A Microsoft Sentinel és a Microsoft Purview integrálása

A Microsoft Purview lehetővé teszi a szervezetek számára a bizalmas adatok tárolási helyét, így segítve a veszélyeztetett adatok védelmének rangsorolását. A Microsoft Purview integrálása a Microsoft Sentinel segítségével leszűkítheti a Microsoft Sentinel megjelenő incidensek és fenyegetések nagy mennyiségét, és megismerheti a legkritikusabb kezdési területeket.

Első lépésként töltse be saját Microsoft Purview-naplóit egy adatösszekötőn keresztül a Microsoft Sentinelbe. Ezután egy Microsoft Sentinel munkafüzetben megtekintheti az adatokat, például a beolvasott objektumokat, a talált besorolásokat és a Microsoft Purview által alkalmazott címkéket. Elemzési szabályokkal riasztásokat hozhat létre az adatok érzékenységében bekövetkező változásokhoz.

Testre szabhatja a Microsoft Purview munkafüzet- és elemzési szabályait a szervezet igényeinek megfelelően, és a Microsoft Purview-naplókat kombinálhatja más forrásokból betöltött adatokkal, így gazdagított elemzéseket hozhat létre Microsoft Sentinel belül.

Előfeltételek

Mielőtt hozzákezd, győződjön meg arról, hogy egy Microsoft Sentinel-munkaterület és a Microsoft Purview is elő van készítve, és hogy a felhasználó a következő szerepkörökhöz tartozik:

  • Microsoft Purview-fióktulajdonosi vagy közreműködői szerepkör a diagnosztikai beállítások beállításához és az adatösszekötő konfigurálásához.

  • Egy Microsoft Sentinel Közreműködő szerepkör, amely írási engedélyekkel rendelkezik az adatösszekötő engedélyezéséhez, a munkafüzet megtekintéséhez és elemzési szabályok létrehozásához.

  • A Microsoft Sentinelhez engedélyezett Log Analytics-munkaterületre telepített Microsoft Purview-megoldás.

    A Microsoft Purview-megoldás egy kötegbe foglalt tartalomkészlet, beleértve a kifejezetten a Microsoft Purview-adatokhoz konfigurált adatösszekötőt, munkafüzetet és elemzési szabályokat. További információkért lásd: A Microsoft Sentinel tartalma és megoldásai, valamint A Microsoft Sentinel beépített tartalmainak felderítése és kezelése.

    Az adatösszekötő engedélyezésére vonatkozó utasítások az Microsoft Sentinel Microsoft Purview adatösszekötő oldalán is elérhetők.

Microsoft Purview-adatok betöltésének megkezdése a Microsoft Sentinelbe

Konfigurálja a diagnosztikai beállításokat úgy, hogy a Microsoft Purview adatérzékenységi naplói a Microsoft Sentinelbe legyenek továbbítva, majd futtasson egy Microsoft Purview-vizsgálatot az adatok betöltésének elindításához.

A diagnosztikai beállítások csak a teljes vizsgálat futtatása után küldenek naplóeseményeket, vagy ha változás észlelhető egy növekményes vizsgálat során. A naplók megjelenése általában körülbelül 10–15 percet vesz igénybe a Microsoft Sentinel.

Az adat bizalmassági naplóinak Microsoft Sentinel való áramlásának engedélyezése:

  1. Keresse meg a Microsoft Purview-fiókját az Azure Portalon belül, majd válassza a Diagnosztikai beállítások lehetőséget.

    Képernyőkép a Microsoft Purview-fiók diagnosztikai beállításainak oldaláról.

  2. Válassza a + Diagnosztikai beállítás hozzáadása lehetőséget, és konfigurálja az új beállítást, hogy naplókat küldjön a Microsoft Purview-ból Microsoft Sentinel:

    • Adjon meg egy kifejező nevet a beállításnak.
    • A Naplók területen válassza a DataSensitivityLogEvent lehetőséget.
    • A Cél részletei területen válassza a Küldés Log Analytics-munkaterületre lehetőséget, majd válassza ki a Microsoft Sentinel használt előfizetési és munkaterületi adatokat.

