Сведения о пользовательских событиях Surface в оповещениях в Microsoft Sentinel

Запланированные правила аналитики запросов анализируют события из источников данных, подключенных к Microsoft Sentinel, и создают оповещения, если содержимое этих событий имеет важное значение с точки зрения безопасности. Эти оповещения далее анализируются, группируются и фильтруются по различным двигателям Microsoft Sentinel и дистиллируются в инциденты, которые требуют внимания аналитика SOC. Однако, когда аналитик просматривает инцидент, сразу видны только свойства самих оповещений компонента. Для получения фактического содержимого - информации, содержащейся в событиях - требуется выполнить некоторое копание.

С помощью функции пользовательских сведений в мастере правил аналитики можно отображать данные о событиях в оповещениях, созданных на основе этих событий, что делает данные событий частью свойств оповещения. По сути, это обеспечивает немедленную видимость содержимого событий в инцидентах, позволяя рассматривать, исследовать, делать выводы и реагировать с гораздо большей скоростью и эффективностью.

Используйте эту процедуру, чтобы добавить или изменить настраиваемые сведения в существующем правиле аналитики запланированных запросов. Эти шаги входят в состав мастера создания правил аналитики, но здесь рассматриваются отдельно.

Как отображать сведения о настраиваемом событии

Выполните следующие действия, чтобы отобразить сведения о настраиваемых событиях в правиле аналитики.

1. Войдите на страницу Аналитика на портале, с помощью которого вы обращаетесь к Microsoft Sentinel:

   • Портал Microsoft Defender
   • Портал Microsoft Azure

   В меню навигации Microsoft Defender разверните Microsoft Sentinel, затем — Configuration. Выберите Аналитика.

2. Выберите запланированное правило запроса и нажмите кнопку Изменить. Или создайте новое правило, щелкнув Создать > запланированное правило запроса в верхней части экрана.

3. Перейдите на вкладку Задать логику правила .

4. В разделе Обогащение оповещений разверните Пользовательские сведения.

   

5. В развернутом разделе Пользовательские сведения добавьте пары «ключ — значение» для сведений, которые вы хотите отобразить:

   1. В поле Ключ введите выбранное имя, которое будет отображаться в качестве имени поля в оповещениях.

   2. В поле Значение выберите параметр события, который вы хотите отобразить в оповещениях, из раскрывающегося списка. Этот список будет заполнен значениями, соответствующими полям в таблицах, которые являются предметом запроса правила.

      

6. Чтобы получить дополнительные сведения, нажмите кнопку "Добавить новое " и введите имя ключа и выберите значение из раскрывающегося списка для каждой дополнительной пары " ключ-значение ".

   Если вы передумаете или ошибётесь, вы можете удалить пользовательский параметр, щёлкнув значок корзины рядом с раскрывающимся списком Значение для этого параметра.

7. Завершив определение пользовательских сведений, перейдите на вкладку Просмотр и создание . После успешной проверки правила нажмите кнопку Сохранить.

   Примечание.

   Ограничения службы

   • В одном правиле аналитики можно определить до 20 пользовательских сведений . Каждая пользовательская информация может содержать до 50 значений.

   • Объединенный размер всех пользовательских сведений и их значений в одном оповещении составляет 2 КБ. Значения, превышающие это ограничение, удаляются.

Связанные материалы

Дополнительные сведения о правилах обогащения оповещений и аналитики см. в Microsoft Sentinel:

• Изучите другие способы обогащения оповещений:
  • Сопоставление полей данных с сущностями в Microsoft Sentinel
  • Настройка сведений об оповещении в Microsoft Sentinel
• Получите полное представление о правилах аналитики запланированных запросов.
• Дополнительные сведения о сущностях в Microsoft Sentinel.