Начало работы с записными книжками Jupyter и MSTICPy в Microsoft Sentinel

В этой статье описывается, как запустить руководство по началу работы с записными книжками ML Microsoft Sentinel, которое обеспечивает базовую настройку для запуска Jupyter Notebook в Microsoft Sentinel и предоставляет примеры для выполнения простых запросов.

Руководство по началу работы с записными книжками Microsoft Sentinel ML использует MSTICPy, мощную библиотеку Python, предназначенную для улучшения исследований безопасности и поиска угроз в записных книжках Microsoft Sentinel. Он предоставляет встроенные средства для обогащения данных, визуализации, обнаружения аномалий и автоматизированных запросов, помогая аналитикам оптимизировать свой рабочий процесс без расширенного пользовательского программирования.

Дополнительные сведения см. в статье Использование записных книжек для эффективного проведения исследований и Использование записных книжек Jupyter для охоты на угрозы безопасности.

Предварительные требования

Перед началом работы убедитесь, что у вас есть необходимые разрешения и ресурсы.

Установите и запустите блокнот с руководством по началу работы

В этой процедуре описывается запуск записной книжки с помощью Microsoft Sentinel.

1. Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Управление угрозами>Записные книжки. Для Microsoft Sentinel в портале Azure, в разделе Управление угрозами, выберите Записные книжки.

2. На вкладке Шаблоны выберите Руководство для начинающих по записным книжкам машинного обучения Microsoft Sentinel.

3. Выберите "Создать из шаблона".

4. Измените имя и выберите рабочую область Azure Machine Learning по мере необходимости.

5. Нажмите кнопку "Сохранить", чтобы сохранить ее в рабочей области Машинное обучение Azure.

6. Выберите Запустить записную книжку, чтобы запустить записную книжку. Записная книжка содержит ряд ячеек:

   • Ячейки Markdown содержат текст и графику с инструкциями по использованию записной книжки
   • Ячейки кода содержат исполняемый код, выполняющий функции записной книжки

7. В верхней части страницы выберите вычислительные ресурсы.

8. Продолжайте последовательно читать ячейки Markdown и выполнять ячейки кода, используя инструкции в записной книжке. Пропуск ячеек или запуск их не по порядку может привести к ошибкам позднее в этом блокноте.

   В зависимости от выполняемой функции код в ячейке может выполняться быстро или может занять некоторое время. Когда ячейка выполняется, кнопка воспроизведения изменяется на индикатор загрузки, а состояние отображается в нижней части ячейки вместе с прошедшим временем.

   При первом запуске ячейки кода может потребоваться несколько минут для запуска сеанса в зависимости от параметров вычислений. Индикатор готовности отображается, когда записная книжка готова для запуска кодовых ячеек. Например:

   

Руководство по началу работы с записными книжками машинного обучения Microsoft Sentinel содержит разделы для следующих действий:

Код в руководстве по началу работы для записных книжек машинного обучения Microsoft Sentinel запускает средство MpConfigEdit , которое содержит ряд вкладок для настройки среды записной книжки. При внесении изменений в средство MpConfigEdit обязательно сохраните изменения, прежде чем продолжить. Параметры записной книжки хранятся в файле msticpyconfig.yaml , который автоматически заполняется начальными сведениями для рабочей области.

Внимательно прочитайте ячейки Markdown, чтобы полностью понять процесс, включая каждый из параметров и файл msticpyconfig.yaml . Дальнейшие действия, дополнительные ресурсы и часто задаваемые вопросы из вики записных книжек Azure Sentinel доступны в конце записной книжки.

Настройка запросов (необязательно)

Руководство по началу работы с записными книжками Microsoft Sentinel для машинного обучения предоставляет образцы запросов для изучения записных книжек. Настройте встроенные запросы, добавив дополнительную логику запроса или выполнив полные запросы с помощью exec_query функции. Например, большинство встроенных запросов поддерживает параметр add_query_items, который можно использовать для добавления в запросы фильтров или других операций.

1. Запустите следующую ячейку кода, чтобы добавить кадр данных, который суммирует количество оповещений по имени оповещения:

   from datetime import datetime, timedelta
   
   qry_prov.SecurityAlert.list_alerts(
      start=datetime.utcnow() - timedelta(28),
       end=datetime.utcnow(),
       add_query_items="| summarize NumAlerts=count() by AlertName"
   )
   

2. Передайте полную строку запроса на языке запросов Kusto (KQL) поставщику запросов. Запрос выполняется в подключенной рабочей области, а данные возвращаются в виде кадра данных Panda. Запустить:

   # Define your query
   test_query = """
   OfficeActivity
   | where TimeGenerated > ago(1d)
   | take 10
   """
   
   # Pass the query to your QueryProvider
   office_events_df = qry_prov.exec_query(test_query)
   display(office_events_df.head())
   
   

Дополнительные сведения см. в разделе:

• Ссылка на запрос MSTICPy
• Выполнение предварительно определенных запросов MSTICPy

Примените рекомендации к другим записным книжкам

В этой статье описываются шаги по запуску руководства по началу работы с блокнотом Microsoft Sentinel ML Notebooks в рабочей области Azure Machine Learning через Microsoft Sentinel. Вы также можете использовать эту статью в качестве руководства для выполнения аналогичных действий для запуска записных книжек в других средах, включая локально.

Несколько записных книжек Microsoft Sentinel не используют MSTICPy, например записные книжки проверки учетных данных, или примеры PowerShell и C#. Записные книжки, не использующие MSTICpy, не нуждаются в конфигурации MSTICPy, описанной в этой статье.

Попробуйте использовать другие записные книжки Microsoft Sentinel, например:

• Настройка среды ноутбука
• Обзор функций записной книжки Cybersec
• Примеры машинного обучения в записных книжках
• Серия Обозревателя сущностей , включая варианты учетных записей, доменов и URL-адресов, IP-адресов и узлов Linux или Windows.

Дополнительные сведения см. в разделе:

• Записные книжки Jupyter с возможностями охоты Microsoft Sentinel
• Расширенные конфигурации для записных книжек Jupyter и MSTICPy в Microsoft Sentinel
• Создание первой записной книжки Microsoft Sentinel (серия блогов)
• Обзор записной книжки Linux Host Explorer (блог)

Связанный контент

Дополнительные сведения см. в разделе:

• Документация по MSTICPy
• Записные книжки Jupyter: введение
• The Infosec Jupyterbook
• Почему использовать Jupyter для расследований безопасности
• Исследования безопасности с помощью Microsoft Sentinel и записных книжек