Записные книжки Jupyter с Microsoft Sentinel возможностями охоты

  • Применяется к: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Записные книжки Jupyter сочетают в себе полную программируемость с огромным набором библиотек для машинного обучения, визуализации и анализа данных. Эти атрибуты делают Jupyter привлекательным инструментом для исследования и охоты на безопасность.

Основой Microsoft Sentinel является хранилище данных; оно объединяет высокопроизводительные запросы, динамическую схему и масштабирование для больших объемов данных. Портал Azure и все средства Microsoft Sentinel используют общий API для доступа к этому хранилищу данных. Тот же API также доступен для внешних средств, таких как записные книжки Jupyter и Python.

Важно!

После 31 марта 2027 г. Microsoft Sentinel больше не будут поддерживаться в портал Azure и будут доступны только на портале Microsoft Defender. Все клиенты, использующие Microsoft Sentinel в портал Azure, будут перенаправлены на портал Defender и будут использовать Microsoft Sentinel только на портале Defender.

Если вы по-прежнему используете Microsoft Sentinel в портал Azure, рекомендуется начать планирование перехода на портал Defender, чтобы обеспечить плавный переход и в полной мере воспользоваться преимуществами унифицированных операций безопасности, предлагаемых Microsoft Defender.

Когда следует использовать записные книжки Jupyter

Хотя на портале можно выполнять множество общих задач, Jupyter расширяет область того, что можно сделать с данными.

Например, используйте записные книжки, чтобы:

  • Выполнять аналитику, которая не предоставляется в Microsoft Sentinel, например некоторые функции машинного обучения Python
  • Создание визуализаций данных, которые не предоставляются в Microsoft Sentinel, например пользовательские временные шкалы и деревья процессов
  • Интегрируйте источники данных за пределами Microsoft Sentinel, например локальный набор данных.

Мы интегрировали интерфейс Jupyter в портал Azure, упрощая создание и запуск записных книжек для анализа данных. Библиотека Kqlmagic предоставляет клей, позволяющий принимать запросы язык запросов Kusto (KQL) из Microsoft Sentinel и выполнять их непосредственно в записной книжке.

Несколько записных книжек, разработанных некоторыми аналитиками по безопасности Майкрософт, упакованы с Microsoft Sentinel:

  • Некоторые из этих записных книжек созданы для определенного сценария и могут использоваться как есть.
  • Другие примеры предназначены для демонстрации методов и функций, которые можно копировать или адаптировать для использования в собственных записных книжках.

Импортируйте другие записные книжки из репозитория Microsoft Sentinel GitHub.

Как работают записные книжки Jupyter

Записные книжки имеют два компонента:

  • Браузерный интерфейс, в котором вы вводите и выполняете запросы и код, а также где отображаются результаты выполнения.
  • Ядро, которое отвечает за синтаксический анализ и выполнение самого кода.

Ядро записной книжки Microsoft Sentinel выполняется на виртуальной машине Azure. Экземпляр виртуальной машины может поддерживать одновременное выполнение нескольких записных книжек. Если записные книжки включают сложные модели машинного обучения, существует несколько вариантов лицензирования для использования более мощных виртуальных машин.

Общие сведения о пакетах Python

Записные книжки Microsoft Sentinel используют множество популярных библиотек Python, таких как pandas, matplotlib, bokeh и другие. Существует множество других пакетов Python на выбор, охватывающих такие области, как:

  • Визуализации и графика
  • Обработка и анализ данных
  • Статистика и числовые вычисления
  • Машинное обучение и глубокое обучение

Чтобы избежать необходимости вводить или вставлять сложный и повторяющийся код в ячейки записных книжек, большинство записных книжек Python используют сторонние библиотеки, называемые пакетами. Чтобы использовать пакет в записной книжке, необходимо установить и импортировать пакет. Azure Вычисление машинного обучения имеет наиболее распространенные предварительно установленные пакеты. Убедитесь, что вы импортируете пакет или соответствующую часть пакета, например модуль, файл, функцию или класс.

Microsoft Sentinel записных книжек используется пакет Python с именем MSTICPy, который представляет собой коллекцию средств кибербезопасности для получения, анализа, обогащения и визуализации данных.

