Microsoft Sentinel শিখুন: একজন শিক্ষানবিসের জন্য ব্যবহারিক গাইড

Microsoft Sentinel একটি ক্লাউড-নেটিভ SIEM এবং SOAR প্ল্যাটফর্ম যা Azure-তে নির্মিত, এবং এটি আধুনিক SOC-গুলিতে দ্রুত একটি অপরিহার্য টুল হয়ে উঠেছে। যদি আপনি এটির নতুন হন, তাহলে অসংখ্য উপাদান—কর্মক্ষেত্র, কানেক্টর, বিশ্লেষণ নিয়ম, ওয়ার্কবুক, প্লেবুক—অপ্রতিরোধ্য মনে হতে পারে। এই গাইড এটিকে একটি ব্যবহারিক পথে ভেঙে দেয় যা আপনি দ্রুত স্বাচ্ছন্দ্য পেতে অনুসরণ করতে পারেন।

Sentinel প্রকৃতপক্ষে কী করে

এর মূলে, Sentinel আপনার পরিবেশ জুড়ে লগ (Azure সম্পদ, অন-প্রেম সার্ভার, ফায়ারওয়াল, এন্ডপয়েন্ট টুল, পরিচয় প্রদানকারী) একটি Log Analytics কর্মক্ষেত্রে গ্রহণ করে, তারপর আপনাকে Kusto Query Language (KQL) দিয়ে সেই ডেটা প্রশ্ন করতে, সনাক্তকরণ নিয়ম তৈরি করতে, প্রবণতা দৃশ্যায়ন করতে এবং প্রতিক্রিয়া স্বয়ংক্রিয় করতে দেয়। এটিকে চারটি স্তর হিসাবে ভাবুন একসাথে স্ট্যাক করা: ডেটা সংগ্রহ, সনাক্তকরণ, তদন্ত এবং প্রতিক্রিয়া।

আপনার প্রথম কর্মক্ষেত্র সেটআপ করা

সাথে এগিয়ে যাওয়ার জন্য আপনার একটি Azure সাবস্ক্রিপশন প্রয়োজন। একটি Log Analytics কর্মক্ষেত্র তৈরি করে শুরু করুন, তারপর Azure পোর্টাল থেকে এর উপর Sentinel সক্ষম করুন। শিক্ষানবিসদের জন্য কয়েকটি টিপস:

• আপনার ল্যাবের জন্য একটি নিবেদিত সংস্থান গ্রুপ ব্যবহার করুন যাতে পরবর্তীতে পরিষ্কার করা সহজ হয়।
• আপনার অন্যান্য পরীক্ষা সংস্থানের কাছাকাছি একটি অঞ্চল চয়ন করুন বিলম্ব এবং বেরিয়ে আসার খরচ কমাতে।
• Sentinel বিলিং ডেটা গ্রহণ ভলিউমের উপর ভিত্তি করে, তাই আপনি যদি পরীক্ষা করছেন, সংযুক্ত ডেটা উৎসগুলিতে নজর রাখুন—বিনামূল্যে ট্রায়াল ক্রেডিট দ্রুত শেষ হয়ে যায় যদি আপনি গোলমালপূর্ণ লগ উৎস সংযোগ করেন।

কর্মক্ষেত্র বিদ্যমান হওয়ার পরে, Sentinel ওভারভিউ পৃষ্ঠা আপনার হোম বেস হয়ে ওঠে, ঘটনা, ডেটা কানেক্টর স্বাস্থ্য এবং সাম্প্রতিক কার্যকলাপ দেখায়।

ডেটা উৎস সংযুক্ত করা

ডেটা কানেক্টর হল কীভাবে Sentinel লগ গ্রহণ করে। একজন শিক্ষানবিসের ল্যাবের জন্য, ছোট থেকে শুরু করুন:

1. Azure Activity Log — বিনামূল্যে এবং অন্তর্নির্মিত, আপনার সাবস্ক্রিপশন জুড়ে ম্যানেজমেন্ট-প্লেন ইভেন্ট দেখায়।
2. Microsoft Entra ID (Azure AD) লগ — সাইন-ইন এবং অডিট লগ প্রমাণীকরণ অসংগতিগুলির চারপাশে সনাক্তকরণ যুক্তি অনুশীলনের জন্য চমৎকার।
3. AMA এর মাধ্যমে Windows Security Events (Azure Monitor Agent) — যদি আপনি একটি পরীক্ষা VM স্পিন করেন, এটি আপনাকে এন্ডপয়েন্ট-শৈলী টেলিমেট্রির সাথে অনুশীলন করতে দেয়।

আপনি গ্রহণ খরচ বুঝতে না হওয়া পর্যন্ত বড় তৃতীয়-পক্ষের ফায়ারওয়াল বা প্রক্সি ফিড সংযুক্ত করা এড়িয়ে চলুন—এগুলি বিশাল লগ ভলিউম তৈরি করতে পারে।

KQL মূলবিষয় শেখা

Kusto Query Language Sentinel কাজের জন্য অপরিহার্য। এই প্যাটার্নগুলি দিয়ে শুরু করুন:

SigninLogs
| where ResultType != 0
| summarize FailedAttempts = count() by UserPrincipalName, bin(TimeGenerated, 1h)
| where FailedAttempts > 5

এই সহজ প্রশ্ন ঘন্টায় পুনরাবৃত্ত ব্যর্থ সাইন-ইন সহ অ্যাকাউন্ট প্রকাশ করে—একটি ক্লাসিক ব্রুট-ফোর্স সূচক। where, summarize, join এবং bin এর সাথে অনুশীলন করুন যতক্ষণ না তারা স্বাভাবিক মনে হয়। Microsoft Learn-এর KQL মডিউল এবং Analytics এর অধীন Sentinel নমুনা প্রশ্নগুলি ভাল বিনামূল্যে রেফারেন্স।

আপনার প্রথম Analytics নিয়ম তৈরি করা

Analytics নিয়ম KQL প্রশ্নগুলিকে স্বয়ংক্রিয় সনাক্তকরণে পরিণত করে যা ঘটনা তৈরি করে। একটি তৈরি করতে:

• Analytics > Create > Scheduled query rule এ যান।
• উপরের ব্রুট-ফোর্স উদাহরণের অনুরূপ একটি প্রশ্ন পেস্ট করুন।
• প্রশ্ন ফ্রিকোয়েন্সি এবং লুকআপ পিরিয়ড সেট করুন (উদাহরণ: প্রতি ঘন্টায় চালান, এক ঘন্টা পিছিয়ে তাকান)।
• সত্তা ম্যাপ করুন (যেমন UserPrincipalName) যাতে Sentinel এই ঘটনাটি একই অ্যাকাউন্ট জড়িত অন্যদের সাথে সংযুক্ত করতে পারে।
• সতর্কতা গ্রুপিং সেটিংস চয়ন করুন ঘটনা ক্লান্তি এড়াতে।

Microsoft অনেক অন্তর্নির্মিত analytics নিয়ম টেম্পলেটও শিপ করে—স্ক্র্যাচ থেকে আপনার নিজের লেখার আগে সনাক্তকরণ প্যাটার্নগুলি বোঝার জন্য প্রথমে এগুলি ব্রাউজ করুন।

Incidents তদন্ত করা

যখন একটি নিয়ম চালু হয়, এটি Incidents ব্লেডে একটি ঘটনা তৈরি করে। একটিতে ক্লিক করুন এবং তদন্ত গ্রাফ ব্যবহার করুন সম্পর্কিত সত্তা—ব্যবহারকারী, IP, হোস্ট—এবং তারা কীভাবে অন্যান্য সতর্কতা জুড়ে সংযুক্ত হয় তা দেখতে। এই গ্রাফ ভিউ Sentinel-এর সবচেয়ে শক্তিশালী শিক্ষানবিস-বান্ধব বৈশিষ্ট্যগুলির মধ্যে একটি কারণ এটি সিদ্ধান্তগতভাবে ম্যাপ করে