Megosztás a következőn keresztül:


Biztonsági fenyegetések keresése Jupyter-jegyzetfüzetekkel

A biztonsági vizsgálatok és a vadászat részeként indítsa el és futtassa a Jupyter-jegyzetfüzeteket az adatok programozott elemzéséhez.

Ebben a cikkben létrehoz egy Azure Machine Learning-munkaterületet, elindítja a jegyzetfüzetet a Microsoft Sentinelből az Azure Machine Learning-munkaterületre, és kódot futtat a jegyzetfüzetben.

Fontos

A Microsoft Sentinel mostantól általánosan elérhető a Microsoft egyesített biztonsági üzemeltetési platformján a Microsoft Defender portálon. További információ: Microsoft Sentinel a Microsoft Defender portálon.

Előfeltételek

Javasoljuk, hogy a cikk lépéseinek elvégzése előtt ismerkedjen meg a Microsoft Sentinel-jegyzetfüzetekkel. Lásd: A Jupyter-jegyzetfüzetek használata biztonsági fenyegetések kereséséhez.

A Microsoft Sentinel-jegyzetfüzetek használatához a következő szerepköröknek és engedélyeknek kell rendelkezniük:

Típus Részletek
Microsoft Sentinel – A Microsoft Sentinel közreműködői szerepköre a jegyzetfüzetek Microsoft Sentinelből való mentéséhez és elindításához
Azure Machine Learning – Erőforráscsoportszintű tulajdonosi vagy közreműködői szerepkör, amely szükség esetén új Azure Machine Learning-munkaterületet hoz létre.
– Közreműködői szerepkör az Azure Machine Learning-munkaterületen, ahol a Microsoft Sentinel-jegyzetfüzeteket futtatja.

További információ: Azure Machine Learning-munkaterülethez való hozzáférés kezelése.

Azure Machine Learning-munkaterület létrehozása a Microsoft Sentinelből

A munkaterület létrehozásához válassza az alábbi lapok egyikét attól függően, hogy nyilvános vagy privát végpontot használ-e.

  • Javasoljuk, hogy nyilvános végpontot használjon, ha a Microsoft Sentinel-munkaterület rendelkezik ilyennel, hogy elkerülje a hálózati kommunikáció esetleges problémáit.
  • Ha azure Machine Learning-munkaterületet szeretne használni egy virtuális hálózaton, használjon privát végpontot.
  1. Az Azure PortalOn a Microsoft Sentinel esetében a Fenyegetéskezelés területen válassza a Jegyzetfüzetek lehetőséget.
    Microsoft Sentinel esetén a Defender portálon válassza a Microsoft Sentinel>fenyegetéskezelési>jegyzetfüzetek lehetőséget.

  2. Válassza az Azure Machine Learning>konfigurálása Új AML-munkaterület létrehozása lehetőséget.

  3. Adja meg a következő adatokat, majd kattintson a Tovább gombra.

    Mező Leírás
    Előfizetés Válassza ki a használni kívánt Azure-előfizetést.
    Erőforráscsoport Az előfizetés valamelyik meglévő erőforráscsoportját használja, vagy adjon meg egy nevet új erőforráscsoport létrehozásához. Az erőforráscsoportok egy Azure-megoldáshoz kapcsolódó erőforrásokat tárolnak.
    Munkaterület neve Adjon meg egy egyedi nevet, amely azonosítja a munkaterületet. A neveknek egyedinek kell lenniük az erőforráscsoportban. Olyan nevet használjon, amely könnyen visszahívható, és megkülönböztethető a mások által létrehozott munkaterületektől.
    Régió Válassza ki a felhasználókhoz legközelebb eső helyet és az adaterőforrásokat a munkaterület létrehozásához.
    Storage-fiók A munkaterület alapértelmezett adattáraként egy tárfiókot használunk. Létrehozhat egy új Azure Storage-erőforrást, vagy kiválaszthat egy meglévőt az előfizetésében.
    KeyVault A kulcstartó a munkaterület által igényelt titkos kulcsok és egyéb bizalmas információk tárolására szolgál. Létrehozhat egy új Azure Key Vault-erőforrást, vagy kiválaszthat egy meglévőt az előfizetésében.
    Application Insights A munkaterület a Azure-alkalmazás Insights használatával tárolja az üzembe helyezett modellekkel kapcsolatos monitorozási információkat. Létrehozhat egy új Azure-alkalmazás Insights-erőforrást, vagy kiválaszthat egy meglévőt az előfizetésében.
    Container Registry A tárolóregisztrációs adatbázis a betanításokban és üzembe helyezésekben használt Docker-rendszerképek regisztrálására szolgál. A költségek minimalizálása érdekében egy új Azure Container Registry-erőforrás csak az első rendszerkép létrehozása után jön létre. Másik lehetőségként dönthet úgy is, hogy most hozza létre az erőforrást, vagy válasszon ki egy meglévőt az előfizetésében, vagy válassza a Nincs lehetőséget, ha nem szeretne tárolóregisztrációs adatbázist használni.
  4. A Hálózatkezelés lapon válassza az Összes hálózat nyilvános hozzáférésének engedélyezése lehetőséget.

    Adja meg a megfelelő beállításokat a Speciális vagy a Címkék lapon, majd válassza a Véleményezés + létrehozás lehetőséget.

  5. A Véleményezés + létrehozás lapon tekintse át az információkat, és ellenőrizze, hogy helyes-e, majd válassza a Létrehozás lehetőséget a munkaterület üzembe helyezésének megkezdéséhez. Példa:

    Tekintse át és hozza létre a Machine Learning-munkaterületet a Microsoft Sentinelből.

    A munkaterület létrehozása a felhőben több percet is igénybe vehet. Ez idő alatt a munkaterület áttekintési oldala megjeleníti az üzembe helyezés aktuális állapotát, valamint az üzembe helyezés befejezésekor megjelenő frissítéseket.

Az üzembe helyezés befejezése után térjen vissza a Microsoft Sentinel jegyzetfüzeteihez , és indítsa el a jegyzetfüzeteket az új Azure Machine Learning-munkaterületről.

Ha több jegyzetfüzete van, mindenképpen válasszon ki egy alapértelmezett AML-munkaterületet, amelyet a jegyzetfüzetek indításakor használni szeretne. Példa:

Válassza ki a jegyzetfüzetek alapértelmezett AML-munkaterületét.

Jegyzetfüzet indítása az Azure Machine Learning-munkaterületen

Miután létrehozott egy Azure Machine Learning-munkaterületet, indítsa el a jegyzetfüzetet a munkaterületen a Microsoft Sentinelből. Vegye figyelembe, hogy ha az Azure Storage-fiókjában engedélyezve vannak a privát végpontok, nem indíthat jegyzetfüzeteket az Azure Machine Learning-munkaterületen a Microsoft Sentinelből. Másolja a jegyzetfüzetsablont a Microsoft Sentinelből, és töltse fel a jegyzetfüzetet az Azure Machine Learning Studióba.

A Microsoft Sentinel-jegyzetfüzet Azure Machine Learning-munkaterületen való elindításához hajtsa végre az alábbi lépéseket.

  1. Az Azure PortalOn a Microsoft Sentinel esetében a Fenyegetéskezelés területen válassza a Jegyzetfüzetek lehetőséget.
    Microsoft Sentinel esetén a Defender portálon válassza a Microsoft Sentinel>fenyegetéskezelési>jegyzetfüzetek lehetőséget.

  2. A Sablonok lapra kattintva megtekintheti a Microsoft Sentinel által biztosított jegyzetfüzeteket.

  3. Válasszon ki egy jegyzetfüzetet a leírás, a szükséges adattípusok és adatforrások megtekintéséhez.

  4. Amikor megtalálta a használni kívánt jegyzetfüzetet, válassza a Létrehozás sablonból lehetőséget, és a Mentés lehetőséget a saját munkaterületére való klónozásához.

  5. Szükség szerint szerkessze a nevet. Ha a jegyzetfüzet már létezik a munkaterületen, írja felül a meglévő jegyzetfüzetet, vagy hozzon létre egy újat. A jegyzetfüzet alapértelmezés szerint a kijelölt AML-munkaterület /Users/<Your_User_Name>/könyvtárába lesz mentve.

    Mentsen egy jegyzetfüzetet, hogy klónozza a saját munkaterületére.

  6. A jegyzetfüzet mentése után a Jegyzetfüzet mentése gomb a Jegyzetfüzet indítása gombra változik. Válassza a Jegyzetfüzet indítása lehetőséget az AML-munkaterületen való megnyitásához.

    Példa:

    Indítsa el a jegyzetfüzetet az AML-munkaterületen.

  7. A lap tetején válassza ki a jegyzetfüzet-kiszolgálóhoz használni kívánt számítási példányt.

    Ha nincs számítási példánya, hozzon létre egy újat. Ha a számítási példány le van állítva, mindenképpen indítsa el. További információ: Jegyzetfüzet futtatása az Azure Machine Learning Studióban.

    Csak Ön láthatja és használhatja a létrehozott számítási példányokat. A felhasználói fájlok tárolása a virtuális géptől külön történik, és a munkaterület összes számítási példánya között meg vannak osztva.

    Ha új számítási példányt hoz létre a jegyzetfüzetek teszteléséhez, hozza létre a számítási példányt az Általános célú kategóriával.

    A kernel az Azure Machine Learning ablak jobb felső sarkában is megjelenik. Ha a szükséges kernel nincs kiválasztva, válasszon egy másik verziót a legördülő listából.

  8. A jegyzetfüzet-kiszolgáló létrehozása és elindítása után futtassa a jegyzetfüzetcellát. Minden cellában válassza a Futtatás ikont a jegyzetfüzet kódjának futtatásához.

    További információ: Parancsmód billentyűparancsai.

  9. Ha a jegyzetfüzet lefagy, vagy újra szeretné kezdeni, újraindíthatja a kernelt, és az elejétől kezdve újrafuttathatja a jegyzetfüzet celláit. Ha újraindítja a kernelt, a rendszer törli a változókat és más állapotokat. Az újraindítás után futtassa újra az inicializálási és hitelesítési cellákat.

    Az újrakezdéshez válassza a Kernelműveletek>újraindítása kernel lehetőséget. Példa:

    Indítsa újra a jegyzetfüzet kernelét.

Kód futtatása a jegyzetfüzetben

Mindig futtassa a jegyzetfüzet kódcelláinak sorrendjét. A cellák kihagyása hibákhoz vezethet.

Jegyzetfüzetben:

  • A Markdown-cellák szövegeket tartalmaznak, beleértve a HTML-t és a statikus képeket is.
  • A kódcellák kódot tartalmaznak. Miután kijelölt egy kódcellát, futtassa a kódot a cellában a cella bal oldalán található Lejátszás ikonra kattintva vagy a SHIFT+ENTER billentyűkombinációval.

Futtassa például a következő kódcellát a jegyzetfüzetben:

# This is your first code cell. This cell contains basic Python code.

# You can run a code cell by selecting it and then selecting
# the Play button to the left of the cell, or by pressing SHIFT+ENTER.
# Code output displays below the code.

print("Congratulations, you just ran this code cell")

y = 2 + 2

print("2 + 2 =", y)

A mintakód a következő kimenetet hozza létre:

Congratulations, you just ran this code cell

2 + 2 = 4

A jegyzetfüzet kódcellájában beállított változók megmaradnak a cellák között, így egymáshoz láncolják a cellákat. Az alábbi kódcella például az előző cella értékét y használja:

# Note that output from the last line of a cell is automatically
# sent to the output cell, without needing the print() function.

y + 2

A kimenet a következő:

6

Az összes Microsoft Sentinel-jegyzetfüzet letöltése

Ez a szakasz azt ismerteti, hogyan töltheti le a Gittel a Microsoft Sentinel GitHub-adattárban elérhető összes jegyzetfüzetet a Microsoft Sentinel-jegyzetfüzetből közvetlenül az Azure Machine Learning-munkaterületre.

A Microsoft Sentinel-jegyzetfüzetek Azure Machine Learning-munkaterületen való tárolásával egyszerűen frissítheti őket.

  1. Egy Microsoft Sentinel-jegyzetfüzetben írja be a következő kódot egy üres cellába, majd futtassa a cellát:

    !git clone https://github.com/Azure/Azure-Sentinel-Notebooks.git azure-sentinel-nb
    

    A GitHub-adattár tartalmának másolata az Azure Machine Learning-munkaterület felhasználói mappájának Azure-Sentinel-nb könyvtárában jön létre.

  2. Másolja a kívánt jegyzetfüzeteket ebből a mappából a munkakönyvtárba.

  3. Ha frissíteni szeretné a jegyzetfüzeteket a GitHub legutóbbi módosításaival, futtassa a következőt:

    !cd azure-sentinel-nb && git pull