Informacje o zdarzeniach
Zagrożenia związane z technologią w organizacji są nazywane zdarzeniami. Zarządzanie zdarzeniami to kompletny proces badania zdarzeń, od tworzenia zdarzeń do szczegółowego badania i rozwiązywania problemów. Usługa Microsoft Sentinel może pomóc zespołowi IT organizować, badać i śledzić zdarzenia od tworzenia za pośrednictwem rozwiązania.
Możesz użyć usługi Microsoft Sentinel, aby przejrzeć szczegółowe informacje o zdarzeniu, przypisać właściciela zdarzenia, ustawić i zachować ważność zdarzenia oraz zarządzać stanem zdarzenia. Usługa Microsoft Sentinel udostępnia kompletne środowisko zarządzania zdarzeniami do obsługi tych kroków.
Najważniejsze pojęcia
Ważne jest, aby zrozumieć następujące kluczowe pojęcia związane z zarządzaniem zdarzeniami w usłudze Microsoft Sentinel:
- Łączniki danych. Łączniki danych usługi Microsoft Sentinel umożliwiają pozyskiwanie i zbieranie danych z usług związanych z zabezpieczeniami. Łączniki danych mogą zbierać zdarzenia z komputerów z systemem Linux lub Windows z agentem usługi Log Analytics, z serwera syslog systemu Linux dla urządzeń, takich jak zapory lub serwery proxy, lub bezpośrednio z usług platformy Microsoft Azure. Te zdarzenia są przekazywane do obszaru roboczego usługi Log Analytics skojarzonego z usługą Microsoft Sentinel.
- Zdarzenia. Usługa Microsoft Sentinel przechowuje zdarzenia w obszarze roboczym usługi Log Analytics. Te zdarzenia zawierają szczegóły działań związanych z zabezpieczeniami, które mają być monitorowane przez usługę Microsoft Sentinel.
- Reguły analizy. Reguły analizy wykrywają ważne zdarzenia zabezpieczeń i generują alerty. Reguły analizy można tworzyć przy użyciu wbudowanych szablonów lub zapytań niestandardowych język zapytań Kusto (KQL) względem obszarów roboczych usługi Log Analytics w usłudze Microsoft Sentinel.
- Alerty. Reguły analizy generują alerty w przypadku wykrycia ważnych zdarzeń zabezpieczeń. Alerty można skonfigurować do generowania zdarzeń.
- Zdarzenia. Usługa Microsoft Sentinel tworzy zdarzenia na podstawie alertów reguł analizy. Incydenty mogą zawierać wiele powiązanych alertów. Każdy incydent służy jako punkt wyjścia i mechanizm śledzenia do badania problemów z zabezpieczeniami w danym środowisku.
Strona przeglądu usługi Microsoft Sentinel
Zarządzanie zdarzeniami w usłudze Microsoft Sentinel rozpoczyna się na stronie Przegląd , gdzie można przejrzeć bieżące środowisko usługi Microsoft Sentinel. Na stronie Przegląd znajduje się lista najnowszych zdarzeń wraz z innymi ważnymi informacjami usługi Microsoft Sentinel. Za pomocą tej strony można zrozumieć ogólną sytuację zabezpieczeń przed zbadaniem zdarzeń.
