Сведения о пользовательских событиях Surface в оповещениях в Microsoft Sentinel

Запланированные правила аналитики запросов анализируют события из источников данных, подключенных к Microsoft Sentinel, и создают оповещения, если содержимое этих событий имеет важное значение с точки зрения безопасности. Эти оповещения далее анализируются, группируются и фильтруются по различным двигателям Microsoft Sentinel и дистиллируются в инциденты, которые требуют внимания аналитика SOC. Однако, когда аналитик просматривает инцидент, сразу видны только свойства самих оповещений компонента. Для получения фактического содержимого - информации, содержащейся в событиях - требуется выполнить некоторое копание.

С помощью функции пользовательских сведений в мастере правил аналитики можно отображать данные о событиях в оповещениях, созданных на основе этих событий, что делает данные событий частью свойств оповещения. По сути, это обеспечивает немедленную видимость содержимого событий в инцидентах, позволяя рассматривать, исследовать, делать выводы и реагировать с гораздо большей скоростью и эффективностью.

Описанная ниже процедура является частью мастера создания правил аналитики. Он рассматривается здесь независимо для решения сценария добавления или изменения пользовательских сведений в существующем правиле аналитики.

Сведения о пользовательском событии

1. Войдите на страницу Аналитика на портале, с помощью которого вы обращаетесь к Microsoft Sentinel:

   • Портал Defender
   • Портал Azure

   В меню навигации Microsoft Defender разверните узел Microsoft Sentinel, а затем — Конфигурация. Выберите Аналитика.

2. Выберите запланированное правило запроса и нажмите кнопку Изменить. Или создайте новое правило, щелкнув Создать > запланированное правило запроса в верхней части экрана.

3. Перейдите на вкладку Задать логику правила .

4. В разделе Обогащение оповещений разверните узел Пользовательские сведения.

   

5. В развернутом разделе Пользовательские сведения добавьте пары "ключ— значение", соответствующие сведениям, которые вы хотите получить:

   1. В поле Ключ введите выбранное имя, которое будет отображаться в качестве имени поля в оповещениях.

   2. В поле Значение выберите параметр события, который вы хотите отобразить в оповещениях, из раскрывающегося списка. Этот список будет заполнен значениями, соответствующими полям в таблицах, которые являются предметом запроса правила.

      

6. Нажмите кнопку Добавить новый для отображения дополнительных сведений, повторяя последние шаги для определения пар "ключ-значение".

   Если вы передумаете или совершили ошибку, вы можете удалить пользовательские сведения, щелкнув значок корзины рядом с раскрывающимся списком Значение для этой информации.

7. Завершив определение пользовательских сведений, перейдите на вкладку Просмотр и создание . После успешной проверки правила нажмите кнопку Сохранить.

   Примечание.

   Ограничения службы

   • В одном правиле аналитики можно определить до 20 пользовательских сведений . Каждая пользовательская информация может содержать до 50 значений.

   • Объединенный размер всех пользовательских сведений и их значений в одном оповещении составляет 2 КБ. Значения, превышающие это ограничение, удаляются.

Дальнейшие действия

В этом документе вы узнали, как отображать пользовательские сведения в оповещениях с помощью правил аналитики Microsoft Sentinel. Дополнительные сведения о Microsoft Sentinel см. в следующих статьях:

• Изучите другие способы обогащения оповещений:
  • Сопоставление полей данных с сущностями в Microsoft Sentinel
  • Настройка сведений об оповещении в Microsoft Sentinel
• Получение полной картины о правилах аналитики запланированных запросов.
• Дополнительные сведения о сущностях в Microsoft Sentinel.