Di Microsoft Sentinel, bekerja dengan aturan analisis deteksi nyaris waktu nyata (NRT)

  • Berlaku untuk: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Penting

Deteksi kustom sekarang menjadi cara terbaik untuk membuat aturan baru di seluruh Microsoft Sentinel SIEM Microsoft Defender XDR. Dengan deteksi kustom, Anda dapat mengurangi biaya penyerapan, mendapatkan deteksi real-time tanpa batas, dan mendapat manfaat dari integrasi yang mulus dengan data, fungsi, dan tindakan remediasi Defender XDR dengan pemetaan entitas otomatis. Untuk informasi selengkapnya, baca Deteksi kustom sekarang menjadi pengalaman terpadu untuk membuat deteksi di Microsoft Defender XDR.

Aturan analitik hampir real-time Microsoft Sentinel menyediakan deteksi ancaman terkini secara langsung. Aturan analitik nyaris real-time dirancang agar sangat responsif dengan menjalankan kueri pada interval hanya satu menit.

Untuk saat ini, templat aturan NRT memiliki aplikasi terbatas, seperti yang diuraikan dalam Pertimbangan untuk aturan NRT, tetapi teknologi berkembang dan berkembang dengan cepat.

Penting

Setelah 31 Maret 2027, Microsoft Sentinel tidak akan lagi didukung di portal Microsoft Azure dan hanya akan tersedia di portal Pertahanan Microsoft. Semua pelanggan yang menggunakan Microsoft Sentinel di portal Microsoft Azure akan dialihkan ke portal Defender dan hanya akan menggunakan Microsoft Sentinel di portal Defender.

Jika Anda masih menggunakan Microsoft Sentinel di portal Microsoft Azure, kami sarankan Anda mulai merencanakan transisi ke portal Defender untuk memastikan transisi yang lancar dan memanfaatkan sepenuhnya pengalaman operasi keamanan terpadu yang ditawarkan oleh Pertahanan Microsoft.

Lihat aturan near-real-time (NRT)

Untuk melihat aturan NRT yang sudah ada, filter daftar aturan analitik menurut jenis aturan:

Untuk melihat aturan NRT di portal Defender:

  1. Dari menu navigasi Pertahanan Microsoft, perluas Microsoft Sentinel, lalu Konfigurasi. Pilih Analitik.

  2. Pada layar Analitik, dengan tab Aturan aktif dipilih, saring daftar untuk templat NRT:

    1. Pilih Tambahkan filter dan pilih Jenis aturan dari daftar filter.

    2. Dari daftar yang dihasilkan, pilih NRT. Lalu, pilih Terapkan.

Buat aturan NRT

Buat aturan NRT dengan mengikuti prosedur yang sama seperti aturan analitik kueri terjadwal reguler:

Untuk membuat aturan NRT di portal Defender:

  1. Dari menu navigasi Pertahanan Microsoft, perluas Microsoft Sentinel, lalu Konfigurasi. Pilih Analitik.

  2. Di bilah tindakan di bagian atas tabel, pilih +Buat dan pilih Aturan Kueri NRT. Ini membuka wizard aturan Analitik.

    Cuplikan layar memperlihatkan cara membuat aturan NRT baru.

  1. Ikuti langkah-langkah dalam Membuat aturan analitik kueri terjadwal untuk menyelesaikan wizard aturan Analitik.

    Konfigurasi aturan NRT dalam banyak hal sama dengan aturan analitik terjadwal.

    • Anda dapat merujuk ke beberapa tabel dan watchlist dalam logika kueri Anda.

    • Anda dapat menggunakan semua metode pengayaan pemberitahuan: pemetaan entitas, detail kustom, dan detail pemberitahuan.

    • Anda dapat memilih cara mengelompokkan peringatan ke dalam insiden, dan menekan kueri saat hasil tertentu telah dihasilkan.

    • Anda dapat mengotomatiskan respons terhadap pemberitahuan dan insiden.

    • Anda dapat menjalankan kueri aturan di beberapa ruang kerja.

    Karena sifat dan batasan aturan NRT, fitur berikut dari aturan analitik terjadwal tidak akan tersedia dalam panduan:

    • Penjadwalan kueri tidak dapat dikonfigurasi, karena kueri secara otomatis dijadwalkan untuk dijalankan sekali per menit dengan periode lookback satu menit.
    • Ambang pemberitahuan tidak relevan, karena pemberitahuan selalu dihasilkan.
    • Konfigurasi pengelompokan peristiwa sekarang tersedia untuk tingkat terbatas. Anda dapat memilih untuk membuat aturan NRT menghasilkan pemberitahuan untuk setiap peristiwa hingga 30 peristiwa. Jika Anda memilih opsi ini dan aturan menghasilkan lebih dari 30 peristiwa, pemberitahuan peristiwa tunggal akan dibuat untuk 29 peristiwa pertama, dan pemberitahuan ke-30 akan meringkas semua peristiwa dalam tataan hasil.

    Selain itu, karena batas ukuran pemberitahuan, kueri Anda harus menggunakan project pernyataan untuk menyertakan hanya bidang yang diperlukan dari tabel Anda. Jika tidak, informasi yang ingin Anda tampilkan dapat terpotong.

Konten terkait

Untuk informasi selengkapnya tentang aturan NRT, lihat artikel berikut ini:

  • Last updated on