مراقبة بنيات أمان ثقة معدومة (TIC 3.0) باستخدام Microsoft Sentinel

ثقة معدومة هي استراتيجية أمنية لتصميم وتنفيذ المجموعات التالية من مبادئ الأمان:

التحقق بشكل صريح	استخدام الوصول الأقل امتيازا	افتراض الخرق
المصادقة والتخويل دائما استنادا إلى جميع نقاط البيانات المتوفرة.	تقييد وصول المستخدم باستخدام Just-In-Time و Just-Enough-Access (JIT/JEA)، والنهج التكيفية المستندة إلى المخاطر، وحماية البيانات.	تقليل نصف قطر الانفجار والوصول إلى المقطع. تحقق من التشفير الشامل واستخدم التحليلات للحصول على الرؤية، ودفع الكشف عن التهديدات، وتحسين الدفاعات.

توضح هذه المقالة كيفية استخدام حل Microsoft Sentinel ثقة معدومة (TIC 3.0)، والذي يساعد فرق الحوكمة والتوافق على مراقبة متطلبات ثقة معدومة والاستجابة لها وفقا لمبادرة TRUSTED INTERNET CONNECTIONS (TIC) 3.0.

Microsoft Sentinel الحلول هي مجموعات من المحتوى المجمع، تم تكوينه مسبقا لمجموعة محددة من البيانات. يتضمن حل ثقة معدومة (TIC 3.0) مصنفا وقواعد تحليلات ودليل مبادئ، والذي يوفر تصورا تلقائيا لمبادئ ثقة معدومة، يتم توجيهه عبر إطار عمل Trust Internet Connections، مما يساعد المؤسسات على مراقبة التكوينات بمرور الوقت.

ملاحظة

احصل على عرض شامل لحالة ثقة معدومة لمؤسستك مع مبادرة ثقة معدومة في إدارة التعرض ل Microsoft. لمزيد من المعلومات، راجع تحديث وضع الأمان بسرعة ثقة معدومة | Microsoft Learn.

الحل ثقة معدومة وإطار عمل TIC 3.0

ثقة معدومة وTIC 3.0 ليسا متشابهين، ولكنهما يشتركان في العديد من الموضوعات الشائعة ويوفران معا قصة مشتركة. يوفر الحل Microsoft Sentinel ثقة معدومة (TIC 3.0) ممرات تقاطع مفصلة بين Microsoft Sentinel والنموذج ثقة معدومة مع إطار عمل TIC 3.0. تساعد هذه الممرات المستخدمين على فهم أفضل لتداخلات نموذج ثقة معدومة وإطار عمل TIC 3.0.

بينما يوفر الحل Microsoft Sentinel ثقة معدومة (TIC 3.0) إرشادات أفضل الممارسات، فإن Microsoft لا تضمن ولا تعني التوافق. تخضع جميع متطلبات الاتصال الموثوق به بالإنترنت (TIC) والتحقق من الصحة وعناصر التحكم من قبل وكالة أمان البنية التحتية & عبر الإنترنت.

يوفر حل ثقة معدومة (TIC 3.0) الرؤية والوعي بالمواقف لمتطلبات التحكم المقدمة باستخدام تقنيات Microsoft في البيئات المستندة إلى السحابة في الغالب. تجربة العميل ستختلف حسب المستخدم، وقد تتطلب بعض النوافذ تكوينات إضافية وتعديلات في الاستعلامات للتشغيل.

لا تتضمن التوصيات تغطية عناصر التحكم المعنية، لأنها غالبا ما تكون واحدة من العديد من مسارات العمل للاقتراب من المتطلبات، وهو أمر فريد لكل عميل. وينبغي اعتبار التوصيات نقطة بداية للتخطيط للتغطية الكاملة أو الجزئية لمتطلبات الرقابة المعنية.

الحل Microsoft Sentinel ثقة معدومة (TIC 3.0) مفيد لأي من المستخدمين التاليين وحالات الاستخدام:

• محترفو الحوكمة الأمنية والمخاطر والتوافق لتقييم وضع التوافق وإعداد التقارير
• المهندسون والمهندسون المعماريون، الذين يحتاجون إلى تصميم أحمال عمل متوافقة مع ثقة معدومة وTIC 3.0
• محللو الأمان، لبناء التنبيه والأتمتة
• موفرو خدمات الأمان المدارة (MSSPs) للخدمات الاستشارية
• مديرو الأمان، الذين يحتاجون إلى مراجعة المتطلبات، وتحليل التقارير، وتقييم القدرات

المتطلبات الأساسية

قبل تثبيت حل ثقة معدومة (TIC 3.0)، تأكد من أن لديك المتطلبات الأساسية التالية:

• خدمات Microsoft المضمنة: تأكد من تمكين كل من Microsoft Sentinel Microsoft Defender للسحابة في اشتراكك في Azure.

• Microsoft Defender لمتطلبات السحابة: في Microsoft Defender للسحابة:

  • أضف المعايير التنظيمية المطلوبة إلى لوحة المعلومات الخاصة بك. تأكد من إضافة كل من معيار أمان Microsoft Cloudوتقييمات NIST SP 800-53 R5 إلى Microsoft Defender للوحة معلومات السحابة. لمزيد من المعلومات، راجع إضافة معيار تنظيمي إلى لوحة المعلومات في وثائق Microsoft Defender for Cloud.

  • تصدير Microsoft Defender لبيانات السحابة باستمرار إلى مساحة عمل Log Analytics. لمزيد من المعلومات، راجع تصدير Microsoft Defender لبيانات السحابة باستمرار.

• أذونات المستخدم المطلوبة: لتثبيت حل ثقة معدومة (TIC 3.0)، يجب أن يكون لديك وصول إلى مساحة عمل Microsoft Sentinel الخاصة بك مع صلاحيات Security Reader.

يتم أيضا تحسين حل ثقة معدومة (TIC 3.0) من خلال عمليات التكامل مع خدمات Microsoft الأخرى، مثل:

• Microsoft Defender XDR
• Microsoft حماية البيانات
• Microsoft Entra ID
• Microsoft Defender للسحابة
• مشكلات الأداء في Microsoft Defender لنقطة النهاية
• Microsoft Defender للهوية
• Microsoft Defender for Cloud Apps
• Microsoft Defender لـ Office 365

تثبيت حل ثقة معدومة (TIC 3.0)

لنشر حل ثقة معدومة (TIC 3.0) من بوابة Azure:

1. في Microsoft Sentinel، حدد مركز المحتوى وحدد موقع حل ثقة معدومة (TIC 3.0).

2. في أسفل اليمين، اختر عرض التفاصيل، ثم اختر الإنشاء. حدد الاشتراك ومجموعة الموارد ومساحة العمل حيث تريد تثبيت الحل، ثم راجع محتوى الأمان ذي الصلة الذي سيتم نشره.

   عند الانتهاء، حدد Review + Create لتثبيت الحل.

لمزيد من المعلومات حول نشر حلول Microsoft Sentinel، راجع نشر المحتوى والحلول الجاهزة.

سيناريو استخدام العينة

يوضح هذا السيناريو كيف يمكن لمحلل عمليات الأمن استخدام الموارد الموزعة في حل Zero Trust (TIC 3.0)لعرض بيانات ثقة معدومة، وتكوين تنبيهات ثقة معدومة، والرد باستخدام SOAR.

بعد تثبيت حل ثقة معدومة (TIC 3.0)، استخدم دفتر العمل، وقواعد التحليلات، ودليل التشغيل المنشور في مساحة Microsoft Sentinel لإدارة ثقة معدومة في شبكتك.

تصور بيانات ثقة معدومة

استخدم كتاب العمل ثقة معدومة (TIC 3.0) لعرض بيانات ثقة معدومة واستكشاف الاستعلامات:

1. انتقل إلى مصنفات> Microsoft Sentinel ثقة معدومة (TIC 3.0)، وحدد عرض المصنف المحفوظ.

