Microsoft Sentinel componentes y patrones

En este artículo se describen los distintos componentes de una solución de Microsoft Sentinel y cómo pueden trabajar juntos para abordar escenarios de clientes importantes.

La plataforma Sentinel incluye un lago de datos, un gráfico, trabajos de cuadernos de Jupyter Notebook, un servidor de Protocolo de contexto de modelo (MCP) y datos de más de 300 conectores de Sentinel para ayudar a los clientes a centralizar y analizar sus datos de seguridad de forma rentable. Estas funcionalidades, además de Microsoft Security Copilot permiten a los clientes y asociados crear soluciones impactantes, que se pueden publicar a través de Microsoft Security Store.

Sentinel SIEM lo usan los equipos de operaciones de seguridad (SOC) para generar detecciones, investigar comportamientos malintencionados y corregir amenazas. Al crear conectores de Sentinel para incorporar nuevos datos y crear contenido como reglas de análisis, cuadernos de estrategias, consultas de búsqueda, analizadores y libros, los asociados pueden ayudar a los equipos de SOC a obtener información que necesitan para identificar amenazas y responder adecuadamente. Sentinel soluciones SIEM se publican a través del Centro de contenido de Sentinel.

Recolección de datos

Tanto si está creando una solución que usa componentes de plataforma como si tiene como destino una integración siem de Sentinel, es fundamental tener los datos adecuados para su escenario.

Sentinel Connectors traen datos a Sentinel, que luego se pueden analizar en el lago mediante cuadernos y trabajos de Jupyter, o bien abordarse con Sentinel contenido SIEM, como reglas de análisis y consultas de búsqueda.

Esos datos pueden incluir los siguientes tipos:

Tipo	Description
Datos sin procesar	Admite detecciones y procesos de búsqueda. Analice datos operativos sin procesar en los que pueda haber signos de actividad malintencionada. Traiga datos sin procesar a Microsoft Sentinel para usar las características integradas de búsqueda y detección de Microsoft Sentinel para identificar nuevas amenazas y mucho más. Ejemplos: datos de Syslog, datos cef a través de Syslog, aplicación, firewall, autenticación o registros de acceso, etc.
Conclusiones de seguridad	Crea la visibilidad de alertas y la oportunidad de correlación. Las alertas y detecciones son conclusiones que ya se han realizado sobre amenazas. Poner las detecciones en contexto con todas las actividades y otras detecciones visibles en las investigaciones Microsoft Sentinel, ahorra tiempo para los analistas y crea una imagen más completa de un incidente, lo que da lugar a una mejor priorización y mejores decisiones. Ejemplos: alertas antimalware, procesos sospechosos, comunicación con hosts incorrectos conocidos, tráfico de red bloqueado y por qué, inicios de sesión sospechosos, ataques de difusión de contraseña detectados, ataques de phishing identificados, eventos de filtración de datos, etc.
Datos de referencia	Crea contexto con entornos a los que se hace referencia, lo que ahorra esfuerzo de investigación y aumenta la eficacia. Ejemplos: CMDB, bases de datos de recursos de alto valor, bases de datos de dependencia de aplicaciones, registros de asignación de IP, colecciones de inteligencia sobre amenazas para el enriquecimiento, etc.
Inteligencia sobre amenazas	Potencia la detección de amenazas mediante la contribución de indicadores de amenazas conocidas. La inteligencia sobre amenazas puede incluir indicadores actuales que representan amenazas inmediatas o indicadores históricos que se mantienen para la prevención futura. Los conjuntos de datos históricos suelen ser grandes y se hace referencia mejor ad hoc, en lugar de importarlos directamente a Microsoft Sentinel.

Analizadores

Los analizadores son funciones de KQL que transforman datos personalizados de productos de terceros en un esquema de ASIM normalizado. La normalización garantiza que los analistas de SOC no tengan que aprender detalles sobre los nuevos esquemas y, en su lugar, compilar reglas analíticas y consultas de búsqueda en el esquema normalizado con el que ya están familiarizados. Revise los esquemas de ASIM disponibles proporcionados por Microsoft Sentinel para identificar los esquemas ASIM pertinentes (uno o más) para los datos a fin de garantizar una incorporación más sencilla para los analistas de SOC y asegurarse de que el contenido de seguridad existente escrito para el esquema de ASIM es aplicable de forma inmediata para los datos del producto. Para obtener más información sobre los esquemas de ASIM disponibles, vea Esquemas del modelo de información de seguridad avanzada (ASIM).

Visualización

Puede incluir visualizaciones para ayudar a los clientes a administrar y comprender los datos, incluyendo vistas gráficas de cómo fluyen los datos en Microsoft Sentinel y con qué eficacia contribuye a las detecciones.

Supervisión y detección

las características de supervisión y detección de Sentinel crean detecciones automatizadas para ayudar a los clientes a escalar la experiencia de su equipo de SOC.

En las secciones siguientes se describen los elementos de supervisión y detección que puede incluir en la solución.

agentes de Security Copilot

Security Copilot agentes automatizan tareas repetitivas y reducen las cargas de trabajo manuales. Mejoran la seguridad y las operaciones de TI en la nube, la seguridad y la privacidad de los datos, la identidad y la seguridad de red. Por Sentinel, los agentes pueden consultar siem o lago de datos y llamar a las API para enriquecer Microsoft Sentinel datos. Pueden usar trabajos de cuadernos para el procesamiento o análisis intensivo de datos y usar cualquier número de complementos.

