Självstudie: Konfigurera säkerhetsanalys för Azure Active Directory B2C-data med Microsoft Sentinel

Artikel
06/10/2023

Öka säkerheten för din Azure Active Directory B2C-miljö (Azure AD B2C) genom att dirigera loggar och granska information till Microsoft Sentinel. Den skalbara Microsoft Sentinel är en molnbaserad LÖSNING för säkerhetsinformations- och händelsehantering (SIEM) och säkerhetsorkestrering, automatisering och svar (SOAR). Använd lösningen för aviseringsidentifiering, hotsynlighet, proaktiv jakt och hotsvar för Azure AD B2C.

Läs mer:

Fler användningsområden för Microsoft Sentinel, med Azure AD B2C, är:

Identifiera tidigare oupptäckta hot och minimera falska positiva identifieringar med analys- och hotinformationsfunktioner
Undersöka hot med artificiell intelligens (AI)
- Jaga misstänkta aktiviteter i stor skala och dra nytta av erfarenheterna från många års cybersäkerhetsarbete på Microsoft
Svara snabbt på incidenter med vanlig uppgiftsorkestrering och automatisering
Uppfylla organisationens krav på säkerhet och efterlevnad

I den här självstudiekursen får du lära du dig att:

Överföra Azure AD B2C-loggar till en Log Analytics-arbetsyta
Aktivera Microsoft Sentinel på en Log Analytics-arbetsyta
Skapa en exempelregel i Microsoft Sentinel för att utlösa en incident
Konfigurera ett automatiserat svar

Konfigurera Azure AD B2C med Azure Monitor Log Analytics

Om du vill definiera var loggar och mått för en resurs skickas,

Aktivera diagnostikinställningar i Microsoft Entra-ID i din Azure AD B2C-klientorganisation.
Konfigurera Azure AD B2C för att skicka loggar till Azure Monitor.

Läs mer i Övervaka Azure AD B2C med Azure Monitor.

Distribuera en Microsoft Sentinel-instans

När du har konfigurerat din Azure AD B2C-instans för att skicka loggar till Azure Monitor aktiverar du en instans av Microsoft Sentinel.

Viktigt

Om du vill aktivera Microsoft Sentinel hämtar du deltagarbehörighet till prenumerationen där Microsoft Sentinel-arbetsytan finns. Om du vill använda Microsoft Sentinel använder du behörigheterna Deltagare eller Läsare för den resursgrupp som arbetsytan tillhör.

Logga in på Azure-portalen.
Välj den prenumeration där Log Analytics-arbetsytan skapas.
Sök efter och välj Microsoft Sentinel.
Välj Lägg till.
I fältet sökarbetsytor väljer du den nya arbetsytan.
Välj Lägg till Microsoft Sentinel.

Anteckning

Det går att köra Microsoft Sentinel på mer än en arbetsyta, men data isoleras på en enda arbetsyta.
Se Snabbstart: Publicera Microsoft Sentinel

Skapa en Microsoft Sentinel-regel

När du har aktiverat Microsoft Sentinel får du ett meddelande om något misstänkt inträffar i din Azure AD B2C-klientorganisation.

Du kan skapa anpassade analysregler för att identifiera hot och avvikande beteenden i din miljö. De här reglerna söker efter specifika händelser eller händelseuppsättningar och varnar dig när tröskelvärden eller villkor för händelser uppfylls. Sedan genereras incidenter för undersökning.

Se Skapa anpassade analysregler för att identifiera hot

Anteckning

Microsoft Sentinel har mallar för att skapa hotidentifieringsregler som söker efter misstänkt aktivitet i dina data. I den här självstudien skapar du en regel.

Meddelanderegel för misslyckad tvingad åtkomst

Använd följande steg för att få ett meddelande om två eller flera misslyckade försök till tvingad åtkomst till din miljö. Ett exempel är brute-force-attack.

I Microsoft Sentinel går du till den vänstra menyn och väljer Analys.
I det övre fältet väljer du + Skapa>schemalagd frågeregel.
I guiden Analysregel går du till Allmänt.
I Namn anger du ett namn för misslyckade inloggningar.
För Beskrivning anger du att regeln meddelar för två eller flera misslyckade inloggningar inom 60 sekunder.
För Taktiker väljer du en kategori. Välj till exempel PreAttack.
För Allvarlighetsgrad väljer du en allvarlighetsgrad.
Status är Aktiverad som standard. Om du vill ändra en regel går du till fliken Aktiva regler .
Välj fliken Ange regellogik .
Ange en fråga i fältet Regelfråga . Frågeexemplet organiserar inloggningarna UserPrincipalNameefter .
Gå till Frågeschemaläggning.
För Kör fråga var anger du 5 och Minuter.
För Uppslagsdata från den senaste anger du 5 och Minuter.
För Generera avisering när antalet frågeresultat väljer du Är större än och 0.
För Händelsegruppering väljer du Gruppera alla händelser i en enda avisering.
För Sluta köra frågan när aviseringen har genererats väljer du Av.
Välj Nästa: Incidentinställningar (förhandsversion).

Skärmbild av val och alternativ för frågeschemaläggning.

Gå till fliken Granska och skapa för att granska regelinställningarna.
När banderollen Validering har godkänts visas väljer du Skapa.

Visa regeln och de incidenter som den genererar. Hitta din nyligen skapade anpassade regel av typen Schemalagd i tabellen under fliken Aktiva regler på huvudregeln

Gå till skärmen Analys .
Välj fliken Aktiva regler .
Leta upp regeln under Schemalagd i tabellen.

Du kan redigera, aktivera, inaktivera eller ta bort regeln.

Skärmbild av aktiva regler med alternativen Aktivera, Inaktivera, Ta bort och Redigera.

Prioritera, undersöka och åtgärda incidenter

En incident kan innehålla flera aviseringar och är en sammanställning av relevanta bevis för en undersökning. På incidentnivå kan du ange egenskaper som Allvarlighetsgrad och Status.

Läs mer: Undersöka incidenter med Microsoft Sentinel.

Gå till sidan Incidenter .
Välj en incident.
Till höger visas detaljerad incidentinformation, inklusive allvarlighetsgrad, entiteter, händelser och incident-ID.
I fönstret Incidenter väljer du Visa fullständig information.
Granska flikar som sammanfattar incidenten.
Välj Länken Bevishändelser>>till Log Analytics.
I resultatet kan du se identitetsvärdet UserPrincipalName vid inloggningsförsök.

Automatiserat svar

Microsoft Sentinel har funktioner för säkerhetsorkestrering, automatisering och svar (SOAR). Koppla automatiserade åtgärder, eller en spelbok, till analysregler.

Se, Vad är SOAR?