Memantau dan mengoptimalkan eksekusi aturan analitik terjadwal Anda

Untuk memastikan bahwa deteksi ancaman Microsoft Sentinel menyediakan cakupan lengkap di lingkungan Anda, manfaatkan alat manajemen eksekusinya. Alat-alat ini terdiri dari wawasan tentang eksekusi aturan analitik terjadwal Anda, berdasarkan data kesehatan dan audit Microsoft Sentinel, dan fasilitas untuk menjalankan kembali eksekusi aturan sebelumnya secara manual pada jendela waktu tertentu, untuk tujuan pengujian dan/atau pemecahan masalah.

Penting

Wawasan aturan analitik Microsoft Sentinel dan eksekusi ulang manual saat ini dalam PRATINJAU. Lihat Ketentuan Penggunaan Tambahan untuk Pratinjau Microsoft Azure untuk persyaratan hukum tambahan yang berlaku untuk fitur Azure yang dalam versi beta, pratinjau, atau belum dirilis ke ketersediaan umum.

RINGKASAN

Ada dua alat manajemen eksekusi untuk aturan analitik terjadwal: wawasan aturan terjadwal bawaan dan kemampuan untuk menjalankan ulang aturan terjadwal sesuai permintaan.

Pada halaman Analitik , panel Insight ditampilkan sebagai tab lain di panel detail, di samping tab Info . Panel Wawasan menyediakan informasi tentang aktivitas dan hasil aturan. Misalnya: eksekusi yang gagal, masalah kesehatan teratas, perhitungan pemberitahuan dari waktu ke waktu, dan klasifikasi akhir insiden yang dibuat oleh aturan. Wawasan ini membantu analis keamanan Anda mengidentifikasi potensi masalah atau kesalahan konfigurasi dengan aturan analitik, dan memungkinkan mereka menemukan dan memperbaiki kegagalan aturan dan mengoptimalkan konfigurasi aturan untuk performa dan akurasi yang lebih baik.

Selain itu , di halaman Analitik , Anda memiliki kemampuan untuk menjalankan ulang aturan analitik sesuai permintaan. Kemampuan ini memberikan fleksibilitas dan kontrol dalam memvalidasi efektivitas aturan. Ini dapat berguna dalam skenario seperti penyempurnaan aturan, pengujian, validasi, dan lainnya. Memiliki fleksibilitas untuk memulai ulang manual dapat mendukung operasi keamanan yang efisien, memungkinkan respons insiden yang efektif, dan meningkatkan kemampuan deteksi dan respons sistem secara keseluruhan.

Kasus penggunaan dan manfaat eksekusi ulang aturan

Berikut adalah beberapa skenario yang dapat memperoleh manfaat dari pemutaran ulang aturan analitik tertentu:

Penyempurnaan dan penyetelan aturan: Aturan analitik mungkin memerlukan penyesuaian dan penyempurnaan berkala berdasarkan lanskap ancaman yang terus berkembang dan mengubah kebutuhan organisasi. Dengan menjalankan ulang aturan secara manual, analis Anda dapat menilai dampak modifikasi aturan dan memvalidasi efektivitasnya sebelum menyebarkannya di lingkungan produksi.

Pengujian dan validasi: Saat memperkenalkan aturan analitik baru, membuat perubahan signifikan pada yang sudah ada, atau mengembangkan playbook insiden baru, penting untuk menguji performa dan akurasi mereka secara menyeluruh. Pengulangan manual memungkinkan Anda mensimulasikan skenario yang berbeda, termasuk alur insiden otomatis secara menyeluruh (end-to-end), dan memvalidasi aturan menggunakan serangkaian input data yang konsisten. Proses ini memastikan bahwa aturan menghasilkan pemberitahuan yang diharapkan tanpa menghasilkan positif palsu yang berlebihan.

Investigasi insiden: Jika terjadi insiden keamanan atau aktivitas yang mencurigakan, analis Anda mungkin ingin menampilkan detail tambahan dalam pemberitahuan yang sudah dibuat. Mereka dapat melakukan ini dengan memperbarui aturan dan menjalankannya kembali pada interval eksekusi tertentu (kembali ke tujuh hari) untuk mengumpulkan informasi tambahan dan mengidentifikasi peristiwa terkait. Menjalankan ulang secara manual memungkinkan analis Anda untuk melakukan penyelidikan mendalam dan menjamin cakupan yang menyeluruh.

Kepatuhan dan audit: Beberapa persyaratan peraturan atau kebijakan internal dapat mengharuskan menjalankan kembali aturan analitik secara berkala atau sesuai permintaan untuk menunjukkan pemantauan dan kepatuhan berkelanjutan. Menjalankan ulang secara manual memberikan kemampuan untuk memenuhi kewajiban tersebut dengan memastikan bahwa aturan diterapkan secara konsisten dan menghasilkan peringatan yang tepat.

Prasyarat

Untuk menggunakan alat manajemen eksekusi, Anda harus mengaktifkan fitur kesehatan dan audit Microsoft Sentinel, dan khususnya pemantauan kesehatan aturan analitik. Pelajari cara mengaktifkan kesehatan dan audit.

Melihat pemahaman aturan analitik

Untuk memanfaatkan alat-alat ini, mulailah dengan memeriksa wawasan tentang aturan tertentu.

  1. Dari menu navigasi Microsoft Azure Sentinel, pilih Analitik.

  2. Temukan dan pilih aturan (Terjadwal atau NRT) yang ingin Anda lihat wawasan dari aturan tersebut.

  3. Pilih tab Wawasan di panel detail.

    Cuplikan layar memilih aturan analitik.

  4. Saat Anda memilih tab Insight , pemilih jangka waktu akan muncul. Pilih jangka waktu, atau biarkan sebagai default 24 jam terakhir.

    Cuplikan layar pemilih jangka waktu di halaman Analytics.

Panel Wawasan saat ini menunjukkan empat jenis wawasan. Setiap wawasan diikuti oleh tautan Tampilkan semua yang membawa Anda ke halaman Log dan menampilkan kueri yang menghasilkan wawasan bersama dengan hasil mentah lengkap. Berikut adalah wawasannya:

  • Eksekusi yang gagal menampilkan daftar eksekusi aturan ini yang gagal dalam jangka waktu tertentu. Wawasan ini juga diikuti oleh tautan ke panel Pelaksanaan Aturan, di mana Anda dapat melihat daftar setiap kali aturan dijalankan, dan Anda dapat memutar ulang pelaksanaan aturan tertentu.

  • Masalah kesehatan teratas menampilkan daftar masalah kesehatan yang paling umum untuk ketentuan ini selama periode waktu yang ditentukan. Wawasan ini juga diikuti oleh tautan Tampilkan eksekusi yang membawa Anda ke halaman Log tempat Anda akan melihat kueri setiap kali aturan ini dijalankan.

  • Grafik pemberitahuan memperlihatkan bagan jumlah pemberitahuan yang dihasilkan oleh aturan ini dalam jangka waktu tertentu.

  • Klasifikasi insiden menunjukkan ringkasan klasifikasi dari insiden yang sudah ditutup dan dibuat oleh aturan ini selama jangka waktu tertentu.

Menjalankan ulang aturan analitik

Ada beberapa skenario yang mungkin menyebabkan Anda menjalankan ulang aturan.

  • Aturan gagal dijalankan karena kondisi sementara yang kembali normal, atau karena kesalahan konfigurasi. Setelah memperbaiki kesalahan konfigurasi atau memperbaiki kondisi, Anda harus menjalankan ulang aturan pada jendela waktu yang sama (yaitu, pada data yang sama) sebagai eksekusi yang gagal, untuk mengurangi kesenjangan dalam cakupan.

  • Aturan berhasil dijalankan, tetapi tidak memberikan informasi yang cukup dalam pemberitahuan yang dihasilkannya. Dalam hal ini Anda mungkin ingin mengedit aturan untuk memberikan informasi lebih lanjut, baik dengan mengubah kueri atau pengaturan pengayaan. Sebaiknya Anda menjalankan ulang aturan pada jendela waktu yang sama (yaitu, pada data yang sama) seperti eksekusi sebelumnya tentang yang ingin Anda ketahui lebih lanjut informasinya.

  • Anda mungkin bereksperimen dengan menulis atau mengedit aturan dan ingin melihat bagaimana pengaturan yang berbeda akan memengaruhi pemberitahuan yang dihasilkan aturan. Untuk perbandingan yang valid, Anda ingin menjalankan ulang aturan pada jendela waktu yang sama.

Berikut cara menjalankan ulang aturan:

  1. Dari halaman Analitik , pilih Aturan berjalan (Pratinjau) dari toolbar di bagian atas. Panel Menjalankan Aturan akan terbuka.

    Cuplikan layar untuk mengakses panel pemrosesan aturan.

    Anda juga bisa masuk ke panel Jalankan Aturan dengan memilih Rerun Aturan dari tampilan Eksekusi yang Gagal pada tab Insights (lihat di atas).

    Cuplikan layar panel pelaksanaan aturan.

  2. Pilih jaluran aturan yang akan Anda putar ulang, sesuai dengan jendela waktu saat aturan tersebut awalnya dijalankan, seperti yang ditampilkan dalam Waktu eksekusi. Anda dapat memilih lebih dari satu aturan yang dijalankan.

    Cuplikan layar memilih eksekusi aturan untuk dijalankan lagi.

  3. Pilih Putar ulang eksekusi. Pemberitahuan akan ditampilkan untuk menunjukkan perkembangan permintaan dan memastikan bahwa aturan telah diantrekan untuk pelaksanaan.

    Cuplikan layar pemberitahuan pelaksanaan aturan.

  4. Pilih Refresh untuk melihat status eksekusi aturan yang diperbarui. Anda akan melihat bahwa permintaan Anda ditampilkan di antara mereka, dengan status Sedang berlangsung (akhirnya akan ditampilkan sebagai Sukses) dan jenis yang dipicu Pengguna dibandingkan dengan yang dipicu Sistem.

    Cuplikan layar kemajuan eksekusi ulang aturan.

    Anda juga akan melihat bahwa waktu eksekusi eksekusi ulang yang Anda minta sama dengan eksekusi eksekusi yang dipicu sistem asli, dan bukan waktu eksekusi pengoperasian ulang Anda. Ini untuk menunjukkan kepada Anda jendela waktu mana yang dirujuk oleh eksekusi ulang Anda.

    Anda hanya dapat memutar ulang eksekusi aturan yang dipicu sistem, bukan aturan yang dipicu pengguna.

Pilih Tampilkan detail lengkap di akhir baris aturan apa pun yang dijalankan untuk melihat detail mentah lengkapnya di layar Log .

Langkah berikutnya

  • Last updated on