Oktatóanyag: Incidensentitások kinyerése nem natív műveletekkel

Az entitásleképezés a riasztásokat és az incidenseket minden olyan vizsgálati folyamathoz és szervizelési művelethez nélkülözhetetlen információval bővíti, amely a következő lépésekhez szükséges.

A Microsoft Sentinel forgatókönyvei közé tartoznak az entitásadatok kinyerésére vonatkozó natív műveletek:

• Számlák
• DNS
• Fájlkivonatok
• Hosts
• Ips
• URL-címek

Ezen műveletek mellett az elemzési szabály entitás-leképezése olyan entitástípusokat is tartalmaz, amelyek nem natív műveletek, például kártevők, folyamatok, beállításkulcs, postaláda stb. Ebben az oktatóanyagban megtudhatja, hogyan használhat nem natív műveleteket különböző beépített műveletekkel a releváns értékek kinyeréséhez.

Ebben az oktatóanyagban az alábbiakkal fog megismerkedni:

Előfeltételek

Az oktatóanyag elvégzéséhez győződjön meg arról, hogy rendelkezik a következőkkel:

• Azure-előfizetés. Hozzon létre egy ingyenes fiókot, ha még nem rendelkezik ilyen fiókkal .

• Egy Azure-felhasználó az alábbi erőforrásokhoz rendelt szerepkörökkel:

  • A Microsoft Sentinel közreműködője azon a Log Analytics-munkaterületen, ahol a Microsoft Sentinel telepítve van.
  • A logikai alkalmazás közreműködője és tulajdonosa vagy ezzel egyenértékű, bármelyik erőforráscsoportban szerepel az oktatóanyagban létrehozott forgatókönyv.

• Ehhez az oktatóanyaghoz elegendő egy (ingyenes) VirusTotal-fiók . Az éles megvalósításhoz Egy VirusTotal Premium-fiók szükséges.

Forgatókönyv létrehozása incidensindítóval

1. A Microsoft Sentinel esetében az Azure Portalon válassza a Configuration>Automation lapot. Microsoft Sentinel esetén a Defender portálon válassza a Microsoft Sentinel>Configuration>Automation lehetőséget.

2. Az Automation lapon válassza a Forgatókönyv létrehozása>incidensindítóval lehetőséget.

3. A Forgatókönyv létrehozása varázsló Alapszintű beállítások csoportjában válassza ki az előfizetést és az erőforráscsoportot, és adjon nevet a forgatókönyvnek.

4. Válassza a Következő: Kapcsolatok >lehetőséget.

   A Kapcsolatok területen láthatónak kell lennie a Microsoft Sentinel – Csatlakozás felügyelt identitáskapcsolattal. Példa:

   

5. Válassza a Tovább elemet : Áttekintés és létrehozás >.

6. A Véleményezés és létrehozás csoportban válassza a Létrehozás lehetőséget, és folytassa a tervezőt.

   A logikai alkalmazás tervezője megnyit egy logikai alkalmazást a forgatókönyv nevével.

   

Tömbváltozó inicializálása

1. A Logikai alkalmazás tervezőjében válassza az Új lépés lehetőséget abban a lépésben, amelyben változót szeretne hozzáadni.

2. A Művelet kiválasztása csoportban a keresőmezőbe írja be a változókat szűrőként. A műveletek listájában válassza a Változó inicializálása lehetőséget.

3. Adja meg ezt az információt a változóról:

   • A változó nevéhez használja az Entitások parancsot.

   • A típushoz válassza a Tömb lehetőséget.

   • Az értékhez kezdje el beírni az entitásokat, és válassza az Entitások lehetőséget a Dinamikus tartalom területen.

     

Meglévő incidens kiválasztása

1. A Microsoft Sentinelben lépjen az Incidensek elemre, és válassza ki azt az incidenst, amelyen futtatni szeretné a forgatókönyvet.

2. A jobb oldali incidensoldalon válassza az Actions > Run forgatókönyvet (előzetes verzió).

3. A Forgatókönyvek területen a létrehozott forgatókönyv mellett válassza a Futtatás lehetőséget.

   A forgatókönyv aktiválásakor a forgatókönyv aktiválása sikeres , a jobb felső sarokban látható üzenet jelenik meg.

4. Válassza a Futtatások lehetőséget, majd a forgatókönyv mellett válassza a Futtatás megtekintése lehetőséget.

   A Logikai alkalmazás futtatási lapja látható.

5. Az Inicializálás változó alatt a minta hasznos adata látható az Érték területen. Jegyezze fel a minta hasznos adatait későbbi használatra.

   

A szükséges entitástípus szűrése más entitástípusokból

1. Lépjen vissza az Automation lapra, és válassza ki a forgatókönyvet.

2. A változó hozzáadásához használt lépés alatt válassza az Új lépés lehetőséget.

3. A Művelet kiválasztása csoportban a keresőmezőbe írja be a szűrőtömböt szűrőként. A műveletek listájában válassza az Adatműveletek lehetőséget.

   

4. Adja meg ezt az információt a szűrőtömbről:

   1. A Dinamikus tartalomból> csoportban válassza ki a korábban inicializált Entitások változót.

   2. Válassza ki az első Érték kiválasztása mezőt (a bal oldalon), majd válassza a Kifejezés lehetőséget.

   3. Illessze be az értékelemet ()?? kind", majd válassza az OK gombot.

      

   4. Hagyja meg az értéket (ne módosítsa).

   5. A második Válassza ki az érték mezőt (a jobb oldalon) írja be a Folyamat parancsot. Ennek pontosan meg kell egyeznie a rendszer értékével.

      Feljegyzés

      Ez a lekérdezés megkülönbözteti a kis- és nagybetűk megkülönböztetettségét. Győződjön meg arról, hogy az kind érték megegyezik a minta hasznos adatainak értékével. A minta hasznos adatainak megtekintése forgatókönyv létrehozásakor.

      

Az eredmények elemzése JSON-fájlba

1. A logikai alkalmazásban válassza az Új lépés lehetőséget abban a lépésben, amelyben változót szeretne hozzáadni.

2. Válassza az Adatműveletek>elemzése JSON-t.

   

3. Adja meg ezt az információt a műveletről:

   1. Válassza a Tartalom lehetőséget, majd a Dinamikus tartalomszűrő>tömbben válassza a Törzs lehetőséget.

      

   2. A Séma területen illessze be a JSON-sémát, hogy értékeket nyerhesse ki egy tömbből. Másolja ki a forgatókönyv létrehozásakor létrehozott hasznos adatokat.

      

   3. Térjen vissza a forgatókönyvhöz, és válassza a Minta hasznos adat használata séma létrehozásához lehetőséget.

      

   4. Illessze be a hasznos adatokat. Adjon hozzá egy nyitó szögletes zárójelet ([) a séma elején, és zárja be őket a séma ]végén.

      

      

   5. Válassza a Kész lehetőséget.

Az új értékek használata dinamikus tartalomként későbbi használatra

A létrehozott értékeket mostantól dinamikus tartalomként használhatja további műveletekhez. Ha például folyamatadatokat tartalmazó e-mailt szeretne küldeni, a JSON-elemzési műveletet a Dinamikus tartalom területen találja, ha nem módosította a művelet nevét.

Győződjön meg arról, hogy a forgatókönyv mentése megtörtént

Győződjön meg arról, hogy a forgatókönyv mentve van, és most már használhatja a forgatókönyvet SOC-műveletekhez.

Következő lépések

A következő cikkből megtudhatja, hogyan hozhat létre és hajthat végre incidensfeladatokat a Microsoft Sentinelben forgatókönyvek használatával.