Introduzione ai notebook Jupyter e a MSTICPy in Microsoft Sentinel

Si applica a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Questo articolo descrive come eseguire il notebook Guida introduttiva per i notebook ML di Microsoft Sentinel, che imposta le configurazioni di base per l'esecuzione dei notebook Jupyter in Microsoft Sentinel e fornisce esempi su come eseguire query semplici. Prima di iniziare, assicurarsi di completare i prerequisiti, incluse le autorizzazioni, la configurazione Python e gli account del provider di dati esterni.

Il notebook Guida introduttiva per i notebook ML di Microsoft Sentinel utilizza MSTICPy, una potente libreria Python progettata per migliorare le indagini sulla sicurezza e le attività di threat hunting all'interno dei notebook di Microsoft Sentinel. MSTICPy offre strumenti predefiniti per l'arricchimento dei dati, la visualizzazione, il rilevamento anomalie e le query automatizzate, consentendo agli analisti di semplificare il flusso di lavoro senza una codifica personalizzata completa.

Per altre informazioni, vedere Usare i notebook per potenziare le indagini e Usare i notebook di Jupyter per cercare le minacce alla sicurezza.

Importante

Dopo il 31 marzo 2027, Microsoft Sentinel non sarà più supportato nel portale di Azure e sarà disponibile solo nel portale di Microsoft Defender. Tutti i clienti che usano Microsoft Sentinel nel portale di Azure verranno reindirizzati al portale di Defender e useranno Microsoft Sentinel solo nel portale di Defender.

Se si usa ancora Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza di operazioni di sicurezza unificata offerta da Microsoft Defender.

Prerequisiti

Prima di iniziare, assicurarsi di disporre delle autorizzazioni e delle risorse necessarie.

Prerequisito	Descrizione
Autorizzazioni	Per usare i notebook in Microsoft Sentinel, assicurarsi di disporre delle autorizzazioni necessarie. Per altre informazioni, vedere Gestire l'accesso ai notebook Microsoft Sentinel.
Python	Per eseguire i passaggi descritti in questo articolo, è necessario Python 3.6 o versione successiva. In Azure Machine Learning è possibile usare un kernel Python 3.8 (consigliato) o un kernel Python 3.6. Se si usa il notebook descritto in questo articolo in un altro ambiente Jupyter, è possibile usare qualsiasi kernel che supporti Python 3.6 o versione successiva. Per usare notebook MSTICPy all'esterno di Microsoft Sentinel e Azure Machine Learning (ML), è anche necessario configurare l'ambiente Python. Installare Python 3.6 o versione successiva con la distribuzione Anaconda, che include molti dei pacchetti necessari.
MaxMind GeoLite2	Questo notebook usa il servizio di ricerca georilevazione MaxMind GeoLite2 per gli indirizzi IP. Per usare il servizio MaxMind GeoLite2, è necessaria una chiave di licenza. È possibile iscriversi per ottenere un account e una chiave gratuiti nella pagina di iscrizione a Maxmind.
VirusTotal	Questo notebook usa VirusTotal (VT) come origine di intelligence per le minacce. Per usare la ricerca dell'intelligence sulle minacce VirusTotal, sono necessari un account VirusTotal e una chiave API. Se si usa una chiave aziendale VT, archiviarla come Azure Key Vault invece del file msticpyconfig.yaml. Per altre informazioni, vedi Specificare i segreti come segreti di Key Vault nella documentazione di MSTICPY. Se non si vuole configurare un Azure Key Vault in questo momento, iscriversi e usare un account gratuito fino a quando non è possibile configurare l'archiviazione Key Vault.

Installare ed eseguire il notebook della Guida introduttiva

I passaggi seguenti descrivono come avviare il notebook della Guida introduttiva con Microsoft Sentinel.

Per Microsoft Sentinel nel portale Defender, selezionare Microsoft Sentinel>Gestione delle minacce>Notebook. Per Microsoft Sentinel nel portale di Azure, in Gestione delle minacce selezionare Notebook.
Dalla scheda Modelli, selezionare A Getting Started Guide For Microsoft Sentinel ML Notebooks .
Selezionare Crea dal modello.
Modificare il nome e selezionare l'area di lavoro Azure Machine Learning in base alle esigenze.
Selezionare Salva per salvare il notebook nell'area di lavoro Azure Machine Learning.
Selezionare Avvia notebook per eseguire il notebook. Il notebook contiene una serie di celle:
- Le celle markdown contengono testo e grafica con istruzioni per l'uso del notebook
- Le celle di codice contengono codice eseguibile che esegue le funzioni del notebook
Nella parte alta della pagina, selezionare il Compute.
Continua leggendo le celle markdown ed eseguendo le celle di codice nell'ordine indicato, seguendo le istruzioni nel notebook. Ignorare le celle o eseguirle in ordine non corretto potrebbe causare errori più avanti nel notebook.

A seconda della funzione eseguita, il codice nella cella potrebbe essere eseguito rapidamente o il completamento potrebbe richiedere del tempo. Quando la cella è in esecuzione, il pulsante di riproduzione si trasforma in un indicatore di caricamento e lo stato viene visualizzato nella parte inferiore della cella, insieme al tempo trascorso.

La prima volta che si esegue una cella di codice, l'avvio della sessione può richiedere alcuni minuti, a seconda delle impostazioni di calcolo. Quando il notebook è pronto per l'esecuzione delle celle di codice, viene visualizzata un'indicazione Pronto . Ad esempio:

Il notebook Guida introduttiva per i notebook ML di Microsoft Sentinel include sezioni dedicate alle attività seguenti:

Nome	Descrizione
Introduzione	Descrivere le nozioni di base dei notebook e fornisce il codice di esempio che è possibile eseguire per vedere come funzionano i notebook.
Inizializzazione del notebook e di MSTICPy	Consente di preparare l'ambiente per eseguire il resto del notebook. Durante l'inizializzazione del notebook, sono previsti avvisi di configurazione sulle impostazioni mancanti perché non è ancora stato configurato nulla.
Esecuzione di query sui dati da Microsoft Sentinel	Consente di verificare, configurare e testare le impostazioni di Microsoft Sentinel. Usare il codice in questa sezione per eseguire l'autenticazione in Microsoft Sentinel ed eseguire una query di esempio per testare la connessione.
Configurare e testare i provider di dati esterni (VirusTotal e Maxmind GeoLite2)	Consente di configurare le impostazioni per VirusTotal, come servizio di intelligence sulle minacce di esempio e MaxMind GeoLite2, come servizio di ricerca della posizione geografica di esempio. Usare il codice in questa sezione per eseguire query di esempio su questi provider di dati per testare le connessioni del provider.

Il codice nella Guida Introduzione per Microsoft Sentinel ML Notebooks avvia lo strumento MpConfigEdit, che include una serie di schede per la configurazione dell'ambiente notebook. Quando si apportano modifiche nello strumento MpConfigEdit , assicurarsi di salvare le modifiche prima di passare alla scheda successiva. Le impostazioni per il notebook vengono archiviate nel file msticpyconfig.yaml , che viene popolato automaticamente con i dettagli iniziali per l'area di lavoro.

Assicurarsi di leggere attentamente le celle markdown in modo da comprendere completamente il processo di configurazione del notebook, incluse ognuna delle impostazioni e il file msticpyconfig.yaml . I passaggi successivi, le risorse aggiuntive e le domande frequenti nel wiki di Azure Sentinel Notebooks sono disponibili tramite collegamenti alla fine del notebook.

Personalizza le query (facoltativo)

Il notebook Guida introduttiva ai notebook ML di Microsoft Sentinel contiene query di esempio da usare per acquisire familiarità con i notebook. Personalizza le query predefinite aggiungendo ulteriore logica di query oppure esegui query complete usando la funzione exec_query. Ad esempio, la maggior parte delle query predefinite supporta il add_query_items parametro , che è possibile usare per accodare filtri o altre operazioni alle query.

Eseguire la cella di codice seguente per aggiungere un frame di dati che riepiloga il numero di avvisi in base al nome dell'avviso:

from datetime import datetime, timedelta

qry_prov.SecurityAlert.list_alerts(
   start=datetime.utcnow() - timedelta(28),
    end=datetime.utcnow(),
    add_query_items="| summarize NumAlerts=count() by AlertName"
)

Passare una stringa di query completa in Kusto Query Language (KQL) al provider di query. La query viene eseguita sull'area di lavoro connessa e i dati vengono restituiti come dataframe panda. Correre:

# Define your query
test_query = """
OfficeActivity
| where TimeGenerated > ago(1d)
| take 10
"""

# Pass the query to your QueryProvider
office_events_df = qry_prov.exec_query(test_query)
display(office_events_df.head())

Per altre informazioni, vedere:

Applica linee guida ad altri notebook

I passaggi descritti in questo articolo spiegano come eseguire il notebook Guida introduttiva per i notebook ML di Microsoft Sentinel nell'area di lavoro di Azure Machine Learning tramite Microsoft Sentinel. È anche possibile usare questo articolo come materiale sussidiario per l'avvio e la configurazione di notebook in altri ambienti, tra cui localmente.

Alcuni notebook di Microsoft Sentinel non usano MSTICPy (la libreria Python per le indagini sulla sicurezza nei notebook di Microsoft Sentinel), ad esempio i notebook Credential Scanner oppure gli esempi PowerShell e C#. I notebook che non usano MSTICpy non necessitano della configurazione MSTICPy descritta in Installare ed eseguire il notebook della Guida introduttiva.

Provare altri notebook Microsoft Sentinel, ad esempio:

Configurazione dell'ambiente notebook
Panoramica delle funzionalità dei notebook Cybersec
Esempi di Machine Learning in Notebooks
La serie Entity Explorer, incluse le varianti per account, domini e URL, indirizzi IP e host Linux o Windows.

Per altre informazioni, vedere:

Commenti e suggerimenti

Questa pagina è stata utile?

Last updated on 2026-07-16