Qualifikationsschulung für Microsoft Sentinel

  • Artikel

In diesem Artikel absolvieren Sie eine Level-400-Schulung, durch die Sie weitere Fertigkeiten in Microsoft Sentinel erwerben. Die Schulung umfasst 21 Module zum Selbststudium, die relevante Produktdokumentation, Blogbeiträge und andere Ressourcen enthalten.

Die nachstehend aufgeführten Module sind in fünf Teile unterteilt, die dem Lebenszyklus eines Security Operation Center (SOC) folgen:

Teil 1: Übersicht

Teil 2: Architektur und Bereitstellung

Teil 3: Erstellen von Inhalten

Teil 4: Betrieb

Teil 5: Erweitert

Teil 1: Übersicht

Modul 0: Weitere Lern- und Supportoptionen

Diese Qualifikationsschulung ist eine Level-400-Schulung, die auf der Microsoft Sentinel Ninja-Schulung basiert. Wenn Sie nicht so tief gehen möchten oder ein bestimmtes Problem haben, sind andere Ressourcen u. U. besser geeignet:

Modul 1: Erste Schritte mit Microsoft Sentinel

Microsoft Sentinel ist eine skalierbare, cloudnative Lösung für Security Information & Event Management (SIEM) und die Sicherheitsorchestrierung mit automatisierter Reaktion (Security Orchestration Automated Response, SOAR). Microsoft Sentinel bietet intelligente Sicherheitsanalysen und Threat Intelligence für das gesamte Unternehmen. Der Dienst bietet eine einzige Lösung für die Warnungserkennung, die Sichtbarkeit von Bedrohungen, proaktives Hunting und die Reaktion auf Bedrohungen. Weitere Informationen finden Sie unter Informationen zu Microsoft Sentinel.

Wenn Sie eine erste Übersicht über die technischen Funktionen von Microsoft Sentinel erhalten möchten, ist die neueste Ignite-Präsentation ein guter Ausgangspunkt. Möglicherweise finden Sie auch das Schnellstarthandbuch für Microsoft Sentinel hilfreich (Registrierung erforderlich).

In diesem Microsoft Sentinel-Webinar finden Sie eine ausführlichere Übersicht: YouTube, MP4 oder Präsentation.

Und schließlich: Möchten Sie es selbst ausprobieren? Der Microsoft Sentinel All-In-One Accelerator (Blog, YouTube, MP4 oder Präsentation) bietet Ihnen eine einfache Möglichkeit für die ersten Schritte. Um zu erfahren, wie Sie selber beginnen, lesen Sie die Onboarding-Dokumentation oder sehen Sie sich das Sentinel-Einrichtungs- und Konfigurationsvideo von Insight an.

Lernen von anderen Benutzern

Tausende von Organisationen und Dienstanbietern nutzen Microsoft Sentinel. Wie bei Sicherheitsprodukten üblich, gehen die meisten von ihnen damit nicht an die Öffentlichkeit. Dennoch gibt es einige, die es getan haben:

Lernen von Analysten

Modul 2: Wie wird Microsoft Sentinel verwendet?

Viele Benutzer verwenden Microsoft Sentinel als primäre SIEM-Lösung. Dieser Anwendungsfall ist in den meisten Modulen in diesem Kurs enthalten. In diesem Modul stellen wir Ihnen einige zusätzliche Möglichkeiten vor, wie Sie Microsoft Sentinel nutzen können.

Als Teil des Microsoft Security-Angebots

Verwenden Sie Microsoft Sentinel, Microsoft Defender for Cloud und Microsoft Defender XDR zusammen, um Ihre Microsoft-Workloads zu schützen, einschließlich Windows, Azure und Office:

So überwachen Sie Ihre Multi-Cloud-Workloads

Die Cloud ist (noch) neu und wird oftmals nicht so umfassend überwacht wie lokale Workloads. Lesen Sie diese Präsentation, um zu erfahren, wie Microsoft Sentinel Sie dabei unterstützen kann, die Überwachungslücke in Ihren Clouds zu schließen.

Seite an Seite mit Ihrer vorhandenen SIEM-Lösung

Wenn Sie Microsoft Sentinel für Ihre Cloud-Workloads verwenden, können Sie Microsoft Sentinel entweder für einen Übergangszeitraum oder längerfristig gemeinsam mit Ihrer vorhandenen SIEM-Lösung nutzen. Sie können auch beide mit einem Ticketsystem wie Service Now verwenden.

Weitere Informationen zum Migrieren von einer anderen SIEM-Lösung zu Microsoft Sentinel finden Sie im Migrations-Webinar: YouTube, MP4 oder Präsentation.

Es gibt drei gängige Szenarien für die parallele Bereitstellung:

Sie können die Warnungen von Microsoft Sentinel mithilfe der Graph-Sicherheits-API auch an Ihre Drittanbieterlösung oder Ihr Ticketsystem senden. Dieser Ansatz ist einfacher, aber er aktiviert nicht das Senden anderer Daten.

Für MSSPs

Da es die Einrichtungskosten eliminiert und standortagnostisch ist, ist Microsoft Sentinel eine beliebte Wahl für die Bereitstellung von Siem as a Service. Sie finden eine Liste von mitgliederverwalteten MISA (Microsoft Intelligent Security Association)-Sicherheitsdienstanbietern (MSSPs), die Microsoft Sentinel verwenden. Viele andere MSSPs, insbesondere regionale und kleinere, verwenden Microsoft Sentinel, sind jedoch keine MISA-Mitglieder.

Am Anfang Ihrer Reise als MSSP sollten Sie die technischen Playbooks von Microsoft Sentinel für MSSPs lesen. Weitere Informationen zur MSSP-Unterstützung sind im nächsten Modul zur Cloudarchitektur und zum mehrinstanzenfähigen Support enthalten.

Teil 2: Architektur und Bereitstellung

Auch wenn „Teil 1: Übersicht“ Möglichkeiten bietet, Microsoft Sentinel in wenigen Minuten zu verwenden, ist es wichtig, einen Plan zu erstellen, bevor Sie eine Produktionsbereitstellung starten.

Dieser Abschnitt führt Sie durch die Bereiche, die Sie beim Einrichten Ihrer Lösung berücksichtigen müssen; er enthält Richtlinien zum Implementieren Ihres Designs:

  • Arbeitsbereich- und Mandantenarchitektur
  • Datensammlung
  • Protokollverwaltung
  • Threat Intelligence-Erwerb

Modul 3: Arbeitsbereich- und Mandantenarchitektur

Eine Microsoft Sentinel-Instanz wird als Arbeitsbereich bezeichnet. Der Arbeitsbereich ist identisch mit einem Log Analytics-Arbeitsbereich und unterstützt alle Log Analytics-Funktionen. Stellen Sie sich Sentinel als eine Lösung vor, die einem Log Analytics-Arbeitsbereich SIEM-Features hinzufügt.

Oft sind mehrere Arbeitsbereiche erforderlich, die als einzelnes Microsoft Sentinel-System zusammenarbeiten können. Ein spezieller Anwendungsfall stellt Dienste mithilfe von Microsoft Sentinel bereit, z. B. von einem MSSP (Managed Security Service Provider) oder von einem globalen SOC in einer großen Organisation.

Wenn Sie mehr über die Verwendung mehrerer Arbeitsbereiche in einem Microsoft Sentinel-System erfahren möchten, lesen Sie Erweitern von Microsoft Sentinel über Arbeitsbereiche und Mandanten hinweg, oder sehen Sie sich das Webinar an: MP4, YouTube oder Präsentation.

Wenn Sie mehrere Arbeitsbereiche verwenden, sollten Sie folgendes berücksichtigen:

Das Technische Playbook von Microsoft Sentinel für MSSPs enthält detaillierte Richtlinien für viele dieser Themen und ist auch für große Organisationen nützlich und nicht nur für MSSPs.

Modul 4: Datensammlung

Die Grundlage eines SIEM besteht darin, Telemetriedaten zu sammeln: Informationen zu Ereignisse, Warnungen und kontextbezogenen Anreicherungen wie Threat Intelligence, Sicherheitsrisikodaten und Ressourceninformationen. Nachfolgend finden Sie eine Liste der Quellen, auf die Sie sich beziehen können:

  • Lesen Sie Microsoft Sentinel-Datenconnectors
  • Gehen Sie zu Suchen Ihres Microsoft Sentinel-Datenconnectors zum Anzeigen aller unterstützten und sofort einsatzbereiten Datenconnectors. Sie finden Links zu generischen Bereitstellungsverfahren und zusätzliche Schritte, die für bestimmte Connector erforderlich sind.
  • Datensammlungsszenarien: Erfahren Sie mehr über Sammlungsmethoden wie Logstash/CEF/WEF. Andere häufige Szenarien sind Einschränkungen für Berechtigungen für Tabellen, Protokollfilterung, Sammeln von Protokollen von Amazon Web Services (AWS) oder Google Cloud Platform (GCP), Microsoft 365 Raw-Protokolle usw. Alle finden Sie im Webinar „Datensammlungsszenarien“: YouTube, MP4 oder Präsentation.

Die erste Information, die zu jedem Connector angezeigt wird, ist die Datenerfassungsmethode. Die dort angezeigte Methode enthält einen Link zu einem der folgenden generischen Bereitstellungsverfahren, die die meisten Informationen enthalten, die Sie benötigen, um Ihre Datenquellen mit Microsoft Sentinel zu verbinden:

Datenerfassungsmethode Zugehöriger Artikel
Azure-Dienst-zu-Dienst-Integration Verbinden mit Azure-, Windows-, Microsoft- und Amazon-Diensten
Common Event Format (CEF) über Syslog Einlesen von CEF-formatierten Protokollen von Ihrem Gerät oder Ihrer Anwendung in Microsoft Sentinel
Microsoft Sentinel-Datensammler-API Verbinden Ihrer Datenquelle an die Microsoft Sentinel-Datensammler-API, um Daten zu erfassen
Azure Functions und die REST-API Verwenden Azure Functions, um Microsoft Sentinel mit Ihrer Datenquelle zu verbinden
syslog Sammeln von Daten aus Linux-basierten Quellen mithilfe von Syslog
Benutzerdefinierte Protokolle Sammeln von Daten in benutzerdefinierten Protokollformaten für Microsoft Sentinel mit dem Log Analytics-Agent

Wenn Ihre Quelle nicht verfügbar ist, können Sie einen benutzerdefinierten Connector erstellen. Benutzerdefinierte Connectors verwenden die Aufnahme-API und sind daher ähnlich wie direkte Quellen. Sie implementieren benutzerdefinierte Connectors am häufigsten mithilfe von Azure Logic Apps, was eine codelose Option bietet, oder Azure Functions.

Modul 5: Protokollverwaltung

Die erste Architekturentscheidung, die zu berücksichtigen ist, wenn Sie Microsoft Sentinel konfigurieren, ist, wie viele und welche Arbeitsbereiche verwendet werden sollen. Weitere architektonische Entscheidungen für die Verwaltung von Schlüsselprotokollen, die berücksichtigt werden sollen:

  • wo und wie lange Daten aufbewahrt werden sollten.
  • wie der Zugriff auf Daten am besten verwaltet wird und wie Daten gesichert werden sollten.

Erfassen, Archivieren, Suchen und Wiederherstellen von Daten in Microsoft Sentinel

Sehen Sie sich zu Beginn das Webinar Verwalten des Protokolllebenszyklus mit neuen Methoden zur Erfassung, Archivierung, Suche und Wiederherstellung an.

