K detekci hrozeb použijte lovecké živě v Microsoft Sentinel.

K vytváření interaktivních relací umožňujících testování nově vytvořených dotazů, když dojde k událostem, dostávat oznámení z relací, když se najde shoda, a v případě potřeby můžete spustit šetření. Relaci živě můžete rychle vytvořit pomocí libovolného dotazu Log Analytics.

• Testování nově vytvořených dotazů při výskytu událostí

  Dotazy můžete testovat a upravovat bez konfliktů k aktuálním pravidlům, která se aktivně používají pro události. Po potvrzení, že tyto nové dotazy fungují podle očekávání, je můžete snadno zvýšit na vlastní pravidla výstrah výběrem možnosti, která zvyšuje relaci na výstrahu.

• Oznámení, když dojde k hrozbám

  Můžete porovnat datové kanály hrozeb s agregovanými daty protokolů a při výskytu shody informovat. Datové kanály hrozeb jsou průběžné streamování dat, která se vztahují k potenciálním nebo současným hrozbám, takže oznámení můžou znamenat potenciální hrozbu pro vaši organizaci. Vytvořte relaci živě místo vlastního pravidla výstrahy, pokud chcete být upozorněni na potenciální problém bez nutnosti zachovat vlastní pravidlo výstrahy.

• Spustit šetření

  Pokud existuje aktivní šetření, které zahrnuje určitý prostředek, jako je například hostitel nebo uživatel, můžete v datech protokolu zobrazit konkrétní (nebo všechny) aktivity, ke kterým dojde na daném prostředku. Při výskytu této aktivity můžete být upozorněni.

Vytvoření relace živě

Můžete vytvořit relaci živě z existujícího loveckého dotazu nebo vytvořit svou relaci úplně od začátku.

1. V Azure Portal přejděte do části Sentinel > Threat Management > lov.

2. Vytvoření relace živě z loveckého dotazu:

   1. Na kartě dotazy vyhledejte lovecký dotaz, který chcete použít.
   2. Klikněte pravým tlačítkem na dotaz a vyberte Přidat do živě. Například:

   

3. Vytvoření relace živě od začátku:

   1. Vyberte kartu živě
   2. Klikněte na + Nový živě.

4. V podokně živě :

   • Pokud jste spustili živě z dotazu, zkontrolujte dotaz a proveďte jakékoli změny, které chcete provést.
   • Pokud jste začali živě od začátku, vytvořte dotaz.

   Poznámka

   Živě podporuje dotazy na více prostředků (ve verzi Preview) dat v Azure Průzkumník dat. Přečtěte si další informace o dotazech mezi prostředky.

5. Na panelu příkazů vyberte Přehrát .

   Stavový řádek pod panelem příkazů indikuje, jestli je relace živě spuštěná nebo pozastavená. V následujícím příkladu je spuštěná relace:

   

6. Na panelu příkazů vyberte Uložit .

   Pokud nevyberete pozastavit, relace zůstane spuštěná, dokud nebudete odhlášeni od Azure Portal.

Zobrazení živěch relací

1. V Azure Portal přejděte na kartu Sentinel > Threat Management > lovecké > živě .

2. Vyberte relaci živě, kterou chcete zobrazit nebo upravit. Například:

   

   Vybraná relace živě se otevře, abyste ji mohli přehrát, pozastavit, upravit atd.

Dostávat oznámení, když dojde k novým událostem

Vzhledem k tomu, že živě oznámení o nových událostech používají Azure Portal oznámení, uvidíte tato oznámení vždy, když použijete Azure Portal. Například:

Vyberte oznámení a otevřete podokno živě .

Zvýšení relace živě na výstrahu

Relaci živě můžete povýšit na nové upozornění výběrem možnosti zvýšit úroveň na výstrahu na panelu příkazů v příslušné relaci živě:

Tato akce otevře Průvodce vytvořením pravidla, který je předem vyplněný dotazem, který je přidružen k relaci živě.

Další kroky

V tomto článku jste zjistili, jak používat lovecké živě v programu Microsoft Sentinel. Další informace o nástroji Microsoft Sentinel najdete v následujících článcích:

• Proaktivní vylovení hrozeb
• Použití poznámkových bloků ke spouštění automatizovaných loveckých kampaní