Zamanlanmış analiz kurallarınızın çalıştırılmasını izleyin ve optimize edin

Microsoft Sentinel tehdit algılamasının ortamınızda eksiksiz bir kapsam sağladığından emin olmak için yürütme yönetimi araçlarından yararlanın. Bu araçlar, Microsoft Sentinel sistem durumu ve denetim verilerine dayalı olarak zamanlanmış analiz kurallarınızın yürütülmesiyle ilgili içgörülerden ve test ve/veya sorun giderme amacıyla belirli zaman pencerelerinde kuralların önceki yürütmelerini el ile yeniden çalıştırma olanağından oluşur.

Önemli

Microsoft Sentinel analiz kuralı içgörüleri ve el ile yeniden çalıştırma şu anda ÖNİzLEME aşamasındadır. Beta, önizleme veya henüz genel kullanıma sunulmamış Azure özellikler için geçerli olan ek yasal koşullar için Microsoft Azure Önizlemeleri için Ek Kullanım Koşulları'na bakın.

Özet

Zamanlanmış analiz kuralları için iki yürütme yönetimi aracı vardır: yerleşik zamanlanmış kural içgörüleri ve zamanlanmış kuralları isteğe bağlı olarak yeniden çalıştırma özelliği.

Analiz sayfasında İçgörüler paneli, Ayrıntılar bölmesinde Bilgi sekmesinin yanı sıra başka bir sekme olarak görüntülenir. İçgörüler paneli, kuralın etkinliği ve sonuçları hakkında bilgi sağlar. Örneğin: başarısız yürütme işlemleri, başlıca sistem durumu sorunları, zaman içindeki uyarı sayısı ve kural tarafından oluşturulan olayların kapanış sınıflandırmaları. Bu içgörüler, güvenlik analistlerinizin analiz kurallarıyla olası sorunları veya yanlış yapılandırmaları belirlemesine yardımcı olur ve kural hatalarını bulup düzeltmelerine ve daha iyi performans ve doğruluk için kural yapılandırmalarını iyileştirmelerine olanak tanır.

Ayrıca Analiz sayfasında, analiz kurallarını isteğe bağlı olarak yeniden çalıştırabilirsiniz. Bu özellik, kuralların etkinliğini doğrulama konusunda esneklik ve denetim sağlar. Kural iyileştirme, test, doğrulama ve diğerleri gibi senaryolarda yararlı olabilir. El ile yeniden çalıştırma başlatma esnekliğine sahip olmak verimli güvenlik işlemlerini destekleyebilir, etkili olay yanıtı sağlayabilir ve sistemin genel algılama ve yanıt özelliklerini geliştirebilir.

Kural yeniden çalıştırmanın kullanım örnekleri ve avantajları

Analiz kurallarının belirli çalıştırmalarını yeniden yürütmenin avantajlarından yararlanabilecek bazı senaryolar şunlardır:

Kural iyileştirme ve ayarlama: Analiz kuralları, değişen tehdit ortamına ve değişen kuruluş gereksinimlerine göre düzenli ayarlamalar ve ince ayarlamalar gerektirebilir. Analistleriniz kuralları el ile yeniden çalıştırarak kural değişikliklerinin etkisini değerlendirebilir ve üretim ortamında dağıtmadan önce bunların verimliliğini doğrulayabilir.

Test ve doğrulama: Yeni analiz kuralları getirirken, mevcut kurallarda önemli değişiklikler yaparken veya yeni olay playbook'ları geliştirirken performanslarını ve doğruluklarını kapsamlı bir şekilde test etmek önemlidir. El ile yeniden çalıştırma, uçtan uca otomatik olay akışı da dahil olmak üzere farklı senaryoların benzetimini yapmanızı ve kuralları tutarlı bir veri girişi kümesine göre doğrulamanızı sağlar. Bu işlem, kuralların aşırı hatalı pozitif sonuçlar üretmeden beklenen uyarıları oluşturmasını sağlar.

Olay araştırması: Bir güvenlik olayı veya şüpheli etkinlik durumunda analistleriniz önceden oluşturulan uyarılarda ek ayrıntıları ortaya çıkarmaları gerekebilir. Ek bilgi toplamak ve ilgili olayları tanımlamak için kuralı güncelleştirerek ve belirli yürütme aralıklarında yeniden çalıştırarak (yedi güne kadar geriye giderek) bunu yapabilir. El ile yeniden çalıştırma, analistlerinizin kapsamlı araştırmalar gerçekleştirmesine olanak tanır ve kapsamlı bir kapsam sağlamaya yardımcı olur.

Uyumluluk ve denetim: Bazı mevzuat gereksinimleri veya iç ilkeler, sürekli izleme ve uyumluluğu göstermek için analiz kurallarını düzenli aralıklarla veya isteğe bağlı olarak yeniden çalıştırmayı gerektirebilir. El ile yeniden çalıştırma, kuralların tutarlı bir şekilde uygulanmasını ve uygun uyarıların oluşturulmasını sağlayarak bu tür yükümlülükleri yerine getirme olanağı sağlar.

Önkoşullar

Yürütme yönetimi araçlarını kullanmak için Microsoft Sentinel sistem durumu ve denetim özelliğinin ve özellikle analiz kuralı sistem durumunu izlemenin etkin olması gerekir. Durum ve denetimi nasıl etkinleştireceğinizi öğrenin.

Analiz kuralı içgörülerini görüntüleme

Bu araçlardan yararlanmak için, belirli bir kuralla ilgili içgörüleri inceleyerek başlayın.

  1. Microsoft Sentinel gezinti menüsünden Analiz'i seçin.

  2. İçgörülerini görmek istediğiniz bir kural (Zamanlanmış veya NRT) bulun ve seçin.

  3. Ayrıntılar bölmesinde İçgörüler sekmesini seçin.

    Analiz kuralı seçme işleminin ekran görüntüsü.

  4. İçgörüler sekmesini seçtiğinizde zaman çerçevesi seçici görüntülenir. Bir zaman dilimi seçin veya son 24 saatin varsayılanı olarak bırakın.

    Analiz sayfasındaki zaman çerçevesi seçicisinin ekran görüntüsü.

İçgörüler panelinde şu anda dört tür içgörü gösterilmektedir. Her içgörü, sizi Günlükler sayfasına götüren ve içgörü oluşturan sorguyu tam ham sonuçlarla birlikte görüntüleyen bir Tümünü görüntüle bağlantısı tarafından takip edilir. İçgörüler şunlardır:

  • Başarısız yürütmeler , verilen zaman çerçevesinde bu kuralın başarısız çalıştırmalarının listesini görüntüler. Bu içgörüden sonra Kural çalıştırmaları panelinin bağlantısı bulunur. Burada kuralın çalıştırıldığı tüm zamanların listesini görebilir ve kuralın belirli çalıştırmalarını yeniden yürütebilirsiniz.

  • En sık karşılaşılan sistem durumu sorunları , belirli bir zaman diliminde bu kural için en yaygın sistem durumu sorunlarının listesini görüntüler. Bu içgörünün ardından, sizi Günlükler sayfasına götüren ve bu kuralın çalıştırıldığı tüm zamanlara ilişkin bir sorguyu görebileceğiniz bir Çalıştırmaları görüntüle bağlantısı da bulunur.

  • Uyarı grafiği , verilen zaman çerçevesinde bu kural tarafından oluşturulan uyarı sayısının grafiğini gösterir.

  • Olay sınıflandırması , belirli bir zaman diliminde bu kural tarafından oluşturulan kapalı olayların sınıflandırmasının bir özetini gösterir.

Analiz kurallarını yeniden çalıştırma

Bir kuralı yeniden çalıştırmanıza yol açabilecek çeşitli senaryolar vardır.

  • Kural, normale geri dönülen geçici bir koşul veya yanlış yapılandırma nedeniyle çalıştırılamadı. Yanlış yapılandırmayı düzelttiktan veya koşulu onardıktan sonra, kapsamın boşluklarını azaltmak için kuralı başarısız olan çalıştırmayla aynı zaman penceresinde (yani aynı verilerde) yeniden çalıştırmanız gerekir.

  • Bir kural başarıyla çalıştırıldı, ancak oluşturduğu uyarılarda yeterli bilgi sağlamadı. Bu durumda, sorguyu veya zenginleştirme ayarlarını değiştirerek daha fazla bilgi sağlamak için kuralı düzenlemek isteyebilirsiniz. Ardından kuralı, daha fazla bilgi edinmek istediğiniz çalıştırmayla aynı zaman penceresinde (aynı verilerde) yeniden çalıştırmak istersiniz.

  • Kural yazma veya düzenleme denemeleri yapıp farklı ayarların kuralın oluşturduğu uyarıları nasıl etkileyeceğini görmek isteyebilirsiniz. Geçerli bir karşılaştırma için kuralı aynı zaman penceresinde yeniden çalıştırmak istiyorsunuz.

Kuralı şu şekilde yeniden çalıştıracağız:

  1. Analiz sayfasında, üstteki araç çubuğundan Kural çalıştırmaları (Önizleme) öğesini seçin. Kural çalıştırmaları paneli açılır.

    Kural çalıştırmalarına erişme panelinin ekran görüntüsü.

    Ayrıca, İçgörüler sekmesindeki Başarısız yürütmeler ekranından Kuralları yeniden çalıştır'ı seçerek Kural çalıştırmaları paneline de ulaşabilirsiniz (yukarıya bakın).

    Kural çalıştırmaları panelinin ekran görüntüsü.

  2. Yürütme zamanı sütununda gösterildiği gibi, başlangıçta çalıştırıldıkları zaman penceresine göre yeniden oynatmak istediğiniz kural çalıştırmalarını seçin. Birden fazla kural çalıştırması seçebilirsiniz.

    Yeniden çalıştırılacak kural çalıştırmalarını seçme işleminin ekran görüntüsü.

  3. Çalıştırmayı yeniden oynat seçeneğini seçin. İsteklerin ilerleyişini ve kuralların yürütülmek üzere kuyruğa alındığını gösteren bildirimler görüntülenecektir.

    Kural çalıştırma bildirimlerinin ekran görüntüsü.

  4. Kuralın çalıştırmalarının güncelleştirilmiş durumunu görüntülemek için Yenile'yi seçin. İsteklerinizin bunların arasında görüntülendiğini, durumunun Devam ediyor olduğunu (zamanla Başarılı olarak görünür) ve türünün Sistem tarafından tetiklenen değil, Kullanıcı tarafından tetiklenen olduğunu göreceksiniz.

    Kural yeniden çalıştırmalarının ilerleme durumunun ekran görüntüsü.

    Ayrıca, talep ettiğiniz yeniden çalıştırmaların yürütme süresinin, yeniden çalıştırmanızın yürütme süresiyle değil, orijinal sistem tetiklemeli çalıştırmanın yürütme süresiyle aynı olduğunu fark edeceksiniz. Bu, yeniden çalıştırma işleminizin hangi zaman aralığını referans aldığını göstermek içindir.

    Kullanıcı tarafından tetiklenenleri değil, yalnızca sistem tarafından tetiklenen kural çalıştırmalarını yeniden yürütebilirsiniz.

Günlükler ekranında tüm ham ayrıntılarını görüntülemek için herhangi bir kural çalıştırmasının satırının sonundaki Tüm ayrıntıları görüntüle'yi seçin.

Sonraki adımlar

  • Last updated on