Microsoft Sentinel: SIEM Awan

Microsoft Sentinel ialah platform Pengurusan Maklumat dan Peristiwa Keselamatan (SIEM) serta Orkestrasi, Automasi dan Tindak Balas Keselamatan (SOAR) asli awan. Ia menerima log dan isyarat daripada seluruh aset digital anda — Azure, persekitaran di premis, awan lain dan aplikasi SaaS — menggunakan AI serta pembelajaran mesin untuk mengesan ancaman, dan membantu penganalisis keselamatan menyiasat serta bertindak balas terhadap insiden secara berskala.

Alat pengurusan log tradisional mengumpul dan menyimpan log untuk pematuhan serta carian. SIEM melangkah lebih jauh dengan menghubungkan peristiwa merentas sumber data, menggunakan peraturan pengesanan untuk mengenal pasti corak serangan dan mengutamakan insiden untuk penyiasatan manusia. Sentinel menambah keupayaan SOAR — mengautomasikan tindakan tindak balas berulang (seperti menyekat IP atau menetapkan semula kata laluan) melalui buku main supaya penganalisis boleh menumpukan perhatian pada penyiasatan yang kompleks.

Sentinel dibina di atas ruang kerja Log Analytics. Semua data yang diterima disimpan sebagai jadual dalam ruang kerja dan boleh ditanya menggunakan Bahasa Pertanyaan Kusto (KQL). Anda mendayakan Sentinel pada ruang kerja Log Analytics, menyambungkan sumber data, kemudian ciri analitik, pemburuan dan automasi Sentinel tersedia pada data yang disimpan di situ. Ruang kerja tersebut berfungsi sebagai satah data tunggal untuk Sentinel dan Azure Monitor.

Penyambung data menstrim log dan amaran daripada sumber ke dalam Sentinel. Penyambung natif Microsoft (tanpa kod, satu togol) meliputi log daftar masuk Entra ID, Azure Activity, amaran Defender for Cloud, Microsoft 365 dan Defender XDR. Hab penyambung meliputi sumber pihak ketiga termasuk Cisco, Palo Alto, AWS CloudTrail, Okta, Salesforce dan banyak lagi melalui Common Event Format (CEF) atau Syslog. Lebih 200 penyambung tersedia daripada Content Hub.

Peraturan analitik ialah enjin pengesanan Sentinel. Setiap peraturan menjalankan pertanyaan KQL mengikut jadual (setiap 5 minit hingga setiap 24 jam) dan mencipta amaran apabila pertanyaan mengembalikan hasil. Sentinel menyediakan ratusan templat terbina dalam yang meliputi corak serangan yang diketahui umum. Anda boleh mengimport templat daripada Content Hub dan menyesuaikannya, atau menulis peraturan sendiri untuk logik pengesanan ancaman khusus organisasi.

Apabila peraturan analitik dicetuskan, amaran masing-masing dikumpulkan ke dalam insiden — bekas untuk penyiasatan kemungkinan pelanggaran keselamatan. Graf penyiasatan memetakan secara visual hubungan antara entiti dalam insiden: akaun, IP, hos, URL dan fail. Penganalisis menelusuri graf untuk memahami skop impak, beralih kepada amaran berkaitan dan menentukan sama ada insiden itu positif benar yang memerlukan tindak balas atau positif palsu yang perlu ditutup.

Hunting ancaman dalam Sentinel ialah carian proaktif untuk ancaman yang masih belum mencetuskan amaran. Penganalisis keselamatan menulis atau menggunakan pertanyaan hunting (KQL) yang telah disediakan untuk mencari petunjuk pencerobohan yang halus — serangan perlahan dan beransur-ansur, pergerakan sisi serta penyediaan data — yang terlepas daripada peraturan pengesanan automatik. Baris menarik yang ditemui semasa hunting boleh dinaik taraf menjadi penanda buku dan dikaitkan dengan insiden untuk penyiasatan rasmi.

Playbook dalam Sentinel ialah aliran kerja Azure Logic Apps yang mengautomatikkan tindakan tindak balas insiden. Apabila insiden dicipta (atau amaran dicetuskan), playbook boleh secara automatik: menghantar pemberitahuan Teams/e-mel kepada penganalisis bertugas, menyekat IP berniat jahat dalam Azure Firewall, membatalkan token segar semula pengguna yang terjejas dalam Entra ID, mencipta tiket ServiceNow atau mengasingkan VM daripada rangkaian. Keupayaan SOAR ini mengurangkan masa purata untuk bertindak balas (MTTR) dengan ketara.

Sentinel memetakan setiap peraturan analitik kepada rangka kerja MITRE ATT&CK, iaitu taksonomi taktik dan teknik penyerang yang diiktiraf di seluruh dunia. Paparan liputan MITRE ATT&CK menunjukkan peta haba tentang taktik dan teknik yang diliputi oleh peraturan analitik anda serta bahagian yang masih mempunyai jurang. Hal ini membantu pasukan keselamatan mengutamakan penulisan peraturan pengesanan baharu untuk meningkatkan liputan terhadap teknik yang berkaitan dengan landskap ancaman mereka.

Sentinel merangkumi berpuluh-puluh buku kerja (papan pemuka berparameter yang dibina berasaskan Log Analytics) untuk menggambarkan data keselamatan. Templat meliputi Azure Activity, corak daftar masuk Entra ID, ancaman e-mel Microsoft 365, trafik Firewall dan banyak lagi. Pengurus pusat operasi keselamatan (SOC) menggunakan buku kerja untuk taklimat serah tugas dan analisis arah aliran, manakala penganalisis menggunakannya untuk mengesan anomali dengan cepat tanpa menulis KQL mentah.

Sentinel dicaj berdasarkan jumlah data yang dimasukkan ke dalam ruang kerja Log Analytics asas. Terdapat dua model harga. Bayar Mengikut Penggunaan mengenakan caj bagi setiap GB yang dimasukkan dan sesuai untuk jumlah yang kecil atau tidak menentu. Tempahan Kapasiti menetapkan komitmen kepada jumlah kemasukan harian minimum (100 GB, 200 GB dan sebagainya) dengan diskaun besar bagi setiap GB. Amaran keselamatan Microsoft Defender for Cloud dimasukkan secara percuma; 90 hari pertama adalah percuma untuk ruang kerja baharu yang didayakan Sentinel.

Dalam pelajaran ini, anda telah mempelajari bahawa: Sentinel ialah SIEM dan SOAR natif awan yang dibina pada ruang kerja Log Analytics menggunakan KQL, peraturan analitik mengesan ancaman dengan menjalankan pertanyaan KQL berjadual dan menjana insiden, dan playbook mengautomatikkan tindakan tindak balas menggunakan Logic Apps untuk mengurangkan MTTR. Seterusnya, kita akan meneroka Azure DDoS Protection dan Azure Firewall.