Microsoft Sentinel ile tehditleri avlama

Güvenlik analistleri ve araştırmacıları olarak güvenlik tehditlerini arama konusunda proaktif olmak istiyor ama çeşitli sistemleriniz ve güvenlik gereçleri anlamlı olayları ayrıştırması ve filtrelemesi zor olan çok sayıda veri üretir. Microsoft Sentinel, kuruluş veri kaynakları genelinde güvenlik tehditlerini avlamak için güçlü tehdit avcılığı arama ve sorgu araçlarına sahip. Güvenlik analistleri, güvenlik uygulamalarınız veya zamanlanmış analiz kurallarınız tarafından algılanmadı yeni anomalileri proaktif bir şekilde aramalarına yardımcı olmak için Microsoft Sentinel'in yerleşik avlanma sorguları, ağ üzerinde zaten sahip olduğunuz verilerde sorun bulmak için doğru soruları sormanız için size yol sağlar.

Örneğin, yerleşik sorgulardan biri altyapınız üzerinde çalışan en yaygın olmayan işlemlerle ilgili veriler sağlar. Her çalıştırıla ilgili bir uyarı istemeyebilirsiniz; bunlar tamamen garip olabilir, ancak bazı durumlarda olağan dışı bir durum olup olmadığını görmek için sorguya göz atabilirsiniz.

Yerleşik sorguları kullanma

Avlanma panosu, çalışmaya başlamayı ve tabloları ve sorgu dilini tanımayı sağlayan hazır sorgu örnekleri sağlar. Sorgular, işlem oluşturma, DNS olayları veya diğer olay türleri gibi günlük tablolarında depolanan veriler üzerinde çalıştırabilirsiniz.

Yerleşik avlanma sorguları, Microsoft güvenlik araştırmacıları tarafından sürekli olarak geliştiriliyor. Hem yeni sorgular eklıyor hem de var olan sorguları ince ayarlıyor. Bu sorgular yeni algılamaları aramanız ve yeni saldırıların başlangıcını bulmaya nereden başlayacağınız hakkında bir giriş noktası sağlar.

Aşağıdaki eylemleri yapmak için, güvenlik tehlikeye atmadan önce, sırasında ve sonrasında sorguları kullanın:

• Bir olay oluşmadan önce: Algılamaların beklemesi yeterli değildir. Çalışma alanınıza almakta olduğunu verilerle ilgili tehdit avcılığı sorgularını haftada en az bir kez çalıştırarak proaktif eyleme geçebilirsiniz.

  Proaktif avlanma sürecinizin sonuçları, bir güvenliğin devam ediyor olduğunu doğrulayan veya ortamınız için risk altında olan ve dikkat gereken daha zayıf alanları gösterecek olaylar hakkında erken içgörüler sağlar.

• Güvenlik açıkları sırasında: Canlı akışı kullanarak belirli bir sorguyu sürekli olarak çalıştırıp sonuçları geldiklerini gösterir. Bir tehdit aktörün sonraki eylemlerini belirlemeye yardımcı olmak ve güvenliğin gerçekten sona erip bitip bit olmadığını doğrulamak için bir araştırmanın sonuna doğru belirli bir güvenlik tehdidinin hala devam edip olmadığını doğrulamanız gibi kullanıcı olaylarını etkin bir şekilde izlemeniz gerekirse canlı akışı kullanın.

• Güvenliğinin tehlikeye atmasından sonra: Bir güvenlik İhlali veya olay oluştuktan sonra, gelecekte benzer olayları önlemek için kapsamınızı ve içgörülerinizi geliştirin.

  • Mevcut sorgularınızı değiştirme veya erken algılama konusunda yardımcı olacak yeni sorgular oluşturma, güvenliğini tehlikeye atarak veya olayla ilgili edinilen içgörüleri temel alarak.

  • Olası saldırılara yönelik yüksek değerli içgörüler sağlayan bir avlanma sorgusu keşfettiy veya oluşturduysanız, bu sorguyu temel alan özel algılama kuralları oluşturun ve bu içgörüleri güvenlik olayı yanıtlayanlara uyarı olarak ortaya koyun.

    Sorgunun sonuçlarını görüntüden Yeni uyarı kuralı > Microsoft Sentinel uyarısı oluştur'u seçin. Sorgunuza göre yeni bir kural oluşturmak için Analiz kuralı sihirbazını kullanın. Daha fazla bilgi için bkz. Tehditleri algılamak için özel analiz kuralları oluşturma.

Avlanma panosu kullanma

Avlanma panosu tüm sorgularınızı veya seçili bir alt kümeyi tek bir seçimde çalıştırmanızı sağlar. Microsoft Sentinel portalında Avlanma'ya seçin.

Gösterilen tabloda, Microsoft'un güvenlik analistleri ekibi tarafından yazılan tüm sorgular ve oluşturduğunuz veya değiştirerek ek sorgular listele. Her sorgu, avlanan veriler ve üzerinde çalıştırılan veriler hakkında bir açıklama sağlar. Bu sorgular, MITRE ATT ve CK taktiklerine&gruplandı. Sağ simgelerden ilk erişim, kalıcılık ve sızma gibi tehdit türleri kategorilere ayrılmıştır. MITRE ATT&CK teknikleri, Teknikler sütununda gösterilir ve avlanma sorgusu tarafından tanımlanan belirli davranışı açıklar.

24 saatlik bir süre içinde sonuç sayısına, ani artışlara veya sonuç sayısı değişikliğine bakarak avlanmaya nereden başlayacağını belirlemek için avlanma panosu kullanın. Sık kullanılanlara, veri kaynağına, MITRE ATT&tekniğine, sonuçlara, sonuç deltaya veya sonuç delta yüzdesine göre sırala ve filtrele. Veri kaynaklarına bağlı olan sorguları görüntüleme** ve bu sorguları etkinleştirme hakkında önerilerde bulunabilirsiniz.

Aşağıdaki tabloda, avlanma panosunda kullanılabilen ayrıntılı eylemler açıklanıyor:

Özel avlanma sorgusu oluşturma

Sorguyu oluşturun veya değiştirerek kendi sorgunuz olarak kaydedin veya aynı kiracıda olan kullanıcılarla paylaşın.

Yeni bir sorgu oluşturmak için:

1. Yeni sorgu'ya seçin.

2. Tüm boş alanları doldurun ve Oluştur'a seçin.

   1. (Önizleme) Varlık türlerini, tanımlayıcıları ve sütunları seçerek varlık eşlemeleri oluşturun.

      

   2. (Önizleme) TAKTIK, teknik&alt tekniği (varsa) seçerek MITRE ATT CK tekniklerini avlanma sorgularınıza eşler.

      

Mevcut bir sorguyu kopyalamak ve değiştirmek için:

1. Değiştirmek istediğiniz tabloda avlanma sorgusunu seçin.

2. Değiştirmek istediğiniz sorgunun satırda bulunan üç noktayı (...) ve Sorguyu kopyala'yi seçin.

   

3. Sorguyu değiştirerek Oluştur'a seçin.

Örnek sorgu

Tipik bir sorgu, bir tablo adıyla başlar ve ardından kanal karakteri (" ") ile ayrılmış bir dizi işleç | ile başlar.

Yukarıdaki örnekte SecurityEvent tablo adıyla başlar ve gerektiğinde kanala sızan öğeler ekleyin.

1. Yalnızca önceki yedi gün içinde yer alan kayıtları gözden geçirmek için bir zaman filtresi tanımlayın.

2. Yalnızca olay kimliği 4688'i göstermek için sorguya bir filtre ekleyin.

3. Yalnızca komut satırı örneklerini içeren CommandLine sorgusuna bir filtre cscript.exe.

4. Project yalnızca keşfetmek istediğiniz sütunları seçin ve sonuçları 1000 ile sınırla'ya tıklayın ve Sorguyu çalıştır'ı seçin.

5. Yeşil üçgeni seçin ve sorguyu çalıştırın. Sorguyu test etmek ve anormal davranışları tespit etmek için çalıştırabilirsiniz.

Yer işaretleri oluşturma

Avlanma ve araştırma işlemi sırasında, olağan dışı veya şüpheli gibi görünüyor olabilir sorgu sonuçlarıyla karşı karşıya gelebilirsiniz. Gelecekte örneğin araştırma için bir olay oluştururken veya zenginleştirirken bunlara başvurmak için bu öğeleri yer işaretlerine ekleyin.

• Sonuçlarınıza, korumak istediğiniz satırların onay kutularını işaretleyin ve Yer işareti ekle'yi seçin. Bu, satır sonuçlarını ve sonuçları oluşturan sorguyu içeren bir yer işareti olan işaretlenmiş her satır için bir kayıt oluşturur. Her yer işaretine kendi etiketlerinizi ve notlarınızı ekleyebilirsiniz.

  • (Önizleme) Özel sorgularda olduğu gibi, yer işaretlerinizi varlık eşlemeleriyle zenginleştirerek birden çok varlık türü ve tanımlayıcı ayıklar ve belirli taktikleri ve teknikleri ilişkilendirmek için MITRE ATT&CK eşlemelerini kullanabilirsiniz.
  • (Önizleme) Yer işaretleri varsayılan olarak aynı varlığı ve MITRE ATT&CK tekniği eşlemelerini yer işaretiyle sonuç üreten avlanma sorgusu olarak kullanır.

• Tümünü görüntüle avlanma sayfasındaki Yer İşaretleri sekmesine tıklayarak yer işaretine yer işareti ekleme bulgularını görebilirsiniz. Filtreleme için sınıflandırmak için yer işaretlerine etiketler ekleyin. Örneğin, bir saldırı kampanyasını araştırıyorsanız kampanya için bir etiket oluşturabilir, etiketi ilgili yer işaretlerine uygulayabilir ve ardından tüm yer işaretlerini kampanyaya göre filtre uygulayabilirsiniz.

• Yer işaretini seçerek ve ayrıntılar bölmesinde Araştır'a tıklayarak tek bir yer işaretine yer işareti eklemeli bulma araştırma deneyimi. Ayrıca doğrudan listelenen bir varlığı seçerek varlığın ilgili varlık sayfasını görüntüleyebilirsiniz.

  Ayrıca bir veya daha fazla yer işaretinden bir olay oluşturabilir veya var olan bir olay için bir veya daha fazla yer işareti eklemek isteyebilirsiniz. Kullanmak istediğiniz yer işaretlerinin sol tarafından bir onay kutusu seçin ve ardından Olay eylemleri Yeni olay oluştur veya > Mevcut olaya ekle'yi seçin. Olayı diğer olaylar gibi triyaz ve araştırma.

Daha fazla bilgi için bkz. Avlanmada yer işaretlerini kullanma.

Araştırmalara güç kaynağı olmak için not defterlerini kullanma

Avlanmanız ve araştırmanız daha karmaşık hale geldiğinde makine öğrenmesi, görselleştirmeler ve veri analizi ile etkinliğinizi geliştirmek için Microsoft Sentinel not defterlerini kullanın.

Not defterleri bir tür sanal korumalı alan sağlar ve bu sanal alanı kendi çekirdeğiyle tamamlar ve burada tam bir araştırma gerçekleştirin. Not defteriniz ham verileri, bu veriler üzerinde çalıştırdınız kodu, sonuçları ve bunların görselleştirmelerini içerebilir. Not defterlerinizi kaydedin; böylece bu not defterlerini başkalarla paylaşarak kuruluşta yeniden kullanabilirsiniz.

Not defterleri, avlanmanız veya araştırmanız kolay anımsanacak kadar büyük hale geldiğinde, ayrıntıları görüntüleyebiliyor veya sorguları ve sonuçları kaydetmeniz gereken zamanlara yardımcı olabilir. Microsoft Sentinel, not defterleri oluşturmanıza ve paylaşmanıza yardımcı olmak için doğrudan Microsoft Sentinel Not Defterleri sayfasında tümleştirilmiş açık kaynak, etkileşimli bir geliştirme ve veri işleme ortamı olan Jupyter Notebooks'u sağlar.

Daha fazla bilgi için bkz.

• Güvenlik tehditlerini avlamak için Jupyter Notebook kullanma
• Jupyter Project belgeleri
• Jupyter giriş belgeleri.
• Infosec Jupyter Kitabı
• Gerçek Python öğreticileri

Aşağıdaki tabloda, Microsoft Sentinel'de işlemlerinize yardımcı olmak için Juypter not defterlerini kullanmanın bazı yöntemleri açıkmektedir:

MSTIC, Jupyter ve Python güvenlik araçları

Microsoft Tehdit Zekası Merkezi (MSTIC), çeşitli Microsoft platformları için güvenlik algılamaları yazan ve tehdit belirleme ve araştırma üzerinde çalışan Microsoft güvenlik analistlerinden ve mühendislerinden bir ekiptir.

MSTIC, Jupyter Notebook'larda bilgi güvenliği araştırmalarına ve avlanmaya ilişkin bir kitaplık olan MSTICPy'yihazırlar. MSTICPy, not defteri oluşturma işlemlerini hızlandıran ve kullanıcıların Microsoft Sentinel'de not defterlerini okumalarını kolaylaştıran yeniden kullanılabilir işlevsellik sağlar.

Örneğin, MSTICPy şunları olabilir:

• Birden çok kaynakta yer alan günlük verilerini sorgulama.
• Tehdit bilgileri, coğrafi konumlar ve Azure kaynak verileriyle verileri zenginleştirin.
• Günlüklerden Etkinlik Göstergelerini (IoA) ayıklayabilir ve kodlanmış verileri paketinden çıkarabilirsiniz.
• Anormal oturum algılama ve zaman serisi ayrıştırma gibi gelişmiş analizler yapma.
• Etkileşimli zaman çizelgelerini, işlem ağaçlarını ve çok boyutlu Biçimli Grafikleri kullanarak verileri görselleştirin.

MSTICPy ayrıca sorgu süresi sınırlarını ayaran, listelerden öğeleri seçen ve görüntüleyen ve not defteri ortamını yapılandıran pencere öğeleri gibi zaman tasarrufu sağlayan bazı not defteri araçları da içerir.

Daha fazla bilgi için bkz.

• MSTICPy belgeleri
• Öğretici: Kullanmaya başlayın Microsoft Sentinel'de Jupyter not defterleri ve MSTICPy ile çalışma
• Microsoft Sentinel'de Jupyter not defterleri ve MSTICPy için gelişmiş yapılandırmalar

Yararlı işleçler ve işlevler

Avlanma sorguları, avlanmayı bir üst düzeye çıkararak size gereken gücü ve esnekliği veren IntelliSense diline sahip güçlü bir sorgu dili olan Kusto Sorgu Dili'nde (KQL)yerleşiktir.

Analiz kurallarınız ve Microsoft Sentinel'in başka bir yerindeki sorgular tarafından kullanılan dildir. Daha fazla bilgi için bkz. Sorgu Dili Başvurusu.

Aşağıdaki işleçler özellikle Microsoft Sentinel'in avlanma sorgularında yararlıdır:

• where - Bir tabloyu, bir önkate uygun satırların alt kümesine filtrele.

• summarize - Giriş tablosu içeriğini topleyen bir tablo üretin.

• join - Her tablodaki belirtilen sütunların değerlerini eşleştirerek yeni bir tablo oluşturmak için iki tablonun satırlarını birleştirin.

• count - Giriş kayıt kümesinde kayıt sayısını iade eder.

• top - Belirtilen sütunlara göre sıralanmış ilk N kaydı geri döner.

• limit - Belirtilen sayıda satıra kadar geri döner.

• project - Dahil etmek, yeniden adlandırmak veya bırakmak ve yeni hesaplanan sütunlar eklemek için sütunları seçin.

• extend - Hesaplanmış sütunlar oluşturun ve bunları sonuç kümesine ekler.

• makeset - Expr'ın gruptaki ayrı değerler kümesine sahip dinamik (JSON) bir dizisini döndürür

• find - Bir tablo kümesi genelinde bir önkate eşan satırları bulur.

• adx() (önizleme) - Bu işlev, Microsoft Sentinel avlanma deneyiminden ve Log Analytics'Azure Veri Gezgini veri kaynaklarının çapraz kaynak sorgularını gerçekleştirir. Daha fazla bilgi için bkz. Azure Veri Gezgini kullanarak çapraz kaynak Azure İzleyici.

Sonraki adımlar

Bu makalede, Microsoft Sentinel ile bir avlanma araştırması çalıştırmayı öğrendinsiniz.

Daha fazla bilgi için bkz.

• Otomatik avlanma kampanyalarını çalıştırmak için not defterlerini kullanma
• Avlanma sırasında ilgi çekici bilgileri kaydetmek için yer işaretlerini kullanma

Özel bağlayıcı ile Yakınlaştırma'nın izlenmesinde özel analiz kuralları kullanma örneği hakkında bilgi edinin.