  3. Válassza a Mentés elemet.

További információ: Microsoft Sentinel csatlakoztatása más Microsoft-szolgáltatásokhoz diagnosztikai beállításokon alapuló kapcsolatok használatával.

Microsoft Purview-vizsgálat futtatásához és az adatok megtekintéséhez a Microsoft Sentinelben:

  1. A Microsoft Purview-ban futtassa az erőforrások teljes vizsgálatát. További információ: Adatforrások vizsgálata a Microsoft Purview-ban.

  2. Miután befejeződtek a Microsoft Purview-vizsgálatok, lépjen vissza a Microsoft Sentinelben található Microsoft Purview-adatösszekötőhöz, és ellenőrizze, hogy megérkeztek-e az adatok.

A Microsoft Purview által felderített legutóbbi adatok megtekintése

A Microsoft Purview megoldás két beépített elemzési szabálysablont biztosít, amelyeket engedélyezhet, köztük egy általános szabályt és egy testre szabott szabályt.

  • Az általános verzió, az elmúlt 24 órában felderített bizalmas adatok figyeli az adattulajdonban található besorolások észlelését egy Microsoft Purview-vizsgálat során.
  • Az elmúlt 24 órában észlelt bizalmas adatok – Testre szabott, figyeli és generálja a riasztásokat minden alkalommal, amikor a rendszer észleli a megadott besorolást, például a társadalombiztosítási számot.

Használd a Modify the Microsoft Purview analitikai szabálysablonok eljárását, hogy testreszabd a Microsoft Purview analitikai szabályok lekérdezéseit, hogy azonosítsanak eszközöket, amelyek speciális osztályozással, érzékenységi címkével, forrásterülettel és egyéb eszközökkel rendelkeznek. Az észlelések és riasztások bővítése érdekében kombinálja a létrehozott adatokat a Microsoft Sentinel más adataival.

Megjegyzés:

Microsoft Sentinel elemzési szabályok olyan KQL-lekérdezések, amelyek gyanús tevékenység észlelésekor riasztásokat aktiválnak. Szabja testre és csoportosítsa a szabályait, hogy az SOC-csapat által kivizsgálható incidenseket hozzon létre.

A Microsoft Purview elemzési szabálysablonjainak módosítása

Az alábbi lépésekkel létrehozhat és testre szabhat egy Microsoft Purview elemzési szabályt a beépített sablonból.

  1. A Microsoft Sentinelben nyissa meg a Microsoft Purview megoldást, majd keresse meg és válassza ki az Az elmúlt 24 órában felderített bizalmas adatok – testreszabott szabályt. Az oldalsó panelen válassza a Szabály létrehozása lehetőséget, ha új szabályt szeretne létrehozni a sablon alapján.

  2. Lépjen a Configuration>Analytics oldalra, és válassza az Aktív szabályok lehetőséget. Keressen rá az elmúlt 24 órában felderített bizalmas adatok – testreszabott szabályra.

    Alapértelmezés szerint az Microsoft Sentinel megoldások által létrehozott elemzési szabályok le vannak tiltva. A folytatás előtt mindenképpen engedélyezze a szabályt a munkaterületen:

    1. Válassza ki a szabályt. Az oldalsó panelen válassza a Szerkesztés lehetőséget.

    2. Az elemzési szabály varázslójának Általános lapjának alján állítsa az Állapot beállítástEngedélyezve értékre.

  3. A Szabálylogika beállítása lapon módosítsa a Szabály lekérdezést azoknak az adatmezőknek és besorolásoknak a lekérdezéséhez, amelyekhez riasztásokat szeretne létrehozni. A lekérdezésben szereplő adatokról az alábbiakban talál további információt:

    A formázott lekérdezések szintaxisa a következő: | where {data-field} contains {specified-string}.

    Például:

    PurviewDataSensitivityLogs
| where Classification contains “Social Security Number”
| where SourceRegion contains “westeurope”
| where SourceType contains “Amazon”
| where TimeGenerated > ago (24h)

    További információt a mintakérésben PurviewDataSensitivityLogs használt elemekről a Kusto dokumentációban találhatunk:

    További információ a KQL-ről: Kusto lekérdezésnyelv (KQL) áttekintése.

    Egyéb erőforrások:

  4. A Lekérdezés ütemezése területen adja meg a beállításokat, hogy a szabályok az elmúlt 24 órában felderített adatokat jelenítsen meg. Azt is javasoljuk, hogy állítsa be az eseménycsoportozást úgy, hogy az összes eseményt egyetlen riasztásba csoportosítsa.

    Képernyőkép az elmúlt 24 órában észlelt adatok megjelenítéséhez definiált elemzési szabály varázslóról.

  5. Szükség esetén testre szabhatja az Incidensbeállításokat és az Automatikus válasz lapokat. Az Incidensek beállításai lapon például ellenőrizze, hogy az Incidensek létrehozása az ezzel az elemzési szabálysal aktivált riasztásokból jelölőnégyzet be van-e jelölve.

  6. A Véleményezés + létrehozás lapon válassza a Mentés lehetőséget.

További információ: Egyéni elemzési szabályok létrehozása a fenyegetések észleléséhez.

Microsoft Purview-adatok megtekintése Microsoft Sentinel munkafüzetekben

Az alábbi lépésekkel hozzáadhatja a Microsoft Purview munkafüzetet a munkaterülethez, és megnyithatja azt.

  1. A Microsoft Sentinel nyissa meg a Microsoft Purview megoldást, majd keresse meg és válassza ki a Microsoft Purview-munkafüzetet. Az oldalsó panelen válassza a Konfiguráció lehetőséget a munkafüzet munkaterülethez való hozzáadásához.

  2. A Microsoft Sentinel Fenyegetéskezelés területén válassza a Munkafüzetek>Saját munkafüzetek lehetőséget, és keresse meg a Microsoft Purview-munkafüzetet. Mentse a munkafüzetet a munkaterületre, majd válassza a Mentett munkafüzet megtekintése lehetőséget. Például:

    Képernyőkép a Microsoft Purview-munkafüzetről.

A Microsoft Purview-munkafüzet a következő lapokat jeleníti meg:

  • Áttekintés: Megjeleníti azokat a régiókat és erőforrástípusokat, ahol az adatok találhatók.
  • Besorolások: A megadott besorolásokat, például hitelkártyaszámokat tartalmazó eszközöket jeleníti meg.
  • Bizalmassági címkék: Megjeleníti a bizalmas címkéket tartalmazó eszközöket, valamint azokat az eszközöket, amelyek jelenleg nem rendelkeznek címkével.

Részletes elemzés a Microsoft Purview-munkafüzetben:

  • Válasszon ki egy adott adatforrást, hogy az Azure-beli erőforráshoz ugorjon.
  • Az eszköz elérési útjára mutató hivatkozás kiválasztásával további részletek jeleníthetők meg, beleértve a beolvasott naplókban szereplő összes adatmezőt.
  • Jelöljön ki egy sort az Adatforrás, besorolás vagy Bizalmassági címke táblákban az eszközszintű adatok konfigurált módon történő szűréséhez.

A Microsoft Purview-események által kiváltott incidensek vizsgálata

A Microsoft Purview-elemzési szabályok által aktivált incidensek vizsgálatakor részletes információkat talál az incidens eseményeiben található objektumokról és besorolásokról.

Például:

Képernyőkép a Purview-események által aktivált incidensről.

Kapcsolódó tartalom

További információ:

  • Utolsó frissítés időpontja: