Microsoft Sentinel ile avlanma sırasında verileri takip etme

Microsoft Sentinel'daki avcılık yer işaretleri, ilgili olduğunu düşündüğünüz sorguları ve sorgu sonuçlarını korumanıza yardımcı olur. Ayrıca, bağlamsal gözlemlerinizi kaydedebilir ve notlar ve etiketler ekleyerek bulgularınıza başvurabilirsiniz. Yer imlerine eklenen veriler, kolay iş birliği için size ve ekip arkadaşlarınıza görünür. Daha fazla bilgi için bkz. Yer İşaretleri.

Bu makalede, Microsoft Sentinel'da avcılık yer işaretlerini oluşturma, görüntüleme ve yönetme ve araştırma sırasında bunların nasıl kullanılacağı açıklanmaktadır.

Not

Microsoft Sentinel Hunting Bookmarks: Sadece Azure portalında, Microsoft SentinelThreat>management>Hunting altında yer imimi oluşturabilirsiniz. Microsoft Defender portalında, önceden oluşturulmuş yer işaretlerini görüntüleyebilirsiniz, ancak yenilerini ekleyemezsiniz.

Gelişmiş avcı yer imleri: Gelişmiş avcılıkta yer imleri, Microsoft Defender ve Microsoft Sentinel verileri arasında birleşik bir sorgulama deneyimi sağlayan Gelişmiş avcılık'ta bulunmamaktadır. Ancak yer işaretleri, Microsoft Sentinel'e özgü avlanma deneyimini sağlayan Microsoft Sentinel>Tehdit yönetimi>Avlanma bölümünde hâlâ kullanılabilir. Araştırma bağlamlarını korumak ve izlemek için olay etiketleri, kaydedilmiş sorgular veya özel tehdit avcılığı tabloları gibi alternatifleri de kullanabilirsiniz.

Önemli

31 Mart 2027'nin ardından Microsoft Sentinel artık Azure portal desteklenmeyecektir ve yalnızca Microsoft Defender portalında kullanılabilir. Azure portal Microsoft Sentinel kullanan tüm müşteriler Defender portalına yönlendirilir ve yalnızca Defender portalında Microsoft Sentinel kullanır.

Azure portal hala Microsoft Sentinel kullanıyorsanız, sorunsuz bir geçiş sağlamak ve Microsoft Defender tarafından sunulan birleşik güvenlik işlemleri deneyiminden tam olarak yararlanmak için Defender portalına geçişinizi planlamaya başlamanızı öneririz.

Yer işareti ekleme (yalnızca Azure portal)

Sorguları, sonuçları, gözlemlerinizi ve bulguları korumak için bir yer işareti oluşturun.

1. Tehdit yönetimi'nin altında Avcılık'ı seçin.

2. Sorgular sekmesinde, avlanma sorgularından birini veya daha fazlasını seçin.

3. Üst komut çubuğunda Seçili sorguları çalıştır'ı seçin.

4. Sorgu sonuçlarını görüntüle'yi seçin. Örneğin:

   

   Sorgu sonuçlarını görüntüle'yi seçtiğinizde sorgu sonuçları Günlükler bölmesinde açılır.

5. Günlük sorgusu sonuçları listesinden, ilginç bulduğunuz bilgileri içeren bir veya daha fazla satır seçmek için onay kutularını kullanın.

6. Azure portalında Yer işareti ekle seçin:

   

7. Sağ taraftaki Yer işareti ekle bölmesinde, isteğe bağlı olarak, öğeyle ilgili ilginç olan şeyleri belirlemenize yardımcı olmak için yer işareti adını güncelleştirin, etiketler ve notlar ekleyin.

8. İsteğe bağlı olarak yer imlerini MITRE ATT&CK teknikleri veya alt teknikleriyle eşleyebilirsiniz. MITRE ATT&CK eşlemeleri, avcılık sorgularındaki eşlenmiş değerlerden devralınır, ancak bunları el ile de oluşturabilirsiniz. Yer işareti ekle bölmesinin Taktikler & Teknikleri bölümündeki açılan menüden istenen teknikle ilişkili MITRE ATT&CK taktiğini seçin. Menü, tüm MITRE ATT&CK tekniklerini gösterecek şekilde genişler ve bu menüden birden çok teknik ve alt teknik seçebilirsiniz.

   

9. Artık daha fazla araştırma için yer işaretli sorgu sonuçlarından genişletilmiş bir varlık kümesi ayıklanabilir. Varlık eşleme bölümünde, varlık türlerini ve tanımlayıcıları seçmek için açılan menüleri kullanın. Ardından ilgili tanımlayıcıyı içeren sorgu sonuçlarında sütunu eşleyin. Örneğin:

   

   Araştırma grafiğindeki yer işaretini görüntülemek için en az bir varlığı eşlemeniz gerekir. Oluşturduğunuz hesap, ana bilgisayar, IP ve URL varlık türlerine yönelik varlık eşlemeleri desteklenir ve geriye dönük uyumluluk korunur.

10. Değişikliklerinizi işlemek için Oluştur'u seçin ve yer işaretini ekleyin. Tüm yer işaretli veriler diğer analistlerle paylaşılır ve işbirliğine dayalı bir araştırma deneyimine yönelik ilk adımdır.

Günlükler bölmesi Microsoft Sentinel'den açıldığında, günlük sorgu sonuçları yer işaretlerini destekler. Örneğin, gezinti çubuğundan Genel>Günlükler'i seçerseniz araştırma grafında olay bağlantılarını seçin veya olayın tüm ayrıntılarından bir uyarı kimliği seçin. Günlükler bölmesi doğrudan Azure İzleyici gibi başka bir konumdan açıldığında yer işaretleri oluşturamazsınız.

Yer işaretlerini görüntüleme ve güncelleştirme

Yer imleri sekmesinden bir yer imimi bulun ve güncelleyin.

1. Azure portal Microsoft Sentinel için Tehdit yönetimi'ninaltındaTehdit Avcılığı'nı seçin.
   Defender portalında Microsoft Sentinel için Microsoft Sentinel>Threat management>Hunting'i seçin.

2. Yer işaretlerinin listesini görüntülemek için Yer İşaretleri sekmesini seçin.

3. Belirli bir yer işaretini veya yer işaretlerini bulmak için arama yapın veya filtreleyin.

4. Yer işareti ayrıntılarını sağdaki bölmede görüntülemek için ayrı ayrı yer işaretlerini seçin.

5. Değişikliklerinizi gerektiği gibi yapın. Değişiklikleriniz otomatik olarak kaydedilir.

Not

Yer Imi sekmesinde yalnızca 1.000'e kadar yer imimi görüntülenebilir. Kayıtlarınızda yer imlerindeki diğer verileri görebilirsiniz. Günlüklerde yer işaretli verileri görüntüleme

Araştırma grafında yer işaretlerini keşfetme

Yer imlerinize eklediğiniz verileri, etkileşimli bir varlık grafiği diyagramı ve zaman çizelgesi aracılığıyla bulgularınızı görüntüleyebileceğiniz, inceleyebileceğiniz ve görsel olarak sunabileceğiniz inceleme deneyimini başlatarak görselleştirin.

Önemli

İncelemek istediğiniz her yer iminin en az bir eşlenen varlığı olmalıdır. Yer işareti eşlenmiş bir varlığa sahip değilse, başlamadan önce yer işaretini güncelleştirerek ekleyin.

1. Yer İşaretleri sekmesinde araştırmak istediğiniz yer işaretini veya yer işaretlerini seçin.

2. Araştırma grafiğinde yer işaretini görüntülemek için Araştır'ı seçin.

Araştırma grafiğini kullanma yönergeleri için bkz. Ayrıntılı inceleme için araştırma grafiğini kullanma.

Yeni veya mevcut bir olaya yer işaretleri ekleme (yalnızca Azure portal)

Hunting sayfasındaki Yer İşaretleri sekmesinden bir olaya yer işaretleri ekleyin.

1. Yer İmleri sekmesinden, bir olay kaydına eklemek istediğiniz yer imini veya yer imlerini seçin.

2. Komut çubuğundan Olay eylemleri'ni seçin:

   

3. Uygun şekilde Yeni olay oluştur'u veya Mevcut olaya ekle'yi seçin. Sonra:

   • Yeni bir olay için: İsteğe bağlı olarak olayın ayrıntılarını güncelleştirin ve oluştur'u seçin.
   • Var olan bir olaya yer işareti eklemek için: Bir olay seçin ve ardından Ekle'yi seçin.

4. Olay içindeki yer imini görmek için:

   1. Microsoft Sentinel>Tehdit yönetimi>Olaylar'a gidin.
   2. Yer işaretinizle olayı seçin ve Tüm ayrıntıları görüntüle'yi seçin.
   3. Olay sayfasındaki sol bölmede Yer İşaretleri'ni seçin.

Günlüklerde yer işaretli verileri görüntüleme

Yer işaretli sorguları, sonuçları veya bunların geçmişini görüntüleyin.

1. Avcılık>Yer İşaretleri sekmesinden yer işaretini seçin.

2. Ayrıntılar bölmesinden aşağıdaki bağlantıları seçin:

   • Kaynak sorguyugünlükler bölmesinde görüntülemek için kaynak sorguyu görüntüleyin.

   • Yer imi günlüklerini görüntüleyin; böylece güncellemeyi kimin yaptığını, güncellenen değerleri ve güncelleştirmenin yapıldığı zamanı içeren tüm yer imi meta verilerini görebilirsiniz.

3. Avcılık>Yer İşaretleri sekmesinin komut çubuğundan, tüm yer işaretlerine ilişkin ham verileri görüntülemek için Yer İşareti Günlükleri'ni seçin.

   

Yer İşareti Günlükleri görünümü, ilişkili meta verileri içeren tüm yer işaretlerinizi gösterir. aradığınız yer işaretinin en son sürümüne göre filtrelemek için Kusto Sorgu Dili (KQL) sorgularını kullanabilirsiniz.

Yer işareti oluşturduğunuz zaman ile Yer İşaretleri sekmesinde görüntülenmesi arasında önemli bir gecikme (dakika cinsinden ölçülür) olabilir.

Yer işaretini sil

Yer imini silmek, Yer Imi sekmesindeki listeden ayimi kaldırır. Log Analytics çalışma alanınız için HuntingBookmark tablosu önceki yer imimi girişlerini içermeye devam ediyor, ancak en son giriş SoftDelete değerini true olarak değiştiriyor; bu da yer imimi silinmiş olarak işaretleniyor ve eski yer imlerini filtreleyebiliyorsunuz. Bir yer işaretini silmek, inceleme deneyiminden diğer yer işaretleri veya uyarılarla ilişkili hiçbir varlığı kaldırmaz.

Yer işaretini silmek için aşağıdaki adımları tamamlayın.

1. Hunting>Yer İşaretleri sekmesinden, silmek istediğiniz yer işaretini veya yer işaretlerini seçin.

2. Sağ tıklayın ve seçilen yer işaretlerini silme seçeneğini belirleyin.

İlgili içerik

• Microsoft Sentinel ile tehdit avcılığı
• Otomatik tehdit avı kampanyaları yürütmek için not defterlerini kullanın
• Microsoft Sentinel ile tehdit avcılığı (Eğitim modülü)