تحويل لوحات المعلومات إلى مصنفات Azure

  • ينطبق على: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

تحويل لوحات المعلومات من حل معلومات الأمان وإدارة الأحداث (SIEM) الحالي إلى مصنف Azure Microsoft Sentinel. توفر Azure المصنفات تنوعا لإنشاء لوحات معلومات مخصصة Microsoft Sentinel. توضح هذه المقالة كيفية مراجعة لوحات المعلومات الحالية وتخطيطها وتحويلها إلى مصنفات Azure.

مراجعة لوحات المعلومات في SIEM الحالي

ضع في اعتبارك الخطوات التالية عند تصميم الترحيل.

  • تحليل لوحات المعلومات: اجمع معلومات عن لوحات المعلومات الخاصة بك، بما في ذلك التصميم، والمعلمات، ومصادر البيانات، وتفاصيل أخرى. تحديد الغرض من كل لوحة معلومات أو استخدامها.
  • كن انتقائيا: لا ترحيل جميع لوحات المعلومات دون اعتبار. ركز على لوحات المعلومات المهمة والمستخدمة بانتظام.
  • فكر في الأصوات: فكر في من هم المستخدمون المستهدفون لكتب العمل. تستخدم Azure المصنفات التحكم في الوصول المستند إلى الدور Azure (Azure RBAC). لمزيد من المعلومات، راجع تقييم التحكم في Azure المصنفات. لإنشاء لوحات معلومات خارج Azure، على سبيل المثال للمدراء التنفيذيين للأعمال دون Azure الوصول، استخدم أداة إعداد التقارير مثل Power BI.

الاستعداد لتحويل لوحة المعلومات

بعد مراجعة لوحات المعلومات، أكمل المهام التالية للتحضير لترحيل لوحة المعلومات:

  • راجع جميع المرئيات في كل لوحة معلومات. قد تحتوي لوحات المعلومات الموجودة في SIEM الحالي على العديد من المخططات أو اللوحات. من الضروري مراجعة محتوى لوحات المعلومات القصيرة القائمة للقضاء على أي مرئيات أو بيانات غير مرغوب فيها.

  • التقاط تصميم لوحة المعلومات والتفاعل.

  • حدد أي عناصر تصميم مهمة للمستخدمين. على سبيل المثال، تخطيط لوحة التحكم، ترتيب المخططات، أو حتى حجم الخط أو لون الرسوم البيانية.

  • التقط أي تفاعل مثل التنقل لأسفل والتصفية وغيرها التي تحتاج إلى نقلها إلى مصنفات Azure.

  • تحديد المعلمات المطلوبة أو مدخلات المستخدم. في معظم الحالات، تحتاج إلى تحديد معلمات للمستخدمين لإجراء البحث أو التصفية أو تحديد نطاق النتائج (على سبيل المثال، نطاق التاريخ واسم الحساب وغيرها). ومن ثم، من الضروري التقاط التفاصيل حول المعلمات. فيما يلي بعض متطلبات المعلمة الرئيسية التي يجب جمعها:

    • نوع المعامل الذي يقوم به المستخدمون لإجراء الاختيار أو الإدخال؛ على سبيل المثال، نطاق تاريخي، أو نص، أو غيرها.
    • كيفية تمثيل المعلمات، مثل القائمة المنسدلة أو مربع النص أو غيرها.
    • صيغة القيمة المتوقعة؛ على سبيل المثال، الزمن، الوتر، الأعداد الصحيحة، أو غيرها.
    • تسمح الخصائص الأخرى، مثل القيمة الافتراضية، بتحديد متعدد أو رؤية شرطية أو غيرها.

تحويل لوحات المعلومات

لتحويل لوحة المعلومات، أكمل المهام التالية في Azure المصنفات Microsoft Sentinel.

1. تحديد مصادر البيانات

Azure المصنفات متوافقة مع عدد كبير من مصادر البيانات. لمزيد من المعلومات، راجع Azure مصادر بيانات المصنفات. في معظم الحالات، استخدم مصدر بيانات سجلات Azure Monitor واستعلامات Kusto Query Language (KQL) لتصور السجلات الأساسية في مساحة عمل Microsoft Sentinel.

2. إنشاء استعلامات KQL أو مراجعتها

لإنشاء استعلاماتك أو مراجعتها، يمكنك العمل بشكل أساسي مع KQL لتصور بياناتك. يمكنك إنشاء استعلاماتك واختبارها في Microsoft Sentinel قبل تحويلها إلى مصنفات Azure. لاختبار الاستعلامات من Microsoft Sentinel في مدخل Azure، انتقل إلى السجلات. من Microsoft Sentinel في مدخل Defender، انتقل إلى التحقيق & استجابة>التتبع>المتقدم.

قبل إنهاء استعلامات KQL، راجع الاستعلامات وضبطها دائما لتحسين أداء الاستعلام. الاستعلامات المحسنة:

  • تشغيل أسرع، وتقليل المدة الإجمالية لتنفيذ الاستعلام.
  • لديك فرصة أصغر للتقييد أو الرفض.

لمزيد من المعلومات، راجع الموارد التالية:

3. إنشاء المصنف أو تحديثه

أنشئ دفتر عمل، حدث الدفتر، أو قم باستنساخ دفتر عمل موجود حتى لا تضطر للبدء من الصفر. أيضا، حدد كيفية تمثيل البيانات أو المرئيات وترتيبها وتجميعها. هناك تصميمان شائعان:

  • مصنف عمودي
  • مصنف مبوب

لمزيد من المعلومات، راجع المقالات التالية:

4. إنشاء معلمات المصنف أو مدخلات المستخدم أو تحديثها

بعد تعريف بنية المصنف، يجب أن تكون قد حددت المعلمات المطلوبة لمصنفك. باستخدام المعلمات، يمكنك جمع الإدخال من المستهلكين والإشارة إلى الإدخال في أجزاء أخرى من المصنف. يستخدم هذا الإدخال عادة لتحديد نطاق مجموعة النتائج، لتعيين المرئيات الصحيحة، ويسمح لك بإنشاء تقارير وتجارب تفاعلية.

تسمح لك المصنفات بالتحكم في كيفية تقديم عناصر تحكم المعلمات للمستهلكين. على سبيل المثال، تختار ما إذا كانت عناصر التحكم تعرض كمربع نص مقابل منسدلة، أو اختيار فردي مقابل متعدد الاختيارات. يمكنك أيضا تحديد القيم التي يجب استخدامها، من النص أو JSON أو KQL أو Azure Resource Graph والمزيد.

راجع معلمات المصنف المدعومة. يمكنك الرجوع إلى قيم هذه المعلمات في أجزاء أخرى من نفس الكتاب باستخدام الروابط أو توسعات القيم.

5. إنشاء المرئيات أو تحديثها

توفر المصنفات مجموعة غنية من الإمكانات لتصور بياناتك. راجع الأمثلة التفصيلية التالية لكل نوع مرئي.

6. معاينة المصنف وحفظه

بعد حفظ دفتر العمل، حدد المعلمات وتحقق من النتائج. يمكنك أيضا تجربة التحديث التلقائي لبيانات المصنف أو ميزة الطباعة لطباعة مصنف أو حفظه بتنسيق PDF.

الخطوة التالية

تحديث عمليات SOC

  • Last updated on