft Sentinel создает инциденты, которые в противном случае было бы трудно поймать. Эти инциденты включают в себя два или более оповещений или действий. По умолчанию эти инциденты отличаются небольшим объемом, высокой точностью и высокой степенью серьезности.

Эта технология обнаружения, настроенная для вашей среды, не только снижает частоту ложноположительных срабатываний , но и может обнаруживать атаки с ограниченными или отсутствующими сведениями.

Так как Fusion сопоставляет несколько сигналов от различных продуктов для обнаружения расширенных многоэтапных атак, успешные обнаружения Fusion отображаются как инциденты Fusion на странице инцидентов Microsoft Sentinel, а не в виде оповещений, и хранятся в таблице SecurityIncident в журналах, а не в таблице SecurityAlert.

Настройка Fusion

Fusion включен по умолчанию в Microsoft Sentinel как правило аналитики, называемое Расширенным многоэтапным обнаружением атак. Вы можете просмотреть и изменить состояние правила, настроить исходные сигналы для включения в модель Fusion ML или исключить определенные шаблоны обнаружения, которые могут не применяться к вашей среде из fusion detection. Узнайте, как настроить правило Fusion.

В рабочих областях Microsoft Sentinel, подключенных к порталу Microsoft Defender, Fusion отключен. Его функции заменяются подсистемой корреляции Microsoft Defender XDR.

Fusion для новых угроз

Настройка Fusion

Fusion включен по умолчанию в Microsoft Sentinel как правило аналитики, называемое Расширенным многоэтапным обнаружением атак. Вы можете просматривать и изменять состояние правила, настраивать исходные сигналы для включения в модель Fusion ML или исключать определенные шаблоны обнаружения, которые могут быть неприменимы к вашей среде из fusion detection. Узнайте, как настроить правило Fusion.

Вы можете отказаться от Fusion, если вы включили управляемые клиентом ключи (CMK) в рабочей области. Microsoft Sentinel в настоящее время использует исторические данные за 30 дней для обучения алгоритмов машинного обучения подсистемы Fusion, и эти данные всегда шифруются с помощью ключей Майкрософт при прохождении через конвейер машинного обучения. Однако обучающие данные не шифруются с помощью CMK. Чтобы отказаться от Fusion, отключите правило расширенной аналитики обнаружения многоэтапных атак в Microsoft Sentinel. Дополнительные сведения см. в разделе Настройка правил Fusion.

Fusion отключается при подключении Microsoft Sentinel к порталу Defender. Вместо этого при работе на портале Defender функции, предоставляемые Fusion, заменяются подсистемой корреляции Microsoft Defender XDR.

Fusion для новых и возникающих угроз (предварительная версия)

Объем событий безопасности продолжает расти, а область и сложность атак постоянно возрастают. Мы можем определить известные сценарии атак, но как насчет новых и неизвестных угроз в вашей среде?

Microsoft Sentinel подсистема Fusion на основе машинного обучения помогает находить новые и неизвестные угрозы в вашей среде, применяя расширенный анализ машинного обучения и сопоставляя более широкие область аномальных сигналов, сохраняя при этом низкий уровень усталости оповещений.

Алгоритмы машинного обучения подсистемы Fusion постоянно учатся на основе существующих атак и применяют анализ на основе того, как аналитики безопасности думают. Таким образом, он может обнаруживать ранее незамеченные угрозы из миллионов аномальных поведений в цепочке убийств в вашей среде, что помогает вам оставаться на шаг впереди злоумышленников.

Fusion для возникающих угроз поддерживает сбор и анализ данных из следующих источников:

• Готовые средства обнаружения аномалий

• Оповещения от служб Майкрософт:

  • Защита Microsoft Entra ID
  • Microsoft Defender для облака
  • Microsoft Defender для Интернета вещей
  • Microsoft Defender XDR
  • Microsoft Defender для облачных приложений
  • Microsoft Defender для конечной точки (средство защиты для конечных точек)
  • Microsoft Defender для идентификации
  • Microsoft Defender для Office 365

• Оповещения от аналитических правил, выполняемых по расписанию. Аналитические правила должны содержать информацию о тактиках kill chain и сопоставлении сущностей, чтобы их можно было использовать в Fusion.

Вам не нужно подключать все перечисленные выше источники данных, чтобы обеспечить работу Fusion для новых угроз. Однако чем больше источников данных подключено, тем шире охват и тем больше угроз будет обнаруживатся Fusion.

Когда корреляции подсистемы Fusion приводят к обнаружению новой угрозы, Microsoft Sentinel создает инцидент с высоким уровнем серьезности под названием Возможные многоэтапные атаки, обнаруженные Fusion.

Fusion для программ-вымогателей

Подсистема Fusion Microsoft Sentinel создает инцидент, когда обнаруживает несколько оповещений разных типов из следующих источников данных и определяет, что они могут быть связаны с действиями программ-шантажистов:

• Microsoft Defender для облака
• Microsoft Defender для конечных точек
• Коннектор Microsoft Defender для удостоверений
• Microsoft Defender для облачных приложений
• Запланированные правила аналитики Microsoft Sentinel. Fusion учитывает только запланированные правила аналитики с информацией о тактике и сопоставленными сущностями.

Такие инциденты Fusion называются Несколько оповещений, возможно, связанных с обнаруженной активностью программы-вымогателя и формируются при обнаружении соответствующих оповещений в течение определенного временного интервала, если они связаны с этапами атаки выполнения и обхода защиты.

Например, Microsoft Sentinel создаст инцидент по факту возможной активности программ-вымогателей, если в течение определенного периода времени на одном хосте срабатывают следующие оповещения:

Обнаружение Fusion на основе сценариев

В следующем разделе перечислены типы многоэтапных атак на основе сценариев, сгруппированных по классификации угроз, которые Microsoft Sentinel обнаруживать с помощью подсистемы корреляции Fusion.

Чтобы задействовать эти сценарии обнаружения атак на базе Fusion, связанные с ними источники данных должны поступать в вашу рабочую область Log Analytics. Щелкните ссылки в таблице ниже, чтобы узнать о каждом сценарии и связанных с ним источниках данных.

Связанные материалы

Дополнительные сведения см. в разделе:

• Сценарии, обнаруженные подсистемой Microsoft Sentinel Fusion
• Настройка правил обнаружения многоэтапных атак (Fusion) в Microsoft Sentinel