Çalışma kitabıyla Microsoft Sentinel geçişinizi izleme

Kuruluşunuzun güvenlik operasyonları merkezi (SOC) artan miktarda veriyi işlediğinden, dağıtım durumunuzu planlamak ve izlemek çok önemlidir. Microsoft Project, Microsoft Excel, Microsoft Teams veya Azure DevOps gibi genel araçları kullanarak geçiş işleminizi izleyebilirsiniz ancak bu araçlar güvenlik bilgilerine ve olay yönetimine (SIEM) geçiş izlemeye özgü değildir. İzlemenize yardımcı olmak için Microsoft Sentinel'da Microsoft Sentinel Dağıtımı ve Geçişi adlı ayrılmış bir çalışma kitabı sağlıyoruz.

Çalışma kitabı şunları yapmanıza yardımcı olur:

• Geçiş ilerleme durumunu görselleştirme
• Veri kaynaklarını dağıtma ve izleme
• Analiz kurallarını ve olaylarını dağıtma ve izleme
• Çalışma kitaplarını dağıtma ve kullanma
• Otomasyon dağıtma ve gerçekleştirme
• Kullanıcı ve varlık davranışsal analitiği (UEBA) dağıtın ve özelleştirin

Bu makale, Microsoft Sentinel Dağıtım ve Göç çalışma kitabı ile geçişinizi nasıl takip edeceğinizi, çalışma kitabını nasıl özelleştirip yöneteceğinizi ve çalışma defterlerini veri bağlayıcılarını, analitikleri, olayları, oyun kitaplarını, otomasyon kurallarını, UEBA'yı ve veri yönetimini nasıl entegre etmek ve izlemek için nasıl kullanacağınızı açıklar. Microsoft Sentinel'de Azure İzleyici çalışma kitaplarını nasıl kullanacağınız hakkında daha fazla bilgi edinin.

Çalışma kitabı içeriğini dağıtma ve çalışma kitabını görüntüleme

Çalışma kitabını almak için önce Microsoft Sentinel'daki İçerik hub'ından tek başına öğeyi yükleyin.

1. Microsoft Sentinel İçerik merkezi'nde, listelenen içeriği İçerik türü = Çalışma Kitapları ölçütüne göre filtreleyin ve ardından arama çubuğuna migration yazın.

2. Arama sonuçlarından Microsoft Sentinel Dağıtım ve Geçiş çalışma kitabını seçin, ardından Kurulum seçeneğini seçin. Microsoft Sentinel çalışma kitabını dağıtır ve çalışma kitabını ortamınıza kaydeder.

3. Microsoft Sentinel'da, Tehdit yönetimi'nin altında Çalışma Kitapları Şablonları'nı> seçin.

4. Microsoft Sentinel Dağıtım ve Geçiş çalışma kitabını ve Görünüm şablonunu seçin.

İzleme listesini dağıtma

DeploymentandMigration izleme listesi, çalışma defterinin ilerlemenizi takip etmek için kullandığı dağıtım ve göç eylemlerini saklar. Bu izleme listesini Microsoft Sentinel GitHub deposundan yayınlayın.

1. Microsoft Sentinel GitHub deposunda, DeploymentandMigration klasörünü seçin ve Azure’da şablon dağıtımını başlatmak için Azure’a Dağıt seçeneğini belirleyin.
2. Microsoft Sentinel kaynak grubu ve çalışma alanı adını belirtin.
3. Gözden geçir ve oluştur'u seçin.
4. Bilgiler doğrulandıktan sonra Oluştur'u seçin.

İzleme listesini dağıtım ve geçiş eylemleriyle güncelleştirme

İzleme listesini dağıtım ve geçiş eylemleriyle güncelleştirmek, izleme kurulum süreci için çok önemlidir. İzleme listesini güncelleştirmeyi atlarsanız, çalışma kitabı izleme öğelerini yansıtmaz.

