Оптимизация операций безопасности

Команды центра безопасности (SOC) ищут способы улучшения процессов и результатов и обеспечивают наличие данных, необходимых для решения рисков без дополнительных затрат на прием. Команды SOC хотят убедиться, что у вас есть все необходимые данные для борьбы с рисками, не оплачивая больше данных, чем требуется. В то же время команды SOC также должны настраивать элементы управления безопасностью в качестве угроз и бизнес-приоритетов изменения, что делает это быстро и эффективно, чтобы максимально повысить рентабельность инвестиций.

Оптимизация SOC — это практические рекомендации, которые позволяют оптимизировать элементы управления безопасностью, получать большее значение от служб безопасности Майкрософт по мере того как время продолжается. Рекомендации помогут сократить затраты, не влияя на потребности или охват SOC, и помочь вам добавить элементы управления безопасностью и данные, где это необходимо. Эти оптимизации адаптированы к вашей среде и основаны на текущем охвате и ландшафте угроз.

Используйте рекомендации по оптимизации SOC, чтобы помочь вам закрыть пробелы в покрытиях по конкретным угрозам и ужесточить частоту приема данных, которые не обеспечивают безопасность. Оптимизация SOC помогает оптимизировать рабочую область Microsoft Sentinel, не вынуждая группы по SOC тратить время на выполнение анализа и исследований в ручном режиме.

Просмотрите следующее видео, чтобы просмотреть обзор и демонстрацию оптимизации SOC на портале Microsoft Defender. Если вы просто хотите демонстрацию, перейдите к минуте 8:14.

Необходимые компоненты

• Оптимизация SOC использует стандартные роли и разрешения Microsoft Sentinel. Дополнительные сведения см. в статье "Роли и разрешения" в Microsoft Sentinel.

• Чтобы использовать оптимизацию SOC на портале Defender, перейдите на портал Microsoft Sentinel. Дополнительные сведения см. в разделе "Подключение Microsoft Sentinel" к порталу Microsoft Defender.

Доступ к странице оптимизации SOC

Используйте одну из следующих вкладок в зависимости от того, работаете ли вы на портале портал Azure или Defender. При подключении рабочей области к порталу Microsoft Defender оптимизация SOC обеспечивает защиту с использованием служб безопасности Майкрософт.

Общие сведения о метриках оптимизации SOC

Метрики оптимизации, отображаемые в верхней части вкладки "Обзор ", дают вам общее представление о том, насколько эффективно вы используете данные, и изменится с течением времени при реализации рекомендаций.

Поддерживаемые метрики в верхней части вкладки "Обзор " включают:

Просмотр рекомендаций по оптимизации и управление ими

Рекомендации по оптимизации SOC вычисляются каждые 24 часа. Каждая карточка оптимизации включает состояние, название, дату его создания, высокоуровневое описание и рабочую область, к ней относится.

Оптимизация фильтров

Отфильтруйте оптимизацию на основе типа оптимизации или выполните поиск определенного заголовка оптимизации с помощью поля поиска на стороне. Типы оптимизации включают:

• Охват : включает рекомендации, которые помогут вам закрыть пробелы в охвате по конкретным угрозам и ужесточить частоту приема данных, которые не обеспечивают безопасность. Рекомендации по охвату включают:
  • Рекомендации по добавлению элементов управления безопасностью на основе угроз, которые помогают закрыть пробелы в охвате для различных типов атак.
  • Рекомендации AI MITRE ATT&CK по добавлению тегов, которые помогают закрыть пробелы в охвате для различных типов атак на основе платформы MITRE ATT&CK.
  • Рекомендации на основе рисков для добавления элементов управления безопасностью, помогающие закрыть пробелы в охвате для различных типов бизнес-рисков.
• Значение данных. Включает рекомендации, которые предлагают способы улучшения использования данных для максимизации ценности безопасности от приема данных или предложения лучшего плана данных для вашей организации.

Просмотр сведений о оптимизации и принятие действий

Выберите одну из следующих вкладок в зависимости от используемого портала:

Если вы устанавливаете шаблон правила аналитики из концентратора контента без установленного решения, в решении отображается только установленный шаблон.

Установите полное решение, чтобы просмотреть все доступные элементы содержимого из выбранного решения. Дополнительные сведения см. в разделе "Обнаружение и управление содержимым Microsoft Sentinel из коробки".

Управление оптимизацией

По умолчанию состояния оптимизации являются активными. Измените их состояние по мере выполнения команд с помощью трех и реализации рекомендаций.

Выберите меню опций или выберите Просмотреть сведения, чтобы выполнить одно из следующих действий:

Просмотр завершенных и отклоненных оптимизаций

Если вы отметили конкретную оптимизацию как завершенную или отклоненную, или если оптимизация завершена автоматически, она отображается на вкладках Завершено и Отклонено соответственно.

В этом разделе выберите меню параметров или выберите "Просмотреть полные сведения ", чтобы выполнить одно из следующих действий:

• Повторно активируйте оптимизацию, отправив ее обратно на вкладку "Обзор ". Повторно активированные оптимизации вычисляются для предоставления наиболее обновленного значения и действия. Пересчет этих сведений может занять до часа, поэтому дождитесь проверки сведений и рекомендуемых действий еще раз.

  При повторной активации оптимизации они могут сразу перейти на вкладку "Завершено", если после пересчета данных будет установлено, что они больше не актуальны.

• Предоставьте дополнительную обратную связь команде Майкрософт При совместном использовании отзывов будьте осторожны, чтобы не предоставлять общий доступ к конфиденциальным данным. Дополнительные сведения см. в заявлении о конфиденциальности Майкрософт.

Поток использования оптимизации SOC

В этом разделе представлен пример потока для использования оптимизаций SOC из Defender или портал Azure:

1. На странице оптимизации SOC начните с понимания панели мониторинга:

   • Просмотрите основные метрики для общего состояния оптимизации.
   • Ознакомьтесь с рекомендациями по оптимизации для значения данных и охвата на основе угроз.

2. Используйте рекомендации по оптимизации для идентификации таблиц с низким уровнем использования, указывая, что они не используются для обнаружения. Выберите "Просмотреть полные сведения" , чтобы просмотреть размер и стоимость неиспользуемых данных. Рассмотрим одно из следующих действий:

   • Добавьте правила аналитики для использования таблицы для расширенной защиты. Чтобы использовать этот параметр, выберите "Перейти в Центр контента ", чтобы просмотреть и настроить определенные шаблоны правил аналитики вне поля, использующие выбранную таблицу. В центре контента вам не нужно искать соответствующее правило, так как вы непосредственно перейдете к соответствующему правилу.

     Если для новых правил аналитики требуются дополнительные источники журналов, рассмотрите возможность приема их для улучшения покрытия угроз.

     Дополнительные сведения см. в разделах "Обнаружение и управление содержимым Microsoft Sentinel из коробки" и "Обнаружение угроз из коробки".

   • Измените уровень обязательств для экономии затрат. Дополнительные сведения см. в разделе "Сокращение затрат на Microsoft Sentinel".

3. Используйте рекомендации по оптимизации для повышения охвата конкретных угроз. Например, для оптимизации программ-шантажистов, управляемых человеком:

   1. Выберите "Просмотреть полные сведения" , чтобы просмотреть текущее покрытие и предлагаемые улучшения.

   2. Выберите «Просмотреть все улучшения техники MITRE ATT&CK», чтобы детализировать и проанализировать соответствующие тактики и методы, помогая вам понять разрыв в покрытии.

   3. Выберите "Перейти к центру контента" , чтобы просмотреть все рекомендуемое содержимое безопасности, отфильтрованное специально для этой оптимизации.

4. После настройки новых правил или внесения изменений пометьте рекомендацию как завершенную или допустите автоматическое обновление системы.

Связанный контент

• Справочник рекомендаций по оптимизации SOC
• Использование оптимизаций SOC программным способом
• Блог: оптимизация SOC: разблокировка возможностей управления безопасностью на основе точности