Varlık sayfası zaman çizelgelerindeki etkinlikleri özelleştirme

Önemli

• Etkinlik özelleştirmesi ÖNİzLEME aşamasındadır. Beta, önizleme veya henüz genel kullanıma sunulmamış Azure özellikler için geçerli olan ek yasal koşullar için Microsoft Azure Önizlemeleri için Ek Kullanım Koşulları'na bakın.
• 31 Mart 2027'nin ardından Microsoft Sentinel artık Azure portal desteklenmeyecektir ve yalnızca Microsoft Defender portalında kullanılabilir. Azure portal Microsoft Sentinel kullanan tüm müşteriler Defender portalına yönlendirilir ve yalnızca Defender portalında Microsoft Sentinel kullanır. Temmuz 2025'te birçok yeni müşteri otomatik olarak eklenir ve Defender portalına yönlendirilir. Azure portal hala Microsoft Sentinel kullanıyorsanız, sorunsuz bir geçiş sağlamak ve Microsoft Defender tarafından sunulan birleşik güvenlik işlemleri deneyiminden tam olarak yararlanmak için Defender portalına geçişinizi planlamaya başlamanızı öneririz. Daha fazla bilgi için bkz. Taşıma Zamanı: Daha fazla güvenlik için Microsoft Sentinel Azure portal kullanımdan kaldırma.

Özel zaman çizelgesi etkinliklerine genel bakış

Microsoft Sentinel, etkinlikleri varsayılan olarak varlıkların zaman çizelgelerinde izler ve sunar. Ayrıca özel aktiviteler oluşturup zaman çizelgesinde görünmesini sağlayabilirsiniz. Özel faaliyetler, herhangi bir bağlı veri kaynağından alınan varlık verilerinin sorgularına dayanır. Aşağıdaki örneklerde bu özelliği nasıl kullanabileceğiniz gösterilir:

• Mevcut kullanıma hazır etkinlik şablonlarını değiştirerek varlık zaman çizelgesine yeni etkinlikler ekleyin.

• Özel günlüklerden yeni etkinlikler ekleyin. Örneğin, fiziksel erişim denetimi günlüğünden kullanıcının belirli bir kısıtlı alan (örneğin, bir sunucu odası) için giriş ve çıkış etkinliklerini kullanıcının zaman çizelgesine ekleyebilirsiniz.

Etkinlik özelleştirme sayfasını açma

Etkinlik özelleştirme sayfasını açmak için kullandığınız portalla eşleşen sekmeyi seçin:

• Azure portalundaki Microsoft Sentinel kullanıcıları, aşağıdan Azure portal sekmesini seçin.
• Microsoft Defender portalı kullanıcıları Defender portalı sekmesini seçin.

Azure portalı

Etkinlik özelleştirme sayfasını açmak için Azure portalında şu adımları izleyin:

1. Microsoft Sentinel gezinti menüsünde Varlık davranışı'nı seçin.

2. Varlık davranışı sayfasında, ekranın üst kısmındaki Varlık sayfasını özelleştir (Önizleme) öğesini seçin.

   

Defender portalı

Bir varlık için faaliyetleri özelleştirmek için Defender portalındaki şu adımları takip edin:

1. Microsoft Defender portalında, herhangi bir varlık sayfasını açın.

   1. Varlıklar > Cihazlar veya Kimlikler seçin.
   2. Listeden bir cihaz veya kullanıcı seçin. Bir kullanıcı için, açılan açılır pencerede Kullanıcı sayfasını gör seçeneğini seçin.

2. Varlık sayfasında Sentinel olayları sekmesini seçin.

3. Sentinel olayları sekmesinde, Sentinel etkinlikleri özelleştir'i seçin.

Sentinel etkinlikleri özelleştir sayfasında, Etkinliklerim sekmesinde oluşturduğunuz etkinliklerin listesini görürsünüz. Etkinlik şablonları sekmesinde, Microsoft güvenlik araştırmacıları tarafından kullanıma hazır olarak sunulan etkinlik koleksiyonunu göreceksiniz. Bunlar zaten izlenmekte olan ve varlık sayfalarınızdaki zaman çizelgelerinde görüntülenen etkinliklerdir.

