Udostępnij za pośrednictwem


Zaawansowane wieloetapowe wykrywanie ataków w usłudze Microsoft Sentinel

Usługa Microsoft Sentinel używa aparatu fusion, aparatu korelacji opartego na skalowalnych algorytmach uczenia maszynowego, aby automatycznie wykrywać ataki wieloetapowe (nazywane również zaawansowanymi trwałymi zagrożeniami lub APT), identyfikując kombinacje nietypowych zachowań i podejrzanych działań obserwowanych na różnych etapach łańcucha zabić. Na podstawie tych odkryć usługa Microsoft Sentinel generuje zdarzenia, które w przeciwnym razie byłyby trudne do przechwycenia. Te zdarzenia składają się z co najmniej dwóch alertów lub działań. Zgodnie z projektem te zdarzenia są małe, o wysokiej wierności i wysokiej ważności.

Ta technologia wykrywania, dostosowana do środowiska, nie tylko zmniejsza częstość występowania fałszywie dodatnich wyników, ale również potrafi wykrywać ataki z ograniczonymi lub brakującymi informacjami.

Ponieważ Fusion koreluje wiele sygnałów z różnych produktów w celu wykrywania zaawansowanych ataków wieloetapowych, pomyślne wykrycia Fusion są prezentowane jako zdarzenia Fusion na stronie Incydenty usługi Microsoft Sentinel, a nie jako alerty, i są przechowywane w tabeli SecurityIncident w dziennikach, a nie w tabeli SecurityAlert.

Konfigurowanie łączenia

Łączenie jest domyślnie włączone w usłudze Microsoft Sentinel jako reguła analizy o nazwie Zaawansowane wykrywanie ataków wieloetapowych. Możesz wyświetlić i zmienić stan reguły, skonfigurować sygnały źródłowe, które mają być uwzględnione w modelu Fusion ML, lub wykluczyć określone wzorce wykrywania, które mogą nie mieć zastosowania do środowiska z wykrywania łączenia. Dowiedz się, jak skonfigurować regułę łączenia.

Uwaga

Usługa Microsoft Sentinel używa obecnie 30 dni danych historycznych do trenowania algorytmów uczenia maszynowego aparatu Fusion. Te dane są zawsze szyfrowane przy użyciu kluczy firmy Microsoft podczas przechodzenia przez potok uczenia maszynowego. Jednak dane szkoleniowe nie są szyfrowane przy użyciu kluczyCustomer-Managed (CMK), jeśli klucz cmK został włączony w obszarze roboczym usługi Microsoft Sentinel. Aby zrezygnować z usługi Fusion, przejdź do Microsoft Sentinel>, Konfiguracja>>, kliknij prawym przyciskiem myszy regułę Zaawansowanego wykrywania ataków wielostanowiskowych i wybierz pozycję Wyłącz.

W przypadku obszarów roboczych usługi Microsoft Sentinel dołączonych do portalu usługi Microsoft Defender połączenie jest wyłączone. Jego funkcjonalność jest zastępowana przez aparat korelacji XDR w usłudze Microsoft Defender.

Łączenie pojawiających się zagrożeń

Ważne

Wykrycia fuzji są obecnie dostępne w wersji próbnej. Zobacz Dodatkowe warunki użytkowania dla wersji zapoznawczych platformy Microsoft Azure , aby uzyskać dodatkowe postanowienia prawne dotyczące funkcji platformy Azure, które są dostępne w wersji beta, wersji zapoznawczej lub w inny sposób nie zostały jeszcze wydane w wersji ogólnodostępnej.

Usługa Microsoft Sentinel jest ogólnie dostępna w portalu Microsoft Defender, w tym dla klientów bez licencji XDR usługi Microsoft Defender lub E5. Począwszy od lipca 2026 r., usługa Microsoft Sentinel będzie obsługiwana tylko w portalu usługi Defender, a wszyscy pozostali klienci korzystający z witryny Azure Portal będą automatycznie przekierowywani. Zalecamy, aby wszyscy klienci korzystający z usługi Microsoft Sentinel na platformie Azure zaczęli planować przejście do portalu usługi Defender w celu uzyskania pełnego ujednoliconego środowiska operacji zabezpieczeń oferowanego przez usługę Microsoft Defender. Aby uzyskać więcej informacji, zobacz Planowanie przejścia do portalu usługi Microsoft Defender dla wszystkich klientów usługi Microsoft Sentinel (blog).

Uwaga

Aby uzyskać informacje o dostępności funkcji w chmurach dla instytucji rządowych USA, zobacz tabele usługi Microsoft Sentinel w temacie Dostępność funkcji w chmurze dla klientów instytucji rządowych USA.

Konfigurowanie łączenia

Łączenie jest domyślnie włączone w usłudze Microsoft Sentinel jako reguła analizy o nazwie Zaawansowane wykrywanie ataków wieloetapowych. Możesz wyświetlić i zmienić stan reguły, skonfigurować sygnały źródłowe, które mają być uwzględnione w modelu Fusion ML, lub wykluczyć określone wzorce wykrywania, które mogą nie mieć zastosowania do środowiska z wykrywania łączenia. Dowiedz się, jak skonfigurować regułę łączenia.

Możesz zrezygnować z funkcji Fusion, jeśli w obszarze roboczym włączono Customer-Managed Keys (CMK). Usługa Microsoft Sentinel używa obecnie 30 dni danych historycznych do trenowania algorytmów uczenia maszynowego aparatu Fusion, a te dane są zawsze szyfrowane przy użyciu kluczy firmy Microsoft podczas przechodzenia przez potok uczenia maszynowego. Jednak dane szkoleniowe nie są szyfrowane przy użyciu klucza zarządzanego przez klienta. Aby zrezygnować z Fusion, wyłącz regułę Analizy zaawansowanego wykrywania ataków w wielu etapach w usłudze Microsoft Sentinel. Aby uzyskać więcej informacji, zobacz Konfigurowanie reguł łączenia.