Trabajos de Jupyter Notebook

Los trabajos de Jupyter Notebook proporcionan herramientas eficaces para realizar transformaciones de datos complejas y ejecutar modelos de aprendizaje automático mediante trabajos de Spark en Sentinel Data lake. Los agentes de Security Copilot pueden usarlos para proporcionar un medio determinista y eficaz de realizar análisis y resumen de datos y ejecutarse de forma continuada. Los trabajos de cuaderno pueden escribir tablas de datos personalizadas en el nivel analítico y el lago de datos que usarán los componentes de nivel inferior, como agentes, libros, consultas de búsqueda y otros.

Reglas de análisis

Las reglas de análisis son detecciones sofisticadas que pueden crear alertas precisas y significativas.

Agregue reglas de análisis a la solución para ayudar a los clientes a beneficiarse de los datos del sistema en Microsoft Sentinel. Por ejemplo, las reglas de análisis pueden ayudar a proporcionar experiencia e información sobre las actividades que se pueden detectar en los datos que ofrece la integración.

Pueden generar alertas (eventos importantes), incidentes (unidades de investigación) o cuadernos de estrategias de automatización de desencadenadores.

Puede agregar reglas de análisis incluyéndolas en una solución y a través de la comunidad Microsoft Sentinel ThreatHunters. Contribuir a través de la comunidad para fomentar la creatividad de la comunidad sobre los datos de origen de asociados, ayudando a los clientes con detecciones más confiables y eficaces.

Consultas de búsqueda

Las consultas de búsqueda permiten a los analistas de SOC buscar de forma proactiva nuevas anomalías que no se detectan en las reglas de análisis programadas actualmente. Las consultas de búsqueda guían a los analistas de SOC para formular las preguntas adecuadas para encontrar problemas de los datos que ya están disponibles en Microsoft Sentinel y les ayuda a identificar posibles escenarios de amenazas. Al incluir consultas de búsqueda, puede ayudar a los clientes a encontrar amenazas desconocidas en los datos que proporciona.

Libros

Los libros proporcionan informes interactivos y paneles que ayudan a los usuarios a visualizar los datos de seguridad e identificar patrones dentro de los datos. La necesidad de libros depende del caso de uso específico. A medida que diseñe la solución, piense en escenarios que podrían explicarse mejor visualmente, especialmente en escenarios para realizar un seguimiento del rendimiento.

Investigación

El gráfico de investigación de Sentinel proporciona a los investigadores datos pertinentes cuando los necesitan, lo que proporciona visibilidad sobre los incidentes de seguridad y las alertas a través de entidades conectadas. Los investigadores pueden usar el gráfico de investigación para encontrar eventos relevantes o relacionados que contribuyan a la amenaza que se está investigando.

Los asociados pueden contribuir al gráfico de investigación proporcionando lo siguiente:

Microsoft Sentinel alertas e incidentes, creados a través de reglas de análisis en soluciones de asociados.
Consultas de exploración personalizadas para los datos proporcionados por el asociado. Las consultas de exploración personalizadas proporcionan una exploración y conectividad enriquecidas entre los datos y la información para los investigadores de seguridad.

Respuesta

Los cuadernos de estrategias admiten flujos de trabajo con una automatización enriquecida y la ejecución de tareas relacionadas con la seguridad en entornos de cliente. Son fundamentales para asegurarse de que los analistas de SOC no están sobrecargados por elementos tácticos y pueden centrarse en la causa principal más estratégica y más profunda de las vulnerabilidades. Por ejemplo, si se detecta una alerta de gravedad alta, un cuaderno de estrategias puede iniciar automáticamente una serie de acciones, como notificar al equipo de seguridad, aislar los sistemas afectados y recopilar registros pertinentes para un análisis posterior.

Por ejemplo, los cuadernos de estrategias pueden ayudar de cualquiera de las siguientes maneras, y mucho más:

Ayudar a los clientes a configurar directivas de seguridad en productos asociados
Recopilación de datos adicionales para informar sobre las decisiones de investigación
Vinculación de incidentes Microsoft Sentinel a sistemas de administración externos
Integración de la administración del ciclo de vida de alertas en las soluciones de asociados

A medida que diseñe la solución, piense en las acciones automatizadas que se pueden realizar para resolver incidentes creados por las reglas de análisis definidas en la solución.

ejemplos de escenarios siem de Sentinel

En las secciones siguientes se describen escenarios comunes de asociados y recomendaciones sobre lo que se debe incluir en una solución para cada escenario.

El producto genera datos que son importantes para las investigaciones de seguridad

Escenario: el producto genera datos que pueden informar a las investigaciones de seguridad.

Ejemplo: Los productos que proporcionan algún tipo de datos de registro incluyen firewalls, agentes de seguridad de aplicaciones en la nube, sistemas de acceso físico, salida de Syslog, aplicaciones LOB disponibles comercialmente y creadas por la empresa, servidores, metadatos de red, cualquier cosa que se pueda entregar a través de Syslog en formato Syslog o CEF, o a través de la API REST en formato JSON.

Cómo usar los datos en Microsoft Sentinel: importe los datos del producto en Microsoft Sentinel a través de un conector de datos para proporcionar análisis, búsqueda, investigaciones, visualizaciones, etc.