Обнаружение угроз с помощью потоковой трансляции охоты в Microsoft Sentinel

Используйте охоту с потоковой передачей в реальном времени для создания интерактивных сеансов, позволяющих проверять созданные запросы при возникновения событий, получения уведомлений из сеансов при обнаружении соответствия, а также выполнения исследований при необходимости. Сеанс с потоковой передачей в реальном времени можно быстро создать с помощью любого запроса Log Analytics.

Вы можете создать сеанс с потоковой передачей в реальном времени на основе имеющегося запроса охоты или создать сеанс с нуля.

1. Для Microsoft Sentinel в портал Azure в разделе "Управление угрозами" выберите "Охота".
   Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Threat Management>Hunting.

2. Создание сеанса с потоковой передачей в реальном времени из запроса охоты:

   1. На вкладке Запросы найдите необходимый запрос охоты.
   2. Щелкните запрос правой кнопкой мыши и выберите Добавить в прямую трансляцию. Например:

   

3. Создание сеанса с потоковой передачей в реальном времени с нуля:

   1. Выберите вкладку Livestream .
   2. Выберите +Создать трансляцию.

4. Необходимые действия на панели Прямая трансляция:

   • Если вы начали прямую трансляцию из запроса, проверьте запрос и выполните необходимые изменения.
   • Если вы начали прямую трансляцию с нуля, создайте запрос.

   Livestream поддерживает межресурсные запросы данных в Azure Data Explorer. Узнайте больше о запросах между ресурсами.

5. Выберите Воспроизвести на панели команд.

   В строке состояния на панели команд указывается, выполняется ли сеанс прямой трансляции или приостановлен. В следующем примере сеанс выполняется:

   

6. На панели команд выберите Сохранить.

   Если вы не выберете "Пауза", сеанс продолжает выполняться до выхода из портал Azure.

Найдите сеансы трансляции на вкладке "Охота>livestream".

1. Для Microsoft Sentinel в портал Azure в разделе "Управление угрозами" выберите "Охота".
   Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Threat Management>Hunting.

2. Выберите вкладку Livestream .

3. Выберите сеанс прямой трансляции, который необходимо просмотреть или изменить. Например:

   

   Откроется выбранный сеанс прямой трансляции для выполнения воспроизведения, приостановки, редактирования и т. д.

Уведомления livestream для новых событий отображаются с уведомлениями портала Azure или Defender. Например:

1. На портале Azure или Defender перейдите к уведомлениям в верхней правой части страницы портала.
2. Выберите уведомление, чтобы открыть панель Прямая трансляция.

Повышение уровня сеанса трансляции до нового оповещения, выбрав "Повышенные привилегии" для оповещения на панели команд в соответствующем сеансе трансляции:

Это действие позволяет открыть мастер создания правил, который предварительно заполняется данными запроса, связанного с сеансом прямой трансляции.

Из этой статьи вы узнали, как использовать охоту с потоковой передачей в Microsoft Sentinel. Ознакомьтесь с дополнительными сведениями о Microsoft Sentinel в следующих статьях:

• Упреждающая охота за угрозами
• Автоматизированный поиск угроз с помощью записных книжек