Microsoft Sentinel: cloud-SIEM

Microsoft Sentinel er en cloudbaseret platform til Security Information and Event Management (SIEM) og Security Orchestration, Automation, and Response (SOAR). Den indsamler logge og signaler fra hele dit digitale miljø — Azure, lokale miljøer, andre clouds og SaaS-programmer — anvender AI og maskinlæring til at registrere trusler og hjælper sikkerhedsanalytikere med at undersøge og håndtere hændelser i stor skala.

Traditionelle værktøjer til loghåndtering indsamler og gemmer logge med henblik på overholdelse og søgning. Et SIEM går videre ved at sammenkæde hændelser på tværs af datakilder, anvende detektionsregler til at identificere angrebsmønstre og prioritere hændelser til manuel undersøgelse. Sentinel tilføjer SOAR-funktionalitet — automatisering af gentagne handlinger til håndtering (f.eks. blokering af en IP-adresse eller nulstilling af en adgangskode) via playbooks, så analytikere kan fokusere på komplekse undersøgelser.

Sentinel er bygget oven på et Log Analytics-arbejdsområde. Alle indsamlede data gemmes som tabeller i arbejdsområdet og kan forespørges med Kusto Query Language (KQL). Du aktiverer Sentinel i et Log Analytics-arbejdsområde, forbinder datakilder, og Sentinels analyse-, hunting- og automatiseringsfunktioner bliver tilgængelige for de data, der er gemt dér. Arbejdsområdet fungerer som det fælles datalag for både Sentinel og Azure Monitor.

Dataforbindelser streamer logge og alarmer fra kilder ind i Sentinel. Microsoft-baserede forbindelser (uden kode, med én kontakt) dækker logge over Entra ID-login, Azure Activity, Defender for Cloud-alarmer, Microsoft 365 og Defender XDR. Forbindelseshubs dækker tredjepartskilder som Cisco, Palo Alto, AWS CloudTrail, Okta, Salesforce og mange flere via Common Event Format (CEF) eller Syslog. Over 200 forbindelser er tilgængelige fra Content Hub.

Analyseregler er Sentinels registreringsmotor. Hver regel kører en KQL-forespørgsel efter en tidsplan (hver 5. minut til hver 24. time) og opretter en alarm, når forespørgslen returnerer resultater. Sentinel indeholder hundredvis af indbyggede skabeloner, der dækker velkendte angrebsmønstre. Du kan importere skabeloner fra Content Hub og tilpasse dem eller skrive dine egne regler til organisationstilpasset logik for registrering af trusler.

Når analyseregler udløses, grupperes deres alarmer i hændelser — en beholder til undersøgelse af et muligt sikkerhedsbrud. Undersøgelsesgrafen viser visuelt relationerne mellem hændelsens enheder: konti, IP-adresser, værter, URL'er og filer. Analytikere gennemgår grafen for at forstå angrebets omfang, gå videre til relaterede alarmer og afgøre, om hændelsen er en ægte positiv, der kræver en reaktion, eller en falsk positiv, der skal lukkes.

Trusselsjagt i Sentinel er en proaktiv søgning efter trusler, som endnu ikke har udløst alarmer. Sikkerhedsanalytikere skriver eller bruger forudbyggede forespørgsler til trusselsjagt (KQL) for at finde subtile tegn på kompromittering — langsomme angreb, lateral bevægelse og datalagring — som undgår automatiske registreringsregler. Interessante rækker, der findes under jagten, kan promoveres til bogmærker og knyttes til en hændelse med henblik på en formel undersøgelse.

Køreplaner i Sentinel er Azure Logic Apps-arbejdsprocesser, der automatiserer handlinger ved hændelser. Når en hændelse oprettes (eller en alarm udløses), kan en køreplan automatisk: sende en Teams-/mailnotifikation til den vagthavende analytiker, blokere en ondsindet IP-adresse i Azure Firewall, tilbagekalde refresh-tokens for en kompromitteret bruger i Entra ID, oprette en ServiceNow-sag eller isolere en VM fra netværket. Denne SOAR-funktion reducerer den gennemsnitlige reaktionstid (MTTR) markant.

Sentinel knytter hver analyseregel til MITRE ATT&CK framework, en globalt anerkendt taksonomi over angriberes taktikker og teknikker. Visningen af MITRE ATT&CK-dækning viser et heatmap over, hvilke taktikker og teknikker dine analyseregler dækker, og hvor der er huller. Det hjælper sikkerhedsteams med at prioritere skrivningen af nye registreringsregler, så dækningen af teknikker, der er relevante for deres trusselslandskab, forbedres.

Sentinel indeholder snesevis af indbyggede arbejdsbøger (parameteriserede dashboards baseret på Log Analytics) til visualisering af sikkerhedsdata. Skabelonerne dækker Azure Activity, Entra ID-loginmønstre, mailtrusler i Microsoft 365, firewalltrafik og meget mere. Ledere af sikkerhedsoperationscentre (SOC) bruger arbejdsbøger til briefinger ved vagtoverdragelser og trendanalyse, mens analytikere bruger dem til hurtigt at opdage afvigelser uden at skrive rå KQL.

Sentinel faktureres baseret på mængden af data, der indlæses i det underliggende Log Analytics-arbejdsområde. Der findes to prismodeller. Pay-As-You-Go opkræver betaling pr. indlæst GB og er velegnet til mindre eller uforudsigelige mængder. Kapacitetsreservationer indebærer en minimumsmængde data, der indlæses dagligt (100 GB, 200 GB osv.), til en betydelig rabat pr. GB. Microsoft Defender for Cloud-sikkerhedsalarmer indlæses gratis; nye Sentinel-aktiverede arbejdsområder er gratis de første 90 dage.

I denne lektion lærte du, at Sentinel er en cloudbaseret SIEM- og SOAR-løsning, der er bygget på Log Analytics-arbejdsområder ved hjælp af KQL, at analyseregler registrerer trusler ved at køre planlagte KQL-forespørgsler og generere hændelser, og at køreplaner automatiserer reaktionshandlinger ved hjælp af Logic Apps for at reducere MTTR. Nu ser vi nærmere på Azure DDoS Protection og Azure Firewall.