Az ütemezett elemzési szabályok végrehajtásának monitorozása és optimalizálása

Annak érdekében, hogy Microsoft Sentinel fenyegetésészlelése teljes lefedettséget biztosítson a környezetben, használja ki a végrehajtási felügyeleti eszközeit. Ezek az eszközök az ütemezett elemzési szabályok végrehajtására vonatkozó megállapításokból állnak, Microsoft Sentinel állapot- és auditadatai alapján, valamint egy olyan eszközből, amely lehetővé tette a szabályok korábbi végrehajtásának manuális újrafuttatását adott időablakokban tesztelési és/vagy hibaelhárítási célokra.

Fontos

Microsoft Sentinel elemzési szabályának megállapításai és manuális újrafuttatása jelenleg előzetes verzióban érhető el. A microsoftos Azure előzetes verzió kiegészítő használati feltételeiben talál további jogi feltételeket, amelyek Azure bétaverzióban, előzetes verzióban vagy más módon még nem általánosan elérhető funkciókra vonatkoznak.

Összefoglalás

Az ütemezett elemzési szabályokhoz két végrehajtási felügyeleti eszköz áll rendelkezésre: beépített ütemezett szabályelemzések és az ütemezett szabályok igény szerinti újrafuttatásának képessége.

Az Elemzés lapon az Elemzések panel egy másik lapként jelenik meg a részletek panelen, az Információ lap mellett. Az Elemzések panel információt nyújt egy szabály tevékenységéről és eredményeiről. Például: sikertelen végrehajtások, leggyakoribb állapotproblémák, riasztások száma az idő függvényében, valamint a szabály által létrehozott incidensek záró besorolása. Ezek az elemzések segítenek a biztonsági elemzőknek azonosítani a lehetséges problémákat vagy helytelen konfigurációkat az elemzési szabályokkal, és lehetővé teszik számukra a szabályhibák felderítését és kijavítását, valamint a szabálykonfigurációk optimalizálását a jobb teljesítmény és pontosság érdekében.

Az Elemzés oldalon igény szerint újrafuttathatja az elemzési szabályokat. Ez a képesség rugalmasságot és ellenőrzést biztosít a szabályok hatékonyságának ellenőrzésében. Olyan helyzetekben lehet hasznos, mint a szabály pontosítása, tesztelése, érvényesítése és egyebek. A manuális újrafuttatások kezdeményezésének rugalmassága támogatja a hatékony biztonsági műveleteket, lehetővé teszi a hatékony incidensmegoldást, és javítja a rendszer általános észlelési és reagálási képességeit.

A szabály újrafuttatásának használati esetei és előnyei

Íme néhány forgatókönyv, amely hasznos lehet az adott elemzési szabályok futtatásának ismétlése esetén:

Szabály finomítása és finomhangolása: Az elemzési szabályok a fenyegetések változó környezetének és a változó szervezeti igényeknek megfelelően rendszeres módosításokat és finomhangolást igényelhetnek. A szabályok manuális újrafuttatásával az elemzők felmérhetik a szabálymódosítások hatását, és ellenőrizhetik a hatékonyságukat, mielőtt éles környezetben helyezték üzembe őket.

Tesztelés és ellenőrzés: Új elemzési szabályok bevezetésekor, a meglévők jelentős módosításakor vagy új incidensforgatókönyvek fejlesztésekor elengedhetetlen a teljesítmény és a pontosság alapos tesztelése. A manuális újrafuttatás lehetővé teszi különböző forgatókönyvek szimulálását, beleértve a végpontok közötti automatizált incidensfolyamot, valamint a szabályok konzisztens adatbeviteli készleten való érvényesítését. Ez a folyamat biztosítja, hogy a szabályok a várt riasztásokat eredményezzék, anélkül, hogy túl sok téves riasztást okoznának.

Incidensvizsgálat: Biztonsági incidens vagy gyanús tevékenység esetén előfordulhat, hogy az elemzők további részleteket szeretnének megjeleníteni a már létrehozott riasztásokban. Ezt úgy tehetik meg, hogy frissítik a szabályt, és adott végrehajtási időközökön újrafuttatják (akár hét napra visszamenőleg), hogy további információkat gyűjtsenek és azonosítsák a kapcsolódó eseményeket. A manuális újrafuttatás lehetővé teszi, hogy az elemzők mélyreható vizsgálatokat végezzenek, és átfogó lefedettséget biztosítsanak.

Megfelelőség és naplózás: Egyes szabályozási követelmények vagy belső szabályzatok szükségessé tehetik az elemzési szabályok rendszeres vagy igény szerinti újrafuttatását a folyamatos monitorozás és megfelelőség bemutatása érdekében. A manuális újrafuttatás lehetővé teszi az ilyen kötelezettségek teljesítését azáltal, hogy biztosítja a szabályok következetes alkalmazását és a megfelelő riasztások generálását.

Előfeltételek

A végrehajtási felügyeleti eszközök használatához engedélyeznie kell Microsoft Sentinel állapot- és naplózási funkcióját, és különösen az elemzési szabályok állapotfigyelését. Ismerje meg, hogyan engedélyezheti az állapotfigyelést és az auditnaplózást.

Elemzési szabályokra vonatkozó megállapítások megtekintése

Az eszközök előnyeinek kihasználásához először vizsgálja meg az adott szabályra vonatkozó megállapításokat.

1. A Microsoft Sentinel navigációs menüben válassza az Elemzés lehetőséget.

2. Keresse meg és válassza ki azt a szabályt (Ütemezett vagy NRT), amelynek az elemzéseit meg szeretné tekinteni.

3. Válassza az Elemzések lapot a részletek panelen.

   

4. Az Elemzések lap kiválasztásakor megjelenik az időkeret-választó. Jelöljön ki egy időkeretet, vagy hagyja meg alapértelmezettként az elmúlt 24 órában.

   

Az Elemzések panel jelenleg négyféle elemzést jelenít meg. Minden megállapítást egy Minden megtekintése hivatkozás követ, amely a Naplók lapra irányítja, és megjeleníti az elemzést eredményező lekérdezést a teljes nyers eredményekkel együtt. A megállapítások a következők:

• A sikertelen végrehajtások a szabály meghiúsult futtatásainak listáját jelenítik meg az adott időkeretben. Ezt a megállapítást a Szabályfuttatások panelre mutató hivatkozás is követi, ahol megtekintheti a szabály futásának összes idejét, és visszajátszhatja a szabály adott futtatásait.

• A leggyakoribb állapotproblémák a szabály leggyakoribb állapotproblémáinak listáját jelenítik meg az adott időkeretben. Ezt az elemzést egy Futtatások megtekintése hivatkozás is követi, amely a Naplók lapra irányítja, ahol a szabály futásának összes idejét tartalmazó lekérdezés jelenik meg.

• A riasztási grafikon a szabály által az adott időkeretben létrehozott riasztások számát ábrázolja.

• Az incidensbesorolás a szabály által az adott időkeretben létrehozott lezárt incidensek besorolásának összegzését jeleníti meg.

Elemzési szabályok újrafuttatása

Számos forgatókönyv esetén előfordulhat, hogy újrafuttat egy szabályt.

• Egy szabály futtatása nem sikerült egy olyan ideiglenes feltétel miatt, amely visszaállt a normál állapotra, vagy egy helytelen konfiguráció miatt. A helytelen konfiguráció kijavítása vagy a feltétel kijavítása után újra kell futtatnia a szabályt a sikertelen futtatással egy időben (vagyis ugyanazon az adatokon) a lefedettség hiányosságainak csökkentése érdekében.

• Egy szabály futtatása sikerült, de nem adott meg elegendő információt a létrehozott riasztásokban. Ebben az esetben érdemes lehet szerkeszteni a szabályt, hogy további információkat adjon meg, akár a lekérdezés, akár a bővítési beállítások módosításával. Ezután újra kell futtatnia a szabályt ugyanazon az időablakon (azaz ugyanazon az adatokon), mint a futtatás, amelyhez további információt szeretne kapni.

• Előfordulhat, hogy egy szabály írásával vagy szerkesztésével kísérletezik, és szeretné látni, hogy a különböző beállítások milyen hatással lennének a szabály által létrehozott riasztásokra. Érvényes összehasonlításhoz újra szeretné futtatni a szabályt ugyanazon az időablakon.

Szabály újrafuttatása az alábbiak szerint:

1. Az Elemzés lapon válassza a felső eszköztár Szabályfuttatások (előzetes verzió) elemét. Megnyílik a Szabályfuttatások panel.

   

   A Szabályfuttatások panelt úgy is elérheti, hogy kiválasztja a Szabályok újrafuttatása lehetőséget az Elemzések lapon megjelenő Sikertelen végrehajtások lapon (lásd fent).

   

2. Válassza ki azokat a szabályfuttatásokat, amelyeket vissza szeretne játszani annak az időablaknak megfelelően, amelyben eredetileg futottak, a Végrehajtási idő oszlopban látható módon. Egynél több szabályfutást is választhat.

   

3. Válassza a Futtatás visszajátszása lehetőséget. Megjelennek az értesítések, amelyek a kérések előrehaladását mutatják, valamint azt, hogy a szabályok várólistára kerültek a végrehajtáshoz.

   

4. Válassza a Frissítés lehetőséget a szabályfuttatások frissített állapotának megtekintéséhez. Látni fogja, hogy a kérései is megjelennek ezek között, Folyamatban állapottal (ez végül Sikeres lesz), és a típusuk felhasználó által aktivált, nem pedig rendszer által aktivált.

   

   Azt is megfigyelheti, hogy a kért újrafuttatások végrehajtási ideje megegyezik az eredeti rendszer által aktivált futtatáséval, és nem az újrafuttatás végrehajtási idejével. Ez azt mutatja meg, hogy az újrafuttatás melyik időablakra hivatkozik.

   Csak a rendszer által indított szabályfuttatásokat lehet újrajátszani, a felhasználó által indítottakat nem.

Válassza a Szabályfuttatások sorának végén található Teljes részletek megtekintése lehetőséget a teljes, nyers részletek megtekintéséhez a Naplók képernyőn.

Következő lépések

• Az elemzési szabályok állapotának monitorozása és az integritás naplózása.
• Tudnivalók a naplózásról és az állapotmonitorozásról a Microsoft Sentinel-ben.
• Kapcsolja be a naplózást és az állapotfigyelést Microsoft Sentinel.
• További információ a SentinelHealth és a SentinelAudit táblasémákról.