Microsoft Sentinel 提供事件管理體驗，用於調查和管理 Azure 入口網站中的安全事件。 事件是 Microsoft Sentinel 的紀錄，包含完整且持續更新的安全威脅時間順序，包括證據（警示）、嫌疑人與相關方（實體）、由資安專家及 AI/機器學習模型收集與整理的洞見、評論，以及調查期間所採取的行動日誌。
Microsoft Sentinel 的事件調查體驗從事件頁面開始——這個體驗旨在讓你在一個地方獲得調查所需的一切。 此體驗的主要目標是提升 SOC 的效率與有效性，進而縮短其平均解決時間（MTTR）。
本文介紹 Microsoft Sentinel 在 Azure 入口網站中的事件調查與管理功能，帶您了解典型事件調查的各個階段，並介紹可用的顯示器與工具，協助您調查與解決事件。
必要條件
若要調查事件，必須指派 Microsoft Sentinel 回應者 角色。
了解更多關於 Microsoft Sentinel 中的角色資訊。
如果來賓使用者需要指派事件，則必須在您的 Microsoft Entra 租用戶中，為該使用者指派目錄讀取者角色。 一般（非訪客）使用者預設會被指派此角色。
提升你的SOC成熟度
Microsoft Sentinel事件提供工具，協助安全營運 (安全運營) 透過標準化流程與審核事件管理，提升成熟度。
標準化你的流程
事件任務 是分析人員依序遵循的工作流程清單，以確保照護標準一致，並防止關鍵步驟被遺漏：
SOC 經理與工程師 可以開發這些任務清單，並讓它們自動套用到不同事件群組，或是全面適用。
SOC 分析師 接著可以存取每個事件中分配的任務，並在完成後標記它們。
分析師也可以在其尚未結案的事件中手動新增任務，無論是作為給自己的提醒，或是為了方便其他可能因輪班交接或事件升級而共同處理該事件的分析師。
欲了解更多資訊，請參閱 Azure 入口網站中「使用任務管理 Microsoft Sentinel 中的事件」。
審核您的事件管理
事件 活動日誌 追蹤事件所採取的行動，無論是由人工或自動化流程發起，並連同所有事件相關的評論一併顯示。
你也可以在這裡發表自己的評論。 欲了解更多資訊，請參閱 Azure 入口網站中的「深入調查 Microsoft Sentinel 事件」。
有效且有效率地調查
首先：作為分析師，最基本的問題是，為什麼這起事件會被提醒給我？ 進入事件詳情頁面就能回答這個問題：螢幕正中央會看到 事件時間軸 小工具。
使用 Microsoft Sentinel 事件，利用事件時間軸有效且有效率地調查安全事件，從類似事件中學習，檢視頂尖洞察，檢視實體並探索日誌。
事件時間軸
事件時間軸是所有警 示 的日誌，代表所有與調查相關的已記錄事件，並依發生順序排列。 時間軸也會顯示書籤，也就是在搜捕期間收集並新增至事件的證據快照。
搜尋警示與書籤清單，或依嚴重程度、策略或內容類型篩選， (提醒或書籤) ，幫助你找到想追蹤的項目。 時間軸的初始顯示會立即告訴你關於每個項目的幾個重要資訊，無論是提醒還是書籤：
- 提醒或書籤建立的 日期與時間 。
- 項目的類型（提醒或書籤）會以圖示及將滑鼠游標移到該圖示上時顯示的工具提示來標示。
- 提醒或書籤的 名稱，以粗體顯示於該項目的第一行。
- 警報的 嚴重 程度，以左側邊緣的彩色帶標示，並在警報三部分「副標題」的開頭以文字形式顯示。
- 位於副標題第二部分的 警示提供者。 對於書籤，顯示書籤的建立者。
- 與警示相關聯的 MITRE ATT&CK 戰術會以圖示和工具提示顯示於副標題的第三部分。
欲了解更多資訊，請參閱 「重建攻擊事件時間軸」。
類似事件列表
如果你到目前為止在你的事件中看到的任何情況都似曾相識，那可能事出有因。 Microsoft Sentinel 會領先你一步，顯示與公開事件最相似的事件。
類似事件小工具會顯示被視為相似之事件最相關的資訊，包括其上次更新的日期和時間、上一位負責人、上一個狀態（若事件已關閉，則包含其關閉原因），以及判定為相似的原因。
這能在多方面幫助你的調查：
- 找出可能屬於更大規模攻擊策略一部分的同時發生事件。
- 以類似事件作為你當前調查的參考點——看看他們是如何處理的。
- 識別過去類似事件的車主，以從他們的知識中受益。
例如，你想看看類似事件是否曾經發生過或現在正在發生。
- 你可能想找出可能屬於同一更大攻擊策略的同時發生事件。
- 你可能想找出過去類似的事件，作為你目前調查的參考點。
- 您可能會想找出過去類似事件的負責人，以便找到 SOC 中可提供更多背景資訊的人員，或可將調查呈報給他們。
小工具會顯示最相似的20起事件。 Microsoft Sentinel 會根據共同元素，包括實體、來源分析規則和警報細節，判斷哪些事件相似。 從這個小工具，你可以直接跳到這些事件的完整細節頁面，同時保持與當前事件的連結。
相似度的判定依據以下標準：
| 準則 | 描述 |
|---|---|
| 類似實體 | 若一個事件同時包含相同的 實體，則視為類似於另一個事件。 兩起事件的共通點越多，就越被認為相似。 |
| 類似規則 | 如果一個事件是由相同的 分析規則所產生，則該事件被視為類似於另一個事件。 |
| 類似警報細節 | 若事件名稱、產品名稱及/或 自訂細節相同，則視為類似事件。 |
事件相似度是根據事件最後一次活動之前 14 天內的資料計算而得；最後一次活動亦即該事件中最近一次警報的結束時間。 每次進入事件詳情頁面時，事件相似度也會重新計算，因此若新事件建立或更新，結果可能會因工作階段而異。
欲了解更多資訊，請參閱「檢查你環境中是否有類似事件」。
頂尖事件見解
接著，當你已掌握所發生之事（或仍在發生之事）的大致輪廓，並且對相關背景有更深入的了解後，你會想知道 Microsoft Sentinel 已經替你找出了哪些有趣的資訊。
Microsoft Sentinel 會自動在事件中針對實體提出重大問題，並在事件詳情頁面右側的 Top insights 小工具中顯示重點答案。 此小工具展示了基於機器學習分析及頂尖資安專家團隊策劃的洞見彙集。
這些是顯示在 實體頁面上的精選部分洞察，但在此情境下，事件中所有實體的洞察會一併呈現，讓你更完整掌握正在發生的情況。 完整的洞察資料會顯示在 實體標籤中，分別針對每個實體——詳見下方。
熱門深入解析小工具會回答與實體有關的問題，包括其行為與同儕及本身歷程的比較、是否出現在關注清單或威脅情報中，或是否發生任何其他與其相關的異常情況。
這些見解大多包含更多資訊連結。 這些連結會直接開啟日誌面板，你會看到該洞察的來源查詢及其結果。
相關實體列表
既然你已經了解了一些背景和一些基本問題，接下來你應該更深入了解這個故事中的主要角色。
使用者名稱、主機名稱、IP 位址、檔案名稱及其他類型的實體，都可能成為您調查中的「關注人物」。 Microsoft Sentinel 會幫你找到所有這些資料，並在實體元件中與時間軸一同顯示在最前面。
從此小工具中選擇一個實體，會將你導向同一事件頁面的 Entities 標籤中的該實體列表，該標籤包含該事件中所有實體的清單。
在列表中選擇一個實體，即可開啟側邊面板，內含基於 實體頁面的資訊，包括以下細節：
資訊 包含實體的基本資訊。 對於使用者帳號實體來說，這些可能是使用者名稱、網域名稱、安全識別碼 (SID) 、組織資訊、安全資訊等等。
時間軸 包含包含該實體的警報清單，以及該實體所執行的活動，這些活動皆從該實體出現的日誌中收集。
Insights 包含關於該實體行為與其同類的比較、自身歷史、是否出現在監控名單或威脅情報中，或其他與之相關的異常事件的解答。
這些答案是 Microsoft 安全研究人員定義的查詢結果，這些查詢基於多個來源的資料，提供有價值且具上下文的安全資訊。
根據實體類型，您可以從側面板進行多項進一步操作，包括：
可切換到該實體的完整 實體頁面 ，以獲得更長時間內的更多細節，或啟動以該實體為中心的圖形調查工具。
執行劇本，對該實體採取特定的回應或補救動作（預覽）。
將該實體歸類為 入侵指標 (IOC) ，並將其加入你的威脅情報清單。
目前這些行動只支援某些實體類型，其他則不支援。 下表顯示每種實體類型支援的動作：
| 可用行動 ▶ 實體類型 ▼ |
查看完整詳情 (在實體頁面中) |
加入TI * | 執行劇本 * (預覽) |
|---|---|---|---|
| 使用者帳號 | ✔ | ✔ | |
| Host | ✔ | ✔ | |
| IP 位址 | ✔ | ✔ | ✔ |
| URL | ✔ | ✔ | |
| 網域名稱 | ✔ | ✔ | |
| 檔案 (雜湊) | ✔ | ✔ | |
| Azure 資源 | ✔ | ||
| 物聯網裝置 | ✔ |
* 對於可使用「新增至 TI」或「執行劇本」動作的實體，您可以直接在概觀索引標籤中的實體小工具裡執行這些動作，而無需離開事件頁面。
事件記錄
查看事件紀錄，深入了解細節，了解 到底發生了什麼？
從事件中幾乎任何區域，你都可以深入檢視事件中個別的警示、實體、洞察及其他項目，查看原始查詢及其結果。
這些結果會顯示於「記錄（記錄分析）」畫面中，該畫面會以事件詳細資料頁面的延伸面板形式顯示，讓你無需離開調查情境。
依事件整理的記錄
為了透明度、問責制與連續性，您會希望有一份所有對事件採取的行動紀錄——無論是自動化流程還是人工操作。 事件 活動記錄 會顯示所有這些活動。 你也可以查看任何已發表的留言，並加入你自己的評論。
活動日誌會自動自動刷新，即使在開啟狀態下也能即時看到變更。
相關內容
在這份文件中，你了解了 Microsoft Sentinel 事件調查體驗在 Azure 入口網站如何幫助你在單一情境下進行調查。 欲了解更多關於事故管理與調查的資訊，請參閱以下文章：
- 使用 Microsoft Sentinel 中的實體頁面調查實體
- 使用任務管理 Microsoft Sentinel 中的事件
- 使用自動化規則將 Microsoft Sentinel 中的事件處理自動化
- 在 Microsoft Sentinel 中利用使用者與實體行為分析 (UEBA) 識別進階威脅
- 追蹤安全威脅