İzleme listesini dağıtım ve geçiş eylemleriyle güncelleştirmek için:

1. Azure veya Microsoft Defender portalında Microsoft Sentinel ve ardından İzleme Listesi'ni seçin.
2. Dağıtım takma adlı izleme listesini seçin.
3. Ardından İzleme listesini güncelleştir izleme listesi > öğelerini düzenle'yi seçin.
4. Dağıtım ve geçiş için gereken eylemlerin bilgilerini sağlayın.
5. Kaydet'i seçin.

Artık izleme listesini geçiş izleyicisi çalışma kitabında görüntüleyebilirsiniz. İzleme listelerini yönetmeyi öğrenin.

Ayrıca, ekibiniz dağıtım işlemi sırasında görevleri güncelleştirebilir veya tamamlayabilir. Bu değişiklikleri gidermek için, yeni kullanım örneklerini tanımlarken veya yeni gereksinimler ayarlarken mevcut eylemleri güncelleştirin veya yeni eylemler ekleyin. Eylemleri güncelleştirmek veya eklemek için dağıttığınız Dağıtım izleme listesini düzenleyin. İşlemi basitleştirmek için çalışma kitabında Dağıtım İzleme Listesini Düzenle'yi seçerek izleme listesini doğrudan çalışma kitabından açın.

Dağıtım durumunu görüntüleme

Dağıtım ilerleme durumunu hızlıca görüntülemek için Microsoft Sentinel Deployment and Migration çalışma kitabında Dağıtım'ı seçin ve İlerleme özeti'ni bulmak için aşağı kaydırın. İlerleme özeti bölümünde, aşağıdaki bilgiler de dahil olmak üzere dağıtım durumu görüntülenir:

• Verileri bildiren tablolar
• Verileri bildiren tablo sayısı
• Raporlanan log sayısı ve log verilerini hangi tabloların raporladığı
• Etkin kural sayısı ile dağıtılmamış kurallar karşılaştırması
• Dağıtılan önerilen çalışma kitapları
• Dağıtılan toplam çalışma kitabı sayısı
• Dağıtılan toplam oyun kitabı sayısı

Veri bağlayıcılarını dağıtma ve izleme

Dağıtılan kaynakları izlemek ve yeni bağlayıcıları dağıtmak için Microsoft Sentinel Dağıtım ve Geçiş çalışma kitabında Veri Bağlayıcıları > İzleyicisi'ni seçin. Monitör görünümü şunları listeler:

• Güncel içe aktarma eğilimleri
• Veri alan tablolar
• Her tablonun bildirmiş olduğu veri miktarı
• Azure İzleyici Aracısı (AMA) ile raporlama yapan uç noktalar
• Kaynak grubundaki veri toplama kuralları ve kurallara bağlı cihazlar
• Veri bağlayıcısının durumu (değişiklikler ve hatalar)
• Belirtilen zaman aralığındaki sağlık günlükleri

Veri bağlayıcısını yapılandırmak için:

1. Yapılandır görünümünü seçin.
2. Yapılandırmak istediğiniz bağlayıcının adını içeren düğmeyi seçin.
3. Açılan bağlayıcı durumu ekranında bağlayıcıyı yapılandırın. İhtiyacınız olan bağlayıcıyı bulamıyorsanız bağlayıcının adını seçerek bağlayıcı galerisini veya çözüm galerisini açın.

Analiz ve olayları dağıtma ve izleme

Veriler çalışma alanında raporlandığında analiz kurallarını yapılandırın ve izleyin. Microsoft Sentinel Dağıtım ve Geçiş çalışma kitabında, dağıtılan tüm kural şablonlarını ve listelerini görüntülemek için Analiz sekmesini seçin. Analiz sekmesi şu anda kullanımda olan kuralları ve kuralların olay oluşturma sıklıklarını gösterir.

MITRE kapsama görünümü, dağıttığınız analiz kurallarını MITRE ATT&CK çerçevesine eşlerleyerek tehdit tespitindeki boşlukları tespit edebilirsiniz. Daha fazla kapsama ihtiyacınız varsa soldaki tablonun altındaki MITRE kapsamını gözden geçir'i seçin. Geçiş projesinin herhangi bir aşamasında hangi alanların daha fazla kapsam alacağını ve hangi kuralların dağıtılacağını tanımlamak için bu seçeneği kullanın.

Analiz kurallarını dağıttıktan ve Defender ürün bağlayıcısı uyarıları gönderecek şekilde yapılandırıldıktan sonra, olay oluşturmayı ve sıklığını Dağıtım > İlerleme özeti altında izleyin. İlerleme özeti bölümü, SOC'nin durumunu ve en çok dikkat gerektiren uyarıları belirtmek için ürüne, başlığa ve sınıflandırmaya göre uyarı oluşturmayla ilgili ölçümleri görüntüler. Uyarılar çok fazla birim oluşturuyorsa mantığı değiştirmek için Analiz sekmesine dönün.

Çalışma kitaplarını dağıtma ve kullanma

veri alımı ve Microsoft Sentinel gerçekleştirdiği algılamalarla ilgili bilgileri görselleştirmek için Microsoft Sentinel Dağıtım ve Geçiş çalışma kitabında Çalışma Kitapları'nı seçin. İzleme bilgileri için İzleyici görünümünü ve yapılandırma bilgileri için Yapılandırma görünümünü kullanın.

Çalışma Kitapları sekmesinde yapılacak bazı yararlı görevler şunlardır :

• Ortamdaki tüm çalışma kitaplarının listesini ve dağıtılan çalışma kitaplarının sayısını görüntülemek için İzleyici'yi seçin.

• Microsoft Sentinel Dağıtım ve Geçiş çalışma kitabındaki belirli bir çalışma kitabını görüntülemek için bir çalışma kitabı seçin ve ardından Seçili Çalışma Kitabını Aç'ı seçin.

  

• Çalışma kitaplarını henüz dağıtmıyorsanız, sık kullanılan ve önerilen çalışma kitaplarının listesini görüntülemek için Yapılandır'ı seçin. Bir çalışma kitabı listelenmiyorsa, ilgili çalışma kitabını dağıtmak için Çalışma Kitabı Galerisine Git'i veya İçerik Hub'ına Git'i seçin.

  

Playbook’ları ve otomasyon kurallarını dağıtın ve izleyin

Veri alımını, algılamaları ve görselleştirmeleri yapılandırdığınızda artık otomasyona bakabilirsiniz. Microsoft Sentinel Dağıtım ve Geçiş çalışma kitabında, dağıtılan playbook'ları görüntülemek ve hangi playbook'ların şu anda bir otomasyon kuralına bağlı olduğunu görmek için Otomasyon'u seçin. Otomasyon kuralları varsa, çalışma kitabı her kuralla ilgili olarak aşağıdaki bilgileri vurgular:

• Name
• Durum
• Kuralın eylemi veya eylemleri
• Kuralın değiştirildiği son tarih ve kuralı değiştiren kullanıcı
• Kuralın oluşturulduğu tarih

Çalışma kitabının Otomasyon bölümünde otomasyonu görüntülemek, dağıtmak ve test etmek için sol alttaki Otomasyon kaynaklarını dağıt'ı seçin.

Microsoft Sentinel SOAR'ın oyun kitapları ve otomasyon kuralları için yetenekleri hakkında bilgi edinin: Yanıtları oyun kitaplarıyla otomatikleştirin ve olay yönetimini otomasyon kurallarıyla otomatikleştirin.

UEBA’yı devreye almak ve izlemek

Veri raporlama ve algılamalar varlık düzeyinde gerçekleştiğinden varlık davranışını ve eğilimlerini izlemek çok önemlidir. Kullanıcı ve varlık davranışı analizi (UEBA) bunu yapmanıza yardımcı olur. UEBA özelliğini Microsoft Sentinel içinde etkinleştirmek için Microsoft Sentinel Dağıtım ve Geçiş çalışma kitabında UEBA'yı seçin. Burada varlık sayfaları için varlık zaman çizelgelerini özelleştirebilir ve hangi varlıkla ilgili tabloların verilerle doldurulabileceğini görüntüleyebilirsiniz.

UEBA'yı etkinleştirmek için:

1. Tablo listesinin üst kısmında UEBA'yı Etkinleştir'i seçin.
2. UEBA'yı etkinleştirmek için On'u seçin.
3. İçgörü oluşturmak için kullanmak istediğiniz veri kaynaklarını seçin.
4. Uygula'yı seçin.

UEBA'yı etkinleştirdikten sonra, Microsoft Sentinel'in UEBA verisi oluşturduğundan emin olun ve izleyin.

Zaman çizelgesini özelleştirmek için:

1. Tablo listesinin üst kısmındaki Varlık Zaman Çizelgesini Özelleştir'i seçin.
2. Özel bir öğe oluşturun veya kullanıma hazır şablonlardan birini seçin.
3. Şablonu dağıtmak ve sihirbazı tamamlamak için Oluştur'u seçin.

UEBA hakkında daha fazla bilgi edinin veya zaman çizelgesini nasıl özelleştireceğinizi öğrenin.

Veri yaşam döngüsünü yapılandırma ve yönetme

Microsoft Sentinel dağıttığınızda veya geçiş yaptığınızda, gelen günlüklerin kullanımını ve yaşam döngüsünü yönetmek çok önemlidir. Microsoft Sentinel Dağıtım ve Geçiş çalışma kitabında, tablo saklama ve arşivleme işlemlerini görüntülemek ve yapılandırmak için Veri Yönetimi seçin.

Aşağıdakilere ilişkin bilgileri görüntüleyin:

• Temel günlük alımı için yapılandırılmış tablolar
• Analiz katmanına içeri aktarma için yapılandırılmış tablolar
• Arşivlenecek şekilde yapılandırılmış tablolar
• Varsayılan çalışma alanı saklama süresi tabloları

Tablolar için mevcut saklama ilkesini değiştirmek için:

1. Varsayılan Bekletme Tabloları görünümünü seçin.
2. Değiştirmek istediğiniz tabloyu seçin ve Güncelleme Saklama seçeneğini seçin. Aşağıdaki bilgileri gerektiği gibi düzenleyin:
   • Çalışma alanındaki mevcut saklama süresi
   • Arşivdeki mevcut saklama süresi
   • Verilerin ortamda yaşadığı toplam gün sayısı
3. Verilerin ortamda bulunması gereken yeni bir toplam gün sayısını ayarlamak için TotalRetention değerini düzenleyin.

ArchiveRetention değeri, TotalRetention değeri InteractiveRetention değerinden çıkarılarak hesaplanır. Çalışma alanı saklamayı ayarlamanız gerekiyorsa, değişiklik yapılandırılmış arşivleri içeren tabloları etkilemez ve veriler kaybolmaz. InteractiveRetention değerini düzenlerseniz ve TotalRetention değeri değişmezse Azure Log Analytics, değişikliği telafi etmek için arşiv saklamayı ayarlar.

Kullanıcı arabiriminde değişiklik yapmayı tercih ediyorsanız ilgili sayfayı açmak için Kullanıcı Arabiriminde Saklamayı Güncelleştir'i seçin.

Veri yaşam döngüsü yönetimi hakkında bilgi edinin.

Geçiş ipuçlarını ve yönergelerini etkinleştirme

Dağıtım ve geçiş işlemine yardımcı olmak için çalışma kitabı, farklı sekmelerin nasıl kullanılacağını açıklayan ipuçları ve ilgili kaynaklara bağlantılar içerir. İpuçları, Microsoft Sentinel geçiş belgelerine dayanır ve geçerli SIEM'inizle ilgilidir. İpuçlarını ve yönergeleri etkinleştirmek için, Microsoft Sentinel Dağıtım ve Geçiş çalışma kitabında, sağ üst kısımdaki Geçiş İpuçları ve Yönerge'yiEvet olarak ayarlayın.

İlgili içerik

• ArcSight algılama kurallarını taşıma
• Splunk algılama kurallarını taşıma
• QRadar algılama kurallarını taşıma