Microsoft Defender portalında uyarı bağıntısı ve olay birleştirme

  • Şunlara uygulanır: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Microsoft Defender portalındaki uyarı ilişkilendirmesi, uyarı üreten ve bunları portala gönderen tüm kaynaklardan toplanan uyarıları bir araya getirir ve ilişkilendirir. Defender bu uyarılardan olaylar oluşturur, ardından bu olayların gelişimini izlemeye devam eder ve durum gerektirirse olayları birleştirir. Uyarılar ve kaynakları ve olayların Microsoft Defender portalında nasıl değer katacakları hakkında daha fazla bilgi edinmek için bkz. Microsoft Defender portalında olaylar ve uyarılar.

Note

Olay vakaları, Microsoft Defender portalında olay yönetimi için önerilen deneyimdir. Mevcut olay deneyimi bu geçiş sürecinde hâlâ erişilebilir kalır. Bu makale, mevcut olay deneyiminde uyarı korelasyonu ve olay birleşmesini açıklar. Olay vakalarına ilişkin yönergeler için, Microsoft Defender portalında olay vakalarını birleştirme ve bölme bölümüne bkz.

Olay oluşturma ve uyarı bağıntısı

uyarılar, Microsoft Defender portalındaki olaylar ve uyarılar bölümünde açıklandığı gibi Microsoft Defender portalındaki çeşitli algılama mekanizmaları tarafından oluşturulduğunda, aşağıdaki mantığa göre yeni veya mevcut olaylara yerleştirilir:

  • Uyarı belirli bir zaman çerçevesindeki tüm uyarı kaynakları arasında yeterince benzersizse, Defender yeni bir olay oluşturur ve uyarıyı buna ekler.
  • Uyarı, aynı kaynaktan veya başka kaynaklardan gelen diğer uyarılarla yeterli düzeyde ilgiliyse, belirli bir zaman dilimi içinde Defender uyarıyı var olan bir olaya ekler.

Defender portalı tarafından uyarıları tek bir olayda ilişkilendirmek için kullanılan ölçütler, özel, iç bağıntı mantığının bir parçasıdır. Bu mantık, yeni olaya uygun bir ad vermekle de sorumludur.

Microsoft Sentinel çalışma alanına göre uyarı bağıntısı

Defender portalı veri kaynağı olarak Microsoft Sentinel içerecek şekilde yapılandırıldığında, her Microsoft Sentinel çalışma alanı kendi ayrı veri kaynağı olarak kabul edilir. Microsoft Sentinel için birden çok çalışma alanınız varsa, Defender portalı bu çalışma alanlarından birini birincil çalışma alanı olarak yapılandırmanıza olanak tanır. Birincil çalışma alanından gelen uyarılar Microsoft Defender uyarılarla ilişkilendirilebilir ve olaylara eklenebilir. Eklenen diğer Microsoft Sentinel çalışma alanları ikincil çalışma alanları olarak kabul edilir. Bu ikincil çalışma alanlarındaki uyarılar, diğer Microsoft Sentinel çalışma alanları dahil olmak üzere Defender veya diğer Defender portalı veri kaynaklarından gelen uyarılarla ilişkili değildir. Defender portalı, olay oluşturma ve uyarı bağıntısını Microsoft Sentinel çalışma alanları arasında ayrı tutar. Daha fazla bilgi için bkz. Defender portalında birden çok Microsoft Sentinel çalışma alanı.

Uyarıların manuel ilişkilendirilmesi

Microsoft Defender zaten gelişmiş bağıntı mekanizmaları kullanıyor olsa da, belirli bir uyarının belirli bir olaya ait olup olmadığına farklı karar vermek isteyebilirsiniz. Böyle bir durumda, bir uyarıyı bir olaydan diğerine taşıyabilirsiniz. Her uyarı bir olaya ait olmalıdır, bu yüzden uyarıyı taşımak, uyarının araştırıldığı ve yönetildiği olayı değiştirir.

Adım adım rehberlik için aşağıdaki makalelerden birine bakınız:

Olay bağıntısı ve birleştirme

Defender portalındaki ilişkilendirme etkinlikleri, olaylar oluşturulduğunda sona ermez. Defender, olaylar ve uyarılar arasındaki ortak durumları ve ilişkileri ayrı olaylarda algılamaya devam eder. Birden çok olayın benzer olduğu belirlendiğinde, Defender olayları tek bir olayda birleştirir.

İlişkili olayları bağıntı davranışını değiştirmeden görüntüleme

Soruşturma deneyiminde, ilişkili olaylar görünümünü yalnızca Bu olaydanTüm ilgili olaylara değiştirerek bağlamı genişletebilirsiniz.

Bu görünüm, analistlerin araştırma grafında ilgili ek olayları ve uyarıları görmesine yardımcı olur. Olay gruplandırma, bağıntı kuralları veya birleştirme mantığını değiştirmez.

Tüm ilişkili olaylar bölümünde gösterilen öğeler, gerçek bir olay birleştirme gerçekleşene kadar kendi sahiplerine, durumlarına ve yaşam döngüsüne sahip ayrı olaylar olarak kalabilir.

Olayları birleştirme ölçütleri

Defender'ın bağıntı altyapısı, veriler ve saldırı davranışı hakkında derin bilgisine bağlı olarak ayrı olaylarda uyarılar arasındaki ortak öğeleri tanıdığında olayları birleştirir. Bu öğelerden bazıları şunlardır:

  • Varlıklar: kullanıcılar, cihazlar, posta kutuları ve diğerleri gibi varlıklar
  • Yapıtlar: dosyalar, işlemler, e-posta gönderenler ve diğerleri
  • Zaman çerçeveleri
  • Çok aşamalı saldırılara işaret eden olay dizileri: örneğin, bir kimlik avı e-postasının algılanmasının hemen ardından gerçekleşen kötü amaçlı bir e-postaya tıklama olayı.

Birleştirme işleminin ayrıntıları

İki veya daha fazla olay birleştirildiğinde, bunları absorbe etmek için yeni bir olay oluşturulmaz . Bunun yerine, bir olayın içeriği ( "kaynak olay"), diğer olaya ( hedef olay) geçirilir ve kaynak olay otomatik olarak kapatılır. Kaynak olay artık Defender portalında görünür veya kullanılamaz ve buna yapılan tüm başvurular hedef olaya yönlendirilir. Kaynak olayı, kapatılmış olsa da Azure portalındaki Microsoft Sentinel’de erişilebilir olmaya devam eder.

Birleştirme yönü

Olayların birleştirilme yönü, hangi olayın kaynak, hangisinin hedef olduğunu ifade eder. Bu yön, bilgi saklama ve erişimi en üst düzeye çıkarma hedefiyle kendi iç mantığına göre Microsoft Defender tarafından belirlenir. Olaylar el ile birleştirildiğinde bile kullanıcının bu karara herhangi bir girişi yoktur.

Olay içeriği

Olayların içeriği aşağıdaki yollarla işlenir:

  • Kaynak olayda yer alan tüm uyarılar kaynak olaydan kaldırılır ve hedef olaya eklenir.
  • Kaynak olaya uygulanan tüm etiketler kaynak olaydan kaldırılır ve hedef olaya eklenir.
  • Kaynak olaya bir Redirected etiketi eklenir.
  • Varlıklar (vb.) bağlı oldukları uyarıları takip eder.
  • Kaynak olayın oluşturulmasında yer alan tespit kuralları, hedef olayda kaydedilen kurallara eklenir. Bir analiz kuralından veya özel algılamadan gelen uyarıların korelasyona katılıp katılmadığını denetlemek için Microsoft Defender XDR'de algılama kuralı korelasyon ayarlarını yönetme bölümüne bakın. Özel algılamalar için korelasyon ayarları halka açık önizleme aşamasındadır.
  • Şu anda, açıklamaların geçişi ve etkinlik günlüğü girdilerinin denetimleri önizleme aşamasındadır.
    Önizlemeye erişiminiz yoksa, kaynak olayın açıklamalarını ve etkinlik geçmişini görmek için olayı Azure portalındaki Microsoft Sentinel'de açın. Etkinlik geçmişi, olayın kapatılmasını ve olay birleştirmeyle ilgili uyarıların, etiketlerin ve diğer öğelerin eklenmesini ve kaldırılmasını içerir. Bu etkinlikler Microsoft Defender XDR - uyarı ilişkilendirmesi kimliğine atfedilir.

Olaylar birleştirilmediğinde

Bağıntı mantığı iki olayın birleştirilmesi gerektiğini gösterse bile, Defender aşağıdaki koşullarda olayları birleştirmez:

  • Olaylardan birinde "Kapalı" durumu var. Çözülen olaylar yeniden açılmaz.
  • Kaynak ve hedef vakalar iki farklı kişiye atanmıştır.
  • Kaynak ve hedef olayların iki farklı sınıflandırması (örneğin, gerçek pozitif ve yanlış pozitif) veya iki farklı belirlemesi (sınıflandırmaların alt kategorileri) vardır.
  • İki olayın birleştirilmesi hedef olaydaki varlık sayısını izin verilen üst sınırın üzerine çıkar.
  • İki olay, kuruluş tarafından tanımlanan farklı cihaz gruplarındaki cihazları içerir.
    (Bu koşul varsayılan olarak etkin değildir; etkinleştirilmesi gerekir.)

Olayların manuel birleştirilmesi

İki olayın birleştirilmesi gerekiyorsa ancak önceki bölümde listelenen nedenlerden herhangi biri için birleştirilmediyse, temel alınan nedenleri düzeltdikten sonra artık olayları el ile birleştirebilirsiniz.

Örneğin, olaylar iki farklı kişiye atanmış oldukları için birleştirilmediyse, olaylardan birinin atamasını kaldırabilir ve ardından olayları el ile birleştirebilirsiniz.

Tüm olay bilgileri (örneğin, etkinlik günlüğü) korunduğu için olayların bir arada birleştirilmesi, uyarıların bir olaydan bağlantısını kaldırmak ve bunları başka bir olayla ilişkilendirmek için tercih edilir.

Şu anda tek seferde beş olay el ile birleştirilebilir.

El ile birleştirmeyi yöneten diğer kurallar otomatik birleştirme ile aynıdır. Yukarıdaki birleştirme işleminin ayrıntılarına bakın.

Adım adım rehberlik için aşağıdaki makalelerden birine bakınız:

İlgili içerik

İpucu

Daha fazla bilgi edinmek mi istiyorsunuz? Teknoloji Topluluğumuzdaki Microsoft Güvenlik topluluğuyla etkileşime geçin: Microsoft Defender XDR Teknoloji Topluluğu.

Ayrıca bkz.

  • Son güncelleştirme: