Agregar dados do Microsoft Sentinel com regras de resumo

Use regras de resumo no Microsoft Sentinel para agregar grandes conjuntos de dados em segundo plano, proporcionando uma experiência de operações de segurança mais fluida em todos os níveis de log. Os dados de resumo são pré-compilados em tabelas de log personalizadas e fornecem um desempenho rápido de consulta, incluindo consultas executadas em dados derivados de camadas de log de baixo custo. As regras de resumo podem ajudar a otimizar seus dados para:

• Análise e relatórios, especialmente em grandes conjuntos de dados e intervalos de tempo, conforme necessário para análise de segurança e incidentes, relatórios de negócios mês a mês ou anuais e assim por diante.
• Poupança de custos em registos detalhados, que pode reter por tão pouco ou quanto tempo precisar numa camada de registo mais barata, e enviar apenas os dados resumidos para uma tabela de análise para estudo e relatórios.
• Segurança e privacidade de dados, removendo ou ofuscando detalhes de privacidade em dados compartilháveis resumidos e limitando o acesso a tabelas com dados brutos.

O Microsoft Sentinel armazena os resultados das regras sumárias em tabelas personalizadas com o plano Analytics de dados. Para obter mais informações sobre planos de dados e custos de armazenamento, consulte Planos de tabela de log.

Este artigo explica como criar regras de resumo ou implantar modelos de regra de resumo pré-criados no Microsoft Sentinel e fornece exemplos de cenários comuns para usar regras de resumo.

Prerequisites

Para criar regras de resumo no Microsoft Sentinel:

• O Microsoft Sentinel deve estar habilitado em pelo menos um espaço de trabalho e consumir logs ativamente.

• Você deve ser capaz de acessar o Microsoft Sentinel com permissões de Colaborador do Microsoft Sentinel . Para obter mais informações, consulte Funções e permissões no Microsoft Sentinel.

• Para criar regras de resumo no portal do Microsoft Defender, você deve primeiro integrar seu espaço de trabalho ao portal do Defender. Para obter mais informações, consulte Conectar o Microsoft Sentinel ao portal do Microsoft Defender.

Recomendamos que você experimente a consulta de regra de resumo na página Logs antes de criar a regra. Verifique se a consulta não atinge ou não se aproxima do limite da consulta, e verifique se a consulta produz o esquema pretendido e os resultados esperados. Se a consulta estiver próxima dos limites de consulta, considere usar um menor binSize para processar menos dados por compartimento. Você também pode modificar a consulta para retornar menos registros ou remover campos com maior volume.

Criar uma nova regra de resumo

Crie uma nova regra de resumo para agregar um grande conjunto específico de dados em uma tabela dinâmica. Configure a frequência da regra para determinar com que frequência o conjunto de dados agregados é atualizado a partir dos dados brutos.

1. Abra o assistente de regra de resumo:

   • No portal do Defender, selecione Regras de resumo de configuração > do Microsoft Sentinel>.

   • No portal Azure, a partir do menu de navegação Microsoft Sentinel, em Configuração, selecione Regras de Resumo. Por exemplo:

     

2. Selecione + Criar e introduza os seguintes detalhes:

   • Name. Insira um nome significativo para sua regra.

   • Description. Insira uma descrição opcional.

   • Tabela de destinos. Defina a tabela de log personalizada onde seus dados são agregados:

     • Se você selecionar Tabela de log personalizada existente, selecione a tabela que deseja usar.

     • Se você selecionar Nova tabela de log personalizada, insira um nome significativo para a tabela. O nome completo da tabela usa a seguinte sintaxe: <tableName>_CL.

3. Recomendamos que ative as definições de diagnóstico SummaryLogs na sua área de trabalho para obter visibilidade de registos históricos e falhas. Se as definições de diagnóstico do SummaryLogs não estiverem ativadas, é solicitado a ativá-las na área de Definições de Diagnóstico .

   Se as definições de diagnóstico do SummaryLogs já estiverem ativadas, mas quiser modificar as definições, selecione Configurar definições avançadas de diagnóstico. Quando voltar à página do assistente de regras de resumo, selecione Atualizar para atualizar os detalhes da configuração.

   Important

   As definições de diagnóstico SummaryLogs têm custos adicionais. Para obter mais informações, consulte Configurações de diagnóstico no Azure Monitor.

4. Selecione Avançar: Definir lógica >de resumo para continuar.

5. Na página Definir lógica de resumo , insira sua consulta de resumo. Por exemplo, para resumir dados do Google Cloud Platform, insira a:

   GCPAuditLogs
   | where ServiceName == 'pubsub.googleapis.com'
   | summarize count() by Severity
   

   Para obter mais informações, consulte Cenários de regras de resumo de amostra e Linguagem de Consulta Kusto (KQL) no Azure Monitor.

6. Selecione Resultados de Pré-visualização para mostrar um exemplo dos dados que recolheria com a consulta configurada.

7. Na área de agendamento de consultas , defina os seguintes detalhes:

   • Com que frequência pretende que a regra seja executada
   • Se quiser que a regra seja executada com algum atraso, em minutos
   • Quando você deseja que a regra comece a ser executada

   Os horários definidos no agendamento são baseados na timegenerated coluna em seus dados

8. Selecione Seguinte: Rever + criar >>Guardar para concluir a regra de resumo.

As regras resumidas existentes estão listadas na página de Regras Resumo , onde pode rever o estado da sua regra. Para cada regra, selecione o menu de opções no final da linha para executar qualquer uma das seguintes ações:

• Veja os dados atuais da regra na página de Registos , como se fosse executar a consulta imediatamente
• Exibir o histórico de execução da regra selecionada
• Desative ou habilite a regra.
• Editar a configuração da regra

Para eliminar uma regra, selecione a linha da regra e depois selecione Eliminar na barra de ferramentas no topo da página.

Implantar modelos de regras de resumo pré-definidos

Os modelos de regras de resumo são regras de resumo pré-criadas que você pode implantar as-is ou personalizar de acordo com suas necessidades.

Para desdobrar um modelo de resumo de regras:

1. Abra o hub de Conteúdo e filtre o Tipo de Conteúdo por Regras de Resumo para visualizar os modelos de regras de resumo disponíveis.

   

2. Selecione um modelo de regra de resumo.

   Um painel com informações sobre o modelo de regra de resumo é aberto, exibindo campos como descrição, consulta de resumo e tabela de destino.

   

3. Selecione Instalar para instalar o modelo.

4. Selecione o separador Modelos na página de Regras de Resumo e selecione a regra de resumo que instalou.

   

5. Selecione Criar para abrir o assistente de regras de resumo, onde todos os campos estão pré-preenchidos.

6. Passa pelo assistente de regras de resumo e seleciona Guardar para implementar a regra de resumo.

   Para obter mais informações sobre o assistente de regra de resumo, consulte Criar uma nova regra de resumo.

Exemplos de cenários de regra de resumo no Microsoft Sentinel

Esta seção analisa cenários comuns para a criação de regras de resumo no Microsoft Sentinel e nossas recomendações sobre como configurar cada regra. Para obter mais informações e exemplos, consulte Resumo de insights de dados brutos em uma tabela Auxiliar para uma tabela Analítica no Microsoft Sentinel e Fontes de logs a serem usadas para a ingestão de Logs Auxiliares.

Encontre rapidamente um endereço IP malicioso no seu tráfego de rede

Cenário: És um caçador de ameaças, e um dos objetivos da tua equipa é identificar todas as situações em que um endereço IP malicioso interagiu nos registos de tráfego de rede de um incidente ativo, nos últimos 90 dias.

Desafio: O Microsoft Sentinel ingere atualmente vários terabytes de registos de rede por dia. Você precisa analisá-los rapidamente para encontrar correspondências para o endereço IP malicioso.

Solução: Recomendamos o uso de regras resumidas para fazer o seguinte:

1. Crie um conjunto de dados resumido para cada endereço IP relacionado ao incidente, incluindo o SourceIP, DestinationIP, MaliciousIP, RemoteIP, , cada listando atributos importantes, como IPType, FirstTimeSeene LastTimeSeen.

   O conjunto de dados de resumo permite pesquisar rapidamente um endereço IP específico e reduzir o intervalo de tempo onde o endereço IP é encontrado. Você pode fazer isso mesmo quando os eventos pesquisados ocorreram há mais de 90 dias, o que excede o período de retenção do espaço de trabalho.

   Neste exemplo, configure o resumo para ser executado diariamente, para que a consulta adicione novos registros de resumo todos os dias até expirar.

2. Crie uma regra de análise que seja executada por menos de dois minutos no conjunto de dados de resumo, detalhando rapidamente o intervalo de tempo específico em que o endereço IP mal-intencionado interagiu com a rede da empresa.

   Certifique-se de configurar intervalos de execução de até cinco minutos, no mínimo, para acomodar diferentes tamanhos de carga útil resumida. Isso garante que não haja perdas, mesmo quando há um atraso na ingestão de eventos.

   Por exemplo:

   let csl_columnmatch=(column_name: string) {
   summarized_CommonSecurityLog
   | where isnotempty(column_name)
   | extend
       Date = format_datetime(TimeGenerated, "yyyy-MM-dd"),
       IPaddress = column_ifexists(column_name, ""),
       FieldName = column_name
   | extend IPType = iff(ipv4_is_private(IPaddress) == true, "Private", "Public")
   | where isnotempty(IPaddress)
   | project Date, TimeGenerated, IPaddress, FieldName, IPType, DeviceVendor
   | summarize count(), FirstTimeSeen = min(TimeGenerated), LastTimeSeen = min(TimeGenerated) by Date, IPaddress, FieldName, IPType, DeviceVendor
   };
   union csl_columnmatch("SourceIP")
       , csl_columnmatch("DestinationIP") 
       , csl_columnmatch("MaliciousIP")
       , csl_columnmatch("RemoteIP")
   // Further summarization can be done per IPaddress to remove duplicates per day on larger timeframe for the first run
   | summarize make_set(FieldName), make_set(DeviceVendor) by IPType, IPaddress
   

3. Execute uma pesquisa subsequente ou correlação com outros dados para completar a história do ataque.

Gerar alertas sobre correspondências de inteligência de ameaças com dados de rede

Gere alertas sobre correspondências de inteligência de ameaças em dados de rede que são barulhentos, de alto volume e de baixo valor de segurança.

Cenário: Precisa de criar uma regra de análise para registos de firewall para comparar nomes de domínio no sistema que foram visitados com uma lista de nomes de domínio de inteligência de ameaças.

A maioria das fontes de dados são registos brutos que são ruidosos e têm volume elevado, mas têm menor valor de segurança, incluindo endereços IP, tráfego do Firewall Azure, tráfego Fortigate, entre outros. Há um volume total de cerca de 1 TB por dia.

Desafio: Criar regras separadas requer múltiplas aplicações lógicas, exigindo custos adicionais de configuração e manutenção.

Solução: Recomendamos o uso de regras resumidas para fazer o seguinte:

1. Crie uma regra de resumo:

   1. Estenda a sua consulta para extrair campos-chave, como o endereço de origem, endereço de destino e porta de destino da tabela CommonSecurityLog_CL , que é o CommonSecurityLog com o plano Auxiliar.

   2. Realize uma pesquisa interna nos Indicadores de Inteligência de Ameaças ativos para identificar quaisquer correspondências com nosso endereço de origem. Isso permite que você faça referência cruzada de seus dados com ameaças conhecidas.

   3. Informações relevantes do projeto, incluindo o tempo gerado, o tipo de atividade e quaisquer IPs de origem mal-intencionados, juntamente com os detalhes do destino. Defina a frequência que quer que a consulta seja executada e a tabela de destino, como MaliciousIPDetection . Os resultados nesta tabela estão no nível analítico e são cobrados de acordo.

2. Crie um alerta:

   Criar uma regra analítica no Microsoft Sentinel que alerta com base nos resultados da tabela MaliciousIPDetection . Esta etapa é crucial para a deteção proativa de ameaças e resposta a incidentes.

Exemplo de regra de resumo:

CommonSecurityLog_CL​
| extend sourceAddress = tostring(parse_json(Message).sourceAddress), destinationAddress = tostring(parse_json(Message).destinationAddress), destinationPort = tostring(parse_json(Message).destinationPort)​
| lookup kind=inner (ThreatIntelligenceIndicator | where Active == true ) on $left.sourceAddress == $right.NetworkIP​
| project TimeGenerated, Activity, Message, DeviceVendor, DeviceProduct, sourceMaliciousIP =sourceAddress, destinationAddress, destinationPort

Conteúdo relacionado

• Agregar dados no workspace do Log Analytics com regras de resumo
• Planeje os custos e entenda os preços e a cobrança do Microsoft Sentinel
• Fontes de registos que devem ser usadas para a ingestão de registos auxiliares
• Restrições e limitações de regras sumárias