Начало работы с записными книжками Jupyter и MSTICPy в Microsoft Sentinel

В этой статье описано, как запускать блокнот Getting Started Guide For Microsoft Sentinel ML Notebooks, который настраивает основные параметры для запуска блокнотов Jupyter в Microsoft Sentinel и содержит примеры выполнения простых запросов. Прежде чем начать, убедитесь, что выполнены предварительные требования, включая разрешения, Python настройку и учетные записи внешнего поставщика данных.

В записной книжке Руководство по началу работы с записными книжками ML в Microsoft Sentinel используется MSTICPy — мощная библиотека Python, предназначенная для расширения возможностей расследований инцидентов безопасности и поиска угроз в записных книжках Microsoft Sentinel. MSTICPy предоставляет встроенные средства для обогащения данных, визуализации, обнаружения аномалий и автоматизированных запросов, помогая аналитикам оптимизировать свой рабочий процесс без обширного пользовательского программирования.

Дополнительные сведения см. в разделах Использование записных книжек для выполнения исследований и Использование записных книжек Jupyter для поиска угроз безопасности.

Предварительные условия

Перед началом работы убедитесь, что у вас есть необходимые разрешения и ресурсы.

Установите и запустите блокнот руководства "Начало работы"

В следующих шагах описано, как запустить ноутбук Getting Started Guide в Microsoft Sentinel.

1. Для Microsoft Sentinel в портале Defender выберите Microsoft Sentinel>Управление угрозами>Записные книжки. Для Microsoft Sentinel в портал Azure в разделе Управление угрозами выберите Записные книжки.

2. На вкладке Шаблоны выберите Руководство по начало работы для записных книжек машинного обучения Microsoft Sentinel .

3. Выберите Создать из шаблона.

4. Измените имя и при необходимости выберите рабочую область Машинное обучение Azure.

5. Нажмите кнопку "Сохранить", чтобы сохранить записную книжку в рабочую область Машинное обучение Azure.

6. Выберите Запустить записную книжку , чтобы запустить записную книжку. Записная книжка содержит ряд ячеек:

   • Ячейки Markdown содержат текст и графику с инструкциями по использованию записной книжки
   • Ячейки кода содержат исполняемый код, который выполняет функции записной книжки

7. Вверху страницы выберите Compute.

8. Продолжайте, читая ячейки Markdown и выполняя ячейки кода по порядку, следуя инструкциям в ноутбуке. Пропуск ячеек или их запуск не по порядку может привести к ошибкам в дальнейшем в ноутбуке.

   В зависимости от выполняемой функции код в ячейке может выполняться быстро или может занять некоторое время. Когда ячейка запущена, кнопка воспроизведения меняется на загрузочный модуль, а состояние отображается в нижней части ячейки вместе с затраченным временем.

   При первом запуске ячейки кода может потребоваться несколько минут для запуска сеанса в зависимости от параметров вычислений. Индикатор Готово отображается, когда ноутбук готов к запуску ячеек кода. Например, вы можете:

   

Руководство «Начало работы с ML-блокнотами Microsoft Sentinel» содержит разделы, посвященные следующим задачам:

Код в Руководстве по старту для Microsoft Sentinel ML Notebooks запускает инструмент конфигурации с вкладками под названием MpConfigEdit, который вы используете для настройки среды блокнота. При внесении изменений в средство MpConfigEdit обязательно сохраните изменения перед переходом на следующую вкладку. Параметры записной книжки хранятся в файле msticpyconfig.yaml , который автоматически заполняется начальными сведениями для рабочей области.

Внимательно прочитайте ячейки Markdown, чтобы полностью понять процесс настройки записной книжки, включая каждый из параметров и файл msticpyconfig.yaml . Ссылки на дальнейшие действия, дополнительные ресурсы и часто задаваемые вопросы из вики-страницы Azure Sentinel Notebooks приведены в конце записной книжки.

Настройка запросов (необязательно)

Блокнот Начало работы с блокнотами ML Microsoft Sentinel содержит примеры запросов, которые можно использовать при изучении блокнотов. Настройте встроенные запросы, добавив дополнительную логику запросов, или выполните полные запросы с помощью exec_query функции . Например, большинство встроенных запросов поддерживают add_query_items параметр , который можно использовать для добавления фильтров или других операций в запросы.

1. Выполните следующую ячейку кода, чтобы добавить кадр данных, который суммирует количество оповещений по имени оповещения:

   from datetime import datetime, timedelta
   
   qry_prov.SecurityAlert.list_alerts(
      start=datetime.utcnow() - timedelta(28),
       end=datetime.utcnow(),
       add_query_items="| summarize NumAlerts=count() by AlertName"
   )
   

2. Передайте поставщику запросов полную строку запроса на языке Kusto Query Language (KQL). Запрос выполняется в подключённой рабочей области, а данные возвращаются в виде DataFrame pandas. Запустить:

   # Define your query
   test_query = """
   OfficeActivity
   | where TimeGenerated > ago(1d)
   | take 10
   """
   
   # Pass the query to your QueryProvider
   office_events_df = qry_prov.exec_query(test_query)
   display(office_events_df.head())
   
   

Дополнительные сведения см. в разделе:

• Справочник по запросу MSTICPy
• Выполнение предварительно определенных запросов MSTICPy

Применить рекомендации к другим записным книгам

В этой статье описаны действия по запуску блокнота Руководство по началу работы с блокнотами Microsoft Sentinel ML в вашей рабочей области Машинное обучение Azure через Microsoft Sentinel. Эту статью также можно использовать в качестве руководства по запуску и настройке записных книжек в других средах, включая локально.

Несколько записных книжек Microsoft Sentinel не используют MSTICPy (библиотеку Python для расследования инцидентов безопасности в записных книжках Microsoft Sentinel), например записные книжки Credential Scanner и примеры PowerShell и C#. Блокнотам, которые не используют MSTICpy, не требуется конфигурация MSTICPy, описанная в разделе «Установка и запуск блокнота Getting Started Guide».

Попробуйте другие записные книжки Microsoft Sentinel, например:

• Настройка среды ноутбука
• Обзор функций записной книжки Cybersec
• Примеры машинного обучения в записных книжках
• Серия Entity Explorer, включая варианты для учетных записей, доменов и URL-адресов, IP-адресов, а также хостов Linux и Windows.

Дополнительные сведения см. в разделе:

• Ноутбуки Jupyter с возможностями Microsoft Sentinel для поиска угроз
• Расширенные конфигурации записных книжек Jupyter и MSTICPy в Microsoft Sentinel
• Создание первой записной книжки Microsoft Sentinel (серия блогов)
• Обзор блокнота Linux Host Explorer (блог)

Связанные материалы

Дополнительные сведения см. в разделе:

• Документация по MSTICPy
• Записные книжки Jupyter: введение
• Юпитербук Infosec
• Зачем использовать Jupyter для расследований безопасности
• Расследования инцидентов безопасности с Microsoft Sentinel & записными книжками