Hromadné přidávání indikátorů do analýzy hrozeb v Microsoft Sentinelu ze souboru CSV nebo JSON
V tomto průvodci postupy přidáte do analýzy hrozeb Microsoft Sentinel indikátory ze souboru CSV nebo JSON. Během probíhajícího vyšetřování stále probíhá sdílení analýzy hrozeb mezi e-maily a dalšími neformálními kanály. Možnost importovat ukazatele přímo do analýzy hrozeb v Microsoft Sentinelu umožňuje rychle socializovat vznikající hrozby pro váš tým a zpřístupnit je dalším analýzám, jako je vytváření výstrah zabezpečení, incidentů a automatizovaných reakcí.
Důležité
Tato funkce je aktuálně ve verzi PREVIEW. Další právní podmínky týkající se funkcí Azure, které jsou v beta verzi, preview nebo jinak ještě nejsou vydané v obecné dostupnosti, najdete v dodatečných podmínkách použití pro Microsoft Azure Preview.
Microsoft Sentinel je teď obecně dostupný na portálu Microsoft Defenderu na sjednocené platformě operací zabezpečení Microsoftu. Další informace najdete v tématu Microsoft Sentinel na portálu Microsoft Defender.
Požadavky
- Abyste mohli ukládat indikátory hrozeb, musíte mít oprávnění ke čtení a zápisu do pracovního prostoru Microsoft Sentinelu.
Výběr šablony importu pro indikátory
Přidejte do analýzy hrozeb několik indikátorů pomocí speciálně vytvořeného souboru CSV nebo JSON. Stáhněte si šablony souborů, abyste se seznámili s poli a jejich mapováním na data, která máte. Před importem zkontrolujte požadovaná pole pro každý typ šablony a ověřte svá data.
Pro Microsoft Sentinel na webu Azure Portal v části Správa hrozeb vyberte Analýzu hrozeb.
Pro Microsoft Sentinel na portálu Defender vyberte analýzu hrozeb pro správu>hrozeb v Microsoft Sentinelu>.Vyberte Importovat>pomocí souboru.
V rozevírací nabídce Formát souboru zvolte CSV nebo JSON.
Po výběru šablony hromadného nahrání vyberte odkaz Stáhnout šablonu.
Zvažte seskupení indikátorů podle zdroje, protože každý nahrání souboru vyžaduje jeden.
Šablony obsahují všechna pole, která potřebujete k vytvoření jednoho platného indikátoru, včetně požadovaných polí a ověřovacích parametrů. Replikujte danou strukturu, aby se do jednoho souboru naplnily další indikátory. Další informace o šablonách najdete v tématu Vysvětlení šablon importu.
Nahrání souboru indikátoru
Změňte název souboru z výchozí šablony, ale příponu souboru ponechte jako .csv nebo .json. Při vytváření jedinečného názvu souboru je jednodušší monitorovat importy z podokna Spravovat importy souborů.
Přetáhněte soubor indikátorů do oddílu Nahrát soubor nebo vyhledejte soubor pomocí odkazu.
Do textového pole Zdroj zadejte zdroj indikátorů. Tato hodnota se označí u všech indikátorů zahrnutých v tomto souboru. Zobrazit tuto vlastnost jako
SourceSystem
pole. Zdroj se zobrazí také v podokně Spravovat import souborů. Další informace najdete v tématu Práce s indikátory hrozeb.Vyberte, jak má Microsoft Sentinel zpracovávat neplatné položky indikátoru, a to výběrem některého z přepínačů v dolní části podokna Import pomocí podokna souborů .
- Importujte pouze platné indikátory a ponechte z souboru všechny neplatné indikátory.
- Pokud je jeden indikátor v souboru neplatný, neimportujte žádné indikátory.
Vyberte tlačítko Importovat.
Správa importů souborů
Monitorujte importy a zobrazte chybové zprávy pro částečně importované nebo neúspěšné importy.
Vyberte Importovat>importy souborů Spravovat.
Zkontrolujte stav importovanýchsouborůch Po zpracování souboru se aktualizuje platný počet indikátorů. Počkejte na dokončení importu a získejte aktualizovaný počet platných indikátorů.
