您现在访问的是微软AZURE全球版技术文档网站,若需要访问由世纪互联运营的MICROSOFT AZURE中国区技术文档网站,请访问 https://docs.azure.cn.

显示 Microsoft Sentinel 的警报中的自定义事件详细信息

备注

Azure Sentinel 现在称为 Microsoft Sentinel,我们将在几周内更新相关页面。 详细了解最近的 Microsoft 安全性增强

重要

简介

计划的查询分析规则会分析与 Microsoft Sentinel 连接的数据源中的事件,并在这些事件从安全角度来说很重要时生成警报 。 这些警报由 Microsoft Sentinel 的各种引擎进一步分析、分组和筛选,并提炼成值得 SOC 分析人员注意的事件。 不过,当分析人员查看事件时,只有组件警报本身的属性立即可见。 若要了解实际内容(事件中包含的信息),需要进行一些挖掘。

借助分析规则向导中的“自定义详细信息”功能,你可在从这些事件生成的警报中显示事件数据,使事件数据成为警报属性的一部分 。 实际上,你让你能够立即了解事件中的事件内容,从而可更快、更高效地进行会审、调查、得出结论和作出响应。

下面详细介绍的过程是分析规则创建向导的一部分。 我们在这里单独讲解,来处理在现有分析规则中添加或更改自定义详细信息的方案。

如何呈现自定义事件详细信息

  1. 从 Microsoft Sentinel 导航菜单中,选择“分析”。

  2. 选择计划的查询规则,再单击“编辑”。 或者单击屏幕顶部的“创建”>“计划的查询规则”,新建规则。

  3. 单击“设置规则逻辑”选项卡。

  4. 在“警报扩充(预览)”部分,展开“自定义详细信息”。

    查找并选择自定义详细信息

  5. 在现已展开的“自定义详细信息”部分中,添加与要显示的详细信息对应的键值对:

    1. 在“键”字段中,输入你选择的名称,该名称将显示为警报中的字段名称。

    2. 在“值”字段中,选择你希望在下拉列表中的警报内显示的事件参数。 此列表将被填入与作为规则查询主题的表中的字段对应的值。

      添加自定义详细信息

  6. 单击“新增”来显示更多详细信息,重复最后一个步骤来定义键值对。

    如果你改变了主意或当时操作错误,可单击自定义详细信息的“值”下拉列表旁边的垃圾桶图标来删除该详细信息。

  7. 定义自定义详细信息后,单击“查看并创建”选项卡。规则验证成功后,单击“保存”。

    备注

    服务限制

    • 一个分析规则中最多可定义 20 个自定义详细信息。

    • 所有自定义详细信息的大小限制统一为 2 KB。

后续步骤

本文档介绍了如何使用 Microsoft Sentinel 分析规则显示警报中的自定义详细信息。 若要详细了解 Microsoft Sentinel,请参阅以下文章: