與 sentinel 整合Microsoft合作夥伴的最佳做法

本文會檢閱使用 Microsoft sentinel 建立您自己的整合解決方案的最佳做法和參考。

安全性作業（SOC）小組會使用 Microsoft Sentinel 來產生偵測並調查及補救威脅。藉由與 Microsoft sentinel 整合，為客戶提供您的數據、偵測、自動化、分析和封裝專業知識，可讓 SOC 小組提供其處理知情安全性回應所需的資訊。

例如，您的整合可能會為下列任何目標增加價值：

從半結構化數據建立偵測 。例如，您的整合可能會帶來新的記錄數據、可採取動作的智慧、分析規則、搜捕規則、引導式搜捕體驗或機器學習分析
參與Microsoft Sentinel 調查。例如，您的整合可能會新增偵測、查詢或歷程記錄和支持的數據，例如額外的資料庫、弱點數據、合規性、數據等等。
Microsoft Sentinel 中的自動化。例如，您的整合可能包含客戶環境和基礎結構內擴充、補救或協調流程安全性活動的規則。

我們建議您將整合封裝併發佈為Microsoft Sentinel 解決方案，讓聯合客戶能夠探索、部署及最大化合作夥伴整合的價值。 Microsoft Sentinel 解決方案會在 Azure Marketplace 中發佈，並出現在Microsoft Sentinel 內容中樞。

收集數據的整合

大部分Microsoft Sentinel 整合都是以數據為基礎，並且同時使用一般偵測引擎和功能完整的調查引擎。這兩個引擎都會在內嵌至 Microsoft Sentinel 數據存放庫的數據上執行。

Microsoft Sentinel 適用於下列數據類型：

類型	描述
未處理的數據	支援偵測和搜捕程式。分析可能有惡意活動跡象的原始作業數據。將未處理的數據帶入Microsoft Sentinel，以使用Microsoft Sentinel 的內建搜捕和偵測功能，以識別新的威脅等等。範例：Syslog 數據、透過 Syslog、應用程式、防火牆、驗證或存取記錄等的 CEF 數據。
安全性結論	建立警示可見性和相互關聯的機會。警示和偵測是已對威脅做出的結論。將所有活動和其他偵測放在內容中，Microsoft Sentinel 調查中可見的其他偵測，為分析師節省時間，並建立事件更完整的畫面，進而產生更佳的優先順序和更好的決策。範例：反惡意代碼警示、可疑進程、與已知不良主機的通訊、封鎖的網路流量，以及可疑的登入、偵測到的密碼噴灑攻擊、識別的網路釣魚攻擊、數據外洩事件等等。
參考數據	使用參考的環境建置內容、節省調查工作和提高效率。範例：CMDB、高價值資產資料庫、應用程式相依性資料庫、IP 指派記錄、用於擴充的威脅情報集合等等。
威脅情報	藉由提供已知威脅的指標來提供威脅偵測能力。威脅情報可以包含代表立即威脅的目前指標或未來預防所保留的歷史指標。歷程記錄數據集通常很大，而且最好是隨選參考，而不是直接匯入至 sentinel Microsoft。

每種數據類型都支援Microsoft Sentinel 中的不同活動，而且許多安全性產品同時使用多種數據類型。

Microsoft Sentinel 的監視和偵測功能會建立自動化偵測，以協助客戶調整其 SOC 小組的專業知識。

下列各節說明您可以包含在整合解決方案中的監視和偵測元素：

威脅偵測或分析規則是複雜的偵測，可建立精確且有意義的警示。

將分析規則新增至您的整合，以協助您的客戶從Microsoft Sentinel 中的系統獲益。例如，分析規則可協助提供有關整合所提供數據中可偵測到之活動的專業知識和見解。

分析是以查詢為基礎的規則，可透過客戶Microsoft Sentinel 工作區中的數據執行，而且可以：

您可以在解決方案中包含分析規則，以及透過Microsoft Sentinel ThreatHunters 社群來新增分析規則。透過社群參與，以鼓勵社群對合作夥伴源數據產生創意，協助客戶進行更可靠且有效的偵測。

Microsoft Sentinel 提供一組豐富的搜捕功能，可用來協助客戶在提供的數據中尋找未知的威脅。您可以在整合中包含戰術搜捕查詢，以醒目提示特定知識，甚至是完整的引導式搜捕體驗。

您建立的整合也可以包含視覺效果，以協助客戶管理和瞭解您的數據，包括圖形檢視，了解數據流入Microsoft Sentinel 的方式，以及它對偵測的貢獻程度。

可自定義儀錶板上的視覺效果所提供的清晰性，可以醒目提示您的合作夥伴對客戶的價值。

Microsoft Sentinel 調查圖表可讓調查人員在需要時提供相關數據，並透過連線實體提供安全性事件和警示的可見度。調查人員可以使用調查圖表來尋找相關或相關的事件，以參與正在調查的威脅。

合作夥伴可以藉由提供下列專案來參與調查圖表：

Microsoft Sentinel 的協調與補救功能可支援需要快速且準確地協調及啟用補救的客戶。

在整合解決方案中包含自動化劇本，以支援具有豐富自動化的工作流程，並在客戶環境中執行安全性相關工作。例如，整合劇本可透過下列任何方式來協助，以及更多功能：

下列各節說明常見的合作夥伴整合案例，以及每個案例解決方案中要包含之項目的建議。

案例：您的產品會產生可通知或對於安全性調查而言非常重要的數據。您的產品不一定包含現用的偵測。

範例：提供某種形式的記錄數據的產品包括防火牆、雲端應用程式安全性代理程式、實體存取系統、Syslog 輸出、商業上可用的企業建置 LOB 應用程式、伺服器、網路元數據、Syslog 或 CEF 格式的 Syslog，或 JSON 格式透過 REST API 傳遞的任何專案。

如何在 Microsoft Sentinel 中使用您的數據：透過數據連接器將產品的數據匯入至 Microsoft Sentinel，以提供分析、搜捕、調查、視覺效果等等。