Diese Feature-Sammlung enthält Folgendes:

  • Grundlegende Erfassungsstufe: Eine neue Preisstufe für Azure Monitor-Protokolle, mit denen Sie Protokolle zu niedrigeren Kosten aufnehmen können. Diese Daten werden nur für insgesamt acht Tage in dem Arbeitsbereich aufbewahrt.
  • Archivebene: Azure Monitor Logs hat seine Aufbewahrungsfunktion von zwei Jahren auf sieben Jahre erweitert. Mit dieser neuen Ebene können Sie Daten für bis zu sieben Jahre in einem archivierten Zustand mit geringem Kosten aufbewahren.
  • Suchaufträge: Suchaufgaben, die in begrenzter KQL ausgeführt werden, um alle relevanten Protokolle zu finden zu zurückzugeben. Bei diesen Aufträgen werden Daten auf der gesamten Analyseebene, der Basisebene und in archivierten Daten gesucht.
  • Datenwiederherstellung: Ein neues Feature, mit dem Sie eine Datentabelle und einen Zeitbereich auswählen können, sodass Sie Daten für den Arbeitsbereich über eine Wiederherstellungstabelle wiederherstellen können.

Weitere Informationen zu diesen neuen Features finden Sie unter Erfassen, Archivieren, Suchen und Wiederherstellen von Daten in Microsoft Sentinel.

Alternative Aufbewahrungsoptionen außerhalb der Microsoft Sentinel-Plattform

Wenn Sie für mehr als zwei Jahre Daten aufbewahren möchten oder die Aufbewahrungskosten reduzieren möchten, überlegen Sie, den Azure Data Explorer für die Langzeitaufbewahrung von Microsoft Sentinel-Protokollen zu verwenden. Sehen Sie sich die Webinarfolien, die Webinaraufzeichnung oder den Blog an.

Möchten Sie ausführlichere Informationen? Sehen Sie sich das Webinar „Verbesserung der Breite und Abdeckung der Bedrohungssuche mit ADX-Support, weiteren Entitätstypen und aktualisierten MITRE-Integrationen“ an.

Wenn Sie eine andere langfristige Aufbewahrungslösung bevorzugen, exportieren Sie von einem Microsoft Sentinel- bzw. Log Analytics-Arbeitsbereich nach Azure Storage und Event Hubs oder verschieben Sie die Protokolle mithilfe von Azure Logic Apps in den Langzeitspeicher. Der Vorteil der Verwendung von Logic Apps ist, dass es historische Daten exportieren kann.

Schließlich können Sie mithilfe von Aufbewahrungseinstellungen auf Tabellenebene differenzierte Aufbewahrungsfristen festlegen. Weitere Informationen finden Sie unter Konfigurieren von Datenaufbewahrungs- und Archivrichtlinien in Azure Monitor-Protokollen (Vorschau).

Protokollsicherheit

Dedizierter Cluster

Verwenden Sie einen dedizierten Arbeitsbereichscluster, wenn Ihre voraussichtliche Datenerfassung etwa bei 500 GB pro Tag oder höher liegt. Mit einem dedizierten Cluster können Sie Ressourcen für Ihre Microsoft Sentinel-Daten schützen, wodurch eine bessere Abfrageleistung für große Datensätze ermöglicht wird.

Modul 6: Anreicherung: Bedrohungsintelligenz, Watchlists und mehr

Eine der wichtigen Funktionen eines SIEM besteht darin, kontextbezogene Informationen auf den Ereignisdatenstrom anzuwenden, um die Erkennung, die Warnungspriorisierung und die Vorfalluntersuchung zu ermöglichen. Kontextbezogene Informationen sind z. B. Threat Intelligence, IP Intelligence, Host- und Benutzerinformationen sowie Watchlists.

Microsoft Sentinel bietet umfassende Tools zum Importieren, Verwalten und Verwenden von Threat Intelligence. Für andere Arten kontextbezogener Informationen stellt Microsoft Sentinel Watchlists und andere alternative Lösungen bereit.

Bedrohungsanalyse

Threat Intelligence ist ein wichtiger Baustein eines SIEM. Sehen Sie sich das Webinar „Erkunden der Leistungsfähigkeit der Threat Intelligence in Microsoft Sentinel“ an.

In Microsoft Sentinel können Sie Bedrohungsinformationen mithilfe der integrierten Connectors von TAXII (Trusted Automated eXchange of Indicator Information) oder über die Microsoft Graph-Sicherheits-API integrieren. Weitere Informationen finden Sie unter Threat Intelligence-Integration in Azure Sentinel. Weitere Informationen zum Importieren von Threat Intelligence finden Sie in Modul 4: Datensammlung.

Sobald sie importiert wurde, wird die Threat Intelligence umfassend in Microsoft Sentinel verwendet. Bei den folgenden Features geht es in erster Linie um die Verwendung der Threat Intelligence:

Sehen Sie sich das Webinar „Automatisierung Ihrer Microsoft Sentinel Triage-Bemühungen mit RiskIQ Threat Intelligence“ an: YouTube oder Präsentation.

Sie haben wenig Zeit? Sehen Sie sich die Ignite-Sitzung (28 Minuten) an.

Möchten Sie ausführlichere Informationen? Sehen Sie sich das Webinar „Eingehende Behandlung von Threat Intelligence“ an: YouTube, MP4 oder Präsentation.

Watchlists und andere Lookup-Mechanismen

Um kontextbezogene Informationen jeglicher Art zu importieren und zu verwalten, stellt Microsoft Sentinel Watchlists bereit. Mithilfe von Watchlists können Sie Datentabellen im CSV-Format hochladen und in Ihren KQL-Abfragen verwenden. Weitere Informationen finden Sie unter Verwenden von Watchlists in Microsoft Sentinel oder indem Sie sich Webinar „Verwenden von Watchlists, um Warnungen zu verwalten, Warnungsmüdigkeit zu reduzieren und die SOC-Effizienz zu verbessern“ ansehen: YouTube oder Präsentation.

