Визуализировать собранные данные на странице обзора Microsoft Sentinel

  • Применяется к: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Используйте страницу обзора Microsoft Sentinel для просмотра, мониторинга и анализа действий в вашей среде. В этой статье описываются виджеты и графики, доступные на панели мониторинга Microsoft Sentinel Overview, включая сведения об инцидентах, эффективности автоматизации, приеме данных и состоянии правил аналитики, что помогает быстро оценить состояние безопасности вашей среды. Перед началом убедитесь, что вы выполнили все требования, включая подключение ваших источников данных к Microsoft Sentinel.

Важно!

После 31 марта 2027 г. Microsoft Sentinel больше не будет поддерживаться в портале Azure и будет доступен только в портале Microsoft Defender. Все клиенты, использующие Microsoft Sentinel в портал Azure, будут перенаправлены на портал Defender и будут использовать Microsoft Sentinel только на портале Defender.

Если вы по-прежнему используете Microsoft Sentinel в портал Azure, рекомендуется начать планирование перехода на портал Defender, чтобы обеспечить плавный переход и в полной мере воспользоваться преимуществами унифицированных операций безопасности, предлагаемых Microsoft Defender.

Предварительные условия

Прежде чем получить доступ к странице обзора, убедитесь, что выполнены следующие предварительные требования:

Доступ к странице "Обзор"

Если ваша рабочая область подключена к порталу Microsoft Defender, выберите Общие > обзор. В противном случае выберите Обзор напрямую. Например, вы можете:

Снимок экрана панели

Данные для каждого раздела панели мониторинга "Обзор" предварительно вычисляются, а время последнего обновления отображается в верхней части каждого раздела. Выберите Обновить в верхней части страницы, чтобы обновить всю страницу.

Просмотр данных об инцидентах

Чтобы снизить уровень шума и свести к минимуму количество оповещений, которые необходимо проверить и исследовать, Microsoft Sentinel использует метод слияния для корреляции оповещений с инцидентами. Инциденты — это группы связанных оповещений, которые можно исследовать и устранять.

На следующем рисунке показан пример раздела Инциденты на панели мониторинга Обзор :

Снимок экрана: раздел

В разделе Инциденты перечислены следующие данные:

  • Количество новых, активных и закрытых инцидентов за последние 24 часа.
  • Общее число инцидентов по каждому уровню серьёзности.
  • Количество закрытых инцидентов по каждому типу классификации закрытия.
  • Состояние инцидента по времени создания с интервалом в четыре часа.
  • Среднее время до подтверждения инцидента и среднее время закрытия инцидента со ссылкой на рабочую книгу «Эффективность SOC». Дополнительные сведения см. в статье «Визуализация и мониторинг данных с помощью книг в Microsoft Sentinel».

Выберите Управление инцидентами, чтобы перейти на страницу Microsoft Sentinel Инциденты для получения дополнительных сведений.

Просмотр данных автоматизации

После развертывания автоматизации с помощью Microsoft Sentinel отслеживайте автоматизацию рабочей области в разделе Автоматизация панели мониторинга Обзор.

Снимок экрана: раздел

  • Начните с обзора активности правил автоматизации: инциденты, закрытые автоматически, время, сэкономленное автоматизацией, и состояние связанных сценариев.

    Microsoft Sentinel вычисляет время, сэкономленное автоматизацией, путем поиска среднего времени, сохраненного одной автоматизацией, умноженного на количество инцидентов, разрешенных автоматизацией. Microsoft Sentinel использует следующую формулу для расчёта сэкономленного времени при автоматизации:

    (avgWithout - avgWith) * resolvedByAutomation

    Где:

    • avgWithout — это среднее время, затрачиваемое на разрешение инцидента без автоматизации.
    • avgWith — это среднее время, необходимое для разрешения инцидента с помощью автоматизации.
    • resolvedByAutomation — это количество инцидентов, разрешенных автоматизацией.

  • График действий автоматизации суммирует количество действий, выполняемых автоматизацией, по типу действия.

  • В разделе также содержится количество активных правил автоматизации со ссылкой на страницу автоматизации .

Выберите ссылку Настройка правил автоматизации на странице автоматизации , где можно настроить дополнительные возможности автоматизации.

Просмотр состояния записей данных, сборщиков данных и аналитики угроз

В разделе Данные панели мониторинга Обзор отслеживайте сведения о записях данных, сборщиках данных и аналитике угроз.

Снимок экрана: раздел

Просмотрите следующие сведения:

  • Количество записей, собранных Microsoft Sentinel за последние 24 часа, по сравнению с предыдущими 24 часами, а также аномалии, обнаруженные за этот период.

  • Сводка состояния соединителя данных, разделенная на неработоспособные и активные соединители. Неработоспособные соединители указывают, сколько соединителей имеют ошибки. Активные соединители — это соединители с потоковой передачей данных в Microsoft Sentinel, измеряемые запросом, включенным в соединитель.

  • Записи аналитики угроз в Microsoft Sentinel по индикатору компрометации.

Выберите Управление соединителями , чтобы перейти на страницу Соединители данных , где можно просматривать соединители данных и управлять ими.

Просмотр аналитических данных

Отслеживайте данные для правил аналитики в разделе Аналитика панели мониторинга Обзор .

Снимок экрана: раздел

Количество правил аналитики в Microsoft Sentinel отображается с разбивкой по состояниям, включая включенные, отключенные и автоматически отключенные.

Выберите ссылку представление MITRE, чтобы перейти к MITRE ATT&CK, где можно увидеть, насколько ваша среда защищена от тактик и техник MITRE ATT&CK. Щелкните ссылку управление правилами аналитики , чтобы перейти на страницу Аналитика , где можно просматривать правила, которые настраивают способ активации оповещений и управлять ими.

Дальнейшие действия

Чтобы продолжать исследовать и контролировать вашу среду, используйте следующие ресурсы:

  • Last updated on