Создание запросов или правил обнаружения с помощью списков видео к просмотру в Microsoft Sentinel

Сопоставляйте данные списка наблюдения с любыми данными Microsoft Sentinel с табличными операторами Kusto, такими как join и lookup. При создании списка наблюдения определяется SearchKey. Ключ поиска — это имя столбца в списке видео к просмотру, который предполагается использовать в качестве соединения с другими данными или частыми объектами поиска.

Для оптимальной производительности запросов используйте SearchKey в качестве ключа для соединений в запросах.

Создание запросов со списками видео к просмотру

Чтобы использовать список наблюдения в поисковом запросе, напишите запрос Kusto, который использует функцию _GetWatchlist('watchlist-name') и использует SearchKey в качестве ключа для соединения.

1. Для Microsoft Sentinel на портале Defender выберите Microsoft Sentinel>Конфигурация>Список отслеживания. Для Microsoft Sentinel на портале Azure в разделе "Конфигурация" выберите список наблюдения.

2. Выберите список видео к просмотру, который нужно использовать.

3. Выберите Просмотр в журналах.

   

4. Просмотрите вкладку Результаты. Элементы в списке отслеживания автоматически извлекаются в соответствии с вашим запросом.

   В приведенном ниже примере показаны результаты извлечения полей "Имя " и "IP-адрес ". SearchKey отображается как собственный столбец.

   

   Метка времени в запросах будет пропускаться как в пользовательском интерфейсе запроса, так и в запланированных оповещениях.

5. Напишите запрос, который использует функцию _GetWatchlist('watchlist-name') и использует SearchKey в качестве ключа для соединения.

   Например, следующий пример запроса присоединяет RemoteIPCountry столбец в Heartbeat таблице с ключом поиска, определенным для списка mywatchlistнаблюдения.

   Heartbeat
   | lookup kind=leftouter _GetWatchlist('mywatchlist') 
    on $left.RemoteIPCountry == $right.SearchKey
   

   На рисунке ниже показаны результаты выполнения этого примера запроса в Log Analytics.

   

Создание правила аналитики со списком видео к просмотру

Чтобы использовать списки видео к просмотру в правилах аналитики, создайте правило с использованием функции _GetWatchlist('имя-списка-видео-к-просмотру') в запросе.

1. В разделе "Конфигурация" выберите "Аналитика".

2. Выберите "Создать " и тип правила, которое вы хотите создать.

3. На вкладке "Общие " введите соответствующие сведения.

4. На вкладке "Задать логику правила " в разделе "Запрос правила " используйте _GetWatchlist('<watchlist>') функцию в запросе.

   Например, предположим, что у вас есть список ipwatchlist наблюдения, созданный из CSV-файла со следующими значениями:

   IPAddress,Location
   10.0.100.11,Home
   172.16.107.23,Work
   10.0.150.39,Home
   172.20.32.117,Work

   CSV-файл выглядит примерно так, как на следующем изображении:

   Для использования функции _GetWatchlist в этом примере запрос должен выглядеть так: _GetWatchlist('ipwatchlist').

   

   В этом примере мы включаем в список отслеживания только события с IP-адресов:

   //Watchlist as a variable
   let watchlist = (_GetWatchlist('ipwatchlist') | project IPAddress);
   Heartbeat
   | where ComputerIP in (watchlist)
   

   В следующем примере запроса используются список видео к просмотру, встроенный в запрос, и ключ поиска, определенный для списка видео к просмотру.

   //Watchlist inline with the query
   //Use SearchKey for the best performance
   Heartbeat
   | where ComputerIP in ( 
       (_GetWatchlist('ipwatchlist')
       | project SearchKey)
   )
   

   На изображении ниже показан последний запрос, используемый в запросе правила.

   

5. Заполните оставшиеся вкладки в мастере правил аналитики.

Списки наблюдения обновляются в рабочей области каждые TimeGenerated 12 дней, обновляя поле. Дополнительные сведения см. в статье "Создание правил пользовательской аналитики для обнаружения угроз".

Просмотр списка псевдонимов для списков видео к просмотру

Может потребоваться просмотреть список псевдонимов списков видео к просмотру, чтобы определить список, который следует использовать в запросе или правиле аналитики.

1. Для Microsoft Sentinel на портале Azure в разделе "Общие" выберите "Журналы".
   На портале Defender выберите Расследование и реагирование, >, Расширенный поиск.

2. На странице "Создать запрос" выполните следующий запрос: _GetWatchlistAlias

3. Просмотрите список псевдонимов на вкладке "Результаты ".

   

Дополнительные сведения о следующих элементах, используемых в предыдущих примерах, см. в документации Kusto:

• Оператор where
• Оператор проекта
• Оператор поиска
• оператор in
• Оператор let

Дополнительные сведения о KQL см. в обзоре язык запросов Kusto (KQL).

Другие ресурсы:

• Краткий справочник по KQL
• Ресурсы обучения языка запросов Kusto

Связанный контент

В этом документе вы узнали, как использовать списки видео к просмотру в Microsoft Sentinel для обогащения данных и улучшения исследований. Ознакомьтесь с дополнительными сведениями о Microsoft Sentinel в следующих статьях:

• Создание списков наблюдения
• Узнайте, как получить представление о данных и потенциальных угрозах.
• Начните обнаружение угроз с Microsoft Sentinel.
• Используйте рабочие тетради для мониторинга данных.