Verwenden Sie Watchlists zur Unterstützung in folgenden Szenarien:

  • Untersuchen von Bedrohungen und schnelles Reagieren auf Vorfälle durch den Import von IP-Adressen, Dateihashes und anderen Daten aus CSV-Dateien. Nach dem Importieren der Daten können Sie Name-Wert-Paare der Watchlist zum Verknüpfen und Filtern in Warnungsregeln, bei der Bedrohungssuche, in Arbeitsmappen, in Notebooks und für allgemeine Abfragen verwenden.

  • Importieren Sie Geschäftsdaten als Watchlist: Importieren Sie beispielsweise Listen von Benutzern mit privilegiertem Systemzugriff oder beendeten Mitarbeitern. Verwenden Sie dann die Watchlist, um Positivlisten und Sperrlisten zu erstellen, um diese Benutzer bei der Anmeldung beim Netzwerk zu erkennen oder sie daran zu hindern.

  • Reduzieren von Warnungsmüdigkeit: Erstellen Sie Positivlisten, um auf eine Gruppe von Benutzern bezogene Warnungen zu unterdrücken, z. B. Benutzer von autorisierten IP-Adressen, die Aufgaben ausführen, die normalerweise die Warnung auslösen würden. Verhindern Sie, dass unbedenkliche Ereignisse Warnungen auslösen.

  • Anreichern von Ereignisdaten: Verwenden Sie Watchlists, um Ihre Ereignisdaten mit Name-Wert-Kombinationen zu erweitern, die aus externen Datenquellen stammen.

Zusätzlich zu Watchlists können Sie auch den KQL-Operator external-data, benutzerdefinierte Protokolle und KQL-Funktionen verwenden, um Kontextinformationen zu verwalten und abzufragen. Jede der vier Methoden verfügt über ihre Vor- und Nachteile, und Sie können mehr über die Vergleiche zwischen ihnen im Blogbeitrag „Implementieren von Lookup-Vorgängen in Microsoft Sentinel“ lesen. Auch wenn jede Methode unterschiedlich ist, ist die Verwendung der resultierenden Informationen in Ihren Abfragen ähnlich und ermöglicht einen einfachen Wechsel zwischen ihnen.

Lesen Sie Nutzen von Watchlists zum Steigern der Effizienz während Microsoft Sentinel-Untersuchungen, um Ideen zur Verwendung von Watchlists außerhalb der Analyseregeln zu erhalten.

Sehen Sie sich das Webinar „Verwenden von Watchlists, um Warnungen zu verwalten, Warnungsmüdigkeit zu reduzieren und die SOC-Effizienz zu verbessern“ an: YouTube oder Präsentation.

Modul 7: Protokolltransformation

Microsoft Sentinel unterstützt zwei neue Features für die Datenerfassung und -transformation. Diese von Log Analytics bereitgestellten Features führen noch vor dem Speichern im Arbeitsbereich Aktionen für Ihre Daten aus. Die Features sind:

  • Protokollerfassungs-API: Damit können Sie Protokolle in benutzerdefiniertem Format aus einer beliebigen Datenquelle an Ihren Log Analytics-Arbeitsbereich senden und diese Protokolle entweder in bestimmten spezifischen Standardtabellen oder in benutzerdefiniert formatierten Tabellen speichern, die Sie erstellen. Sie können die tatsächliche Aufnahme dieser Protokolle ausführen, indem Sie direkte API-Aufrufe verwenden. Mithilfe von Datensammlungsregeln von Azure Monitor können Sie diese Workflows definieren und konfigurieren.

  • Arbeitsbereichdatentransformationen für Standardprotokolle: Es werden Datensammlungsregeln verwendet, um irrelevante Daten herauszufiltern, Ihre Daten anzureichern oder zu taggen oder sensible oder personenbezogene Informationen auszublenden. Die Datentransformation kann zur Erfassungszeit für die folgenden Typen integrierter Datenconnectors konfiguriert werden:

    • Azure Monitor-Agent (AMA)-basierte Datenconnectors (basierend auf dem neuen Azure Monitor-Agent)
    • Microsoft Monitoring Agent (MMA)-basierte Datenkonnektoren (basierend auf dem älteren Azure Monitor Logs Agent)
    • Datenconnectors, die Diagnoseeinstellungen verwenden
    • Dienst-zu-Dienst-Datenconnectors

Weitere Informationen finden Sie unter

Modul 8: Migration

In vielen (falls nicht den meisten) Fällen verfügen Sie bereits über ein SIEM und müssen nach Microsoft Sentinel migrieren. Während es vielleicht ein guter Zeitpunkt ist, neu zu beginnen und Ihre SIEM-Implementierung zu überdenken, ist es sinnvoll, einige der bereits in Ihre aktuelle Implementierung integrierten Ressourcen zu nutzen. Sehen Sie sich das Webinar an, in dem bewährte Methoden zum Konvertieren von Erkennungsregeln aus Splunk, QRadar und ArcSight in Azure Microsoft Sentinel beschrieben werden: YouTube, MP4, Präsentation oder Blog.

Einige der folgenden Ressourcen könnten Sie ebenfalls interessieren:

Modul 9: Erweitertes SIEM-Informationsmodell und Normalisierung

Das kombinierte Arbeiten mit verschiedenen Datentypen und Tabellen hält eine Herausforderung bereit. Sie müssen sich mit den verschiedenen Datentypen und Schemas vertraut machen und einen eindeutigen Satz an Analyseregeln, Arbeitsmappen und Hunting-Abfragen schreiben und verwenden. Auch die Korrelation zwischen den verschiedenen Datentypen, die für Untersuchung und Hunting erforderlich sind, kann schwierig sein.

