Uw gegevens visualiseren en bewaken met behulp van werkmappen in Microsoft Sentinel

  • Van toepassing op: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Nadat u uw gegevensbronnen hebt verbonden met Microsoft Sentinel, visualiseert en bewaakt u de gegevens met behulp van werkmappen in Microsoft Sentinel. Microsoft Sentinel-werkmappen zijn gebaseerd op Azure Monitor-werkmappen en voegen tabellen en grafieken met analyses voor uw logboeken en query's toe aan de hulpprogramma's die al beschikbaar zijn in Azure.

met Microsoft Sentinel kunt u aangepaste werkmappen voor uw gegevens maken of bestaande werkmapsjablonen gebruiken die beschikbaar zijn met verpakte oplossingen of als zelfstandige inhoud vanuit de inhoudshub. Elke werkmap is net als elke andere een Azure resource en u kunt deze toewijzen met Azure op rollen gebaseerd toegangsbeheer (RBAC) om te definiëren en te beperken wie toegang heeft.

Belangrijk

Na 31 maart 2027 worden Microsoft Sentinel niet meer ondersteund in de Azure Portal en zijn ze alleen beschikbaar in de Microsoft Defender portal. Alle klanten die Microsoft Sentinel in de Azure Portal gebruiken, worden omgeleid naar de Defender-portal en gebruiken alleen Microsoft Sentinel in de Defender-portal.

Als u nog steeds Microsoft Sentinel in de Azure Portal gebruikt, wordt u aangeraden uw overgang naar de Defender-portal te plannen om een soepele overgang te garanderen en optimaal te profiteren van de geïntegreerde beveiligingsbewerkingen die door Microsoft Defender worden geboden.

Vereisten

Voordat u werkmappen maakt of gebruikt, moet u aan de volgende vereisten voldoen:

  • U moet ten minste beschikken over de machtigingen Werkmaplezer of Werkmapbijdrager voor de resourcegroep van de Microsoft Sentinel-werkruimte.

    De werkmappen die u in Microsoft Sentinel ziet, worden opgeslagen in de resourcegroep van de Microsoft Sentinel werkruimte en worden gelabeld door de werkruimte waarin ze zijn gemaakt.

  • Als u een werkmapsjabloon wilt gebruiken, installeert u de oplossing die de werkmap bevat of installeert u de werkmap als een zelfstandig item vanuit de Content Hub. Zie Out-of-the-Box-inhoud van Microsoft Sentinel detecteren en beheren voor meer informatie.

  • Als u in de Defender-portal werkt met een Azure Data Explorer gegevensbron, moet u ervoor zorgen dat u vanuit de Defender-portal configureert en verifieert voor Azure Data Explorer.

Een werkmap maken van een sjabloon

Gebruik een sjabloon die is geïnstalleerd vanuit de inhoudshub om een werkmap te maken.

  1. Selecteer in Microsoft Sentinel Bedreigingsbeheer > Werkmappen.

  2. Selecteer op de pagina Werkmappen het tabblad Sjablonen om de lijst met geïnstalleerde werkmapsjablonen weer te geven. Selecteer een sjabloon om de details ervan weer te geven.

    Voor sommige werkmappen zijn specifieke gegevensverbindingen vereist om te kunnen functioneren. Voordat u een werkmap opslaat, controleert u of er een veld Vereiste gegevenstypen is en zorgt u ervoor dat gegevens van dat type zijn opgenomen.

    Bijvoorbeeld:

  3. Selecteer in het detailpaneel Opslaan en selecteer vervolgens de locatie waar je het werkboek wilt opslaan. Het opslaan van het werkboek creëert een Azure-resource op de geselecteerde locatie op basis van het relevante sjabloon. Alleen het JSON-bestand van de werkmap wordt op deze locatie opgeslagen en er zijn geen gegevens.

  4. Selecteer in het detailvenster Opgeslagen werkmap weergeven om deze te openen voor bewerking.

  5. Terwijl de werkmap is geopend, selecteert u Bewerken om de werkmap aan te passen aan uw behoeften.

    Schermopname van de opgeslagen werkmap.

    Wanneer u in de Defender-portal werkt, kunnen sommige visualisaties alleen worden weergegeven in de Azure Portal. In dergelijke gevallen selecteert u Openen in Azure om de werkmap in de Azure Portal te openen.

    Selecteer bijvoorbeeld het filter TimeRange om gegevens weer te geven voor een ander tijdsbereik dan de huidige selectie. Als u een specifiek werkmapgebied wilt bewerken, selecteert u Bewerken of selecteert u het beletselteken (...) om elementen toe te voegen of het gebied te verplaatsen, te klonen of te verwijderen.

    Als u uw werkmap wilt klonen, selecteert u Opslaan als. Sla de kloon op met een andere naam, onder hetzelfde abonnement en dezelfde resourcegroep. Gekloonde werkmappen worden ook weergegeven op het tabblad Mijn werkmappen op de pagina Microsoft Sentinel > Bedreigingsbeheerwerkmappen>.

  6. Wanneer u klaar bent, selecteert u Gereed met bewerken om uw wijzigingen op te slaan.

Zie voor meer informatie:

Een nieuwe werkmap maken

Een volledig nieuwe werkmap maken in Microsoft Sentinel.

  1. Selecteer in Microsoft Sentinel Bedreigingsbeheerwerkmappen >en selecteer vervolgens Werkmap toevoegen.

  2. Als u de werkmap wilt bewerken, selecteert u Bewerken en voegt u zo nodig tekst, query's en parameters toe.

    Zie Interactieve rapporten maken met Azure Monitor-werkmappen voor meer informatie over hoe u de werkmap kunt aanpassen.

    Schermopname van een nieuwe werkmap.

  3. Bij het bouwen van een query stel je de databron in op Logs en het resourcetype op Log Analytics, en kies vervolgens één of meer werkruimtes.

    We raden u aan dat uw query gebruikmaakt van een ASIM-parser (Advanced Security Information Model) en niet een ingebouwde tabel. Een query die een ASIM-parser gebruikt, ondersteunt elke huidige of toekomstige relevante databron in plaats van één enkele databron.

  4. Wanneer u klaar bent met de bewerkingen, selecteert u Gereed bewerken en vervolgens Opslaan. Voer in het zijvenster een betekenisvolle naam in voor uw werkmap en selecteer het abonnement en de resourcegroep voor uw werkruimte.

  5. Wanneer je werkt in het Azure-portaal, wissel dan tussen werkboeken in je werkruimte door op Open Screenshot te kiezen van de Open-knop die wordt gebruikt om tussen opgeslagen werkboeken in je werkruimte te wisselen. in de werkbalk van elk werkboek. De werkboekweergave schakelt over naar een lijst met andere opgeslagen werkboeken die je kunt openen.

    Selecteer de werkmap die u wilt openen:

    Schermopname van het schakelen tussen werkmappen.

Nieuwe tegels voor uw werkmappen maken

Als u een aangepaste tegel wilt toevoegen aan een Microsoft Sentinel werkmap, maakt u eerst de tegel in Log Analytics. Zie Visuele gegevens in Log Analytics voor meer informatie.

Nadat u een tegel hebt gemaakt, selecteert u Vastmaken en selecteert u vervolgens de werkmap waarin u de tegel wilt weergeven.

Uw werkmapgegevens vernieuwen

Vernieuw uw werkmap om bijgewerkte gegevens weer te geven. Selecteer in de werkbalk een van de volgende opties:

  • Vernieuwen, om de werkmapgegevens handmatig te vernieuwen.

  • Automatisch vernieuwen: als u wilt instellen dat uw werkmap automatisch wordt vernieuwd met een geconfigureerd interval.

    • Ondersteunde intervallen voor automatisch vernieuwen variëren van 5 minuten tot 1 dag.

    • Automatisch vernieuwen wordt onderbroken terwijl u een werkmap bewerkt en intervallen worden telkens opnieuw gestart wanneer u vanuit de bewerkingsmodus terugschakelt naar de weergavemodus.

    • Automatische vernieuwingsintervallen worden ook opnieuw gestart als u uw gegevens handmatig vernieuwt.

      Automatisch vernieuwen is standaard uitgeschakeld. Als u automatisch vernieuwen hebt ingeschakeld, wordt dit telkens weer uitgeschakeld wanneer u het notitieblok sluit om de prestaties te optimaliseren en te voorkomen dat het op de achtergrond wordt uitgevoerd. Schakel automatisch vernieuwen zo nodig weer in wanneer u de werkmap de volgende keer opent.

Als u een werkmap wilt afdrukken of als PDF wilt opslaan, gebruikt u het menu opties rechts van de werkmaptitel. De opties voor afdrukken en opslaan als PDF zijn alleen beschikbaar in het Azure-portaal. Als u in de Defender-portal werkt, selecteert u Openen in Azure om de werkmap in de Azure Portal te openen.

  1. Selecteer opties >Inhoud afdrukken.

  2. Pas in het afdrukscherm de afdrukinstellingen zo nodig aan of selecteer Opslaan als PDF om het lokaal op te slaan.

    Bijvoorbeeld:

    Schermopname die laat zien hoe u uw werkmap afdrukt of als PDF-bestand opslaat.

Een of meer werkmappen verwijderen

U kunt zowel opgeslagen sjablonen als aangepaste werkmappen verwijderen via het tabblad Mijn werkmappen . Sjablonen zelf kunnen niet worden verwijderd.

Warning

Als u een werkmap verwijdert, worden de werkmapresource en eventuele aanpassingen die u in de sjabloon hebt aangebracht, definitief verwijderd. Deze actie kan niet ongedaan worden gemaakt. Het werkboeksjabloon waarop het verwijderde werkboek is gebaseerd, blijft beschikbaar.

Als u een werkmap wilt verwijderen, selecteert u de werkmap op het tabblad Mijn werkmappen en selecteert u vervolgens Verwijderen.

Werkmapaanbeveling

Met de volgende aanbevelingen kunt u Microsoft Sentinel werkmappen effectief gebruiken.

Microsoft Entra ID werkmappen toevoegen

Als u Microsoft Entra ID met Microsoft Sentinel gebruikt, wordt u aangeraden de Microsoft Entra-oplossing voor Microsoft Sentinel te installeren en de volgende werkmappen te gebruiken:

  • Microsoft Entra aanmeldingen analyseert aanmeldingen in de loop van de tijd om te zien of er afwijkingen zijn. Deze werkmap biedt een overzicht van mislukte aanmeldingen per toepassing, apparaat en locatie, zodat u in één oogopslag kunt zien of er iets ongewoons gebeurt. Let op meerdere mislukte aanmeldingen.
  • Microsoft Entra auditlogboeken analyseert activiteiten van beheerders, zoals wijzigingen in gebruikers (toevoegen, verwijderen, enzovoort), het maken van groepen en wijzigingen.

Firewallwerkmappen toevoegen

U wordt aangeraden de juiste oplossing te installeren vanuit de inhoudshub om een werkmap voor uw firewall toe te voegen.

Installeer bijvoorbeeld de Palo Alto-firewalloplossing voor Microsoft Sentinel om de Palo Alto-werkmappen toe te voegen. De Palo Alto-werkboeken analyseren je firewallverkeer, geven je correlaties tussen je firewallgegevens en dreigingsgebeurtenissen, en markeren verdachte gebeurtenissen tussen entiteiten.

Schermopname van de Palo Alto-werkmap.

Verschillende werkmappen maken voor verschillende toepassingen

We raden u aan om verschillende visualisaties te maken voor elk type persona dat gebruikmaakt van werkmappen, op basis van de rol van de persona en wat ze zoeken. Maak bijvoorbeeld een werkmap voor uw netwerkbeheerder die de firewallgegevens bevat.

U kunt ook werkmappen maken op basis van hoe vaak u ze wilt bekijken, of er dingen zijn die u dagelijks wilt controleren en andere items die u eenmaal per uur wilt controleren. U kunt bijvoorbeeld uw Microsoft Entra aanmeldingen elk uur bekijken om te zoeken naar afwijkingen.

Gebruik de volgende query om een visualisatie te maken die verkeerstrends over weken vergelijkt. Schakel de leverancier van het apparaat en de gegevensbron waarop u de query uitvoert, afhankelijk van uw omgeving.

In de volgende voorbeeldquery wordt de tabel SecurityEvent uit Windows gebruikt. Misschien wilt u deze instellen om te worden uitgevoerd op de tabel AzureActivity of CommonSecurityLog voor een andere firewall.

De query vergelijkt het aantal dagelijkse beveiligingsgebeurtenissen tussen de huidige week en de vorige week, zodat u snel ongebruikelijke wijzigingen in het gebeurtenisvolume kunt herkennen.

// week over week query
SecurityEvent
| where TimeGenerated > ago(14d)
| summarize count() by bin(TimeGenerated, 1d)
| extend Week = iff(TimeGenerated>ago(7d), "This Week", "Last Week"), TimeGenerated = iff(TimeGenerated>ago(7d), TimeGenerated, TimeGenerated + 7d)

Voorbeeldquery met gegevens uit meerdere bronnen

Mogelijk wilt u een query maken die gegevens uit meerdere bronnen bevat. Maak bijvoorbeeld een query die in Microsoft Entra-controlelogboeken zoekt naar nieuw gemaakte gebruikers en vervolgens uw Azure-activiteitenlogboeken controleert om te zien of de gebruiker binnen 24 uur na het aanmaken is begonnen met het aanbrengen van wijzigingen in Azure RBAC-roltoewijzingen. Die verdachte activiteit zou worden weergegeven in een visualisatie met de volgende query.

Met de volgende query worden nieuw aangemaakte gebruikers in Microsoft Entra-auditlogboeken gevonden en samengevoegd met Azure-activiteitenlogboeken om wijzigingen in roltoewijzingen te detecteren die binnen 24 uur na het aanmaken van de gebruiker zijn aangebracht.

AuditLogs
| where OperationName == "Add user"
| project AddedTime = TimeGenerated, user = tostring(TargetResources[0].userPrincipalName)
| join (AzureActivity
| where OperationName == "Create role assignment"
| project OperationName, RoleAssignmentTime = TimeGenerated, user = Caller) on user
| project-away user1

Zie meer informatie over de volgende items die in de voorgaande voorbeelden worden gebruikt in de Kusto-documentatie:

Zie overzicht van Kusto-querytaal (KQL) voor meer informatie over KQL.

Andere bronnen:

Verwante onderwerpen

  • Last updated on