Fenyegetésfelderítés importálása Microsoft Sentinel az upload API-val (előzetes verzió)

  • A következőre érvényes:: Microsoft Sentinel in the Azure portal

Az upload API-val való Microsoft Sentinel használandó fenyegetésfelderítés importálása. Akár fenyegetésfelderítési platformot, akár egyéni alkalmazást használ, ezt a dokumentumot kiegészítő hivatkozásként használhatja a TIPP csatlakoztatása a feltöltési API-hoz című témakör utasításaihoz. Az API-hoz való csatlakozáshoz nincs szükség az adatösszekötő telepítésére. Az importálható fenyegetésfelderítés biztonsági réseket és más STIX-tartományi objektumokat is tartalmaz.

Fontos

Ez az API jelenleg előzetes verzióban érhető el. Az Azure előzetes verzió kiegészítő feltételei további jogi feltételeket tartalmaznak, amelyek Azure bétaverzióban, előzetes verzióban vagy más módon még nem általánosan elérhető funkciókra vonatkoznak.

A Structured Threat Information Expression (STIX) a kiberfenyegetések és a megfigyelhető információk kifejezésére szolgáló nyelv. Az upload API a következő tartományi objektumok fokozott támogatását tartalmazza:

  • Mutató
  • támadási minta
  • fenyegetés aktor
  • identitás
  • kapcsolat

További információ: Bevezetés a STIX használatába.

Megjegyzés:

Az előző feltöltési mutatók API már örökölt. Ha erre az API-ra kell hivatkoznia az új feltöltési API-ra való áttérés során, tekintse meg az örökölt feltöltési mutatók API-ját ismertető cikket.

Az API meghívása

Az upload API meghívása öt összetevőből áll:

  1. A kérelem URI-ja
  2. HTTP-kérés üzenetfejléce
  3. HTTP-kérés üzenettörzse
  4. A HTTP-válasz üzenetfejlécének feldolgozása igény szerint
  5. A HTTP-válaszüzenet törzsének feldolgozása opcionálisan

Ügyfélalkalmazás regisztrálása a Microsoft Entra ID

A Microsoft Sentinel hitelesítéséhez az upload API-nak küldött kéréshez érvényes Microsoft Entra hozzáférési jogkivonatra van szükség. Az alkalmazásregisztrációval kapcsolatos további információkért lásd: Alkalmazás regisztrálása a Microsoft Identitásplatform, vagy tekintse meg az alapvető lépéseket a Fenyegetésfelderítés csatlakoztatása az upload API beállításához.

Ehhez az API-hoz a hívási Microsoft Entra alkalmazásnak Microsoft Sentinel közreműködői szerepkört kell biztosítani a munkaterület szintjén.

A kérés létrehozása

Ez a szakasz a korábban tárgyalt öt összetevő közül az első háromat ismerteti. Először be kell szereznie a hozzáférési jogkivonatot Microsoft Entra ID, amelyet a kérés üzenetfejlécének összeállításához használ.

Hozzáférési jogkivonat beszerzése

Szerezzen be egy Microsoft Entra hozzáférési jogkivonatot OAuth 2.0-hitelesítéssel. A V1.0 és a V2.0 az API által elfogadott érvényes jogkivonatok.

A jogkivonat (v1.0 vagy v2.0) fogadott verzióját az accessTokenAcceptedVersion alkalmazás által hívott API alkalmazásjegyzékében lévő tulajdonság határozza meg. Ha accessTokenAcceptedVersion az értéke 1, akkor az alkalmazás egy 1.0-s jogkivonatot kap.

A Microsoft Authentication Library (MSAL) használatával beszerezhet egy 1.0-s vagy 2.0-s verziós hozzáférési jogkivonatot. A hozzáférési jogkivonat használatával hozza létre a tulajdonosi jogkivonatot tartalmazó engedélyezési fejlécet.

Az upload API-nak küldött kérés például a következő elemeket használja egy hozzáférési jogkivonat lekéréséhez és az engedélyezési fejléc létrehozásához, amelyet az egyes kérések használnak:

  • POST https://login.microsoftonline.com/{{tenantId}}/oauth2/v2.0/token

Fejlécek Microsoft Entra alkalmazás használatához:

  • grant_type: "client_credentials"
  • client_id: {Az Microsoft Entra App ügyfél-azonosítója}
  • client_secret vagy client_certificate: {a Microsoft Entra app titkos kódjai}
  • Hatókör: "https://management.azure.com/.default"

Ha accessTokenAcceptedVersion az alkalmazásjegyzékben 1 értékre van állítva, az alkalmazás 1.0-s hozzáférési jogkivonatot kap annak ellenére, hogy a v2-jogkivonat végpontját hívja meg.

Az erőforrás/hatókör értéke a jogkivonat célközönsége. Ez az API csak a következő célközönségeket fogadja el:

  • https://management.core.windows.net/
  • https://management.core.windows.net
  • https://management.azure.com/
  • https://management.azure.com

A kérelemüzenet összeállítása

Kérelem URI-ja

API-verziószámozás: api-version=2024-02-01-preview
Végpont: https://api.ti.sentinel.azure.com/workspaces/{workspaceId}/threat-intelligence-stix-objects:upload?api-version={apiVersion}
Módszer: POST

Kérelem fejléce

Authorization: Az OAuth2 tulajdonosi jogkivonatát tartalmazza
Content-Type: application/json

Kérelem törzse

A törzs JSON-objektuma a következő mezőket tartalmazza:

Mező neve Adattípus Leírás
sourcesystem (kötelező) karakterlánc Azonosítsa a forrásrendszer nevét. Az érték Microsoft Sentinel korlátozott.
stixobjects (kötelező) tömb STIX-objektumok tömbje STIX 2.0 vagy 2.1 formátumban

A STIX-objektumok tömbjének létrehozása a STIX formátumspecifikáció használatával. A STIX-tulajdonságspecifikációk némelyike itt kibővült a megfelelő STIX-dokumentumszakaszokra mutató hivatkozásokkal. Figyelje meg azt is, hogy egyes tulajdonságok , amelyek a STIX esetében érvényesek, nem rendelkeznek megfelelő objektumséma-tulajdonságokkal Microsoft Sentinel.

Figyelmeztetés

Ha Microsoft Sentinel Logikai alkalmazást használ a feltöltési API-hoz való csatlakozáshoz, vegye figyelembe, hogy három fenyegetésfelderítési művelet érhető el. Csak a Fenyegetésfelderítés – STIX-objektumok feltöltése (előzetes verzió) lehetőséget használja. A másik kettő ezzel a végpont- és JSON-törzsmezővel meghiúsul.

Mintakérési üzenet

Íme egy powershell-mintafüggvény, amely egy Entra alkalmazásregisztrációba feltöltött önaláírt tanúsítványt használ a hozzáférési jogkivonat és az engedélyezési fejléc létrehozásához:

function Test-UploadApi {
<#
.SYNOPSIS
    requires Powershell module MSAL.PS version 4.37 or higher
    https://www.powershellgallery.com/packages/MSAL.PS/
.EXAMPLE
    Test-Api -API UploadApi -WorkspaceName "workspacename" -ResourceGroupName "rgname" -AppId "00001111-aaaa-2222-bbbb-3333cccc4444" -TenantName "contoso.onmicrosoft.com" -FilePath "C:\Users\user\Documents\stixobjects.json"
#>
[CmdletBinding()]
param (
    [Parameter(Mandatory = $true)]
    [string]$TenantName,
    [Parameter(Mandatory = $true)]
    [string]$CertThumbprint,
    [Parameter(Mandatory = $true)]
    [string]$AppId,
    [Parameter(Mandatory = $true)]
    [string]$WorkspaceId,
    [Parameter(Mandatory = $true)]
    [string]$FilePath
)
$Scope = "https://management.azure.com/.default"
# Connection details for getting initial token with self-signed certificate from local store
$connectionDetails = @{
    'TenantId'          = $TenantName
    'ClientId'          = $AppId
    'ClientCertificate' = Get-Item -Path "Cert:\CurrentUser\My\$CertThumbprint"
    scope               = $Scope
}
# Request the token
#  Using Powershell module MSAL.PS https://www.powershellgallery.com/packages/MSAL.PS/
#  Get-MsalToken is automatically using OAuth 2.0 token endpoint https://login.microsoftonline.com/$TenantName/oauth2/v2.0/token
#  and sets auth flow to grant_type = 'client_credentials'
$token = Get-MsalToken @connectionDetails

