Analiz kurallarını ARM şablonlarına ve ARM şablonlarından dışa ve içe aktarma

Önemli

Özel algılamalar artık Microsoft Sentinel SIEM Microsoft Defender XDR genelinde yeni kurallar oluşturmanın en iyi yoludur. Özel algılamalarla veri alımı maliyetlerini azaltabilir, sınırsız gerçek zamanlı algılama elde edebilir ve otomatik varlık eşlemesi ile Defender XDR verileri, işlevleri ve düzeltme eylemleriyle sorunsuz tümleştirmeden yararlanabilirsiniz. Daha fazla bilgi için bkz. Özel algılamalar artık Microsoft Defender XDR'da algılama oluşturmaya yönelik birleşik deneyimdir.

Önemli

Kuralları dışarı ve içeri aktarma ÖNİzLEME aşamasındadır. Beta, önizleme veya henüz genel kullanıma sunulmamış Azure özellikler için geçerli olan ek yasal koşullar için Microsoft Azure Önizlemeleri için Ek Kullanım Koşulları'na bakın.

Bu makale, Microsoft Sentinel analitik kurallarının Azure Resource Manager (ARM) şablon JSON dosyalarına nasıl dışa aktarılacağını ve bu dosyalardan kuralları diğer çalışma alanlarına veya kiracılara nasıl aktaracağınızı gösteriyor. Bu özelliği kullanarak analiz kurallarınızı kod olarak yönetin, böylece sürüm kontrolü ve ortamlar arasında tutarlı dağıtım mümkün olsun.

Analiz kuralları için ARM şablonlarını dışarı ve içeri aktarma işlemi nasıl çalışır?

Artık analiz kurallarınızı Azure Resource Manager (ARM) şablon dosyalarına aktarabilir ve kod olarak Microsoft Sentinel dağıtımlarınızı yönetme ve denetlemenin bir parçası olarak bu dosyalardan kuralları içeri aktarabilirsiniz. Dışarı aktarma eylemi, tarayıcınızın indirme konumunda bir JSON dosyası ( Azure_Sentinel_analytic_rule.json adlı) oluşturur ve bu dosyayı diğer dosyalar gibi yeniden adlandırabilir, taşıyabilir ve başka şekilde işleyebilirsiniz.

Dışarı aktarılan JSON dosyası çalışma alanından bağımsızdır, bu nedenle diğer çalışma alanlarına ve hatta diğer kiracılara aktarılabilir. Kod olarak, yönetilen bir CI/CD çerçevesinde sürüm denetimine alınabilir, güncellenebilir ve dağıtılabilir.

Dosya analiz kuralında tanımlanan tüm parametreleri içerir, bu nedenle Zamanlanan kurallar için temel sorguyu ve buna eşlik eden zamanlama ayarlarını, önem derecesini, olay oluşturma, olay ve uyarı gruplandırma ayarlarını, atanmış MITRE ATT&CK taktiklerini ve daha fazlasını içerir. Yalnızca Zamanlanmış değil, her tür analiz kuralı bir JSON dosyasına aktarılabilir.

Analitik kurallarını ARM şablonlarına aktarın

Analiz kuralını ARM şablon dosyasına aktarmak için aşağıdaki adımları gerçekleştirin:

  1. Microsoft Sentinel gezinti menüsünden Analiz'i seçin.

  2. Dışarı aktarmak istediğiniz kuralı seçin ve ekranın üst kısmındaki çubuktan Dışarı Aktar'a tıklayın.

    Analiz kuralını dışarı aktarma

    Not

    • Dışarı aktarma için, kuralların yanındaki onay kutularını işaretleyip sonunda Dışarı Aktar'a tıklayarak birden çok analiz kuralını aynı anda seçebilirsiniz.

    • Görüntüleme ızgarasının tek bir sayfasındaki tüm kuralları, Dışarı Aktar'a tıklamadan önce üst bilgi satırındaki (ÖNEM DERECESİ'nin yanındaki) onay kutusunu işaretleyerek tek seferde dışarı aktarabilirsiniz. Ancak, aynı anda birden fazla sayfanın değerindeki kuralları dışarı aktaramazsınız.

    • Bu senaryoda, tek bir dosyanın ( Azure_Sentinel_analytic_rules.json adlı) oluşturulacağını ve dışarı aktarılan tüm kurallar için JSON kodu içereceğini unutmayın.

ARM şablonlarından analiz kurallarını içe aktarma

ARM şablon dosyasından analiz kuralını içeri aktarmak için aşağıdaki adımları gerçekleştirin:

  1. Bir analiz kuralı ARM şablonu JSON dosyasını hazır bulundurun.

  2. Microsoft Sentinel gezinti menüsünden Analiz'i seçin.

  3. Ekranın üst kısmındaki çubuktan İçeri Aktar'a tıklayın. Sonuçta elde edilen iletişim kutusunda, içeri aktarmak istediğiniz kuralı temsil eden JSON dosyasına gidip seçin ve Aç'ı seçin.

    Analiz kuralını içeri aktarma

    Not

    Tek bir ARM şablon dosyasından en fazla 50 analiz kuralı içeri aktarabilirsiniz.

Sonraki adımlar

Microsoft Sentinel dağıtımlarınızı kod olarak yönetmek için analiz kurallarını ARM şablonlarına dışarı aktarabilir ve ARM şablonlarından içeri aktarabilirsiniz.

  • Son güncelleştirme: