Microsoft Sentinel’da yakın gerçek zamanlı (NRT) algılama analitiği kurallarıyla çalışma

  • Şunlara uygulanır: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Önemli

Özel algılamalar artık Microsoft Sentinel SIEM Microsoft Defender XDR genelinde yeni kurallar oluşturmanın en iyi yoludur. Özel algılamalarla veri alımı maliyetlerini azaltabilir, sınırsız gerçek zamanlı algılama elde edebilir ve otomatik varlık eşlemesi ile Defender XDR verileri, işlevleri ve düzeltme eylemleriyle sorunsuz tümleştirmeden yararlanabilirsiniz. Daha fazla bilgi için bkz. Özel algılamalar artık Microsoft Defender XDR'da algılama oluşturmaya yönelik birleşik deneyimdir.

Microsoft Sentinel’in gerçek zamana yakın analiz kuralları, yerleşik olarak anlık tehdit algılama sunar. Neredeyse gerçek zamanlı analitik kuralları, sorgularını sadece bir dakika aralıklarla çalıştırarak yüksek hızlı yanıt verecek şekilde tasarlanmıştır.

NRT kural şablonlarının, NRT kurallarıyla ilgili önemli noktalar bölümünde açıklandığı gibi sınırlı uygulaması vardır, ancak teknoloji hızla gelişmekte ve büyümektedir.

Önemli

31 Mart 2027'nin ardından Microsoft Sentinel artık Azure portal desteklenmeyecektir ve yalnızca Microsoft Defender portalında kullanılabilir. Azure portal Microsoft Sentinel kullanan tüm müşteriler Defender portalına yönlendirilir ve yalnızca Defender portalında Microsoft Sentinel kullanır.

Azure portal hala Microsoft Sentinel kullanıyorsanız, sorunsuz bir geçiş sağlamak ve Microsoft Defender tarafından sunulan birleşik güvenlik işlemleri deneyiminden tam olarak yararlanmak için Defender portalına geçişinizi planlamaya başlamanızı öneririz.

Neredeyse gerçek zamanlı (NRT) kuralları görüntüleyin

Mevcut NRT kurallarınızı görüntülemek için analiz kuralları listesini kural türüne göre filtreleyin:

Defender portalında NRT kurallarını görüntülemek için:

  1. Microsoft Defender gezinti menüsünden Microsoft Sentinel ve ardından Yapılandırma'yı genişletin. Analiz'i seçin.

  2. Analytics ekranında Etkin kurallar sekmesi seçili durumdayken listeyi NRT şablonları için filtreleyin:

    1. Filtre ekle'yi seçin ve filtre listesinden Kural türü'nü seçin.

    2. Sonuçta elde edilen listedeN NRT'yi seçin. Ardından Uygula'yı seçin.

NRT kuralları oluştur

Düzenli zamanlanmış sorgu analiz kuralları için kullanılan aynı prosedürü takip ederek NRT kuralları oluşturun:

Defender portalında NRT kuralı oluşturmak için:

  1. Microsoft Defender gezinti menüsünden Microsoft Sentinel ve ardından Yapılandırma'yı genişletin. Analiz'i seçin.

  2. Kılavuzun üst kısmındaki eylem çubuğunda +Oluştur'u ve ardından NRT sorgu kuralı'nı seçin. Bu işlem Analiz kuralı sihirbazını açar.

    Yeni NRT kuralının nasıl oluşturulacağını gösteren ekran görüntüsü.

  1. Analiz kuralı sihirbazını tamamlamak için Zamanlanmış sorgu analizi kuralı oluşturma'daki adımları izleyin.

    NRT kurallarının yapılandırması çoğu şekilde zamanlanmış analiz kurallarıyla aynıdır.

    • Sorgu mantığınızda birden çok tabloya ve izleme listesine başvurabilirsiniz.

    • Tüm uyarı zenginleştirme yöntemlerini kullanabilirsiniz: varlık eşlemesi, özel ayrıntılar ve uyarı ayrıntıları.

    • Uyarıları olaylar halinde gruplandırmayı ve belirli bir sonuç oluşturulduğunda sorguyu gizlemeyi seçebilirsiniz.

    • Hem uyarılara hem de olaylara verilen yanıtları otomatikleştirebilirsiniz.

    • Kural sorgusunu birden çok çalışma alanında çalıştırabilirsiniz.

    Ancak NRT kurallarının doğası ve sınırlamaları nedeniyle, zamanlanmış analiz kurallarının aşağıdaki özellikleri sihirbazda kullanılamaz :

    • Sorgu zamanlaması yapılandırılamaz, çünkü sorgular otomatik olarak dakikada bir kez ve bir dakikalık bir geri arama süresiyle çalışacak şekilde zamanlanır.
    • Uyarı eşiği , her zaman bir uyarı oluşturulduğundan ilgisizdir.
    • Olay gruplandırma yapılandırması artık sınırlı bir düzeyde kullanılabilir. Bir NRT kuralının her olay için en fazla 30 olay için bir uyarı oluşturmasını seçebilirsiniz. Bu seçeneği belirlerseniz ve kural 30'dan fazla olayla sonuçlanırsa, ilk 29 olay için tek olay uyarıları oluşturulur ve 30. uyarı sonuç kümesindeki tüm olayları özetler.

    Buna ek olarak, uyarıların boyut sınırlamaları nedeniyle sorgunuz, tablonuzdan yalnızca gerekli alanları dahil etmek için project ifadelerini kullanmalıdır. Aksi takdirde, görünür kılmak istediğiniz bilgi kırpılabilir.

İlgili içerik

NRT kuralları hakkında daha fazla bilgi için aşağıdaki makalelere bakın:

  • Last updated on