Werken met nrt-detectieanalyseregels (near-real-time) in Microsoft Sentinel

  • Van toepassing op: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Belangrijk

Aangepaste detecties is nu dé beste manier om nieuwe regels te maken in Microsoft Sentinel SIEM en Microsoft Defender XDR. Met aangepaste detecties kunt u de opnamekosten verlagen, onbeperkte realtime detecties krijgen en profiteren van naadloze integratie met Defender XDR gegevens, functies en herstelacties met automatische entiteitstoewijzing. Lees voor meer informatie Aangepaste detecties zijn nu de uniforme omgeving voor het maken van detecties in Microsoft Defender XDR.

De bijna realtime-analyseregels van Microsoft Sentinel bieden standaard bedreigingsdetectie die altijd up-to-date is. Regels voor bijna realtime analytics zijn ontworpen om zeer responsief te zijn door hun zoekopdrachten op intervallen van slechts één minuut uit elkaar uit te voeren.

Voorlopig hebben NRT-regelsjablonen beperkte toepassing, zoals beschreven in Overwegingen voor NRT-regels, maar de technologie ontwikkelt en groeit snel.

Belangrijk

Na 31 maart 2027 worden Microsoft Sentinel niet meer ondersteund in de Azure Portal en zijn ze alleen beschikbaar in de Microsoft Defender portal. Alle klanten die Microsoft Sentinel in de Azure Portal gebruiken, worden omgeleid naar de Defender-portal en gebruiken alleen Microsoft Sentinel in de Defender-portal.

Als u nog steeds Microsoft Sentinel in de Azure Portal gebruikt, wordt u aangeraden uw overgang naar de Defender-portal te plannen om een soepele overgang te garanderen en optimaal te profiteren van de geïntegreerde beveiligingsbewerkingen die door Microsoft Defender worden geboden.

Regels voor bijna realtime (NRT) weergeven

Als u uw bestaande NRT-regels wilt weergeven, filtert u de lijst met analyseregels op regeltype:

Om de NRT-regels te bekijken in het Defender-portaal:

  1. Vouw in het navigatiemenu Microsoft Defender Microsoft Sentinel uit en vervolgens Configuratie. Selecteer Analyse.

  2. Filter op het scherm Analytics, met het tabblad Actieve regels geselecteerd, de lijst op NRT-sjablonen:

    1. Selecteer Filter toevoegen en kies Regeltype in de lijst met filters.

    2. Selecteer NRT in de resulterende lijst. Selecteer vervolgens Toepassen.

NRT-regels maken

Maak NRT-regels door dezelfde procedure te volgen als voor reguliere geplande-query-analyseregels:

Een NRT-regel maken in de Defender-portal:

  1. Vouw in het navigatiemenu Microsoft Defender Microsoft Sentinel uit en vervolgens Configuratie. Selecteer Analyse.

  2. Selecteer in de actiebalk boven aan het raster de optie +Maken en selecteer NRT-queryregel. Hiermee opent u de wizard voor Analytics-regels.

    Screenshot laat zien hoe u een nieuwe NRT-regel maakt.

  1. Volg de stappen in Een geplande queryanalyseregel maken om de wizard Analyseregels te voltooien.

    De configuratie van NRT-regels is in de meeste opzichten hetzelfde als die van geplande analyseregels.

    • U kunt verwijzen naar meerdere tabellen en volglijsten in uw querylogica.

    • U kunt alle waarschuwingsverrijkingsmethoden gebruiken: entiteitstoewijzing, aangepaste details en waarschuwingsdetails.

    • U kunt kiezen hoe u waarschuwingen groepeert in incidenten en hoe u een query wilt onderdrukken wanneer een bepaald resultaat is gegenereerd.

    • U kunt reacties op waarschuwingen en incidenten automatiseren.

    • U kunt de regelquery uitvoeren in meerdere werkruimten.

    Vanwege de aard en beperkingen van NRT-regels zijn de volgende functies van geplande analyseregels echter niet beschikbaar in de wizard:

    • Queryplanning is niet configureerbaar, omdat query's automatisch één keer per minuut worden uitgevoerd met een terugblikperiode van één minuut.
    • Waarschuwingsdrempel is niet relevant, omdat er altijd een waarschuwing wordt gegenereerd.
    • Configuratie van gebeurtenisgroepering is nu in beperkte mate beschikbaar. U kunt ervoor kiezen om een NRT-regel een waarschuwing te laten genereren voor elke gebeurtenis voor maximaal 30 gebeurtenissen. Als u deze optie kiest en de regel resulteert in meer dan 30 gebeurtenissen, worden er waarschuwingen voor één gebeurtenis gegenereerd voor de eerste 29 gebeurtenissen en worden alle gebeurtenissen in de resultatenset samengevat in een 30e waarschuwing.

    Bovendien moet uw query vanwege de groottelimieten van de waarschuwingen gebruikmaken van project instructies om alleen de benodigde velden uit uw tabel op te nemen. Anders kan de informatie die u wilt weergeven, uiteindelijk worden afgekapt.

Verwante onderwerpen

Zie de volgende artikelen voor meer informatie over NRT-regels:

  • Last updated on