Das Erweiterte SIEM-Informationsmodell (Advanced SIEM Information Model, ASIM) bietet eine nahtlose Methode für die Verarbeitung verschiedener Quellen in einheitlichen, normalisierten Ansichten. ASIM richtet sich an dem allgemeinen Open-Source-Sicherheitsereignismetadaten-Informationsmodell (Open-Source Security Events Metadata, OSSEM) aus und fördert die herstellerunabhängige branchenweite Normalisierung. Sehen Sie sich das Webinar „Erweitertes SIEM-Informationsmodell (ASIM): jetzt integriert in Microsoft Sentinel“ an: YouTube oder Präsentation.

Die aktuelle Implementierung basiert auf der Normalisierung der Abfragezeit mithilfe von KQL-Funktionen:

  • Normalisierte Schemas decken allgemeine Sätze vorhersagbarer Ereignistypen ab, mit denen sich leicht arbeiten lässt und auf denen einheitliche Funktionen aufgebaut werden können. Das Schema definiert, welche Felder ein Ereignis, eine Namenskonvention für normalisierte Spalten und ein Standardformat für die Feldwerte darstellen sollten.

    • Schauen Sie sich das Webinar „Normalisierung in Microsoft Sentinel verstehen“ an: YouTube oder Präsentation.
    • Sehen Sie sich das Webinar „Ausführliche Informationen zu den Microsoft Sentinel-Normalisierungsparsern und zu normalisierten Inhalten“ an: YouTube, MP3 oder Präsentation.

  • Parser ordnen den normalisierten Schemas vorhandene Daten zu. Sie implementieren Parser mithilfe von KQL-Funktionen. Sehen Sie sich das Webinar „Erweitern und Verwalten von ASIM: Entwickeln, Testen und Bereitstellen von Parsern“ an: YouTube oder Präsentation.

  • Inhalte für jedes normalisierte Schema beinhaltet Analyseregeln, Arbeitsmappen und Hunting-Abfragen. Diese Inhalte für alle normalisierten Daten verwendet werden, ohne dass quellenspezifische Inhalte erstellt werden müssen.

Die Verwendung von ASIM bietet folgende Vorteile:

  • Quellerkennung: Normalisierte Analyseregeln funktionieren in lokalen Quellen und in der Cloud. Die Regeln erkennen Attacken, wie etwa rohe Gewalt oder unmögliche Reise über Systeme hinweg, einschließlich Okta, AWS, und Azure.

  • Lässt quellenagnostische Inhalte zu: Die Abdeckung von vorgefertigten und benutzerdefinierten Inhalten mithilfe von ASIM wird automatisch auf alle Quellen erweitert, die ASIM unterstützen. Dies gilt selbst dann, wenn die Quelle erst nach dem Erstellen des Inhalts hinzugefügt wurde. Die Prozessereignisanalyse unterstützt beispielsweise alle Quellen, die ein Kunde zum Importieren der Daten verwenden kann, z. B. Microsoft Defender for Endpoint, Windows-Ereignisse und Sysmon. Wir sind bereit, Sysmon für Linux und WEF hinzuzufügen, wenn es veröffentlicht wurde.

  • Unterstützung für benutzerdefinierte Quellen in integrierten Analysen

  • Einfache Verwendung: Analysten, die ASIM lernen, finden es viel einfacher, Abfragen zu schreiben, da die Feldnamen immer gleich sind.

Weitere Informationen zu ASIM:

Nutzen Sie diese Ressourcen:

  • Schauen Sie sich das Webinar „Normalisierung in Azure Sentinel verstehen“ an: YouTube oder Präsentation.

  • Sehen Sie sich das Webinar „Ausführliche Informationen zu den Microsoft Sentinel-Normalisierungsparsern und zu normalisierten Inhalten“ an: YouTube, MP3 oder Präsentation.

  • Schauen Sie sich das Webinar an: „Turbocharging ASIM: Sicherstellen, dass die Normalisierung die Leistung unterstützt, anstatt sie zu beeinflussen“: YouTube, MP4 oder Präsentation.

  • Lesen Sie die ASIM-Dokumentation.

ASIM bereitstellen

  • Stellen Sie die Parser aus den Ordnern, die mit „ASIM“ beginnen, im Ordner Parsers auf GitHub bereit.

  • Aktivieren Sie die Analyseregeln, die ASIM verwenden. Suchen Sie im Vorlagenkatalog nach normal, um einige davon zu finden. Um die vollständige Liste abzurufen, verwenden Sie diese GitHub-Suche.

Verwenden von ASIM

  • Verwenden der ASIM-Suchabfragen aus GitHub

  • Verwenden Sie ASIM-Abfragen, wenn Sie KQL im Protokollbildschirm verwenden.

  • Schreiben Sie mithilfe von ASIM Ihre eigenen Analyseregeln, oder konvertieren Sie vorhandene Regeln.

  • Schreiben von Parsern für eigene benutzerdefinierte Quellen zwecks Herstellung der Kompatibilität mit ASIM und Teilnahme an integrierten Analysen

Teil 3: Erstellen von Inhalten

Was sind Microsoft Sentinel-Inhalte?

Der Sicherheitswert von Microsoft Sentinel ist eine Kombination aus seinen integrierten Funktionen und Ihrer Fähigkeit, benutzerdefinierte Funktionen zu erstellen und die integrierten anzupassen. Unter integrierten Funktionen gibt es Benutzer- und Entitätsverhaltensanalyse (UEBA), maschinelles Lernen oder Out-of-the-Box-Analyseregeln. Benutzerdefinierte Funktionen werden häufig als „Inhalte“ bezeichnet; zu ihnen zählen Analyseregeln, Hunting-Abfragen, Arbeitsmappen, Playbooks usw.