Łączenie jest wyłączone, gdy usługa Microsoft Sentinel jest zintegrowana z portalem Defender. Zamiast tego podczas pracy w portalu usługi Defender funkcje udostępniane przez aplikację Fusion są zastępowane przez aparat korelacji XDR usługi Microsoft Defender.

Łączenie nowych zagrożeń (wersja zapoznawcza)

Liczba zdarzeń zabezpieczeń nadal rośnie, a zakres i wyrafinowanie ataków rośnie. Możemy zdefiniować znane scenariusze ataku, ale jak o pojawiających się i nieznanych zagrożeniach w twoim środowisku?

Aparat fusion oparty na uczeniu maszynowym firmy Microsoft Sentinel może pomóc w znalezieniu pojawiających się i nieznanych zagrożeń w środowisku, stosując rozszerzoną analizę uczenia maszynowego i korelując szerszy zakres nietypowych sygnałów, jednocześnie utrzymując niskie zmęczenie alertów.

Algorytmy uczenia maszynowego aparatu Fusion stale uczą się na podstawie istniejących ataków i stosują analizę w oparciu o sposób myślenia analityków zabezpieczeń. W związku z tym może wykryć wcześniej niewykryte zagrożenia z milionów nietypowych zachowań w całym łańcuchu zagrożeń w całym środowisku, co pomaga pozostać o krok przed osobami atakującymi.

Fuzja dla nowych zagrożeń wspomaga zbieranie i analizę danych z następujących źródeł:

  • Gotowe do użycia rozwiązania do wykrywania anomalii

  • Alerty z usługi firmy Microsoft:

    • Microsoft Entra ID — ochrona
    • Microsoft Defender dla Chmury
    • Microsoft Defender for IoT
    • Microsoft Defender XDR
    • Microsoft Defender dla aplikacji chmurowych
    • Usługa Microsoft Defender dla punktu końcowego
    • Microsoft Defender for Identity
    • Microsoft Defender dla usługi Office 365
  • Alerty z zaplanowanych reguł analizy. Reguły analityczne muszą zawierać informacje o łańcuchu kill-chain (taktykach) i mapowaniu jednostek, aby mogły być używane przez system Fusion.

Nie musisz łączyć wszystkich źródeł danych wymienionych powyżej w celu zapewnienia, że połączenie dla pojawiających się zagrożeń działa. Jednak tym więcej źródeł danych, z których nawiązaliśmy połączenie, tym szerszy zasięg i tym więcej zagrożeń znajdziesz w połączeniu.

Gdy korelacje aparatu Fusion powodują wykrycie pojawiającego się zagrożenia, usługa Microsoft Sentinel generuje zdarzenie o wysokiej ważności zatytułowane Możliwe wielostopniowe działania ataku wykryte przez Fusion.

Łączenie oprogramowania wymuszającego okup

Aparat łączenia usługi Microsoft Sentinel generuje zdarzenie, gdy wykrywa wiele alertów różnych typów z następujących źródeł danych i określa, że mogą one być związane z działaniem oprogramowania wymuszającego okup:

Takie zdarzenia łączenia są nazywane wieloma alertami, które prawdopodobnie są związane z wykrytymi działaniami oprogramowania wymuszającego okup i są generowane w przypadku wykrycia odpowiednich alertów w określonym przedziale czasowym i są skojarzone z etapami wykonywania i uchylania się od obrony ataku.

Na przykład usługa Microsoft Sentinel wygeneruje zdarzenie dla możliwych działań oprogramowania wymuszającego okup, jeśli następujące alerty są wyzwalane na tym samym hoście w określonym przedziale czasu:

Alerty Źródło Ważność
Zdarzenia błędów i ostrzeżeń systemu Windows Reguły analizy zaplanowanej w usłudze Microsoft Sentinel Informacyjne
Oprogramowanie wymuszającego okup "GandCrab" zostało uniemożliwione Microsoft Defender dla Chmury nośnik
Wykryto złośliwe oprogramowanie "Emotet" Usługa Microsoft Defender dla punktu końcowego Informacyjne
Wykryto tylne wejście (backdoor) "Tofsee" Microsoft Defender dla Chmury  Niski
Wykryto złośliwe oprogramowanie "Parite" Usługa Microsoft Defender dla punktu końcowego Informacyjne

Wykrywanie łączenia oparte na scenariuszach

W poniższej sekcji wymieniono typy ataków wielostopniowych opartych na scenariuszach, pogrupowane według klasyfikacji zagrożeń, które usługa Microsoft Sentinel wykrywa przy użyciu aparatu korelacji Fusion.

Aby włączyć te scenariusze wykrywania ataków opartych na połączeniu, skojarzone ze nimi źródła danych muszą być pozyskiwane do obszaru roboczego usługi Log Analytics. Wybierz linki w poniższej tabeli, aby dowiedzieć się więcej o każdym scenariuszu i skojarzonych ze sobą źródłach danych.

Klasyfikacja zagrożeń Scenariusze
Nadużycie zasobów obliczeniowych
Dostęp poświadczeń
Zbieranie poświadczeń
Crypto-mining
Niszczenie danych
Eksfiltracja danych
Odmowa usługi
Ruch poprzeczny
Złośliwe działania administracyjne
Złośliwe wykonanie
z uzasadnionym procesem
Złośliwe oprogramowanie C2 lub pobieranie
Wytrwałość
Oprogramowanie wymuszającego okup
Zdalne wykorzystywanie
Przejęcie zasobów

Aby uzyskać więcej informacji, zobacz: