Создание пользовательских запросов охоты в Microsoft Sentinel

  • Применяется к: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Обзор

Ищите угрозы безопасности во всех источниках данных вашей организации с помощью настраиваемых поисковых запросов. Microsoft Sentinel предоставляет встроенные запросы для поиска проблем в данных, имеющихся в вашей сети. Помимо встроенных запросов охоты, можно создавать пользовательские запросы охоты. Дополнительные сведения о запросах для поиска угроз см. в статье Поиск угроз в Microsoft Sentinel.

Создание запроса

Чтобы создать пользовательский охотничий запрос, сначала откройте Hunting в Microsoft Sentinel, а затем выберите вкладку Queries.

  1. Для Microsoft Sentinel в портале Defender выберите Microsoft Sentinel>Управление угрозами>Поиск угроз. Для Microsoft Sentinel в портал Azure в разделе Управление угрозами выберите Охота.

  2. Перейдите на вкладку Запросы .

  3. На панели команд выберите Создать запрос.

  4. Заполните все пустые поля.

    1. Создавайте сопоставления сущностей, выбирая типы сущностей, идентификаторы и столбцы.

      Снимок экрана для сопоставления типов сущностей в поисковых запросах.

    2. Сопоставьте методы MITRE ATT&CK с запросами охоты, выбрав тактику, метод и подсредню (если применимо).

      Новый запрос

  5. Завершив определение запроса, нажмите кнопку Создать.

Клонирование существующего запроса

Клонируйте пользовательский или встроенный запрос и измените его по мере необходимости.

  1. На вкладке Запросы охоты> выберите запросохоты, который требуется клонировать.

  2. Выберите многоточие (...) в строке запроса, который требуется изменить, и выберите Клонировать.

  3. Измените запрос и другие поля соответствующим образом.

  4. Нажмите Создать.

Изменение существующего настраиваемого запроса

Можно редактировать только запросы, поступающие из пользовательского источника контента. Запросы из других источников контента, таких как решения или репозитории контент-хаба, должны быть отредактированы в источнике контента, где запрос был изначально создан.

  1. На вкладке Запросы охоты> выберите запросохоты, который нужно изменить.

  2. Выберите многоточие (...) в строке запроса, который вы хотите изменить, и нажмите кнопку Изменить.

  3. Обновите поле Запрос обновленным запросом. Вы также можете изменить сопоставление объектов и методы.

  4. По завершении нажмите кнопку Сохранить.

Связанные материалы

  • Last updated on