# Create header
#  Again relying on MSAL.PS which has method CreateAuthorizationHeader() getting us the bearer token
$Header = @{
    'Authorization' = $token.CreateAuthorizationHeader()
}
$Uri = "https://api.ti.sentinel.azure.com/workspaces/$workspaceId/threat-intelligence-stix-objects:upload?api-version=$apiVersion"
$stixobjects = get-content -path $FilePath
if(-not $stixobjects) { Write-Host "No file found at $FilePath"; break }
$results = Invoke-RestMethod -Uri $Uri -Headers $Header -Body $stixobjects -Method POST -ContentType "application/json"

$results | ConvertTo-Json -Depth 4
}

Gyakori tulajdonságok

Az upload API-val importált összes objektum ezeket a közös tulajdonságokat használja.

Tulajdonság neve Típus Leírás
id (kötelező) karakterlánc A STIX-objektum azonosítására használt azonosító. A 2.9-es szakaszban talál további információt a létrehozásukról id. A formátum a következőképpen néz ki: indicator--<UUID>
spec_version (nem kötelező) karakterlánc STIX-objektum verziója. Ez az érték kötelező a STIX-specifikációban, de mivel ez az API csak a STIX 2.0-t és a 2.1-et támogatja, ha ez a mező nincs beállítva, az API alapértelmezés szerint a következőre van beállítva: 2.0
type (kötelező) karakterlánc A tulajdonság értékének támogatott STIX-objektumnak kell lennie.
created (kötelező) timestamp A közös tulajdonság specifikációiért lásd a 3.2 . szakaszt.
created_by_ref (nem kötelező) karakterlánc A created_by_ref tulajdonság határozza meg az objektumot létrehozó entitás ID tulajdonságát.

Ha ezt az attribútumot nem adja meg, az információ forrása nincs meghatározva. Azoknak az objektumkészítőknek, akik névtelenek szeretnének maradni, ne definiálják ezt az értéket.
modified (kötelező) timestamp A közös tulajdonság specifikációiért lásd a 3.2 . szakaszt.
revoked (nem kötelező) Logikai A visszavont objektumokat az objektum létrehozója már nem tekinti érvényesnek. Egy objektum visszavonása végleges; az objektum jövőbeli verzióit ezzel idnem szabad létrehozni.

A tulajdonság alapértelmezett értéke hamis.
labels (nem kötelező) sztringek listája A labels tulajdonság az objektum leírásához használt kifejezések halmazát adja meg. A kifejezések felhasználó által definiált vagy megbízhatósági csoportként vannak definiálva. Ezek a címkék címkékként jelennek meg a Microsoft Sentinel.
confidence (nem kötelező) egész szám A confidence tulajdonság azonosítja azt a megbízhatóságot, amelyet a létrehozó az adatok helyességében élvez. A megbízhatósági értéknek 0 és 100 közötti számnak kell lennie.

Az A függelék az egyéb megbízhatósági skálákra vonatkozó normatív leképezéseket tartalmazó táblázatot tartalmaz, amelyet a megbízhatósági értéknek az egyik skálán való bemutatásakor kell használni.

Ha a megbízhatósági tulajdonság nem található, akkor a tartalom megbízhatósága nincs meghatározva.
lang (nem kötelező) karakterlánc A lang tulajdonság azonosítja az objektum szöveges tartalmának nyelvét. Jelen esetben a RFC5646 megfelelő nyelvi kódnak kell lennie. Ha a tulajdonság nincs jelen, akkor a tartalom en nyelve (angol).

Ennek a tulajdonságnak jelen kell lennie, ha az objektumtípus lefordítható szövegtulajdonságokat (például nevet, leírást) tartalmaz.

