Dysgu Microsoft Sentinel: Canllaw Ymarferol i Ddechreuwyr

Microsoft Sentinel yw platform SIEM a SOAR brodorol i'r cwmwl wedi'i adeiladu ar Azure, ac mae wedi dod yn arf sylfaenol mewn SOCs modern yn gyflym iawn. Os ydych chi'n newydd iddo, gall y nifer sylweddol o rannau sy'n symud—workspaces, cysylltwyr, rheolau dadansoddi, llyfrnau gwaith, playbooks—deimlo'n llethol. Mae'r canllaw hwn yn ei dorri i lawr yn llwybr ymarferol y gallwch ei ddilyn i ddod yn gyffyrddus yn gyflym.

Beth Mae Sentinel Mewn Gwirionedd yn ei Wneud

Ar ei sail, mae Sentinel yn cymryd mewn logiau o draws eich amgylchedd (adnoddau Azure, gweinyddion ar-safle, waliau tân, offer pen-draw, darparwyr hunaniaeth) i workspace Log Analytics, ac yna mae'n gadael ichi holi'r data honno gyda Kusto Query Language (KQL), adeiladu rheolau canfod, delweddu dueddiadau, ac awtomateiddio ymatebion. Meddyliwch amdano fel pedwar haen wedi'u pentyrru gyda'i gilydd: casglu data, canfod, ymchwilio, ac ymateb.

Sefydlu Eich Workspace Cyntaf

Bydd angen tanysgrifiad Azure arnoch i ddilyn ymlaen. Dechreuewch trwy greu workspace Log Analytics, yna galluogwch Sentinel ar ei ben o'r portal Azure. Rhai awgrymiadau i ddechreuwyr:

• Defnyddiwch grŵp adnoddau pwrpasol ar gyfer eich lab fel bod glanhau'n hawdd yn ddiweddarach.
• Dewiswch ranbarthiad agos at eich adnoddau prawf eraill i leihau hyderwch a chostau allanfa.
• Mae biliau Sentinel yn seiliedig ar gyfaint cymryd mewn data, felly os ydych chi'n arbrofol, cadwch lygad ar ffynonellau data cysylltiedig—mae credydau treial am ddim yn diflannu'n gyflym os cysylltwch chi ffynonellau log swnllyd.

Un waith y bydd y workspace yn bodoli, mae tudalen trosolwg Sentinel yn dod yn eich gartref, gan ddangos digwyddiadau, iechyd cysylltydd data, ac weithgarwch diweddar.

Cysylltu Ffynonellau Data

Mae cysylltwyr data yn sut mae Sentinel yn cymryd mewn logiau. Ar gyfer lab dechreuwr, dechreuewch yn fach:

1. Azure Activity Log — am ddim ac adeiledig-mewn, yn dangos digwyddiadau'r awyren-rheoli ar draws eich tanysgrifiad.
2. Logiau Microsoft Entra ID (Azure AD) — mae logiau mewn-lofnodi ac archwilio yn rhagorol ar gyfer ymarfer rhesymeg canfod o amgylch anomaladau dilysu.
3. Digwyddiadau Diogelwch Windows trwy AMA (Azure Monitor Agent) — os byddwch chi'n cychwyn VM prawf, mae hyn yn gadael ichi ymarfer gyda thelemeg arddull pen-draw.

Osgowch gysylltu bwydo mawr trydydd parti o waliau tân neu ddirprwyon hyd nes y deallwch costau cymryd mewn—gall y rhain gynhyrchu cyfrolau log enfawr.

Dysgu Hanfodion KQL

Kusto Query Language yn angenrheidiol ar gyfer gwaith Sentinel. Dechreuewch gyda'r patrymau hyn:

SigninLogs
| where ResultType != 0
| summarize FailedAttempts = count() by UserPrincipalName, bin(TimeGenerated, 1h)
| where FailedAttempts > 5

Mae'r cwestiwn syml hwn yn dod i'r amlwg gyfrif sydd â mhrofion mewn-lofnodi methu eto-dro fesul awr—dangosydd brute-force clasurol. Ymarferwch gyda where, summarize, join, a bin nes eu bod yn teimlo'n naturiol. Mae modiwlau KQL Microsoft Learn a'r cwestiynau sampl Sentinel o dan Dadansoddi yn gyfeiriadau am ddim da.

Adeiladu Eich Rheol Dadansoddi Gyntaf

Mae rheolau dadansoddi yn troi cwestiynau KQL yn ganfyddiadau awtomatig a gynhyrchir digwyddiadau. I greu un:

• Ewch i Analytics > Create > Scheduled query rule.
• Gludwch mewn cwestiwn tebyg i'r enghraifft brute-force uchod.
• Gosodwch amlder y cwestiwn a chyfnod edrych yn ôl (e.e., rhedeg pob awr, edrych yn ôl awr).
• Tynnu'r map endidau (fel UserPrincipalName) fel y gall Sentinel gysylltu'r digwyddiad hwn ag eraill sy'n cynnwys y cyfrif yr un peth.
• Dewis gosodiadau grwpio rhybudd i osgoi blinder digwyddiad.

Mae Microsoft hefyd yn cludo llawer o dempledi rheol dadansoddi adeiledig-mewn—pori'r rhain yn gyntaf i ddeall patrymau canfod cyffredin cyn ysgrifennu rhai eich hun o'r dechrau.

Ymchwilio i Ddigwyddiadau

Pan fydd rheol yn tanio, mae'n creu digwyddiad yn y llafn Incidents. Cliciwch i mewn i un a defnyddiwch y graff ymchwilio i weld endidau cysylltiedig—defnyddwyr, IPs, cynaliwr—a sut maent yn cysylltu ar draws rhybuddion eraill. Mae'r gweledigaeth graff hon yn un o nodweddion mwyaf cyfeillgar-dechreuwr Sentinel oherwydd ei fod yn tynnu map y endidau'n ddelweddol