Средства MSTICPy предназначены специально для создания записных книжек для охоты и исследования, и мы активно работаем над новыми функциями и улучшениями. Дополнительные сведения см. в разделе:

Поиск записных книжек

В Microsoft Sentinel выберите Записные книжки, чтобы просмотреть записные книжки, которые Microsoft Sentinel предоставляет. Дополнительные сведения об использовании записных книжек для поиска и исследования угроз см. в таких шаблонах записных книжек, как проверка учетных данных в Azure Log Analytics и интерактивное исследование — обработка оповещений.

Дополнительные записные книжки, созданные корпорацией Майкрософт или предоставленные сообществом, см. в Microsoft Sentinel репозитории GitHub. Используйте записные книжки, к которым предоставлен общий доступ в репозитории Microsoft Sentinel GitHub, в качестве полезных инструментов, иллюстраций и примеров кода, которые можно использовать при разработке собственных записных книжек.

  • Каталог Sample-Notebooks содержит примеры записных книжек, сохраненных с данными, которые можно использовать для отображения предполагаемых выходных данных.

  • Каталог HowTos содержит записные книжки, описывающие такие понятия, как установка версии Python по умолчанию, создание Microsoft Sentinel закладок из записной книжки и многое другое.

Управление доступом к записным книжкам Microsoft Sentinel

Чтобы использовать записные книжки Jupyter в Microsoft Sentinel, сначала необходимо иметь необходимые разрешения в зависимости от роли пользователя.

Хотя вы можете запускать Microsoft Sentinel записных книжек в JupyterLab или Jupyter classic, в Microsoft Sentinel записные книжки выполняются на платформе машинного обучения Azure. Для запуска записных книжек в Microsoft Sentinel необходимо иметь соответствующий доступ как к рабочей области Microsoft Sentinel, так и к рабочей области машинного обучения Azure.

Разрешение Описание
разрешения Microsoft Sentinel Как и другие ресурсы Microsoft Sentinel, для доступа к записным книжкам в колонке Microsoft Sentinel Записные книжки роль читателя Microsoft Sentinel, Microsoft Sentinel респондента или Microsoft Sentinel участника — Обязательно.

Дополнительные сведения см. в разделе Разрешения в Microsoft Sentinel.
разрешения Azure машинного обучения Рабочая область машинного обучения Azure — это ресурс Azure. Как и другие ресурсы Azure, при создании новой рабочей области машинного обучения Azure она поставляется с ролями по умолчанию. Вы можете добавить пользователей в рабочую область и назначить их одной из этих встроенных ролей. Дополнительные сведения см. в статье Azure роли машинного обучения по умолчанию и Azure встроенные роли.

Важно! Доступ к роли может быть ограничен несколькими уровнями в Azure. Например, у пользователя с доступом владельца к рабочей области может не быть доступа владельца к группе ресурсов, содержащей рабочую область. Дополнительные сведения см. в разделе Как работает Azure RBAC.

Если вы являетесь владельцем рабочей области Azure машинного обучения, вы можете добавлять и удалять роли для рабочей области, а также назначать роли пользователям. Дополнительные сведения см. в разделе:
- портал Azure
- Powershell
- интерфейс командной строки Azure
- REST API
- Шаблоны Azure Resource Manager
- интерфейс командной строки машинного обучения Azure

Если встроенных ролей недостаточно, можно также создать пользовательские роли. Пользовательские роли могут иметь разрешения на чтение, запись, удаление и вычисление ресурсов в этой рабочей области. Роль можно сделать доступной на определенном уровне рабочей области, на определенном уровне группы ресурсов или на определенном уровне подписки. Дополнительные сведения см. в разделе Создание настраиваемой роли.

Отправка отзывов для записной книжки

Отправка отзывов, запросов на предоставление функций, отчетов об ошибках или улучшений существующих записных книжек. Перейдите в репозиторий Microsoft Sentinel GitHub, чтобы создать проблему или вилку и отправить вклад.

Связанные материалы

Блоги, видео и другие ресурсы см. в разделе:

  • Last updated on