監控並優化排程分析規則的執行

為確保 Microsoft Sentinel 的威脅偵測能在環境中提供完整覆蓋，請善用其執行管理工具。 這些工具包括根據 Microsoft Sentinel 的 健康與稽核資料，對您的 已排程分析規則 執行情況的深入解析，以及可讓您基於測試和/或疑難排解目的，在特定時間範圍內手動重新執行這些規則先前執行作業的功能。

重要事項

Microsoft Sentinel 的分析規則洞察與手動重執行目前處於預覽階段。 請參閱 Microsoft Azure 預覽版補充使用條款，以了解適用於 beta、預覽或尚未正式釋出的 Azure 功能的其他法律條款。

摘要

排程分析規則有兩種執行管理工具：內建排程規則洞察，以及按需重跑排程規則的能力。

在 分析 頁面， 洞察 面板作為詳細資訊欄的另一個分頁顯示，與 資訊 分頁並列。 洞察 面板提供規則活動與結果的資訊。 例如：失敗的執行、最常見的健全狀態問題、隨時間變化的警示計數，以及由該規則建立之事件的結案分類。 這些洞察幫助安全分析師識別潛在問題或分析規則的錯誤設定，並能發現並修正規則失敗，並優化規則配置以提升效能與準確性。

此外，在 分析 頁面上，你也可以視需要重新執行分析規則。 此能力提供彈性與控制力，以驗證規則的有效性。 它在規則精煉、測試、驗證等情境中非常有用。 能夠啟動手動重啟的彈性，有助於高效率的安全作業、促進事件回應，並提升系統的整體偵測與應變能力。

規則重新執行的應用案例與效益

以下是可受益於重新執行分析規則特定執行作業的一些案例：

規則的精煉與調整： 分析規則可能需要根據不斷演變的威脅環境與組織需求，定期調整與微調。 透過手動重執行規則，分析師能評估規則修改的影響，並在部署至生產環境前驗證其有效性。

測試與驗證： 在引入新分析規則、對現有規則做出重大變更，或開發新的事件手冊時，徹底測試其效能與準確性至關重要。 手動重跑可以模擬不同情境，包括端到端自動事件流程，並根據一致的資料輸入驗證規則。 此流程確保規則產生預期警報，且不會產生過多誤報。

事件調查： 若發生安全事件或可疑活動，分析師可能希望在已產生的警示中揭示更多細節。 他們可以透過更新規則，並針對特定執行時間區間（最長可回溯七天）重新執行該規則，以收集更多資訊並識別相關事件。 手動重播讓您的分析師能進行深入調查，確保覆蓋範圍全面。

合規與稽核： 部分法規要求或內部政策可能需要定期或按需重啟分析規則，以展現持續監控與合規性。 手動重新執行可透過確保規則得以一致地套用並發出適當的警示，來履行這類義務。

必要條件

要使用執行管理工具，必須啟用 Microsoft Sentinel 的健康與稽核功能，特別是分析規則的健康監控。 了解如何啟用健康情況與稽核。

查看分析規則洞察

要善用這些工具，請先檢視對某條規則的洞見。

1. 從 Microsoft Sentinel 導覽選單中，選擇「分析」。

2. 找出並選取您想查看其深入解析的規則（Scheduled 或 NRT）。

3. 在細節窗格中選擇 「洞察 」標籤。

   

4. 當你選擇 「洞察 」標籤時，會出現時間框架選擇器。 選擇時間範圍，或保留預設的過去 24 小時。

   

洞察面板目前顯示四種洞察。 每個洞察後面都會有一個「 檢視全部 」連結，帶你到 日誌 頁面，並顯示產生該洞察的查詢及完整原始結果。 以下是一些見解：

• 失敗 執行會顯示該規則在指定時間範圍內失敗的執行清單。 此洞察後方也附有前往 規則執行 面板的連結，您可以在其中查看該規則所有執行記錄的清單，並且可以重新執行該規則的特定執行記錄。

• 最常見的健康問題 會顯示此規則在指定的時間範圍內最常見的健康問題清單。 這個洞察之後還有一個「 檢視執行 」連結，帶你到 日誌 頁面，裡面會查詢該規則執行的所有次數。

• 警報圖表 顯示該規則在指定時間範圍內產生的警報數量。

• 事件分類 顯示該規則在指定時間內所建立的已結案事件分類摘要。

重新執行分析規則

有幾種情況可能會讓你需要重新執行規則。

• 規則因暫時狀態恢復正常或設定錯誤而未能執行。 在修正設定錯誤或排除該狀況後，您接著應在與失敗的那次執行相同的時間範圍（亦即相同的資料）上重新執行該規則，以減少涵蓋缺口。

• 一條規則雖然成功執行，但產生的警示資訊不足。 在這種情況下，你可能會想要編輯該規則，透過變更查詢或豐富化設定來提供更多資訊。 然後，您會想在與您需要更多資訊之執行相同的時間範圍內重新執行規則，也就是在相同資料上重新執行。

• 你可能正在嘗試撰寫或編輯規則，想看看不同設定會如何影響規則產生的警示。 為了有效比較，你應該在同一時間窗口重新執行規則。

以下是重執行規則的方法：

1. 從 分析 頁面，從上方工具列選擇 「規則執行」 (預覽) 。 規則執行面板將會開啟。

   

   你也可以在Insights分頁的Failed executions顯示畫面中，選取Rerun rules，以進入Rule runs面板（見上文）。

   

2. 根據它們原始執行時顯示於執行時間資料行中的時間範圍，選取您要重播的規則執行。 您可以選擇多個規則執行。

   

3. 選擇重新執行。 系統會顯示通知，說明請求的進度，以及規則已排入佇列等待執行。

   

4. 選擇「 重新整理 」以查看規則執行的最新狀態。 你會看到你的請求顯示在這些請求中，狀態是 進行 中 (最終會顯示為 成功) ，屬於使用者 觸發 而非 系統觸發。

   

   你也會注意到，你要求重新執行的執行時間與原本由系統觸發的執行時間相同，而不是你重新執行時的執行時間。 這是為了讓您知道重新執行所參考的是哪個時間範圍。

   你只能重播由系統觸發的規則執行，不能重播由使用者觸發的規則執行。

在任何規則執行的行尾選擇「 查看完整細節 」，可在 日誌 畫面中查看其完整且原始的細節。

後續步驟

• 監控分析規則的健康狀況並審核其完整性。
• 了解 Microsoft Sentinel 中的稽核與健康監控。
• 在 Microsoft Sentinel 中開啟稽核與健康監控功能。
• 請參閱更多關於 SentinelHealth 與 SentinelAudit 表格結構的資訊。