   في صفحة مصنف ثقة معدومة (TIC 3.0)، حدد إمكانات TIC 3.0 التي تريد عرضها. لهذا الإجراء، حدد Intrusion Detection.

   تلميح

   استخدم مفتاح التبديل Guide في أعلى الصفحة لعرض التوصيات وأجزاء الدليل أو إخفائها. تأكد من تحديد التفاصيل الصحيحة في خيارات الاشتراكومساحة العمل و TimeRange بحيث يمكنك عرض البيانات المحددة التي تريد البحث عنها.

2. حدد بطاقات التحكم التي تريد عرضها. لهذا الإجراء، اختر Adaptive Access Control، ثم استمر في التمرير لعرض البطاقة المعروضة.

   

   تلميح

   استخدم مفتاح التبديل Guides في أعلى اليسار لعرض التوصيات وأجزاء الدليل أو إخفائها. على سبيل المثال، قد تكون هذه مفيدة عند الوصول إلى دفتر العمل لأول مرة، لكنها غير ضرورية بمجرد فهمك للمفاهيم ذات الصلة.

3. استكشاف الاستعلامات. على سبيل المثال، في الجزء العلوي الأيسر من بطاقة التحكم في الوصول التكيفي ، حدد القائمة خيارات النقاط الثلاث، ثم حدد فتح استعلام التشغيل الأخير في طريقة عرض السجلات.

   يفتح الاستعلام في صفحة سجلات Microsoft Sentinel:

   

تكوين التنبيهات المتعلقة ثقة معدومة

في Microsoft Sentinel، انتقل إلى منطقة التحليلات. عرض قواعد التحليلات الجاهزة المنشورة باستخدام حل ثقة معدومة (TIC 3.0) عن طريق البحث عن TIC3.0.

بشكل افتراضي، يقوم حل ثقة معدومة (TIC 3.0) بتثبيت مجموعة من قواعد التحليلات التي تم تكوينها لمراقبة وضع ثقة معدومة (TIC3.0) بواسطة عائلة التحكم، ويمكنك تخصيص الحدود لتنبيه فرق التوافق إلى التغييرات في الوضع.

على سبيل المثال، إذا كان وضع مرونة حمل العمل أقل من نسبة مئوية محددة في أسبوع، Microsoft Sentinel ستنشئ تنبيها لتفاصيل حالة النهج المعنية (تمرير/فشل)، والأصول المحددة، وآخر وقت تقييم، وتوفير ارتباطات عميقة إلى Microsoft Defender for Cloud لإجراءات المعالجة.

تحديث القواعد حسب الحاجة أو تكوين قواعد جديدة:

لمزيد من المعلومات، راجع إنشاء قواعد تحليلات مخصصة للكشف عن التهديدات.

الاستجابة باستخدام SOAR

في Microsoft Sentinel، انتقل إلى علامة التبويب Automation>Active playbooks، وحدد موقع دليل المبادئ Notify-GovernanceComplianceTeam.

استخدم دليل المبادئ هذا لمراقبة تنبيهات CMMC تلقائيا، وإخطار فريق توافق الحوكمة بالتفاصيل ذات الصلة عبر كل من رسائل البريد الإلكتروني ورسائل Microsoft Teams. تعديل دليل المبادئ حسب الحاجة:

لمزيد من المعلومات، راجع استخدام المشغلات والإجراءات في أدلة المبادئ Microsoft Sentinel.

الأسئلة الشائعة

تتناول الأسئلة التالية السيناريوهات والمتطلبات الشائعة لحل ثقة معدومة (TIC 3.0).

هل طرق العرض والتقارير المخصصة مدعومة؟

نعم. يمكنك تخصيص مصنف ثقة معدومة (TIC 3.0) لعرض البيانات حسب الاشتراك أو مساحة العمل أو الوقت أو التحكم في العائلة أو معلمات مستوى الاستحقاق، ويمكنك تصدير المصنف وطباعته.

