Halaman entitas di Microsoft Azure Sentinel

Saat Anda menemukan akun pengguna, nama host, alamat IP, atau sumber daya Azure dalam penyelidikan insiden, Anda dapat memutuskan untuk mengetahui lebih lanjut tentang hal itu. Misalnya, Anda mungkin ingin mengetahui riwayat aktivitasnya, apakah itu muncul di pemberitahuan atau insiden lain, apakah ia melakukan sesuatu yang tidak terduga atau kehabisan karakter, dan sebagainya. Singkatnya, Anda menginginkan informasi yang dapat membantu Anda menentukan jenis ancaman apa yang direpresentasikan entitas ini dan memandu penyelidikan Anda.

Artikel ini menjelaskan halaman entitas Microsoft Azure Sentinel di portal Microsoft Azure. Untuk informasi tentang halaman entitas di portal Defender, lihat:

• Halaman entitas pengguna di Pertahanan Microsoft
• Halaman entitas perangkat di Pertahanan Microsoft
• Halaman entitas alamat IP di Pertahanan Microsoft

Penting

Setelah 31 Maret 2027, Microsoft Sentinel tidak akan lagi didukung di portal Microsoft Azure dan hanya akan tersedia di portal Pertahanan Microsoft. Semua pelanggan yang menggunakan Microsoft Sentinel di portal Microsoft Azure akan dialihkan ke portal Defender dan hanya akan menggunakan Microsoft Sentinel di portal Defender.

Jika Anda masih menggunakan Microsoft Sentinel di portal Microsoft Azure, kami sarankan Anda mulai merencanakan transisi ke portal Defender untuk memastikan transisi yang lancar dan memanfaatkan sepenuhnya pengalaman operasi keamanan terpadu yang ditawarkan oleh Pertahanan Microsoft.

Halaman entitas

Dalam situasi ini, Anda dapat memilih entitas (akan muncul sebagai tautan yang dapat diklik) dan dialihkan ke halaman entitas, lembar data yang penuh dengan informasi berguna terkait entitas tersebut. Anda juga dapat membuka halaman entitas dengan mencari entitas secara langsung di halaman perilaku entitas Microsoft Sentinel. Jenis informasi yang akan Anda temukan di halaman ini mencakup fakta dasar tentang entitas, garis waktu peristiwa penting terkait entitas ini, dan wawasan tentang perilaku entitas.

Lebih khusus lagi, halaman entitas terdiri dari tiga bagian:

• Panel sisi kiri berisi informasi identifikasi entitas, yang dikumpulkan dari sumber data seperti MICROSOFT Entra ID, Azure Monitor, Azure Activity, Azure Resource Manager, Microsoft Defender untuk Cloud, CEF/Syslog, dan Microsoft Defender XDR (dengan semua komponennya).

• Panel tengah menampilkan garis waktu grafis dan tekstual dari peristiwa penting yang terkait dengan entitas, seperti peringatan, penanda buku, anomali, dan aktivitas. Aktivitas adalah agregasi peristiwa penting dari Log Analytics. Kueri yang mendeteksi aktivitas tersebut dikembangkan oleh tim riset keamanan Microsoft, dan sekarang Anda dapat menambahkan kueri kustom Anda sendiri untuk mendeteksi aktivitas yang Anda pilih.

• Panel sebelah kanan menyajikan analisis perilaku pada entitas. Wawasan ini terus dikembangkan oleh tim peneliti keamanan Microsoft. Mereka disusun dari berbagai sumber data serta memberikan konteks untuk entitas dan aktivitas yang diamati, membantu Anda mengidentifikasi perilaku anomali dan ancaman keamanan dengan cepat.

Jika Anda menyelidiki insiden menggunakan pengalaman investigasi baru, Anda akan dapat melihat versi panelis dari halaman entitas di halaman detail insiden. Anda memiliki daftar semua entitas dalam insiden tertentu, dan memilih entitas membuka panel samping dengan tiga "kartu"—Info, Garis Waktu, dan Wawasan— menampilkan semua informasi yang sama seperti yang dijelaskan di atas, dalam jangka waktu tertentu yang sesuai dengan pemberitahuan dalam insiden tersebut.

Jika Anda menggunakan Microsoft Sentinel dalam portal Defender, linimasa dan panel wawasan akan muncul di tab peristiwa Sentinel pada halaman entitas Defender.

Garis waktu

Garis waktu adalah bagian utama dari kontribusi halaman entitas terhadap analitik perilaku di Microsoft Sentinel. Hal ini menyajikan kisah tentang peristiwa terkait entitas, membantu Anda memahami aktivitas entitas dalam jangka waktu tertentu.

Anda dapat memilih rentang waktu dari beberapa opsi prasetel (seperti 24 jam terakhir), atau mengesetkannya ke jangka waktu kustom yang ditentukan. Selain itu, Anda dapat mengeset filter yang membatasi informasi di garis waktu untuk jenis peristiwa atau pemberitahuan tertentu.

Jenis item berikut disertakan dalam garis waktu.

• Pemberitahuan: setiap pemberitahuan di mana entitas didefinisikan sebagai entitas yang dipetakan. Perlu dicatat bahwa jika organisasi Anda telah membuat permberitahuan kustom menggunakan aturan analitik, Anda harus memastikan bahwa pemetaan entitas aturan dilakukan dengan benar.

• Penanda halaman: penanda halaman apa pun yang memuat entitas tertentu yang ditampilkan di halaman.

• Anomali: Deteksi UEBA berdasarkan patokan dinamis yang dibuat untuk setiap entitas dari berbagai input data dan terhadap aktivitas historisnya sendiri, rekan-rekannya, dan organisasi secara keseluruhan.

• Aktivitas: agregasi peristiwa penting yang berkaitan dengan entitas. Berbagai aktivitas dikumpulkan secara otomatis, dan sekarang Anda dapat menyesuaikan bagian ini dengan menambahkan aktivitas yang Anda pilih sendiri.

Wawasan entitas

Wawasan entitas adalah kueri yang ditentukan oleh peneliti keamanan Microsoft untuk membantu analis Anda menginvestigasi dengan lebih efisien dan efektif. Wawasan tersebut disajikan sebagai bagian dari halaman entitas, dan memberikan informasi keamanan yang berharga tentang host dan pengguna, dalam bentuk data tabular dan bagan. Memiliki informasi di sini berarti Anda tidak perlu menuju ke Log Analytics. Wawasan tersebut mencakup data mengenai rincian masuk, penambahan grup, peristiwa anomali, dan banyak lagi, serta menyertakan algoritma ML canggih untuk mendeteksi perilaku anomali.

Wawasan didasarkan pada sumber data berikut:

• Syslog (Linux)
• Peristiwa Keamanan (Windows)
• AuditLogs (ID Microsoft Entra)
• Log Masuk (Microsoft Entra ID)
• OfficeActivity (Office 365)
• BehaviorAnalytics (Microsoft Sentinel UEBA)
• Heartbeat (Agen Azure Monitor)
• CommonSecurityLog (Microsoft Sentinel)

Secara umum, setiap wawasan entitas yang ditampilkan di halaman entitas disertai dengan tautan yang akan membawa Anda ke halaman tempat kueri yang mendasar wawasan ditampilkan, bersama dengan hasilnya, sehingga Anda dapat memeriksa hasilnya secara lebih mendalam.

• Di Microsoft Azure Sentinel di portal Azure, tautan akan membawa Anda ke halaman Log.
• Di portal Microsoft Defender, tautan akan membawa Anda ke halaman Perburuan tingkat lanjut.

Bagaimana cara menggunakan halaman entitas

Halaman entitas dirancang untuk menjadi bagian dari beberapa skenario penggunaan dan dapat diakses dari manajemen insiden, grafik investigasi, bookmark, atau langsung dari halaman pencarian entitas di bawah Perilaku entitas di menu utama Microsoft Sentinel.

Informasi halaman entitas disimpan dalam tabel BehaviorAnalytics, yang dijelaskan secara rinci dalam referensi UEBA Microsoft Sentinel.

Halaman entitas yang didukung

Microsoft Sentinel saat ini menawarkan halaman entitas berikut:

• Akun pengguna

• Host

• Alamat IP (Pratinjau)

  Note

  Halaman entitas alamat IP (saat ini dalam pratinjau) berisi data geolokasi yang disediakan oleh layanan Inteligensi Ancaman Microsoft. Layanan ini menggabungkan data geolokasi dari solusi Microsoft sekaligus vendor dan mitra pihak ketiga. Data tersebut kemudian tersedia untuk analisis dan penyelidikan dalam konteks insiden keamanan. Untuk informasi selengkapnya, lihat juga Memperkaya entitas di Microsoft Sentinel dengan data geolokasi melalui REST API (Pratinjau publik).

• Sumber daya Azure (Pratinjau)

• Perangkat IoT (Pratinjau)—hanya di Microsoft Sentinel di portal Azure untuk saat ini.

Langkah berikutnya

Dalam dokumen ini, Anda mempelajari cara mendapatkan informasi tentang entitas di Microsoft Sentinel menggunakan halaman entitas. Untuk informasi selengkapnya tentang entitas dan cara menggunakannya, lihat artikel berikut ini:

• Pelajari tentang entitas di Microsoft Azure Sentinel.
• Menyesuaikan aktivitas pada garis waktu halaman entitas.
• Mengidentifikasi ancaman tingkat lanjut dengan Analitik Perilaku Pengguna dan Entitas (UEBA) di Microsoft Azure Sentinel
• Aktifkan analitik perilaku entitas di Microsoft Sentinel.
• Berburu ancaman keamanan.