Microsoft Sentinel: SIEM w chmurze

Microsoft Sentinel to natywna dla chmury platforma Security Information and Event Management (SIEM) oraz Security Orchestration, Automation, and Response (SOAR). Pobiera dzienniki i sygnały z całego środowiska cyfrowego — platformy Azure, serwerów lokalnych, innych chmur i aplikacji SaaS — wykorzystuje sztuczną inteligencję oraz uczenie maszynowe do wykrywania zagrożeń, a także pomaga analitykom zabezpieczeń badać incydenty i reagować na nie na dużą skalę.

Tradycyjne narzędzia do zarządzania dziennikami zbierają je i przechowują na potrzeby zgodności oraz wyszukiwania. SIEM idzie o krok dalej: koreluje zdarzenia z różnych źródeł danych, stosuje reguły wykrywania do identyfikowania wzorców ataków oraz ustala priorytety incydentów wymagających analizy przez człowieka. Sentinel dodaje funkcje SOAR, automatyzując powtarzalne działania związane z reagowaniem (takie jak blokowanie adresu IP lub resetowanie hasła) za pomocą elementów playbook, dzięki czemu analitycy mogą skupić się na złożonych dochodzeniach.

Sentinel jest zbudowany na bazie obszaru roboczego Log Analytics. Wszystkie pobrane dane są przechowywane w obszarze roboczym jako tabele, które można przeszukiwać za pomocą Kusto Query Language (KQL). Włącza się usługę Sentinel w obszarze roboczym Log Analytics, łączy źródła danych, a następnie udostępniane są funkcje analizy, wyszukiwania zagrożeń i automatyzacji Sentinel działające na przechowywanych tam danych. Obszar roboczy pełni funkcję pojedynczej płaszczyzny danych zarówno dla Sentinel, jak i Azure Monitor.

Łączniki danych przesyłają strumieniowo dzienniki i alerty ze źródeł do usługi Sentinel. Natywne łączniki Microsoftu (bez kodu, przełączane jednym przełącznikiem) obejmują dzienniki logowania Entra ID, Azure Activity, alerty usługi Defender for Cloud, Microsoft 365 i Defender XDR. Centra łączników obsługują źródła innych firm, w tym Cisco, Palo Alto, AWS CloudTrail, Okta i Salesforce, a także wiele innych źródeł za pośrednictwem Common Event Format (CEF) lub Syslog. W Content Hub dostępnych jest ponad 200 łączników.

Reguły analizy są mechanizmem wykrywania w usłudze Sentinel. Każda reguła uruchamia zgodnie z harmonogramem zapytanie KQL (od co 5 minut do co 24 godzin) i tworzy alert, gdy zapytanie zwróci wyniki. Sentinel udostępnia setki wbudowanych szablonów obejmujących dobrze znane schematy ataków. Można importować szablony z Content Hub i je dostosowywać albo pisać własne reguły na potrzeby logiki wykrywania zagrożeń specyficznej dla organizacji.

Gdy zostaną uruchomione reguły analizy, ich alerty są grupowane w incydenty — kontenery na potrzeby badania potencjalnego naruszenia bezpieczeństwa. Graf dochodzenia przedstawia wizualnie zależności między jednostkami incydentu: kontami, adresami IP, hostami, adresami URL i plikami. Analitycy poruszają się po grafie, aby zrozumieć zasięg ataku, przechodzić do powiązanych alertów i ustalić, czy incydent jest prawdziwie pozytywny i wymaga reakcji, czy fałszywie pozytywny i można go zamknąć.

Wyszukiwanie zagrożeń w usłudze Sentinel to proaktywne poszukiwanie zagrożeń, które nie wywołały jeszcze alertów. Analitycy bezpieczeństwa tworzą lub wykorzystują gotowe zapytania do wyszukiwania zagrożeń (KQL), aby wykrywać subtelne oznaki naruszenia bezpieczeństwa — ataki powolne i rozłożone w czasie, przemieszczanie się w sieci oraz przygotowywanie danych — które omijają automatyczne reguły wykrywania. Interesujące wiersze znalezione podczas wyszukiwania można przekształcić w zakładki i powiązać z incydentem na potrzeby formalnego dochodzenia.

Playbooki w usłudze Sentinel to przepływy pracy Azure Logic Apps automatyzujące działania związane z reagowaniem na incydenty. Gdy zostanie utworzony incydent (lub uruchomiony alert), playbook może automatycznie: wysłać analitykowi dyżurnemu powiadomienie w Teams lub pocztą e-mail, zablokować złośliwy adres IP w Azure Firewall, unieważnić tokeny odświeżania przejętego użytkownika w Entra ID, utworzyć zgłoszenie w ServiceNow lub odizolować maszynę wirtualną od sieci. Ta funkcja SOAR znacznie skraca średni czas reakcji (MTTR).

Sentinel mapuje każdą regułę analizy na platformę MITRE ATT&CK — uznaną na całym świecie taksonomię taktyk i technik stosowanych przez atakujących. Widok pokrycia MITRE ATT&CK pokazuje mapę cieplną taktyk i technik objętych regułami analizy oraz wskazuje braki. Pomaga to zespołom ds. bezpieczeństwa ustalać priorytety podczas tworzenia nowych reguł wykrywania, aby zwiększać pokrycie technik istotnych dla ich środowiska zagrożeń.

Sentinel zawiera dziesiątki wbudowanych skoroszytów (parametryzowanych pulpitów nawigacyjnych opartych na Log Analytics) do wizualizacji danych dotyczących bezpieczeństwa. Szablony obejmują usługę Azure Activity, wzorce logowania Entra ID, zagrożenia pocztowe Microsoft 365, ruch zapory i wiele innych danych. Menedżerowie centrów operacji bezpieczeństwa (SOC) używają skoroszytów podczas odpraw związanych z przekazaniem dyżuru i do analizy trendów, natomiast analitycy wykorzystują je do szybkiego wykrywania anomalii bez pisania surowych zapytań KQL.

Opłaty za Sentinel są naliczane na podstawie ilości danych pozyskiwanych do bazowego obszaru roboczego Log Analytics. Dostępne są dwa modele cenowe. Pay-As-You-Go oznacza opłatę za każdy pozyskany GB i sprawdza się przy mniejszych lub nieprzewidywalnych ilościach danych. Rezerwacje pojemności oznaczają zobowiązanie do minimalnej dziennej ilości pozyskiwanych danych (100 GB, 200 GB itd.) w zamian za znaczny rabat za GB. Alerty zabezpieczeń usługi Microsoft Defender for Cloud są pozyskiwane bezpłatnie; w nowych obszarach roboczych z włączoną usługą Sentinel pierwsze 90 dni jest bezpłatne.

Sprawdź swoją znajomość zagadnień Microsoft Azure Fundamentals (AZ-900) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: Sentinel to natywna dla chmury usługa SIEM i SOAR oparta na obszarach roboczych Log Analytics i wykorzystująca KQL, reguły analizy wykrywają zagrożenia, uruchamiając zaplanowane zapytania KQL i generując incydenty, a playbooki automatyzują działania związane z reakcją za pomocą Logic Apps, skracając MTTR. Następnie omówimy Azure DDoS Protection i Azure Firewall.