Исследование оповещений о предотвращении потери данных с помощью Microsoft Sentinel

Область применения:

• Microsoft Defender
• Microsoft Sentinel

Подготовьтесь к расследованию оповещений DLP в Microsoft Sentinel

Дополнительные сведения см. в статье "Изучение оповещений о предотвращении потери данных с помощью Microsoft Defender".

Возможности расследования DLP в Microsoft Sentinel

В Microsoft Sentinel можно использовать соединитель Microsoft Defender XDR для импорта всех инцидентов DLP, чтобы расширить возможности корреляции, обнаружения и расследования в разных источниках данных, а также расширить автоматизированные процессы оркестрации с помощью встроенных в Sentinel возможностей SOAR.

1. Следуйте инструкциям в разделе Подключение данных из Microsoft Defender XDR к Microsoft Sentinel, чтобы импортировать все инциденты, включая инциденты защиты от потери данных и оповещения, в Sentinel. Включите соединитель событий CloudAppEvents, который импортирует события из журнала аудита Office 365 в Microsoft Sentinel, чтобы получать все данные журнала аудита Office 365 в Microsoft Sentinel.

   После настройки соединителя Microsoft Defender XDR и соединителя событий CloudAppEvents в Sentinel вы сможете увидеть свои инциденты DLP.

2. Выберите Оповещения , чтобы просмотреть страницу оповещений.

3. Вы можете использовать AlertType, startTime и EndTime , чтобы запросить таблицу CloudAppEvents , чтобы получить все действия пользователей, которые способствовали оповещению. Используйте этот запрос для идентификации базовых действий. Запрос извлекает конкретное оповещение безопасности по его SystemAlertId, а затем сопоставляет его с CloudAppEvents, чтобы вернуть действия пользователя, которые произошли в пределах временного окна оповещения. Замените пустое SystemAlertId значение идентификатором оповещения, которое необходимо исследовать.

let Alert = SecurityAlert
| where TimeGenerated > ago(30d)
| where SystemAlertId == ""; // insert the systemAlertID here
CloudAppEvents
| extend correlationId1 = parse_json(tostring(RawEventData.Data)).cid
| extend correlationId = tostring(correlationId1)
| join kind=inner Alert on $left.correlationId == $right.AlertType
| where RawEventData.CreationTime > StartTime and RawEventData.CreationTime < EndTime

Статьи по теме

• Обзор инцидентов
• Расставьте приоритеты для инцидентов
• Управление инцидентами