لمزيد من المعلومات، راجع استخدام مصنفات Azure Monitor لتصور بياناتك ومراقبتها.

هل المنتجات الإضافية مطلوبة؟

كل من Microsoft Sentinel و Microsoft Defender for Cloud هما متطلبان أساسيان لهذا الحل. للتفاصيل، راجع قسم المتطلبات المسبقة .

وبصرف النظر عن هذه الخدمات، تستند كل بطاقة تحكم إلى بيانات من خدمات متعددة، اعتمادا على أنواع البيانات والمرئيات التي تظهر في البطاقة. توفر أكثر من 25 خدمة من خدمات Microsoft الإثراء لحل ثقة معدومة (TIC 3.0).

ماذا يجب أن أفعل بلوحات بدون بيانات؟

توفر اللوحات التي لا تحتوي على بيانات نقطة بداية لمعالجة متطلبات التحكم ثقة معدومة وTIC 3.0، بما في ذلك توصيات لمعالجة عناصر التحكم المعنية.

هل الاشتراكات والسحب والمستأجرون متعددون مدعومون؟

نعم. يمكنك استخدام معلمات المصنف Azure Lighthouse Azure Arc للاستفادة من حل ثقة معدومة (TIC 3.0) عبر جميع اشتراكاتك وسحبك ومستأجريك.

لمزيد من المعلومات، راجع استخدام مصنفات Azure Monitor لتصور بياناتك ومراقبتهاوإدارة مستأجرين متعددين في Microsoft Sentinel ك MSSP.

هل تكامل الشريك مدعوم؟

نعم. كل من المصنفات وقواعد التحليلات قابلة للتخصيص للتكامل مع خدمات الشركاء.

لمزيد من المعلومات، راجع استخدام مصنفات Azure Monitor لتصور بياناتك وتفاصيلالأحداث المخصصة لجهاز Surface ومراقبتها في التنبيهات.

هل هذا متوفر في المناطق الحكومية؟

نعم. حل ثقة معدومة (TIC 3.0) موجود في المعاينة العامة ويمكن توزيعه في المناطق التجارية/الحكومية. لمزيد من المعلومات، راجع توفر ميزة السحابة للعملاء التجاريين وحكومة الولايات المتحدة.

ما هي الأذونات المطلوبة لاستخدام هذا المحتوى؟

الأدوار التالية في Microsoft Sentinel تحدد ما يمكن للمستخدمين فعله بهذا المحتوى:

• Microsoft Sentinel يمكن للمستخدمين المساهمين إنشاء المصنفات وقواعد التحليلات وموارد Microsoft Sentinel الأخرى وتحريرها.

• يمكن لمستخدمي Microsoft Sentinel Reader عرض البيانات والحوادث والمصنفات وموارد Microsoft Sentinel الأخرى.

لمزيد من المعلومات، راجع الأذونات في Microsoft Sentinel.

المحتوى ذو الصلة

• بدء استخدام Microsoft Sentinel
• تصور بياناتك ومراقبتها باستخدام المصنفات
• نموذج Microsoft ثقة معدومة
• مركز توزيع ثقة معدومة
• العرض التوضيحي: حل Microsoft Sentinel ثقة معدومة (TIC 3.0)
• Microsoft Sentinel: عرض توضيحي لمصنف ثقة معدومة (TIC 3.0)
• الإعلان عن Microsoft Sentinel: حل ثقة معدومة (TIC3.0)
• بناء ومراقبة أحمال عمل ثقة معدومة (TIC 3.0) لأنظمة المعلومات الفيدرالية مع Microsoft Sentinel
• ثقة معدومة: 7 استراتيجيات اعتماد من قادة الأمن
• تنفيذ ثقة معدومة باستخدام Microsoft Azure: إدارة الهوية والوصول (سلسلة الأجزاء 6)