Importy můžete zobrazit a seřadit výběrem možnosti Zdroj, název souboru ukazatele, číslo Importováno, Celkový počet indikátorů v každém souboru nebo Datum vytvoření.
Vyberte náhled chybového souboru nebo stáhněte soubor chyby obsahující chyby týkající se neplatných indikátorů.
Microsoft Sentinel udržuje stav importu souboru po dobu 30 dnů. Skutečný soubor a přidružený chybový soubor se uchovávají v systému po dobu 24 hodin. Po 24 hodinách se soubor a soubor chyby odstraní, ale všechny ingestované indikátory se budou dál zobrazovat ve funkci Analýza hrozeb.
Vysvětlení šablon importu
Zkontrolujte jednotlivé šablony a ujistěte se, že se indikátory úspěšně naimportují. Nezapomeňte odkazovat na pokyny v souboru šablony a následující doplňkové pokyny.
Struktura šablon CSV
Při výběru souboru CSV vyberte mezi indikátory souborů nebo možnostmi Všechny ostatní typy indikátorů z rozevírací nabídky Typ ukazatele.
Šablona CSV potřebuje k přizpůsobení typu indikátoru souboru více sloupců, protože indikátory souborů můžou mít více typů hash, jako je MD5, SHA256 a další. Všechny ostatní typy indikátorů, jako jsou IP adresy, vyžadují pouze pozorovatelný typ a pozorovatelnou hodnotu.
Záhlaví sloupců pro sdílený svazek clusteru Všechny ostatní typy ukazatelů obsahují pole, jako
threatTypes
je například , jeden nebo vícetags
confidence
, atlpLevel
. TLP (Traffic Light Protocol) je označení citlivosti, které pomáhá při rozhodování o sdílení analýzy hrozeb.Jsou vyžadovány
validFrom
observableType
pouze pole aobservableValue
pole.Před odesláním odstraňte celý první řádek ze šablony a odeberte komentáře.
Mějte na paměti, že maximální velikost souboru pro import souboru CSV je 50 MB.
Tady je příklad indikátoru názvu domény pomocí šablony CSV.
threatTypes,tags,name,description,confidence,revoked,validFrom,validUntil,tlpLevel,severity,observableType,observableValue
Phishing,"demo, csv",MDTI article - Franken-Phish domainname,Entity appears in MDTI article Franken-phish,100,,2022-07-18T12:00:00.000Z,,white,5,domain-name,1776769042.tailspintoys.com
Struktura šablony JSON
Pro všechny typy indikátorů existuje jenom jedna šablona JSON. Šablona JSON je založená na formátu STIX 2.1.
Element
pattern
podporuje typy indikátorů: file, ipv4-addr, ipv6-addr, domain-name, url, user-account, email-addr a windows-registry-key types.Před nahráním odeberte komentáře šablony.
Zavřete poslední indikátor v poli pomocí
}
čárky bez čárky.Mějte na paměti, že maximální velikost souboru pro import souboru JSON je 250 MB.
Tady je příklad indikátoru ipv4-addr pomocí šablony JSON.
[
{
"type": "indicator",
"id": "indicator--dbc48d87-b5e9-4380-85ae-e1184abf5ff4",
"spec_version": "2.1",
"pattern": "[ipv4-addr:value = '198.168.100.5']",
"pattern_type": "stix",
"created": "2022-07-27T12:00:00.000Z",
"modified": "2022-07-27T12:00:00.000Z",
"valid_from": "2016-07-20T12:00:00.000Z",
"name": "Sample IPv4 indicator",
"description": "This indicator implements an observation expression.",
"indicator_types": [
"anonymization",
"malicious-activity"
],
"kill_chain_phases": [
{
"kill_chain_name": "mandiant-attack-lifecycle-model",
"phase_name": "establish-foothold"
}
],
"labels": ["proxy","demo"],
"confidence": "95",
"lang": "",
"external_references": [],
"object_marking_refs": [],
"granular_markings": []
}
]
Související obsah
V tomto článku se dozvíte, jak ručně posílit analýzu hrozeb importem indikátorů shromážděných v plochých souborech. Podívejte se na tyto odkazy a zjistěte, jak indikátory používají další analýzy v Microsoft Sentinelu.