Az objektum egyes mezőinek nyelve felülbírálhatja a lang tulajdonságot részletes jelölésekkel (lásd a 7.2.3 szakaszt).
object_marking_refs (nem kötelező, beleértve a TLP-t is) sztringek listája A object_marking_refs tulajdonság az objektumra vonatkozó jelölődefiníciós objektumok azonosítótulajdonságainak listáját adja meg. Használja például a Traffic Light Protocol (TLP) jelölődefiníció-azonosítóját a mutatóforrás érzékenységének kijelöléséhez. A TLP-tartalomhoz használandó jelölésdefiníciós azonosítók részleteiért lásd a 7.2.1.4 szakaszt

Bizonyos esetekben, bár nem gyakori, a definíciók megjelölése megosztási vagy kezelési útmutatóval is megjelölhető. Ebben az esetben ez a tulajdonság nem tartalmazhat ugyanahhoz a jelölődefiníciós objektumhoz kapcsolódó hivatkozásokat (vagyis nem tartalmazhat körkörös hivatkozásokat).

Az adatjelölések további meghatározásához lásd a 7.2.2 szakaszt.
external_references (nem kötelező) objektumlista A external_references tulajdonság olyan külső hivatkozások listáját adja meg, amelyek nem STIX-információkra hivatkoznak. Ez a tulajdonság egy vagy több URL-cím, leírás vagy azonosító megadására szolgál más rendszerek rekordjai számára.
granular_markings (nem kötelező) részletes jelölések listája A granular_markings tulajdonság segít a mutató részeinek eltérő meghatározásában. Például a mutató nyelve angol, en de a leírás német, de.

Bizonyos esetekben, bár nem gyakori, a definíciók megjelölése megosztási vagy kezelési útmutatóval is megjelölhető. Ebben az esetben ez a tulajdonság nem tartalmazhat ugyanahhoz a jelölődefiníciós objektumhoz kapcsolódó hivatkozásokat (vagyis nem tartalmazhat körkörös hivatkozásokat).

Az adatjelölések további meghatározásához lásd a 7.2.3 szakaszt.

További információ: STIX – gyakori tulajdonságok.

Mutató

Tulajdonság neve Típus Leírás
name (nem kötelező) karakterlánc A mutató azonosítására használt név.

A termelőknek meg kell adniuk ezt a tulajdonságot, hogy segítsenek a termékeknek és az elemzőknek megérteni, hogy ez a mutató valójában mit csinál.
description (nem kötelező) karakterlánc Egy leírás, amely további részleteket és kontextust biztosít a mutatóról, beleértve annak célját és fő jellemzőit is.

A termelőknek meg kell adniuk ezt a tulajdonságot, hogy segítsenek a termékeknek és az elemzőknek megérteni, hogy ez a mutató valójában mit csinál.
indicator_types (nem kötelező) sztringek listája A mutató kategorizálásainak halmaza.

A tulajdonság értékeinek a mutató-típus-ov típusból kell származnia
pattern (kötelező) karakterlánc A mutató észlelési mintája STIX-mintázatként vagy más megfelelő nyelvként (például SNORT, YARA stb.) fejezhető ki.
pattern_type (kötelező) karakterlánc A mutatóban használt mintanyelv.

A tulajdonság értékének mintatípusokbólkell származnia.

A tulajdonság értékének meg kell egyeznie a mintatulajdonságban szereplő mintaadatok típusával.
pattern_version (nem kötelező) karakterlánc A mintatulajdonságban lévő adatokhoz használt mintanyelv verziója, amelynek meg kell egyeznie a mintatulajdonságban szereplő mintaadatok típusával.

A formális specifikációval nem rendelkező minták esetében azt a build- vagy kódverziót kell használni, amellyel a minta ismert.

A STIX-mintanyelv esetében az objektum specifikációs verziója határozza meg az alapértelmezett értéket.

Más nyelvek esetén az alapértelmezett értéknek a mintázatnyelv legújabb verziójának kell lennie az objektum létrehozásakor.
valid_from (kötelező) timestamp Az az idő, amelytől ezt a mutatót érvényesnek tekintik a kapcsolódó vagy ábrázolt viselkedések szempontjából.
valid_until (nem kötelező) timestamp Az az időpont, amikor ez a mutató már nem tekinthető érvényes mutatónak azokhoz a viselkedésekhez, amelyekhez kapcsolódik vagy amelyeket képvisel.

Ha a valid_until tulajdonság nincs megadva, akkor nincs korlátozás arra az időpontra vonatkozóan, amelyre a mutató érvényes.

Ennek az időbélyegnek nagyobbnak kell lennie a valid_from időbélyegnél.
kill_chain_phases (nem kötelező) sztringlista A leölési lánc fázisai, amelyekhez ez a mutató megfelel.

Ennek a tulajdonságnak az értékének a kill chain fázisbólkell származnia.

További információ: STIX-mutató.

Támadási minta

Kövesse a STIX-specifikációkat a támadási minta STIX-objektumának létrehozásához. Használja ezt a példát további referenciaként.

További információ: STIX-támadási minta.

Identitás

Kövesse a STIX-specifikációkat egy identitás STIX-objektum létrehozásához. Használja ezt a példát további referenciaként.

További információ: STIX-identitás.

Fenyegetés szereplője

Kövesse a STIX-specifikációkat a fenyegetéselktor STIX-objektumának létrehozásához. Használja ezt a példát további referenciaként.

További információ: STIX-fenyegetési aktor.

Kapcsolat

Kövesse a STIX-specifikációkat kapcsolati STIX-objektum létrehozásához. Használja ezt a példát további referenciaként.

További információ: STIX-kapcsolat.

A válaszüzenet feldolgozása

A válaszfejléc egy HTTP-állapotkódot tartalmaz. Ebben a táblázatban további információt talál az API-hívás eredményének értelmezéséről.

Állapotkód Leírás
200 Siker. Az API 200 értéket ad vissza, ha egy vagy több STIX-objektum ellenőrzése és közzététele sikeresen megtörtént.
400 Hibás formátum. A kérésben szereplő valami nem megfelelően van formázva.
401 Jogosulatlan.
404 A fájl nem található. Ez a hiba általában akkor fordul elő, ha a munkaterület-azonosító nem található.
429 Túllépte a kérések maximális számát egy perc alatt.
500 Kiszolgálóhiba. Általában hiba az API-ban vagy Microsoft Sentinel szolgáltatásokban.

A válasz törzse hibaüzenetek tömbje JSON formátumban:

Mező neve Adattípus Leírás
Hibák Hibaobjektumok tömbje Érvényesítési hibák listája

Hibaobjektum

Mező neve Adattípus Leírás
recordIndex Int A kérelemBEN szereplő STIX-objektumok indexe
errorMessages Sztringek tömbje Hibaüzenetek

Az API szabályozási korlátai

Minden korlátozás felhasználónként van alkalmazva:

  • Kérésenként 100 objektum.
  • 100 kérés percenként.

Ha a korlátnál több kérés van, 429 a rendszer a válaszfejlécben egy HTTP-állapotkódot ad vissza a következő választörzsgel:

{
    "statusCode": 429,
    "message": "Rate limit is exceeded. Try again in <number of seconds> seconds."
}

A szabályozási hiba beérkezése előtt körülbelül 10 000 objektum/perc a maximális átviteli sebesség.

Minta mutató kérelemtörzse

Az alábbi példa bemutatja, hogyan jelölhet két mutatót a STIX-specifikációban. Test Indicator 2 kiemeli a Traffic Light Protocol (TLP) fehérre van állítva a leképezett objektum jelölésével, és a leírás és a címkék angol nyelvűek.

{
    "sourcesystem": "test", 
    "stixobjects":[
        {
            "type": "indicator",
            "spec_version": "2.1",
            "id": "indicator--10000003-71a2-445c-ab86-927291df48f8", 
            "name": "Test Indicator 1",
            "created": "2010-02-26T18:29:07.778Z", 
            "modified": "2011-02-26T18:29:07.778Z",
            "pattern": "[ipv4-addr:value = '172.29.6.7']", 
            "pattern_type": "stix",
            "valid_from": "2015-02-26T18:29:07.778Z"
        },
        {
            "type": "indicator",
            "spec_version": "2.1",
            "id": "indicator--67e62408-e3de-4783-9480-f595d4fdae52", 
            "created": "2023-01-01T18:29:07.778Z",
            "modified": "2025-02-26T18:29:07.778Z",
            "created_by_ref": "identity--19f33886-d196-468e-a14d-f37ff0658ba7", 
            "revoked": false,
            "labels": [
                "label 1",
                "label 2"
            ],
            "confidence": 55, 
            "lang": "en", 
            "external_references": [
                {
                    "source_name": "External Test Source", 
                    "description": "Test Report",
                    "external_id": "e8085f3f-f2b8-4156-a86d-0918c98c498f", 
                    "url": "https://fabrikam.com//testreport.json",
                    "hashes": {
                        "SHA-256": "6db12788c37247f2316052e142f42f4b259d6561751e5f401a1ae2a6df9c674b"
                    }
                }
            ],
            "object_marking_refs": [
                "marking-definition--613f2e26-407d-48c7-9eca-b8e91df99dc9"
            ],
            "granular_markings": [
                {
                    "marking_ref": "marking-definition--beb3ec79-03aa-4594-ad24-09982d399b80", 
                    "selectors": [ "description", "labels" ],
                    "lang": "en"
                }
            ],
            "name": "Test Indicator 2",
            "description": "This is a test indicator to demo valid fields", 
            "indicator_types": [
                "threatstream-severity-low", "threatstream-confidence-80"
            ],
            "pattern": "[ipv4-addr:value = '192.168.1.1']", 
            "pattern_type": "stix",
            "pattern_version": "2.1",
            "valid_from": "2023-01-01T18:29:07.778Z", 
            "valid_until": "2025-02-26T18:29:07.778Z",
            "kill_chain_phases": [
                {
                    "kill_chain_name": "lockheed-martin-cyber-kill-chain", 
                    "phase_name": "reconnaissance"
                }
            ]
        }
    ]
}

Mintaválasz törzse érvényesítési hibával

Ha az összes STIX-objektum ellenőrzése sikeres, a rendszer egy ÜRES választörzset tartalmazó HTTP 200-állapotot ad vissza.

Ha egy vagy több objektum ellenőrzése sikertelen, a rendszer további információkkal adja vissza a válasz törzsét. Ha például négy mutatóval rendelkező tömböt küld, és az első három jó, de a negyedik nem rendelkezik id (kötelező mezővel), akkor a rendszer a következő szöveggel együtt létrehoz egy 200-ás HTTP-állapotkódot:

{
    "errors": [
        {
            "recordIndex":3, 
            "errorMessages": [
                "Error for Property=id: Required property is missing. Actual value: NULL."
            ]
        }
    ]
}

Az objektumok tömbként lesznek elküldve, így a recordIndex kezdete 0.

Egyéb minták

Mintamutató

Ebben a példában a mutató zöld TLP-vel van megjelölve a common tulajdonságban való marking-definition--089a6ecb-cc15-43cc-9494-767639779123 használatávalobject_marking_refs. A és toxicity további bővítményattribútumait rank is tartalmazza. Bár ezek a tulajdonságok nem szerepelnek a jelzők Microsoft Sentinel sémájában, az ilyen tulajdonságokkal rendelkező objektumok betöltése nem vált ki hibát. A tulajdonságokra egyszerűen nincs hivatkozás vagy indexelés a munkaterületen.

Megjegyzés:

Ennek a mutatónak a revoked tulajdonsága értékre van állítva, $true és a valid_until dátuma a múltban van. Ez az állapotjelző nem működik az elemzési szabályokban, és csak akkor jelenik meg a lekérdezésekben, ha meg van adva egy megfelelő időtartomány.

{
    "sourcesystem": "TestStixObjects",
    "stixobjects": [
    {
          "type": "indicator",
          "spec_version": "2.1",
          "id": "indicator--12345678-71a2-445c-ab86-927291df48f8",
          "created": "2010-02-26T18:29:07.778Z",
          "modified": "2011-02-26T18:29:07.778Z",
          "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
          "revoked": true,
          "labels": [
            "heartbleed",
            "has-logo"
          ],
          "confidence": 55,
          "lang": "en",
          "external_references": [
            {
              "source_name": "veris",
              "description": "Threat report",
              "external_id": "0001AA7F-C601-424A-B2B8-BE6C9F5164E7",
              "url": "https://abc.com//example.json",
              "hashes": {
                "SHA-256": "6db12788c37247f2316052e142f42f4b259d6561751e5f401a1ae2a6df9c674b"
              }
            }
          ],
          "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
          ],
          "granular_markings": [
            {
              "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
              "selectors": [
                "description",
                "labels"
              ],
              "lang": "en"
            }
          ],
          "extensions": {
            "extension-definition--d83fce45-ef58-4c6c-a3f4-1fbc32e98c6e": {
              "extension_type": "property-extension",
              "rank": 5,
              "toxicity": 8
            }
          },
          "name": "Indicator 2.1 Test",
          "description": "TS ID: 35766958; iType: bot_ip; State: active; Org: 52.3667; Source: Emerging Threats - Compromised",
          "indicator_types": [
            "threatstream-severity-low",
            "threatstream-confidence-80"
          ],
          "pattern": "[ipv4-addr:value = '94.102.52.185']",
          "pattern_type": "stix",
          "pattern_version": "2.1",
          "valid_from": "2015-02-26T18:29:07.778Z",
          "valid_until": "2016-02-26T18:29:07.778Z",
          "kill_chain_phases": [
            {
              "kill_chain_name": "lockheed-martin-cyber-kill-chain",
              "phase_name": "reconnaissance"
            }
          ]
        }
    ]
}

Támadási mintaminta

Ez a támadási minta és minden más nem mutató STIX-objektum csak akkor tekinthető meg a felügyeleti felületen, ha nem csatlakozik az új STIX-táblákhoz. Az ilyen objektumok KQL-ben való megtekintéséhez szükséges táblákról további információt a Fenyegetésfelderítés megtekintése című témakörben talál.

{
    "sourcesystem": "TestStixObjects",
    "stixobjects": [
        {
          "type": "attack-pattern",
          "spec_version": "2.1",
          "id": "attack-pattern--fb6aa549-c94a-4e45-b4fd-7e32602dad85",
          "created": "2015-05-15T09:12:16.432Z",
          "modified": "2015-05-20T09:12:16.432Z",
          "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
          "revoked": false,
          "labels": [
            "heartbleed",
            "has-logo"
          ],
          "confidence": 55,
          "lang": "en",
          "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
          ],
          "granular_markings": [
            {
              "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
              "selectors": [
                "description",
                "labels"
              ],
              "lang": "en"
            }
          ],
          "extensions": {
            "extension-definition--d83fce45-ef58-4c6c-a3f4-1fbc32e98c6e": {
              "extension_type": "property-extension",
              "rank": 5,
              "toxicity": 8
            }
          },
          "external_references": [
            {
              "source_name": "capec",
              "description": "spear phishing",
              "external_id": "CAPEC-163"
            }
          ],
          "name": "Attack Pattern 2.1",
          "description": "menuPass appears to favor spear phishing to deliver payloads to the intended targets. While the attackers behind menuPass have used other RATs in their campaign, it appears that they use PIVY as their primary persistence mechanism.",
          "kill_chain_phases": [
            {
              "kill_chain_name": "mandiant-attack-lifecycle-model",
              "phase_name": "initial-compromise"
            }
          ],
          "aliases": [
            "alias_1",
            "alias_2"
          ]
        }
    ]
}

Mintakapcsolat a fenyegetés aktorával és identitásával

{
    "sourcesystem": "TestStixObjects",
    "stixobjects": [
    {
          "type": "identity",
          "spec_version": "2.1",
          "id": "identity--733c5838-34d9-4fbf-949c-62aba761184c",
          "created": "2016-08-23T18:05:49.307Z",
          "modified": "2016-08-23T18:05:49.307Z",
          "name": "Identity 2.1",
          "description": "Disco Team is the name of an organized threat actor crime-syndicate.",
          "identity_class": "organization",
          "contact_information": "disco-team@stealthemail.com",
          "roles": [
            "administrators"
          ],
          "sectors": [
            "education"
          ],
          "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
          "revoked": true,
          "labels": [
            "heartbleed",
            "has-logo"
          ],
          "confidence": 55,
          "lang": "en",
          "external_references": [
            {
              "source_name": "veris",
              "description": "Threat report",
              "external_id": "0001AA7F-C601-424A-B2B8-BE6C9F5164E7",
              "url": "https://abc.com//example.json",
              "hashes": {
                "SHA-256": "6db12788c37247f2316052e142f42f4b259d6561751e5f401a1ae2a6df9c674b"
              }
            }
          ],
          "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
          ],
          "granular_markings": [
            {
              "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
              "selectors": [
                "description",
                "labels"
              ],
              "lang": "en"
            }
          ]
        },
        {
          "type": "threat-actor",
          "spec_version": "2.1",
          "id": "threat-actor--dfaa8d77-07e2-4e28-b2c8-92e9f7b04428",
          "created": "2014-11-19T23:39:03.893Z",
          "modified": "2014-11-19T23:39:03.893Z",
          "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
          "revoked": true,
          "labels": [
            "heartbleed",
            "has-logo"
          ],
          "confidence": 55,
          "lang": "en",
          "external_references": [
            {
              "source_name": "veris",
              "description": "Threat report",
              "external_id": "0001AA7F-C601-424A-B2B8-BE6C9F5164E7",
              "url": "https://abc.com//example.json",
              "hashes": {
                "SHA-256": "6db12788c37247f2316052e142f42f4b259d6561751e5f401a1ae2a6df9c674b"
              }
            }
          ],
          "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
          ],
          "granular_markings": [
            {
              "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
              "selectors": [
                "description",
                "labels"
              ],
              "lang": "en"
            }
          ],
          "name": "Threat Actor 2.1",
          "description": "This organized threat actor group operates to create profit from all types of crime.",
          "threat_actor_types": [
            "crime-syndicate"
          ],
          "aliases": [
            "Equipo del Discoteca"
          ],
          "first_seen": "2014-01-19T23:39:03.893Z",
          "last_seen": "2014-11-19T23:39:03.893Z",
          "roles": [
            "agent"
          ],
          "goals": [
            "Steal Credit Card Information"
          ],
          "sophistication": "expert",
          "resource_level": "organization",
          "primary_motivation": "personal-gain",
          "secondary_motivations": [
            "dominance"
          ],
          "personal_motivations": [
            "revenge"
          ]
        },
        {
          "type": "relationship",
          "spec_version": "2.1",
          "id": "relationship--a2e3efb5-351d-4d46-97a0-6897ee7c77a0",
          "created": "2020-02-29T18:01:28.577Z",
          "modified": "2020-02-29T18:01:28.577Z",
          "relationship_type": "attributed-to",
          "description": "Description Relationship 2.1",
          "source_ref": "threat-actor--dfaa8d77-07e2-4e28-b2c8-92e9f7b04428",
          "target_ref": "identity--733c5838-34d9-4fbf-949c-62aba761184c",
          "start_time": "2020-02-29T18:01:28.577Z",
          "stop_time": "2020-03-01T18:01:28.577Z",
          "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
          "revoked": true,
          "labels": [
            "heartbleed",
            "has-logo"
          ],
          "confidence": 55,
          "lang": "en",
          "external_references": [
            {
              "source_name": "veris",
              "description": "Threat report",
              "external_id": "0001AA7F-C601-424A-B2B8-BE6C9F5164E7",
              "url": "https://abc.com//example.json",
              "hashes": {
                "SHA-256": "6db12788c37247f2316052e142f42f4b259d6561751e5f401a1ae2a6df9c674b"
              }
            }
          ],
          "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
          ],
          "granular_markings": [
            {
              "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
              "selectors": [
                "description",
                "labels"
              ],
              "lang": "en"
            }
          ]
        }
    ]
}

Következő lépések

A fenyegetésfelderítés Microsoft Sentinel való használatáról az alábbi cikkekben talál további információt:

  • Utolsó frissítés időpontja: