Reguły zaplanowanej analizy w Microsoft Sentinel

Dotyczy: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Zdecydowanie najczęstszy typ reguły analitycznej, zaplanowane reguły, opiera się na zapytaniach Kusto, które są skonfigurowane tak, aby były uruchamiane w regularnych odstępach czasu i analizowały surowe dane ze zdefiniowanego okresu wstecznego. Zapytania mogą wykonywać złożone operacje statystyczne na danych, których dotyczą, pozwalając identyfikować wartości bazowe i wartości odstające w grupach zdarzeń. Jeśli liczba wyników przechwyconych przez zapytanie przekroczy próg skonfigurowany w regule, reguła generuje alert.

Ten artykuł ułatwia zrozumienie sposobu tworzenia reguł zaplanowanej analizy i wprowadza wszystkie opcje konfiguracji i ich znaczenie. Informacje zawarte w tym artykule są przydatne w dwóch scenariuszach:

Utwórz regułę analizy na podstawie szablonu: użyj logiki zapytania oraz ustawień planowania i wyszukiwania zwrotnego zgodnie z definicją w szablonie lub dostosuj je do tworzenia nowych reguł.
Utwórz regułę analizy od podstaw: skompiluj własne zapytanie i regułę od podstaw. Aby zrobić to skutecznie, powinieneś mieć solidne podstawy w zakresie analizy danych i języka zapytań Kusto.

Ważna

Po 31 marca 2027 r. Microsoft Sentinel nie będą już obsługiwane w Azure Portal i będą dostępne tylko w portalu Microsoft Defender. Wszyscy klienci korzystający z Microsoft Sentinel w Azure Portal zostaną przekierowane do portalu usługi Defender i będą używać Microsoft Sentinel tylko w portalu usługi Defender.

Jeśli nadal używasz Microsoft Sentinel w Azure Portal, zalecamy rozpoczęcie planowania przejścia do portalu usługi Defender w celu zapewnienia płynnego przejścia i pełnego wykorzystania ujednoliconego środowiska operacji zabezpieczeń oferowanego przez Microsoft Defender.

Szablony reguł analizy

Zapytania w szablonach zaplanowanych reguł zostały napisane przez specjalistów ds. zabezpieczeń i analizy danych, zarówno z firmy Microsoft, jak i od dostawcy rozwiązania dostarczającego ten szablon.

Użyj szablonu reguły analizy, wybierając nazwę szablonu z listy szablonów i tworząc na jej podstawie regułę.

Każdy szablon ma listę wymaganych źródeł danych. Po otwarciu szablonu źródła danych są automatycznie sprawdzane pod kątem dostępności. Dostępność oznacza, że źródło danych jest połączone, a dane są regularnie pozyskiwane. Jeśli którekolwiek z wymaganych źródeł danych nie jest dostępne, nie będzie można utworzyć reguły i może zostać również wyświetlony komunikat o błędzie.

Podczas tworzenia reguły na podstawie szablonu zostanie otwarty kreator tworzenia reguł na podstawie wybranego szablonu. Wszystkie szczegóły są automatycznie uzupełniane, a logikę i inne ustawienia reguł możesz dostosować, aby lepiej dopasować je do swoich konkretnych potrzeb. Ten proces można powtórzyć, aby utworzyć więcej reguł na podstawie szablonu. Gdy dojdziesz do końca kreatora tworzenia reguł, Twoje dostosowania zostaną zweryfikowane i reguła zostanie utworzona. Nowe reguły pojawią się na karcie Aktywne reguły na stronie Analiza . Podobnie, na karcie Szablony reguł szablon, na podstawie którego utworzono regułę, jest teraz oznaczony tagiem In use.

Szablony reguł analitycznych są stale utrzymywane przez ich autorów, aby naprawiać błędy lub udoskonalać zapytanie. Gdy szablon otrzyma aktualizację, wszystkie reguły oparte na tym szablonie są wyświetlane z Update tagiem i możesz zmodyfikować te reguły w celu uwzględnienia zmian wprowadzonych w szablonie. Można również przywrócić wszelkie zmiany wprowadzone w regule z powrotem do jej oryginalnej wersji opartej na szablonie. Aby uzyskać więcej informacji, zobacz Zarządzanie wersjami szablonów dla reguł zaplanowanej analizy w Microsoft Sentinel.

Po zapoznaniu się z opcjami konfiguracji w tym artykule zobacz Tworzenie reguł zaplanowanej analizy na podstawie szablonów.

W pozostałej części tego artykułu wyjaśniono wszystkie możliwości dostosowywania konfiguracji reguł.

Konfiguracja reguły analizy

W tej sekcji opisano najważniejsze zagadnienia, które należy wziąć pod uwagę przed rozpoczęciem konfigurowania reguł.

Nazwa i szczegóły reguły analizy

Pierwsza strona kreatora reguł analizy zawiera podstawowe informacje o regule.

Nazwa: Nazwa reguły wyświetlana na liście reguł i w dowolnych filtrach opartych na regułach. Nazwa musi być unikatowa dla obszaru roboczego.

Opis: Dowolny tekst opis przeznaczenia reguły.

ID: Identyfikator GUID reguły jako zasobu platformy Azure, używany m.in. w żądaniach i odpowiedziach interfejsu API. Ten identyfikator GUID jest przypisywany tylko podczas tworzenia reguły, więc jest wyświetlany tylko podczas edytowania istniejącej reguły. Ponieważ jest to pole tylko do odczytu, jest wyświetlane jako wyszarzone i nie można go zmienić. Nie istnieje jeszcze podczas tworzenia nowej reguły na podstawie szablonu lub od podstaw.

Poziom ważności: Ocena przypisywana alertom generowanym przez tę regułę. Dotkliwość działania to miara potencjalnego negatywnego wpływu wynikającego z wystąpienia działania.

Ważność	Opis
Informacyjny	Brak wpływu na system, ale informacje mogą wskazywać na przyszłe kroki planowane przez aktora zagrożeń.
Niskie	Bezpośredni wpływ byłby minimalny. Aktor zagrożeń prawdopodobnie będzie musiał wykonać wiele kroków przed uzyskaniem wpływu na środowisko.
Średnie	Aktor zagrożeń może mieć pewien wpływ na środowisko z tym działaniem, ale będzie on ograniczony zakresem lub wymaga dodatkowej aktywności.
Wysoki	Zidentyfikowane działanie zapewnia aktorowi zagrożeń szeroki dostęp do prowadzenia akcji w środowisku lub jest wyzwalane przez wpływ na środowisko.

Wartości domyślne poziomu ważności nie są gwarancją bieżącego lub środowiskowego poziomu wpływu. Dostosuj szczegóły alertu, aby ustawić poziom ważności, taktyki i inne właściwości danego wystąpienia alertu przy użyciu wartości dowolnych odpowiednich pól z wyników zapytania.

Definicje poziomów ważności dla szablonów reguł analityki w Microsoft Sentinel mają znaczenie tylko dla alertów tworzonych przez reguły analityki. W przypadku alertów pochodzących z innych usług poziom ważności jest definiowany przez źródłową usługę zabezpieczeń.

MITRE ATT&CK: Specyfikacja taktyki ataku i technik reprezentowanych przez działania przechwycone przez tę regułę. Są one oparte na taktyce i technikach struktury MITRE ATT&CK®.

Taktyki i techniki MITRE ATT&CK zdefiniowane w tej regule mają zastosowanie do wszystkich alertów wygenerowanych przez tę regułę. Mają one również zastosowanie do wszelkich zdarzeń utworzonych na podstawie tych alertów.

Aby uzyskać więcej informacji na temat maksymalizowania zakresu pokrycia krajobrazu zagrożeń MITRE ATT&CK, zobacz Informacje o pokryciu zabezpieczeń w strukturze MITRE ATT&CK®.

Stan: Podczas tworzenia reguły jej stan jest domyślnie włączony , co oznacza, że jest uruchamiana natychmiast po zakończeniu jej tworzenia. Jeśli nie chcesz, aby uruchamiał się natychmiast, masz dwie opcje:

Wybierz pozycję Wyłączone, a reguła zostanie utworzona bez jej uruchamiania. Jeśli chcesz uruchomić regułę, znajdź ją na karcie Aktywne reguły i włącz ją stamtąd.
Zaplanuj, aby reguła została uruchomiona w określonym dniu i o określonej godzinie. Ta metoda jest obecnie dostępna w wersji ZAPOZNAWCZEJ. Zobacz Planowanie zapytań w dalszej części tego artykułu.

Zapytanie o regułę

Jest to istota reguły: decydujesz, jakie informacje znajdują się w alertach utworzonych przez tę regułę i jak informacje są zorganizowane. Ta konfiguracja ma dalszy wpływ na to, jak wyglądają wynikowe zdarzenia oraz jak łatwe lub trudne są do zbadania, skorygowania i rozwiązania. Ważne jest, aby alerty były tak bogate w informacje, jak to możliwe, i aby te informacje były łatwo dostępne.

Wyświetl lub wprowadź zapytanie Kusto, które analizuje nieprzetworzone dane dziennika. Jeśli tworzysz regułę od podstaw, warto zaplanować i zaprojektować zapytanie przed otwarciem tego kreatora. Zapytania można tworzyć i testować na stronie Dzienniki .

Wszystko, co wpisujesz w oknie zapytania reguły, jest natychmiast weryfikowane, więc od razu dowiesz się, czy popełnisz jakiekolwiek błędy.

Najlepsze rozwiązania dotyczące zapytań reguł analizy

Zalecamy użycie analizatora zaawansowanego modelu informacji o zabezpieczeniach (ASIM) jako źródła zapytań, a nie tabeli natywnej. Dzięki temu zapytanie będzie obsługiwać bieżące lub przyszłe źródło danych lub rodzinę źródeł danych, zamiast polegać na pojedynczym źródle danych.
Długość zapytania powinna zawierać od 1 do 10 000 znaków i nie może zawierać znaków "search *" lub "union *". Możesz użyć funkcji zdefiniowanych przez użytkownika , aby przezwyciężyć ograniczenie długości zapytania, ponieważ pojedyncza funkcja może zastąpić dziesiątki wierszy kodu.
Tworzenie zapytań Azure Data Explorer w oknie zapytania usługi Log Analytics przy użyciu funkcji ADX nie jest obsługiwane.
Jeśli w zapytaniu używasz funkcji bag_unpack, a rzutujesz kolumny jako pola za pomocą „project field1” i kolumna nie istnieje, wykonanie zapytania kończy się niepowodzeniem. Aby zabezpieczyć się przed tym wystąpieniem, musisz wyświetlić kolumnę w następujący sposób:

project field1 = column_ifexists("field1","")

Więcej informacji można znaleźć w następujących artykułach:

Ulepszenie alertu

Jeśli chcesz, aby alerty uwydatniały ich wyniki, aby mogły być natychmiast widoczne w zdarzeniach oraz odpowiednio śledzone i badane, użyj konfiguracji ulepszenia alertu, aby wyświetlić wszystkie ważne informacje w alertach.

To ulepszenie alertu ma dodatkową zaletę prezentowania wyników w łatwo widoczny i dostępny sposób.

Istnieją trzy typy ulepszeń alertów, które można skonfigurować:

Mapowanie jednostek
Szczegóły niestandardowe
Szczegóły alertu (nazywane również zawartością dynamiczną)

Mapowanie jednostek

Podmioty to uczestnicy po obu stronach każdego scenariusza ataku. Identyfikowanie wszystkich jednostek w alercie jest niezbędne do wykrywania i badania zagrożeń. Aby upewnić się, że Microsoft Sentinel identyfikuje jednostki w danych pierwotnych, należy mapować typy jednostek rozpoznawane przez Microsoft Sentinel na pola w wynikach zapytania. To mapowanie integruje zidentyfikowane encje z polem Entities w schemacie alertu.

Aby dowiedzieć się więcej na temat mapowania jednostek i uzyskać pełne instrukcje, zobacz Mapowanie pól danych na jednostki w Microsoft Sentinel.

Szczegóły niestandardowe

Domyślnie tylko jednostki alertów i metadane są widoczne w zdarzeniach bez przechodzenia do szczegółów nieprzetworzonych zdarzeń w wynikach zapytania. Aby inne pola z wyników zapytania były natychmiast widoczne w alertach i incydentach, zdefiniuj je jako szczegóły niestandardowe. Microsoft Sentinel integruje te niestandardowe szczegóły z polem ExtendedProperties w alertach, co powoduje, że są one wyświetlane na początku w alertach oraz we wszystkich incydentach utworzonych na podstawie tych alertów.

Aby dowiedzieć się więcej o wyświetlaniu niestandardowych szczegółów i uzyskać pełne instrukcje, zobacz Wyświetlanie niestandardowych szczegółów zdarzeń w alertach w Microsoft Sentinel.

Szczegóły alertu

To ustawienie umożliwia dostosowywanie właściwości alertów innych niż standardowe zgodnie z zawartością różnych pól w poszczególnych alertach. Te dostosowania są zintegrowane z polem ExtendedProperties w alertach. Możesz na przykład dostosować nazwę alertu lub opis, aby zawierały nazwę użytkownika lub adres IP pojawiające się w alercie.

Aby dowiedzieć się więcej na temat dostosowywania szczegółów alertów i uzyskiwania kompletnych instrukcji, zobacz Dostosowywanie szczegółów alertów w Microsoft Sentinel.

Uwaga

W portalu Microsoft Defender aparat korelacji Defender XDR jest odpowiedzialny wyłącznie za nazewnictwo zdarzeń, więc wszelkie dostosowane nazwy alertów mogą zostać zastąpione podczas tworzenia zdarzeń na podstawie tych alertów.

Planowanie zapytań

Następujące parametry określają, jak często jest uruchamiana zaplanowana reguła i jaki okres sprawdza za każdym razem, gdy jest uruchamiana.

Ustawienie	Zachowanie
Uruchamiaj zapytanie co	Steruje interwałem zapytań: jak często jest uruchamiane zapytanie.
Wyszukaj dane z ostatniego	Określa okres wsteczny: przedział czasu objęty zapytaniem.

Dozwolony zakres dla obu tych parametrów wynosi od 5 minut do 14 dni.
Interwał zapytania musi być krótszy lub równy okresowi wstecznemu. Jeśli jest krótszy, okresy zapytania nakładają się na siebie, co może spowodować duplikowanie wyników. Walidacja reguły nie pozwala jednak ustawić interwału dłuższego niż okres wsteczny, ponieważ spowodowałoby to luki w pokryciu.

Ustawienie Rozpocznij uruchamianie teraz w wersji zapoznawczej umożliwia utworzenie reguły o stanie Włączone, ale opóźnienie jej pierwszego wykonania do wstępnie ustalonej daty i godziny. To ustawienie jest przydatne, jeśli chcesz określić czas wykonywania reguł zgodnie z oczekiwaniami na pozyskiwanie danych ze źródła lub po rozpoczęciu dnia pracy przez analityków SOC.

Ustawienie	Zachowanie
Automatycznie	Reguła jest uruchamiana po raz pierwszy natychmiast po utworzeniu, a następnie w interwałie ustawionym w każdym ustawieniu Uruchom zapytanie .
W określonym czasie (wersja zapoznawcza)	Ustaw datę i godzinę pierwszego uruchomienia reguły, po czym jest uruchamiana w interwałie ustawionym w każdym ustawieniu Uruchom zapytanie .

Czas uruchamiania musi wynosić od 10 minut do 30 dni od czasu utworzenia reguły (lub włączenia).
Wiersz tekstu w ustawieniu Rozpocznij uruchamianie (z ikoną informacji po lewej stronie) podsumowuje bieżące ustawienia planowania zapytań i wyszukiwania zwrotnego.

Uwaga

Opóźnienie importu

Aby uwzględnić opóźnienia, które mogą wystąpić między generowaniem zdarzenia w źródle i jego pozyskiwaniem do Microsoft Sentinel, oraz aby zapewnić pełne pokrycie bez duplikowania danych, Microsoft Sentinel uruchamia reguły zaplanowanej analizy z pięciominutowym opóźnieniem od zaplanowanego czasu.

Aby uzyskać więcej informacji, zobacz Obsługa opóźnienia pozyskiwania danych w zaplanowanych regułach analitycznych.

Próg alarmu

Wiele typów zdarzeń zabezpieczeń jest normalnych lub nawet oczekiwanych w małych liczbach, ale są oznaką zagrożenia w większej liczbie. Różne skale dużych liczb mogą oznaczać różne rodzaje zagrożeń. Na przykład dwie lub trzy nieudane próby logowania w ciągu minuty to znak, że użytkownik nie pamięta hasła, ale 50 w ciągu minuty może być oznaką ataku człowieka, a tysiąc jest prawdopodobnie atakiem automatycznym.

W zależności od rodzaju działania, które reguła próbuje wykryć, można ustawić minimalną liczbę zdarzeń (wyników zapytania) niezbędną do wyzwolenia alertu. Próg obowiązuje oddzielnie przy każdym uruchomieniu reguły, a nie łącznie.

Próg można również ustawić na maksymalną liczbę wyników lub dokładną liczbę.

Grupowanie zdarzeń

Istnieją dwa sposoby obsługi grupowania zdarzeń w alerty:

Zgrupuj wszystkie zdarzenia w jeden alert: Jest to wartość domyślna. Reguła generuje pojedynczy alert za każdym razem, gdy jest uruchamiany, o ile zapytanie zwraca więcej wyników niż określony próg alertu wyjaśniony w poprzedniej sekcji. Ten pojedynczy alert podsumowuje wszystkie zdarzenia zwrócone w wynikach zapytania.
Wyzwól alert dla każdego zdarzenia: Reguła generuje unikalny alert dla każdego zdarzenia (wyniku) zwróconego przez zapytanie. Ten tryb jest przydatny, jeśli chcesz, aby zdarzenia były wyświetlane indywidualnie lub chcesz grupować je według określonych parametrów — według użytkownika, nazwy hosta lub innej. Te parametry można zdefiniować w zapytaniu.

Reguły analizy mogą generować maksymalnie 150 alertów. Jeśli grupowanie zdarzeń ma wartość Wyzwalanie alertu dla każdego zdarzenia, a zapytanie reguły zwraca więcej niż 150 zdarzeń, pierwsze 149 zdarzeń wygeneruje unikatowy alert (dla 149 alertów), a 150. alert podsumuje cały zestaw zwróconych zdarzeń. Innymi słowy, 150 alert zostałby wygenerowany, gdyby grupowanie zdarzeń zostało ustawione na grupowanie wszystkich zdarzeń w jeden alert.

Sekcja Zapytanie alertu jest inna w każdym z tych dwóch trybów. W trybie grupowania wszystkich zdarzeń w tryb pojedynczego alertu alert zwraca zapytanie, które umożliwia wyświetlenie wszystkich zdarzeń, które wyzwoliły alert. Możesz przejść do szczegółów wyników zapytania, aby wyświetlić poszczególne zdarzenia. W trybie Wyzwalaj alert dla każdego zdarzenia alert zwraca wynik zakodowany w standardzie base64 w obszarze zapytania. Skopiuj i uruchom te dane wyjściowe w usłudze Log Analytics, aby zdekodować base64 i wyświetlić oryginalne zdarzenie.

Pojedynczy alert
Alert dla każdego zdarzenia

Zrzut ekranu przedstawiający przykładowe wyniki dla trybu pojedynczego alertu z zapytaniem.

Wyzwalanie alertu dla każdego ustawienia zdarzenia może spowodować problem polegający na tym, że wyniki zapytania wydają się brakować lub różnią się od oczekiwanych. Aby uzyskać więcej informacji na temat tego scenariusza, zobacz Rozwiązywanie problemów z regułami analizy w Microsoft Sentinel | Problem: Żadne zdarzenia nie są wyświetlane w wynikach zapytania.

Tłumienie

Jeśli chcesz, aby ta reguła przestała działać przez pewien czas po wygenerowaniu alertu, włącz ustawienie Zatrzymaj uruchamianie zapytania po wygenerowaniu alertuWłączone. Następnie należy ustawić ustawienie Zatrzymaj uruchamianie zapytania na czas, przez który zapytanie powinno przestać działać, do 24 godzin.

Symulacja wyników

Kreator reguł analizy umożliwia przetestowanie jej skuteczności przez uruchomienie go w bieżącym zestawie danych. Po uruchomieniu testu w oknie Symulacja wyników zostanie wyświetlony wykres wyników wygenerowanych przez zapytanie w ciągu ostatnich 50 razy, zgodnie z aktualnie zdefiniowanym harmonogramem. Jeśli zmodyfikujesz zapytanie, możesz ponownie uruchomić test, aby zaktualizować graf. Wykres przedstawia liczbę wyników w zdefiniowanym okresie, który jest określany na podstawie zdefiniowanego harmonogramu zapytań.

Oto jak symulacja wyników może wyglądać dla zapytania na poprzednim zrzucie ekranu. Lewa strona to widok domyślny, a prawa strona jest widoczna po umieszczeniu wskaźnika myszy nad punktem w czasie na grafie.

Zrzuty ekranu symulacji wyników.

Jeśli zobaczysz, że zapytanie wyzwoli zbyt wiele lub zbyt częste alerty, możesz poeksperymentować z ustawieniami planowania i progu i uruchomić symulację ponownie.

Ustawienia zdarzenia

Określ, czy Microsoft Sentinel przekształca alerty w zdarzenia z możliwością działania.

Tworzenie zdarzenia jest domyślnie włączone. Microsoft Sentinel tworzy pojedynczy, oddzielny incydent dla każdego alertu wygenerowanego przez regułę.

Jeśli nie chcesz, aby ta reguła skutkować utworzeniem jakichkolwiek zdarzeń (na przykład jeśli ta reguła służy tylko do zbierania informacji do późniejszej analizy), ustaw tę opcję na Wyłączone.

Ważna

Jeśli wdrożono Microsoft Sentinel do portalu Defender, Microsoft Defender odpowiada za tworzenie incydentów. Niemniej jednak, jeśli chcesz Defender XDR utworzyć zdarzenia dla tego alertu, musisz pozostawić to ustawienie Włączone. Defender XDR przyjmuje instrukcję zdefiniowaną tutaj.

Nie należy tego mylić z regułą analizy typu zabezpieczeń firmy Microsoft, która tworzy zdarzenia dla alertów generowanych w usługach Microsoft Defender. Te reguły są automatycznie wyłączone podczas dołączania Microsoft Sentinel do portalu usługi Defender.

Jeśli chcesz utworzyć pojedyncze zdarzenie na podstawie grupy alertów, zamiast jednego dla każdego pojedynczego alertu, zobacz następną sekcję.

Grupowanie alertów

Określ, czy alerty są grupowane razem w zdarzeniach. Domyślnie Microsoft Sentinel tworzy zdarzenie dla każdego wygenerowanego alertu. Istnieje możliwość zgrupowania kilku alertów razem w jednym zdarzeniu.

Zdarzenie jest tworzone dopiero po wygenerowaniu wszystkich alertów. Wszystkie alerty są dodawane do zdarzenia natychmiast po jego utworzeniu.

Maksymalnie 150 alertów można pogrupować w pojedyncze zdarzenie. Jeśli reguła zgrupuje więcej niż 150 alertów w pojedynczym zdarzeniu, zostanie wygenerowane nowe zdarzenie z tymi samymi szczegółami zdarzenia co oryginalne, a nadmiar alertów zostanie pogrupowany w nowe zdarzenie.

Aby grupować alerty razem, ustaw ustawienie grupowania alertów na wartość Włączone.

Istnieje kilka opcji do rozważenia podczas grupowania alertów:

Ramy czasowe: Domyślnie alerty utworzone do 5 godzin po pierwszym alercie w zdarzeniu są dodawane do tego samego zdarzenia. Po 5 godzinach zostanie utworzony nowy incydent. Ten okres można ustawić w zakresie od 5 minut do siedmiu dni.

Kryteria grupowania: Wybierz sposób określania, które alerty są uwzględnione w grupie. W poniższej tabeli przedstawiono możliwe opcje:

Opcja	Opis
Grupowanie alertów w pojedyncze zdarzenie, jeśli wszystkie jednostki są zgodne	Alerty są grupowane razem, jeśli mają identyczne wartości dla każdej z zamapowanych jednostek zdefiniowanych wcześniej. Jest to zalecane ustawienie.
Zgrupuj wszystkie alerty wyzwalane przez tę regułę w jeden incydent	Wszystkie alerty wygenerowane przez tę regułę są grupowane razem, nawet jeśli nie mają identycznych wartości.
Grupowanie alertów w pojedyncze zdarzenie, jeśli wybrane jednostki i szczegóły są zgodne	Alerty są grupowane, jeśli mają identyczne wartości dla wszystkich mapowanych encji, szczegółów alertu i niestandardowych szczegółów, które wybierzesz dla tego ustawienia. Wybierz jednostki i szczegóły z list rozwijanych wyświetlanych po wybraniu tej opcji. Możesz użyć tego ustawienia, jeśli na przykład chcesz utworzyć oddzielne zdarzenia na podstawie źródłowych lub docelowych adresów IP lub jeśli chcesz grupować alerty zgodne z określoną jednostką i ważnością. Uwaga: po wybraniu tej opcji dla reguły musi być wybrana co najmniej jedna jednostka lub szczegół. W przeciwnym razie sprawdzanie poprawności reguły kończy się niepowodzeniem i reguła nie zostanie utworzona.

Ponowne otwieranie zdarzeń: jeśli zdarzenie zostało rozwiązane i zamknięte, a później zostanie wygenerowany inny alert, który powinien należeć do tego zdarzenia, ustaw to ustawienie na Wartość Włączone , jeśli chcesz, aby zamknięte zdarzenie zostało ponownie otwarte, i pozostaw wartość Wyłączone , jeśli chcesz, aby nowy alert utworzył nowe zdarzenie.

Opcja ponownego otwarcia zamkniętych zdarzeń nie jest dostępna w przypadku dołączenia Microsoft Sentinel do portalu usługi Defender.

Automatyczna odpowiedź

Microsoft Sentinel umożliwia ustawianie automatycznych odpowiedzi w następujących przypadkach:

Ta reguła analizy generuje alert.
Zdarzenie jest tworzone na podstawie alertów generowanych przez tę regułę analityczną.
Zdarzenie jest aktualizowane za pomocą alertów generowanych przez tę regułę analizy.

Aby dowiedzieć się wszystkiego o różnych rodzajach odpowiedzi, które można spreparować i zautomatyzować, zobacz Automatyzowanie reagowania na zagrożenia w Microsoft Sentinel za pomocą reguł automatyzacji.

Pod nagłówkiem Reguły automatyzacji kreator wyświetla listę reguł automatyzacji już zdefiniowanych dla całego obszaru roboczego, których warunki mają zastosowanie do tej reguły analitycznej. Możesz edytować dowolną z tych istniejących reguł lub utworzyć nową regułę automatyzacji , która ma zastosowanie tylko do tej reguły analizy.

Reguły automatyzacji umożliwiają wykonywanie podstawowych klasyfikacji, przypisywania, przepływu pracy i zamykania zdarzeń.

Automatyzuj bardziej złożone zadania i wywołuj odpowiedzi z systemów zdalnych, aby neutralizować zagrożenia, uruchamiając playbooki za pomocą tych reguł automatyzacji. Można uruchamiać playbooki zarówno dla incydentów, jak i dla poszczególnych alertów.

Aby uzyskać więcej informacji i instrukcji dotyczących tworzenia podręczników i reguł automatyzacji, zobacz Automatyzowanie odpowiedzi na zagrożenia.
Aby uzyskać więcej informacji o tym, kiedy używać wyzwalacza utworzenia incydentu, wyzwalacza aktualizacji incydentu lub wyzwalacza utworzenia alertu, zobacz Używanie wyzwalaczy i akcji w podręcznikach Microsoft Sentinel.
W nagłówku Automatyzacja alertów (klasyczna) może zostać wyświetlona lista podręczników skonfigurowanych do automatycznego uruchamiania przy użyciu starej metody, która ma zostać wycofana w marcu 2026 r. Nie można dodać niczego do tej listy. Wszystkie wymienione tutaj podręczniki powinny mieć utworzone reguły automatyzacji na podstawie wyzwalacza utworzonego alertu w celu wywołania podręczników. Po wykonaniu tej czynności wybierz wielokropek na końcu wiersza podręcznika wymienionego tutaj, a następnie wybierz pozycję Usuń. Pełne instrukcje znajdziesz tutaj: Migrowanie podręczników Microsoft Sentinel wyzwalanych alertami do reguł automatyzacji.

Następne kroki

W przypadku używania reguł analizy Microsoft Sentinel do wykrywania zagrożeń w całym środowisku upewnij się, że wszystkie reguły skojarzone z połączonymi źródłami danych są włączone w celu zapewnienia pełnego pokrycia zabezpieczeń środowiska.

Aby zautomatyzować włączanie reguł, przesyłaj reguły do usługi Microsoft Sentinel za pośrednictwem interfejsu API i programu PowerShell, mimo że wymaga to większego nakładu pracy. W przypadku korzystania z interfejsu API lub programu PowerShell należy najpierw wyeksportować reguły do formatu JSON przed włączeniem reguł. Interfejs API lub program PowerShell mogą pomóc w włączaniu reguł w wielu wystąpieniach Microsoft Sentinel z identycznymi ustawieniami w każdym wystąpieniu.