Microsoft Security Copilot kullanarak güvenlik olaylarını araştırma

Microsoft Güvenlik Copilot , Entra Riskli Kullanıcıları Alma ve Denetim Günlüklerini Alma gibi birçok farklı beceri aracılığıyla Microsoft Entra verilerinizden içgörüler alır. BT yöneticileri ve güvenlik operasyonları merkezi (SOC) analistleri, doğal dil istemlerini kullanarak kimlik tabanlı olayları araştırmaya ve düzeltmeye yardımcı olmak üzere doğru bağlamı elde etmek için bu becerileri ve diğerlerini kullanabilir.

Bu makalede, bir SOC analistinin veya BT yöneticisinin olası bir güvenlik olayını araştırmak için Microsoft Entra becerilerini nasıl kullanabileceği açıklanmaktadır.

Önkoşullar

Senaryo ve araştırma

Woodgrove Bank'ta güvenlik operasyonları merkezi (SOC) analisti olan Natasha, kimlik tabanlı olası bir güvenlik olayı hakkında uyarı alıyor. Uyarı, riskli kullanıcı olarak işaretlenmiş bir kullanıcı hesabından şüpheli etkinliği gösterir. Araştırmasına başlar ve Microsoft Security Copilot'ta veya Microsoft Entra yönetim merkezinde oturum açar. Kullanıcı, grup, riskli kullanıcı, oturum açma günlükleri, denetim günlükleri ve tanılama günlüklerinin ayrıntılarını görüntülemek için en azından Güvenlik Okuyucusu olarak oturum açar. Belirli eylemleri gerçekleştirme izinlerinin olmaması nedeniyle engellendiğinde bu rolü etkinleştirmek için Microsoft Security Copilot'u kullanabilir:

  • {istenen görevi} gerçekleştirebilmem için {gerekli rolü} etkinleştirin.

Kullanıcı ayrıntılarını alma

Natasha, işaretlenmiş kullanıcının ayrıntılarını arayarak başlar: karita@woodgrovebank.com. kullanıcının iş unvanı, departman, yönetici ve iletişim bilgileri gibi profil bilgilerini gözden geçirmesi. Ayrıca kullanıcının hangi uygulama ve hizmetlere erişimi olduğunu anlamak için kullanıcının atanan rollerini, uygulamalarını ve lisanslarını denetler.

İhtiyaç duyduğu bilgileri almak için aşağıdaki istemleri kullanır:

  • Bana tüm kullanıcı ayrıntılarını karita@woodgrovebank.com verin ve kullanıcı Nesne Kimliğini ayıklayın.
  • Bu kullanıcının hesabı etkin mi?
  • Parola en son ne zaman değiştirildi veya ne zaman karita@woodgrovebank.comsıfırlandı?
  • Microsoft Entra'da kayıtlı cihazlar var mı karita@woodgrovebank.com ?
  • karita@woodgrovebank.com için kayıtlı herhangi bir kimlik doğrulama yöntemi var mı, varsa hangileri?

Riskli kullanıcı ayrıntılarını alma

Natasha, neden karita@woodgrovebank.com riskli bir kullanıcı olarak işaretlendiği anlamak için riskli kullanıcı ayrıntılarına bakmaya başlar. Kullanıcının risk düzeyini (düşük, orta, yüksek veya gizli), risk ayrıntılarını (örneğin, bilinmeyen konumdan oturum açma) ve risk geçmişini (zaman içinde risk düzeyindeki değişiklikler) gözden geçirmektedir. Ayrıca, şüpheli oturum açma veya imkansız seyahat etkinliği ararken risk tespitlerini ve son riskli oturum açmalarını kontrol eder.

İhtiyaç duyduğu bilgileri almak için aşağıdaki istemleri kullanır:

  • Risk düzeyi, durumu ve risk ayrıntıları karita@woodgrovebank.comnedir?
  • Risk geçmişi karita@woodgrovebank.comnedir?
  • için karita@woodgrovebank.comson riskli oturum açma adımlarını listeleyin.
  • için karita@woodgrovebank.comrisk algılama ayrıntılarını listeleyin.

Oturum açma günlüklerinin ayrıntılarını alma

Natasha daha sonra kullanıcının oturum açma günlüklerini ve oturum açma durumu (başarı veya başarısızlık), konum (şehir, eyalet, ülke), IP adresi, cihaz bilgileri (cihaz kimliği, işletim sistemi, tarayıcı) ve oturum açma risk düzeyini gözden geçirin. Ayrıca, daha fazla araştırma için kullanılabilecek her oturum açma etkinliğinin korelasyon kimliğini de denetler.

İhtiyaç duyduğu bilgileri almak için aşağıdaki istemleri kullanır:

  • Son 48 saat için karita@woodgrovebank.com bana oturum açma günlükleri verebilir misin? Bu bilgileri tablo biçiminde yerleştirin.
  • Son 7 gün içindeki başarısız oturum açma işlemlerini karita@woodgrovebank.com göster ve IP adreslerini söyle.

Denetim günlüklerinin ayrıntılarını alma

Natasha, kullanıcı tarafından gerçekleştirilen olağan dışı veya yetkisiz eylemleri arayarak denetim günlüklerini denetler. Her eylemin tarih ve saatini, durumu (başarı veya başarısızlık), hedef nesneyi (örneğin, dosya, kullanıcı, grup) ve istemci IP adresini denetler. Ayrıca her eylemin bağıntı kimliğini de denetler ve bu kimlik daha fazla araştırma için kullanılabilir.

İhtiyaç duyduğu bilgileri almak için aşağıdaki istemleri kullanır:

  • Son 72 saat için karita@woodgrovebank.com Microsoft Entra denetim günlüklerini alın. Bilgileri tablo biçiminde yerleştirin.
  • Bu olay türü için denetim günlüklerini göster.

Grup ayrıntılarını alma

Ardından Natasha, karita@woodgrovebank.com'ün bir parçası olduğu grupları gözden geçirerek Karita'nın olağan dışı veya hassas grupların üyesi olup olmadığını kontrol eder. Karita'nın kullanıcı kimliğiyle ilişkili grup üyeliklerini ve izinlerini inceler. Grup ayrıntılarında grup türünü (güvenlik, dağıtım veya Office 365), üyelik türünü (atanan veya dinamik) ve grubun sahiplerini denetler. Ayrıca, kaynakları yönetmek için hangi izinlere sahip olduğunu belirlemek için grubun rollerini gözden geçirir.

İhtiyaç duyduğu bilgileri almak için aşağıdaki istemleri kullanır:

  • karita@woodgrovebank.com üyesi olduğu Microsoft Entra kullanıcı gruplarını alın. Bilgileri tablo biçiminde yerleştirin.
  • Finans Departmanı grubu hakkında daha fazla bilgi verin.
  • Finans Departmanı grubunun sahipleri kimlerdir?
  • Bu grubun hangi rolleri var?

Rolünüzü devre dışı bırakma

Görevlerini Microsoft Security Copilot ile tamamladıktan sonra Natasha'nın en iyi güvenlik uygulamalarını korumak için oturumu sırasında etkinleştirilmiş yükseltilmiş rolleri devre dışı bırakması gerekir. Rolünü devre dışı bırakmak için aşağıdaki istemi kullanır:

  • Araştırmamı veya {istenen görevi} bitirdim, erişimimi devre dışı bırakın.

Düzeltme

Natasha, Güvenlik Copilot'ı kullanarak kullanıcı, oturum açma etkinlikleri, denetim günlükleri, riskli kullanıcı algılamaları, grup üyelikleri ve sistem tanılamaları hakkında kapsamlı bilgiler toplayabilir. Araştırmasını tamamladıktan sonra Natasha'nın riskli kullanıcıyı düzeltmek veya engelini kaldırmak için işlem yapması gerekir.

Olası eylemleri belirlemek için risk giderimi, kullanıcıların engelini kaldırma ve yanıt planları hakkında bilgi ediniyor.

İlgili içerik

Aşağıdakiler hakkında daha fazla bilgi edinin:

  • Last updated on