Сопоставление полей данных с сущностями в Microsoft Sentinel

Сопоставление сущностей является неотъемлемой частью конфигурации запланированных правил аналитики. Он дополняет выходные данные правил (оповещения и инциденты) важной информацией, которая служит в качестве стандартных блоков любых процессов расследования и последующих действий по исправлению.

Описанная ниже процедура является частью мастера создания правил аналитики. Здесь он обрабатывается независимо для решения сценария добавления или изменения сопоставлений сущностей в существующем правиле аналитики.

Важно!

Сопоставление сущностей

  1. Войдите на страницу Аналитика на портале, с помощью которого вы обращаетесь к Microsoft Sentinel:

    В разделе Конфигурация в меню навигации Microsoft Sentinel выберите Аналитика.

  2. Выберите запланированное правило запроса и выберите Изменить в области сведений. Или создайте новое правило, щелкнув Создать > запланированное правило запроса в верхней части экрана.

  3. Перейдите на вкладку Задать логику правила . Если новое правило, введите запрос в окне Запрос правила .

  4. В разделе Усовершенствование оповещений разверните узел Сопоставление сущностей.

    Развертывание сопоставления сущностей

  5. В развернутом разделе Сопоставление сущностей выберите Добавить новую сущность.

    Снимок экрана: добавление новой сущности.

  6. Выберите тип сущности в раскрывающемся списке Сущность .

    Выбор типа сущности

  7. Выберите идентификатор сущности. Идентификаторы — это атрибуты сущности, которые могут достаточно ее идентифицировать. Выберите его из раскрывающегося списка Идентификатор , а затем в раскрывающемся списке Значение выберите поле данных, которое будет соответствовать идентификатору. За некоторыми исключениями список Значение заполняется полями данных в таблице, определенной как тема запроса правила.

    Можно определить до трех идентификаторов для определенного сопоставления сущностей. Некоторые идентификаторы являются обязательными, другие — необязательными. Необходимо выбрать по крайней мере один обязательный идентификатор. В противном случае появится предупреждающее сообщение о том, какие идентификаторы требуются. Для достижения наилучших результатов — для максимальной уникальной идентификации — по возможности следует использовать надежные идентификаторы , а использование нескольких надежных идентификаторов обеспечит большую корреляцию между источниками данных. См. полный список доступных сущностей и идентификаторов.

    Сопоставление полей с сущностями

  8. Выберите Добавить новую сущность , чтобы сопоставить другие сущности. В одном правиле аналитики можно определить до десяти сопоставлений сущностей . Кроме того, можно сопоставить несколько типов. Например, можно сопоставить две IP-сущности : одну из поля исходного IP-адреса , а другую — из поля IP-адреса назначения . Таким образом, вы можете отслеживать их оба.

    Если вы передумаете или совершили ошибку, вы можете удалить сопоставление сущностей, щелкнув значок корзины рядом с раскрывающимся списком сущностей.

  9. Завершив сопоставление сущностей, перейдите на вкладку Просмотр и создание . После успешной проверки правила нажмите кнопку Сохранить.

Примечание.

  • В одном оповещении можно определить до 500 сущностей, разделенных поровну между всеми сопоставлениями сущностей, определенными в правиле.

    • Например, если в правиле определены два сопоставления сущностей, каждое сопоставление может идентифицировать до 250 сущностей; Если определены пять сопоставлений, каждое из них может идентифицировать до 100 сущностей и т. д.
    • Несколько сопоставлений одного типа сущности (например, исходный IP-адрес и IP-адрес назначения) учитываются отдельно.
    • Если оповещение содержит элементы, превышающие это ограничение, эти лишние элементы не будут распознаны и извлечены как сущности.
  • Максимальный размер всей области сущностей оповещения (поле Сущности ) составляет 64 КБ.

    • Поля сущностей , размер которых превышает 64 КБ, будут усечены. По мере идентификации сущностей они добавляются в оповещение по одному до тех пор, пока размер поля не достигнет 64 КБ, а все неопознанные сущности удаляются из оповещения.

Заметки о новой версии

  • Так как новая версия теперь общедоступна, обходной путь для использования старой версии для флага компонентов больше недоступен.

  • Если вы ранее определили сопоставления сущностей для этого правила аналитики с помощью старой версии, они будут автоматически преобразованы в новую версию.

Дальнейшие действия

В этом документе вы узнали, как сопоставлять поля данных с сущностями в правилах Microsoft Sentinel аналитики. Дополнительные сведения о Microsoft Sentinel см. в следующих статьях: