使用 Microsoft Sentinel 生成和监视零信任 (TIC 3.0) 安全体系结构

项目
06/09/2022

适用于零信任的 Microsoft Sentinel 解决方案 (TIC 3.0) 使治理和合规性团队能够设计、生成、监视和响应零信任 (TIC 3.0) 要求。此解决方案包括工作簿、分析规则和 playbook，该手册提供零信任原则的自动化可视化，并交叉访问信任 Internet 连接框架，帮助组织随时间推移监视配置。

本文介绍如何在 Microsoft Sentinel 工作区中安装和使用 零信任 (TIC 3.0) Microsoft Sentinel 解决方案。

虽然只需要 Microsoft Sentinel 才能开始使用，但解决方案通过与其他 Microsoft 服务的集成来增强，例如：

有关详细信息，请参阅零信任的指导原则。

注意

Microsoft Sentinel 解决方案是一组捆绑内容，针对特定数据集预先配置。有关详细信息，请参阅 Microsoft Sentinel 解决方案文档。

零信任解决方案和 TIC 3.0 框架

零信任和 TIC 3.0 不同，但它们共享许多共同主题，共同提供一个共同的故事。适用于零信任的 Microsoft Sentinel 解决方案 (TIC 3.0) 提供了 Microsoft Sentinel 与 TIC 3.0 框架的零信任模型之间的详细交叉。这些人行道可帮助用户更好地了解两者之间的重叠。

虽然零信任的 Microsoft Sentinel 解决方案 (TIC 3.0) 提供了最佳做法指南，但 Microsoft 不保证也不暗示合规性。所有受信任的 Internet 连接 (TIC) 要求、验证和控制都由网络安全 & 基础结构安全机构管理。

零信任 (TIC 3.0) 解决方案提供可见性和情况感知，了解在基于云的环境中使用 Microsoft 技术提供的控制要求。客户体验因用户而异，某些窗格可能需要其他配置和查询修改才能操作。

建议并不表示各自控制的范围，因为它们通常是处理要求的几个操作过程之一，这对每个客户来说都是独一无二的。建议应被视为规划相应控制要求的完整或部分覆盖的起点。

适用于零信任的 Microsoft Sentinel 解决方案 (TIC 3.0) 适用于以下任何用户和用例：

安全治理、风险和合规性专业人员，用于合规性状况评估和报告
工程师和架构师，他们需要设计零信任和 TIC 3.0 对齐的工作负载
安全分析师，用于警报和自动化生成
托管服务的托管安全服务提供商 (MSSP)
需要查看要求、分析报告、评估功能的安全经理

先决条件

在安装 零信任 (TIC 3.0) 解决方案之前，请确保满足以下先决条件：

载入 Microsoft 服务：确保已在 Azure 订阅中同时启用 Microsoft Sentinel 和 Microsoft Defender for Cloud 。
Microsoft Defender for Cloud 要求：在 Microsoft Defender for Cloud 中：
- 将所需的法规标准添加到仪表板。请务必将 Azure 安全基准 和 NIST SP 800-53 R5 评估 添加到 Microsoft Defender for Cloud 仪表板。有关详细信息，请参阅 Microsoft Defender for Cloud 文档中将法规标准添加到仪表板。
- 持续将 Microsoft Defender for Cloud 数据导出到 Log Analytics 工作区。有关详细信息，请参阅持续导出 Microsoft Defender for Cloud 数据。
所需的用户权限。若要安装 零信任 (TIC 3.0) 解决方案，必须有权访问具有安全读取者权限的 Microsoft Sentinel 工作区。

安装零信任 (TIC 3.0) 解决方案

若要从 Azure 门户部署 零信任 (TIC 3.0) 解决方案：

在 Microsoft Sentinel 中，选择 “内容中心 ”，找到 零信任 (TIC 3.0) 解决方案。
在右下角，选择“ 查看详细信息”，然后选择 “创建”。选择要安装解决方案的订阅、资源组和工作区，然后查看将要部署的相关安全内容。

完成后，选择“查看 + 创建”来安装解决方案。

有关详细信息，请参阅 “部署现装内容和解决方案”。

示例使用方案

以下部分介绍了安全运营分析师如何使用使用 零信任 (TIC 3.0) 解决方案部署的资源来查看要求、浏览查询、配置警报和实现自动化。

安装零信任 (TIC 3.0) 解决方案后，请使用部署到 Microsoft Sentinel 工作区的工作簿、分析规则和 playbook 来管理网络中零信任。

可视化零信任数据

导航到 Microsoft Sentinel 工作簿>零信任 (TIC 3.0) 工作簿，然后选择“ 查看保存的工作簿”。

在 “零信任 (TIC 3.0) 工作簿页中，选择要查看的 TIC 3.0 功能。对于此过程，请选择 “入侵检测”。

提示

使用页面顶部的 “指南 ”切换可显示或隐藏建议和指南窗格。请确保在 “订阅”、“ 工作区”和 “TimeRange ”选项中选择了正确的详细信息，以便可以查看要查找的特定数据。
查看显示的控件卡片。例如，向下滚动以查看 自适应访问控制 卡：

提示

使用左上角的 “参考线 ”切换来查看或隐藏建议和指南窗格。例如，当你首次访问工作簿时，这些可能很有用，但一旦了解相关概念，就没有必要。
浏览查询。例如，在自适应访问控制卡的右上角，选择“：更多”按钮，然后在“日志”视图中选择“打开最后一个运行查询”。

查询在 Microsoft Sentinel 日志页中打开：