Интеграция Microsoft Sentinel и Microsoft Purview

Microsoft Purview предоставляет организациям представление о том, где хранится конфиденциальная информация, помогая приоритизировать данные, подверженные риску, для защиты. Интегрируйте Microsoft Purview с Microsoft Sentinel, чтобы сузить большое количество инцидентов и угроз, обнаруженных в Microsoft Sentinel, и понять наиболее важные области, которые необходимо начать.

Начните с загрузки журналов Microsoft Purview в Microsoft Sentinel с помощью соединителя данных. Затем используйте книгу Microsoft Sentinel для просмотра таких данных, как отсканированные ресурсы, найденные классификации и метки, примененные Microsoft Purview. Используйте правила аналитики для создания оповещений об изменениях конфиденциальности данных.

Настройте книгу и правила аналитики Microsoft Purview в соответствии с потребностями вашей организации, а также объедините журналы Microsoft Purview с данными, полученными из других источников, для создания расширенных аналитических сведений в Microsoft Sentinel.

Предварительные условия

Перед началом работы убедитесь, что подключена рабочая область Microsoft Sentinel и Microsoft Purview, а пользователь имеет следующие роли:

• Роль владельца или участника учетной записи Microsoft Purview для настройки параметров диагностики и настройки соединителя данных.

• Роль участника Microsoft Sentinel с разрешениями на запись для включения соединителя данных, просмотра книги и создания правил аналитики.

• Решение Microsoft Purview, установленное в рабочей области Log Analytics, включено для Microsoft Sentinel.

  Решение Microsoft Purview — это набор объединенного содержимого, включая соединитель данных, книгу и правила аналитики, настроенные специально для данных Microsoft Purview. Дополнительные сведения см. в разделах Общие сведения о контенте и решениях Microsoft Sentinel и Обнаружение готового контента Microsoft Sentinel и управление им.

  Инструкции по включению соединителя данных также доступны в Microsoft Sentinel на странице соединителя данных Microsoft Purview.

Начало приема данных Microsoft Purview в Microsoft Sentinel

Настройте параметры диагностики, чтобы журналы чувствительности данных Microsoft Purview поступали в Microsoft Sentinel, а затем запустите сканирование в Microsoft Purview, чтобы начать прием ваших данных.

Параметры диагностики отправляют события журнала только после выполнения полной проверки или при обнаружении изменения во время добавочной проверки. Обычно проходит около 10–15 минут, прежде чем журналы начнут отображаться в Microsoft Sentinel.

Чтобы включить поток журналов конфиденциальности данных в Microsoft Sentinel:

1. Перейдите к учетной записи Microsoft Purview в портал Azure и выберите Параметры диагностики.

   

2. Выберите + Добавить параметр диагностики и настройте новый параметр для отправки журналов из Microsoft Purview в Microsoft Sentinel:

   • Введите понятное имя параметра.
   • В разделе Журналы выберите DataSensitivityLogEvent.
   • В разделе Сведения о назначении выберите Отправить в рабочую область Log Analytics и выберите сведения о подписке и рабочей области, используемые для Microsoft Sentinel.

3. Выберите Сохранить.

Дополнительные сведения см. в статье Подключение Microsoft Sentinel к другим службам Майкрософт с помощью подключений на основе параметров диагностики.

Чтобы запустить проверку Microsoft Purview и просмотреть данные в Microsoft Sentinel:

1. В Microsoft Purview выполните полную проверку ресурсов. Дополнительные сведения см. в статье Сканирование источников данных в Microsoft Purview.

2. После завершения проверок Microsoft Purview вернитесь к соединителю данных Microsoft Purview в Microsoft Sentinel и убедитесь, что данные получены.

Просмотр последних данных, обнаруженных Microsoft Purview

Решение Microsoft Purview предоставляет два готовых шаблона правил аналитики, которые можно включить, включая универсальное правило и настраиваемое правило.

• Универсальная версия Конфиденциальные данные, обнаруженные за последние 24 часа, отслеживает обнаружение любых классификаций, обнаруженных в вашем пространстве данных во время сканирования Microsoft Purview.
• Настраиваемая версия Конфиденциальные данные, обнаруженные за последние 24 часа , настраивается, отслеживает и создает оповещения при каждом обнаружении указанной классификации, например номера социального страхования.

Используйте процедуру в шаблонах правил Microsoft Purview аналитики, чтобы настраивать запросы Microsoft Purview аналитических правил для обнаружения активов с определённой классификацией, меткой чувствительности, регионом источника и другими. Объедините созданные данные с другими данными в Microsoft Sentinel, чтобы расширить возможности обнаружения и оповещений.

Примечание.

Microsoft Sentinel правила аналитики — это запросы KQL, которые активируют оповещения при обнаружении подозрительных действий. Настройте и сгруппируйте правила, чтобы создать инциденты, которые команда SOC будет исследовать.

Изменение шаблонов правил аналитики Microsoft Purview

Выполните следующие действия, чтобы создать и настроить правило аналитики Microsoft Purview из встроенного шаблона.

1. В Microsoft Sentinel откройте решение Microsoft Purview, а затем найдите и выберите конфиденциальные данные, обнаруженные в течение последних 24 часов — настраиваемое правило. На боковой панели выберите Создать правило , чтобы создать новое правило на основе шаблона.

2. Перейдите на страницу Аналитика конфигурации> и выберите Активные правила. Найдите правило с именем Конфиденциальные данные, обнаруженные за последние 24 часа — настроено.

   По умолчанию правила аналитики, созданные Microsoft Sentinel решениями, имеют значение отключено. Убедитесь, что правило включено для вашего рабочего пространства, прежде чем продолжить:

   1. Выберите правило. В боковой области выберите Изменить.

   2. В мастере правил аналитики в нижней части вкладки Общие установите переключатель Состояние в положение Включено.

3. На вкладке Задать логику правила настройте запрос правила , чтобы он запрашивал поля данных и классификации, для которого нужно создавать оповещения. Дополнительные сведения о том, что можно включить в запрос, см. в разделе:

   • Поддерживаемые поля данных — это столбцы таблицы PurviewDataSensitivityLogs .
   • Поддерживаемые классификации

   Форматированные запросы имеют следующий синтаксис: | where {data-field} contains {specified-string}.

   Например, вы можете:

   PurviewDataSensitivityLogs
   | where Classification contains “Social Security Number”
   | where SourceRegion contains “westeurope”
   | where SourceType contains “Amazon”
   | where TimeGenerated > ago (24h)
   

   См. больше информации о следующих элементах, использованных в примерном PurviewDataSensitivityLogs запросе, в документации Kusto:

   • where оператор
   • Функция ago()

   Дополнительные сведения о KQL см. в статье Общие сведения о язык запросов Kusto (KQL).

   Другие ресурсы

   • Краткий справочник по KQL
   • Учебные материалы по языку запросов Kusto Query Language

4. В разделе Планирование запросов определите параметры, чтобы правила отображали данные, обнаруженные за последние 24 часа. Кроме того, рекомендуется настроить группирование событий так, чтобы все события сгруппировать в одно оповещение.

   

5. При необходимости настройте вкладки "Инцидент" и "Автоматический ответ ". Например, на вкладке Параметры инцидентов убедитесь, что выбран параметр Создание инцидентов из оповещений, активированных этим правилом аналитики .

6. На вкладке Просмотр и создание выберите Сохранить.

Дополнительные сведения см. в статье Создание пользовательских правил аналитики для обнаружения угроз.

Просмотр данных Microsoft Purview в книгах Microsoft Sentinel

Чтобы добавить книгу Microsoft Purview в рабочую область и открыть ее, выполните следующие действия.

1. В Microsoft Sentinel откройте решение Microsoft Purview, а затем найдите и выберите книгу Microsoft Purview. На боковой панели выберите Конфигурация , чтобы добавить книгу в рабочую область.

2. В Microsoft Sentinel в разделе Управление угрозами выберите Книги>Мои книги и найдите книгу Microsoft Purview. Сохраните книгу в рабочей области, а затем выберите Просмотреть сохраненную книгу. Например, вы можете:

   

В рабочей книге Microsoft Purview отображаются следующие вкладки:

• Обзор. Отображает регионы и типы ресурсов, в которых находятся данные.
• Классификации. Отображает ресурсы, содержащие указанные классификации, например номера кредитных карт.
• Метки конфиденциальности. Отображает ресурсы с конфиденциальными метками и ресурсы, которые в настоящее время не имеют меток.

Чтобы выполнить детализацию в книге Microsoft Purview, выполните следующие действия:

• Выберите конкретный источник данных, чтобы перейти к ресурсу в Azure.
• Выберите ссылку пути к ресурсу, чтобы отобразить дополнительные сведения, включая все поля данных, содержащиеся в загруженных журналах.
• Выберите строку в таблицах Источник данных, Классификация или Метка конфиденциальности , чтобы отфильтровать настроенные данные уровня актива.

Исследование инцидентов, вызванных событиями Microsoft Purview

При изучении инцидентов, вызванных правилами аналитики Microsoft Purview, найдите подробные сведения об активах и классификациях, обнаруженных в событиях инцидента.

Например, вы можете:

Связанные материалы

Дополнительные сведения см. в разделе:

• Визуализация собранных данных
• Создание настраиваемых правил аналитики для обнаружения угроз
• Исследование инцидентов с помощью Microsoft Sentinel