• Kullanıcı tanımlı etkinlik oluşturmadığınız sürece varlık sayfalarınız Etkinlik şablonları sekmesinde listelenen tüm etkinlikleri görüntüler.

• Bir etkinliği oluşturduktan veya özelleştirdikten sonra varlık sayfalarınız yalnızcaEtkinliklerim sekmesinde görünen etkinlikleri görüntüler.

• Varlık sayfalarınızda varsayılan etkinlikleri görmeye devam etmek istiyorsanız, izlenip görüntülenmesini istediğiniz her şablon için bir etkinlik oluşturmanız gerekir. Şablondan etkinlik oluşturma başlığındaki yönergeleri izleyin.

Şablondan etkinlik oluşturma

Mevcut kullanıma açık şablondan özel etkinlik oluşturmak için aşağıdaki adımları kullanın.

1. Varsayılan olarak kullanılabilen çeşitli etkinlikleri görmek için Etkinlik şablonları sekmesini seçin. Listeyi varlık türüne ve veri kaynağına göre filtreleyebilirsiniz. Listeden bir etkinlik seçildiğinde ayrıntılar bölmesinde aşağıdaki bilgiler görüntülenir:

   • Etkinliğin açıklaması

   • Etkinliği oluşturan olayları sağlayan veri kaynağı

   • Ham verilerdeki varlığı tanımlamak için kullanılan tanımlayıcılar

   • Bu etkinliğin algılanmasıyla sonuçlayan sorgu

2. Etkinlik oluşturma sihirbazını başlatmak için ayrıntılar bölmesinin altındaki Etkinlik oluştur'u seçin.

   Azure portalı

   

   Defender portalı

   

   Defender portalında Etkinlik oluştur'u seçtiğinizde, yeni bir sekmedeki Azure portal Microsoft Sentinel etkinlik sihirbazına yönlendirilirsiniz.

3. Etkinlik sihirbazı - Şablondan yeni etkinlik oluşturma açılır ve alanları şablondan doldurulmuş olur. General veAktivite yapılandırma sekmelerinde istediğiniz gibi değişiklikler yapabilir veya önceden doldurulmuş ayarları değiştirmeden bırakarak kutudan çıkan aktiviteyi izlemeye devam edebilirsiniz.

4. Memnun olduğunuzda Gözden geçir ve oluştur sekmesini seçin. Doğrulama başarılı iletisini gördüğünüzde alt kısımdaki Oluştur düğmesine tıklayın.

Sıfırdan etkinlik oluşturma

Etkinlikler sayfasının üst kısmında Etkinlik ekle'ye tıklayarak etkinlik oluşturma sihirbazını başlatın.

Etkinlik sihirbazı - Yeni etkinlik oluşturma açılır ve alanları boş olur.

Genel etkinlik ayarlarını yapılandırma

Genel sekmesinde, etkinliğin temel meta verilerini sağlayın.

1. Etkinliğiniz için bir ad girin (örnek: "kullanıcı gruba eklendi").

2. Etkinliğin açıklamasını girin (örnek: "Windows olay kimliği 4728'e göre kullanıcı grubu üyeliği değişikliği").

3. Bu sorgunun izleneceği varlık türünü (kullanıcı veya konak) seçin.

4. Sorguyu iyileştirmeye ve performansını iyileştirmeye yardımcı olmak için ek parametrelere göre filtreleyebilirsiniz. Örneğin, IsDomainJoined parametresini seçip değeri True olarak ayarlayarak Active Directory kullanıcıları için filtreleyebilirsiniz.

5. Etkinliğin ilk durumunu Etkin veya Devre Dışı olarak seçebilirsiniz.

6. Sonraki sekmeye geçmek için İleri : Etkinlik yapılandırması'nı seçin.

   

Etkinlik sorgusu ve görüntü ayarlarını yapılandırma

Etkinlik sorgusu yazma

Etkinlik yapılandırması sekmesinde, seçilen varlığın etkinliğini algılamak ve zaman çizelgesinde nasıl gösterileceğini belirlemek için kullanılacak KQL sorgusunu yazın veya yapıştırın.

Önemli

Sorgunuzun yerleşik bir tablo değil Gelişmiş Güvenlik Bilgi Modeli (ASIM) ayrıştırıcısı kullanmasını öneririz. Bu, sorgunun tek bir veri kaynağı yerine geçerli veya gelecekteki ilgili veri kaynaklarını desteklemesini sağlar.

Olayları ilişkilendirmek ve özel etkinliği tespit etmek için KQL sorgusu, varlık türüne bağlı birkaç parametre gerektirir. Bu parametreler, varlığın tanımlayıcılarıdır.

Sorgu sonuçları ile varlık arasında bire bir eşleme için güçlü bir tanımlayıcı kullanın. Zayıf bir tanımlayıcı yanlış sonuçlar verebilir. Varlıklar ve güçlü ve zayıf tanımlayıcılar hakkında daha fazla bilgi edinin.

Aşağıdaki tabloda varlıkların tanımlayıcıları hakkında bilgi sağlanır.

Hesap ve konak varlıkları için güçlü tanımlayıcılar

Sorguda en az bir tanımlayıcı gereklidir.

Varlık	Tanımlayıcı	Açıklama
Hesabı	Account_Sid	Active Directory'deki hesabın şirket içi SID'i
	Account_AadUserId	Microsoft Entra ID'da kullanıcının Microsoft Entra nesne kimliği
	Hesap_Adı (Account_Name) + Hesap_NTAlan (Account_NTDomain)	SamAccountName'e benzer (örnek: Contoso\Joe)
	Account_Name + Account_UPNSuffix	UserPrincipalName'e benzer (örnek: Joe@Contoso.com)
Ana bilgisayar	Host_HostName + Host_NTDomain	tam etki alanı adına (FQDN) benzer
	Host_HostName + Host_DnsDomain	tam etki alanı adına (FQDN) benzer
	Host_NetBiosName + Host_NTDomain	tam etki alanı adına (FQDN) benzer
	Host_NetBiosName + Host_DnsDomain	tam etki alanı adına (FQDN) benzer
	Host_AzureID	Microsoft Entra ID'deki konağın Microsoft Entra nesne kimliği (Microsoft Entra etki alanına katılmışsa)
	Host_OMSAgentID	belirli bir ana bilgisayara yüklenen aracının OMS Aracı Kimliği (konak başına benzersiz)

Genel sekmesinde seçtiğiniz varlık türüne göre mevcut tanımlayıcıları göreceksiniz. İmleç konumundaki sorguya yapıştırmak için bir tanımlayıcı seçin.

Not

• Sorgu en fazla 10 alan içerebilir, bu nedenle istediğiniz alanları yansıtmanız gerekir.

• Algılanan etkinliği varlığın zaman çizelgesine yerleştirmek için, öngörülen alanlar TimeGenerated alanını içermelidir.

SecurityEvent
| where EventID == "4728"
| where (SubjectUserSid == '{{Account_Sid}}' ) or (SubjectUserName == '{{Account_Name}}' and SubjectDomainName == '{{Account_NTDomain}}' )
| project TimeGenerated, SubjectUserName, MemberName, MemberSid, GroupName=TargetUserName

Zaman çizelgesinde etkinliği sunma

Kolaylık sağlamak için etkinlik çıkışına dinamik parametreler ekleyerek etkinliğin zaman çizelgesinde nasıl sunulduğunu belirlemek isteyebilirsiniz.

Microsoft Sentinel, kullanmanız için yerleşik parametreler sağlar ve sorguda yansıtılan alanlara göre başkalarını da kullanabilirsiniz.

Parametreleriniz için aşağıdaki biçimi kullanın: {{ParameterName}}

Etkinlik sorgusu doğrulamayı geçtikten ve sorgu penceresinin altındaki Sorgu sonuçlarını görüntüle bağlantısını görüntüledikten sonra, dinamik etkinlik başlığı oluştururken kullanabileceğiniz parametreleri görüntülemek için Kullanılabilir değerler bölümünü genişletebilirsiniz.

Belirli bir parametrenin yanındaki Kopyala simgesini seçerek bu parametreyi panonuza kopyalayıp yukarıdaki Etkinlik başlığı alanına yapıştırabilirsiniz.

Sorgunuza aşağıdaki parametrelerden birini ekleyin:

• Sorguda seçtiğiniz herhangi bir alan.

• Sorguda belirtilen varlıkların varlık tanımlayıcıları.

• StartTimeUTC, utc saatinde etkinliğin başlangıç saatini eklemek için.

• EndTimeUTC, utc saatinde etkinliğin bitiş saatini eklemek için.

• Count, birkaç KQL sorgu çıkışını tek bir çıktıda özetlemek için.

  count parametresi, düzenleyicide tam olarak görüntülenmese bile aşağıdaki komutu arka planda sorgunuza ekler:

  Summarize count() by <each parameter you’ve projected in the activity>
  

  Ardından varlık sayfalarında Demet Boyutu filtresini kullandığınızda, arka planda çalıştırılacak sorguya aşağıdaki komut da eklenir:

  Summarize count() by <each parameter you’ve projected in the activity>, bin (TimeGenerated, Bucket in Hours)
  

Aşağıdaki örnek, dinamik parametreler kullanan bir etkinlik başlığını gösterir:

Sorgu ve etkinlik başlığınızdan memnun olduğunuzda İleri : Gözden Geçir'i seçin.

Kusto belgelerinde etkinlik sorgusu örneklerinde kullanılan KQL işleçleri ve işlevleri hakkında daha fazla bilgi edinin:

• where işleci
• project operatörü
• summarize işleci
• bin() işlevi
• count() toplama işlevi

KQL hakkında daha fazla bilgi için bkz. Kusto Sorgu Dili (KQL) genel bakış.

Diğer kaynaklar:

• KQL kısa başvuru
• Kusto Sorgu Dili öğrenme kaynakları

Ayarları gözden geçirin ve etkinliği oluşturun

Yapılandırmanızı doğrulamak ve etkinliği sonlandırmak için Gözden geçir ve oluştur sekmesini kullanın.

1. Özel etkinliğinizin tüm yapılandırma bilgilerini doğrulayın.

2. Doğrulama başarılı iletisi görüntülendiğinde, etkinliği oluşturmak için Oluştur'a tıklayın. Daha sonra Etkinliklerim sekmesinde düzenleyebilir veya değiştirebilirsiniz.

Etkinliklerinizi yönetme

Etkinliklerim sekmesinden özel etkinliklerinizi yönetin. Etkinliğin satırının sonundaki üç noktaya (...) tıklayarak:

• Etkinliği düzenleyin.
• Yeni, biraz farklı bir etkinlik oluşturmak için etkinliği çoğaltın.
• Etkinliği silin.
• Etkinliği devre dışı bırakın (silmeden).

Varlık sayfasındaki etkinlikleri görüntüleme

Bir varlık sayfasına her girdiğinizde, varlık için etkinleştirilen tüm etkinlik sorguları çalıştırılır ve varlık zaman çizelgesinde size en güncel bilgileri sağlar. Zaman çizelgesinde uyarıların ve yer işaretlerinin yanı sıra etkinlikleri görürsünüz.

Zaman Çizelgesi içerik filtresini kullanarak yalnızca etkinlikleri (veya etkinliklerin, uyarıların ve yer işaretlerinin herhangi bir birleşimini) sunabilirsiniz.

Belirli etkinlikleri göstermek veya gizlemek için Etkinlikler filtresini de kullanabilirsiniz.

Sonraki adımlar

Varlıklar ve özel zaman çizelgesi etkinlikleri hakkında daha fazla bilgi edinmek için aşağıdaki makalelere bakın:

• Varlık sayfalarında tam görünüm elde edin.
• Kullanıcı ve Varlık Davranış Analizi (UEBA) hakkında bilgi edinin.
• Varlıkların ve tanımlayıcıların tam listesine bakın.