In diesem Abschnitt haben wir die Module gruppiert, mit deren Hilfe Sie lernen, solche Inhalte zu erstellen oder integrierte Inhalte für Ihre Bedürfnisse zu ändern. Wir beginnen mit KQL, der Lingua Franca von Azure Sentinel. Gegenstand der folgenden Module ist einer der diskutieren einen der Blöcke zum Erstellen von Inhalten wie z. B. Regeln, Playbooks und Arbeitsmappen. Wir enden mit der Besprechung von Anwendungsfällen, die Elemente unterschiedlicher Art umfassen, um auf bestimmte Sicherheitsziele wie z. B. Bedrohungserkennung, Suche oder Governance einzugehen.

Modul 10: Kusto-Abfragesprache

Die meisten Microsoft Sentinel-Funktionen verwenden KQL oder die Kusto-Abfragesprache. Wenn Sie in Ihren Protokollen suchen, Regeln schreiben, Hunting-Abfragen erstellen oder Arbeitsmappen entwerfen, verwenden Sie KQL.

Im nächsten Abschnitt, in dem es um das Schreiben von Regeln geht, wird erläutert, wie KQL im spezifischen Kontext von SIEM-Regeln verwendet wird.

Möglicherweise finden Sie beim Erlernen von KQL auch die folgenden Referenzen hilfreich:

Modul 11: Analyse

Schreiben geplanter Analyseregeln

Mit Microsoft Sentinel können Sie integrierte Regelvorlagen verwenden, die Vorlagen an Ihre Umgebung anpassen oder benutzerdefinierte Regeln erstellen. Der Kern der Regeln ist eine KQL-Abfrage; es gibt jedoch noch viel mehr als das, was Sie in einer Regel konfigurieren können.

Informationen zum Erstellen von Regeln finden Sie unter Erstellen von benutzerdefinierten Analyseregeln zum Erkennen von Bedrohungen. Um zu erfahren, wie Regeln geschrieben werden, d. h. was speziell bei KGL für Regeln Bestandteil einer Regel sein sollte, schauen Sie sich das Webinar an: MP4, YouTube, Präsentation.

SIEM-Analyseregeln weisen bestimmte Muster auf. Erfahren Sie, wie Sie Regeln implementieren und KQL für diese Muster schreiben:

Im Blogbeitrag „Untersuchungen zu Blob- und Dateispeichervorgängen“ finden Sie ein Schritt-für-Schritt-Beispiel für das Schreiben einer hilfreichen Analyseregel.

Verwenden integrierter Analysen

Bevor Sie ihre eigene Regel schreiben, sollten Sie die integrierten Analysefunktionen nutzen. Sie verlangen Ihnen nicht viel ab, aber es lohnt sich, sich über sie zu informieren:

Modul 12: Implementieren von SOAR

In modernen SIEMs wie Microsoft Sentinel, umfasst SOAR (Security Orchestration, Automation und Response) den gesamten Prozess ab dem Zeitpunkt, zu dem ein Vorfall ausgelöst wird, bis das Problem behoben ist. Dieser Prozess beginnt mit einer Vorfalluntersuchung und wird mit einer automatisierten Reaktion fortgesetzt. Der Blogbeitrag zur Verwendung von Microsoft Sentinel zur Reaktion auf Vorfälle und zur Orchestrierung und Automatisierung bietet einen Überblick über allgemeine Anwendungsfälle für SOAR.

Automatisierungsregeln sind der Ausgangspunkt für die Microsoft Sentinel-Automatisierung. Sie bieten eine einfache Methode für die zentrale automatisierte Behandlung von Vorfällen, einschließlich Unterdrückung, des Umgangs mit False Positives und automatischer Zuweisung.

Um robuste workflowbasierte Automatisierungsfunktionen bereitzustellen, verwenden Automatisierungsregeln Logik-App-Playbooks. Weitere Informationen:

  • Schauen Sie sich das Webinar: „Entfesseln Sie die Jedi-Tricks der Automatisierung und Erstellen Sie Logic-App-Playbooks wie ein Profi“: YouTube, MP4 order Präsentation.

  • Lesen Sie mehr über Logic Apps, bei denen es sich um die Kerntechnologie für Microsoft Sentinel-Playbooks handelt.

  • Siehe Der Connector für Microsoft Sentinel Logic Apps, die Verknüpfung zwischen Logic Apps und Microsoft Sentinel.

Sie finden Dutzende hilfreicher Playbooks im Playbooks-Ordner auf dem Microsoft Sentinel GitHub, oder lesen Sie, wie ein Playbook eine Watchlist verwendet, um einen Abonnementbesitzer über eine Warnung informiert, wo eine exemplarische Vorgehensweise für ein Playbook dargestellt ist.

Modul 13: Arbeitsmappen, Berichte und Visualisierung

Arbeitsmappen

Als Nervenzentrum Ihres SOC benötigen Sie Microsoft Sentinel, um die gesammelten und produzierten Informationen zu visualisieren. Verwenden Sie Arbeitsmappen, um Daten in Microsoft Sentinel zu visualisieren.

Arbeitsmappen können interaktiv sein und bieten viel mehr als nur eine Darstellungsfunktion. Mit Arbeitsmappen können Sie Apps oder Erweiterungsmodule für Microsoft Sentinel erstellen, um integrierte Funktionen zu ergänzen. Außerdem werden Arbeitsmappen verwendet, um die Features von Microsoft Sentinel zu erweitern. Hier finden Sie einige Beispiele für solche Apps:

Sie finden dutzende Arbeitsmappen im Ordner Arbeitsmappen im Microsoft Sentinel GitHub. Einige davon sind auch im Microsoft Sentinel-Arbeitsmappenkatalog verfügbar.

Berichterstellung und andere Visualisierungsoptionen

Arbeitsmappen können zur Berichterstellung verwendet werden. Für erweiterte Berichterstellungsfunktionen wie die Planung und Verteilung von Berichten oder Pivot-Tabellen können Sie Folgendes verwenden:

Modul 14: Notebooks

Jupyter Notebooks sind vollständig in Microsoft Sentinel integriert. Sie gelten als wichtiges Werkzeug im Werkzeugkasten des Suchenden und werden im nachfolgenden Abschnitt zur Suche beschrieben. Ihr Wert ist jedoch noch weitaus größer. Notebooks können für erweiterte Visualisierungen, als Untersuchungsleitfaden und für eine anspruchsvolle Automatisierung eingesetzt werden.

Um sie besser zu verstehen, schauen Sie sich das Video Einführung in Notebooks an. Beginnen Sie mit dem Webinar zu Notebooks (YouTube, MP4, Präsentation), oder lesen Sie die Dokumentation. Die Ninja-Reihe zu den Microsoft Sentinel-Notebooks ist eine fortlaufende Schulungsreihe, mit der Sie Ihre Fähigkeiten im Zusammenhang mit Notebooks erweitern können.

Ein wichtiger Teil der Integration wird von MSTICPY implementiert. Dabei handelt es sich um eine Python-Bibliothek, die von unserem Forschungsteam für den Einsatz mit Jupyter-Notebooks entwickelt wurde. Dabei werden Ihre Notebooks durch Microsoft Sentinel-Schnittstellen und anspruchsvolle Sicherheitsfunktionen ergänzt.

Modul 15: Anwendungsfälle und Lösungen

Mithilfe von Connectors, Regeln, Playbooks und Arbeitsmappen können Sie Anwendungsfälle implementieren: Dies ist der SIEM-Ausdruck für ein Inhaltspaket, das zum Erkennen von und Reagieren auf eine Bedrohung vorgesehen ist. Sie können integrierte Sentinel-Anwendungsfälle bereitstellen, indem Sie beim Verbinden der einzelnen Connectors die vorgeschlagenen Regeln aktivieren. Eine Lösung ist eine Gruppe von Anwendungsfällen. Sie richtet sich an eine bestimmte Bedrohungsdomäne.

Im Webinar „Umgang mit Identitäten“ (YouTube, MP4 oder Präsentation) wird erläutert, was ein Anwendungsfall ist und wie Sie sich seinem Design annähern; ferner werden mehrere Anwendungsfälle präsentiert, bei denen es insgesamt um Identitätsbedrohungen geht.

Ein weiterer relevanter Lösungsbereich ist der Schutz von Remotearbeit. Schauen Sie sich unsere Ignite-Sitzung zum Schutz von Remotearbeit an und lesen Sie mehr über die spezifischen Anwendungsfälle:

Schließlich erfahren Sie noch, wie Sie speziell für Angriffe aus der jüngeren Vergangenheit die Software-Lieferkette mit Microsoft Sentinel überwachen können.

Microsoft Sentinel-Lösungen bieten Erkennbarkeit innerhalb von Produkten, Bereitstellung in einem Schritt und Aktivierung von End-to-End-Produkt-, Domänen- und/oder vertikalen Szenarien in Microsoft Sentinel. Weitere Informationen finden Sie unter Microsoft Sentinel-Inhalte und -Lösungen, und sehen Sie sich Webinar „Eigene Microsoft Sentinel-Lösungen erstellen“ an: YouTube oder Präsentation.

Teil 4: Betrieb

Modul 16: Behandeln von Vorfällen

Nachdem Sie Ihr SOC erstellt haben, müssen Sie es auch nutzen. Das Webinar „Ein Tag im Leben eines SOC-Analysten“ (YouTube, MP4, Präsentation) führt Sie durch die Verwendung von Microsoft Sentinel im SOC, um Vorfälle zu selektieren, zu untersuchen und auf sie zu reagieren.

Dank der direkten Integration in Microsoft Teams aus Microsoft Sentinel können Ihre Teams nahtlos innerhalb der gesamten Organisation und mit externen Projektbeteiligten zusammenarbeiten. Sehen Sie sich das Webinar Verringern der mittleren Zeit bis zur Reaktion (Mean Time to Respond, MTTR) Ihres SOCs durch Integrieren von Microsoft Sentinel in Microsoft Teams an.

Sie können auch den Artikel in der Dokumentation zur Untersuchung von Vorfällen lesen. Im Rahmen der Untersuchung verwenden Sie außerdem die Entitätsseiten, um weitere Informationen zu Entitäten im Zusammenhang mit Ihrem Vorfall oder solchen zu erhalten, die im Rahmen Ihrer Untersuchung identifiziert wurden.

Die Untersuchung von Vorfällen in Microsoft Sentinel geht über die Kernfunktionen der Vorfalluntersuchung hinaus. Sie können zusätzliche Untersuchungstools mithilfe von Arbeitsmappen und Notebooks erstellen. Notizbücher werden im nächsten Abschnitt, Modul 17: Suche erläutert. Sie können auch noch weitere Untersuchungstools erstellen oder vorhandene für Ihre spezifischen Anforderungen ändern. Beispiele:

Modul 17: Hunting

Gegenstand der meisten Erläuterungen war bisher das Erkennen und Verwalten von Vorfällen. Das Hunting ist ein weiterer wichtiger Anwendungsfall für Microsoft Sentinel. Beim Hunting handelt es sich um eine proaktive Suche nach Bedrohungen anstelle einer reaktiven Reaktion auf Warnungen.

Das Hunting-Dashboard wird fortlaufend aktualisiert. Es enthält alle Abfragen, die vom Sicherheitsanalystenteam von Microsoft geschrieben wurden, sowie etwaige zusätzliche Abfragen, die Sie erstellt oder geändert haben. Jede Abfrage enthält eine Beschreibung dazu, nach welcher Bedrohung mit ihr gesucht wird und für welche Art von Daten sie ausgeführt wird. Diese Vorlagen werden nach ihren verschiedenen Taktiken gruppiert. Mit den Symbolen auf der rechten Seite wird die Art der Bedrohung kategorisiert, z. B. Erstzugriff, Persistenz und Exfiltration. Weitere Informationen finden Sie unter Suchen nach Bedrohungen mit Microsoft Sentinel.

Um mehr über das Hunting und darüber zu erfahren, wie es von Microsoft Sentinel unterstützt wird, sehen Sie sich das Einführungs-Webinar zu „Threat Hunting“ an: YouTube, MP4 oder Präsentation. Das Webinar beginnt mit einem Update zu den neuen Features. Um mehr über Hunting zu erfahren, beginnen Sie auf Folie 12. Der YouTube-Link ist bereits so eingestellt, dass Sie dort beginnen.

Auch wenn im Zentrum des Einführungs-Webinars die Tools stehen, geht es beim Hunting insgesamt um Sicherheit. Das Webinar unseres Sicherheitsforschungsteams (YouTube, MP4 oder Präsentation) konzentriert sich auf das eigentliche Hunting.

Im nächsten Webinar „AWS-Threat-Hunting mit Microsoft Sentinel“ (YouTube, MP4 oder Präsentation) geht es zentral um ein End-to-End-Hunting-Szenario in einer Zielumgebung von hohem Wert.

Zuletzt erfahren Sie, wie Sie ein Hunting nach einem SolarWinds-Hack mit Microsoft Sentinel und WebShell Hunting durchführen, das auf die jüngsten Sicherheitsrisiken bei stationären Microsoft Exchange-Servern zurückgeht.

Modul 18: User and Entity Behavior Analytics (UEBA)

Das von Microsoft Sentinel neu eingeführte Modul User and Entity Behavior Analytics (UEBA) ermöglicht es Ihnen, Bedrohungen innerhalb Ihrer Organisation und deren potenzielle Auswirkungen zu identifizieren und zu untersuchen, und zwar unabhängig davon, ob es sich um eine gefährdete Entität oder einen böswilligen Insider handelt.

Microsoft Sentinel sammelt zeit- und peergruppenübergreifend Protokolle und Warnungen von allen verbundenen Datenquellen, analysiert sie und erstellt Baselineprofile für das Verhalten von Entitäten einer Organisation (Benutzer, Hosts, IP-Adressen und Anwendungen). Mit verschiedenen Techniken und Machine Learning-Funktionen kann Microsoft Sentinel anomale Aktivitäten erkennen und Sie dabei unterstützen, festzustellen, ob eine Ressource kompromittiert wurde. Darüber hinaus können Sie mit dieser Funktion auch die relative Vertraulichkeitsstufe bestimmter Ressource ermitteln, Ressourcenpeergruppen erkennen und die potenzielle Auswirkung einer bestimmten kompromittierten Ressource (deren „Auswirkungsgrad“) bewerten. Mit diesen Informationen können Sie Ihre Untersuchungen und die Behandlung von Vorfällen effektiv priorisieren.

Erfahren Sie mehr über UEBA, indem Sie sich das Webinar ansehen (YouTube, MP4 oder Präsentation) und lesen Sie über die Verwendung von UEBA für Untersuchungen in Ihrem SOC.

Informationen zu den neuesten Updates finden Sie im Webinar „Die Zukunft der Analyse von Benutzerentitätenverhalten in Microsoft Sentinel“.

Modul 19: Überwachen der Integrität von Microsoft Sentinel

Ein Teil der Arbeit mit einem SIEM, der sich in Azure Microsoft Sentinel weiterentwickelt, besteht darin, sicherzustellen, dass es reibungslos funktioniert. Verwenden Sie Folgendes, um die Integrität von Microsoft Sentinel zu überwachen:

Teil 5: Erweitert

Modul 20: Erweitern und Integrieren mithilfe von Microsoft Sentinel-APIs

Als Cloud-natives SIEM ist Microsoft Sentinel ein API-First-System. Jedes Feature kann über eine API konfiguriert und verwendet werden, sodass es problemlos in andere Systeme integriert werden kann. Dabei können Sie Sentinel mit Ihrem eigenen Code erweitern. Wenn Sie sich durch API verunsichern lassen, keine Sorge. Alles, was über die API verfügbar ist, ist auch über PowerShell verfügbar.

Weitere Informationen zu Microsoft Sentinel-APIs finden Sie in dem kurzen Einführungsvideo und indem Sie den Blogbeitrag lesen. Sehen Sie sich das Webinar „Erweitern und Integrieren von Sentinel (APIs)“ (YouTube, MP4 oder Präsentation) an und lesen Sie den Blogbeitrag Erweiterung von Microsoft Sentinel: APIs, Integration und Verwaltungsautomatisierung.

Modul 21: Erstellen Ihres eigenen Machine-Learning-Modells

Microsoft Sentinel bietet eine großartige Plattform für die Implementierung ihrer eigenen Machine Learning-Algorithmen. Wir nennen es das Build-your-own Machine Learning-Modell oder BYO ML. BYO ML ist für fortgeschrittene Benutzer vorgesehen. Wenn Sie nach integrierten Verhaltensanalysen suchen, verwenden Sie unsere ML-Analyseregeln, das UEBA-Modul oder schreiben Sie Ihre eigenen KQL-basierten Verhaltensanalyseregeln.

Um mit der Einführung Ihres eigenen maschinellen Lernens in Microsoft Sentinel zu beginnen, sehen Sie sich das Video „Build-your-your-own Machine Learning-Modell“ an und lesen Sie den Blogbeitrag Build-your-own Machine Learning-Modellerkennungen im KI-immersed Azure Sentinel SIEM. Sie sollten sich auch die BYO ML-Dokumentation ansehen.

Nächste Schritte

Empfohlener Inhalt