Øvelse – Visualiser data ved hjælp af Microsoft Sentinel-projektmapper

  • 8 minutter

Som sikkerhedstekniker, der arbejder for Contoso, bemærker du mistænkelige aktiviteter i dit Azure-abonnement, og du beslutter at analysere denne aktivitet ved hjælp af Microsoft Sentinel-projektmapper.

Øvelse: Forespørg om og visualiser data med Microsoft Sentinel-projektmapper

Du vil analysere loggene i Microsoft Sentinel fra Azure Activity-connectoren. Du vil implementere visualiseringen af disse data yderligere og gemme dem i en brugerdefineret projektmappe.

I denne øvelse skal du udforske logge og Microsoft Sentinel-projektmapper. Du udfører følgende opgaver:

  • Interager med loggedata på siden Microsoft Sentinel Logs .
  • Opret og rediger en brugerdefineret projektmappe for at visualisere vigtige data.

Seddel

Du skal have fuldført enheden Forespørgsel og visualiser data med Microsoft Sentinel-projektmapper, før du kan fuldføre denne øvelse. Hvis du ikke har gjort det, skal du fuldføre det nu og derefter fortsætte med øvelsestrinnene.

Opgave 1: Arbejd med logge i Microsoft Sentinel

  1. Søg efter og vælg Microsoft Sentinel på Azure Portal, og vælg derefter det tidligere oprettede Microsoft Sentinel-arbejdsområde.

  2. Vælg Logge i afsnittet Generelt på siden Microsoft Sentinel.

    Seddel

    Når du åbner siden Logge for første gang, omdirigeres du muligvis til vinduet Forespørgsler . Luk vinduet Forespørgsler , og vend tilbage til sektionen Ny forespørgsel 1 .

  3. På Microsoft Sentinel | Siden Logfører i ruden Tabeller i rullemenuen Gruppér efter: Løsning skal du vælge Kategori.

  4. På listen over tabeller i ruden Tabeller skal du udvide kategorien Azure-ressourcer , flytte markøren over tabellen Azure Activity eller bruge tabulatortasten til at navigere til tabellen og derefter vælge Eksempeldata.

  5. I vinduet AzureActivity skal du vælge Se i forespørgselseditor. Denne indstilling giver dig mulighed for at få forhåndsvist dataene og kontrollere, om resultaterne er som forventet, før du rent faktisk kører en forespørgsel med dem.

    Skærmbillede af ruden Tabeller.

    I afsnittet Forespørgsel kan du se forespørgselsstrukturen. Denne forespørgsel søger i og præsenterer de sidste 10 hændelser fra Azure Activity-loggen. Den første række i forespørgslen angiver den tabel, AzureActivity der bruges i forespørgslen. Den anden linje indeholder en where sætning, der filtrerer posterne fra den sidste dag. Den tredje linje indeholder en anden sætning, der kun filtrerer de sidste 10 hændelser.

    I afsnittet med forespørgselsresultater vises resultaterne af forespørgslen. Du kan udvide en af posterne for at gennemse værdierne i tabellen. Vælg navnet på en kolonne for at sortere resultaterne efter den pågældende kolonne.

  6. Vælg filterikonet ud for det for at angive en filterbetingelse. Denne fremgangsmåde svarer til at føje en filterbetingelse til selve forespørgslen, bortset fra at dette filter ryddes, hvis du kører forespørgslen igen. Hvis du vælger rullemenuen Kolonner , kan du filtrere kolonnerne fra den tabel, du vil have vist. Når du vælger Gruppér kolonner, kan du gruppere poster efter en bestemt kolonne.

    Skærmbillede af forespørgselsresultaterne, hvor de forrige elementer er fremhævet.

  7. Vælg fanen Forespørgsler i venstre rude. Denne rude indeholder eksempelforespørgsler, som du kan føje til forespørgselsvinduet. Hvis du bruger dit eget arbejdsområde, skal du have forskellige forespørgsler i flere kategorier. Hvis du bruger demonstrationsmiljøet, kan du muligvis kun se en enkelt kategori for Log Analytics-arbejdsområder .

    Seddel

    Du kan prøve at skrive forespørgsler i følgende demonstrationsmiljø.

Opgave 2: Arbejd med projektmapper i Microsoft Sentinel

  1. Vælg Projektmapper i sektionen Threat Management på siden Microsoft Sentinel.

  2. På Microsoft Sentinel | På siden Projektmapper skal du vælge fanen Skabeloner .

  3. I feltet Søg skal du angive og vælge Azure Activity.

  4. Gennemse de oplysninger, der er angivet for skabelonen, i detaljeruden, og vælg derefter Gem. I vinduet Gem projektmappe på... skal du vælge den samme placering, som du valgte i forberedelsesøvelsen, og derefter vælge OK.

  5. På Microsoft Sentinel | På siden Projektmapper skal du vælge fanen Mine projektmapper . Vælg Azure Activity på listen over gemte skabeloner. Vælg derefter Vis gemt projektmappe i detaljeruden.

  6. Gennemse alle elementerne i projektmappen på siden Azure Activity-sentinelname. Du kan interagere med projektmappen ved at vælge nogle af elementerne.

  7. Vælg feltet Tidsinterval for at vælge et andet tidsinterval for de poster, der vises i tabellen Azure Activity . Vælg rullemenuen Kalder for at filtrere posterne baseret på den bruger eller tjeneste, der genererer hændelserne. Vælg rullemenuen Ressourcegruppe for at filtrere hændelserne baseret på en bestemt ressourcegruppe.

    Skærmbillede af siden Azure Activity, hvor de forrige elementer er fremhævet.

  8. Rul ned til tabellen Opkaldsaktiviteter , som viser de aktiviteter, der køres af dine brugere eller sikkerhedsprincipaler. Sortér tabeldataene i hver kolonne ved at vælge pilene i kolonneoverskriften.

  9. Rul op til overskriftslinjen på siden Azure Activity-sentinelname. Vælg indstillingen Rediger for at skifte projektmappen til redigeringstilstand. Se de forskellige redigeringsindstillinger , der vises på siden.

  10. Vælg den første indstilling Rediger . Denne handling viser redigeringsruden for et af trinnene i projektmappen. Du kan tilpasse præsentationen af elementerne ved at justere typografien og ændre rækkefølgen af dem i en anden rækkefølge.

  11. Du kan tilføje andre parametre med forskellige typer, f.eks. tekst, rullemenu, flere værdier eller lignende.

  12. Vælg Tilføj parametre.

  13. Angiv følgende værdier på siden Ny parameter :

    Navn Beskrivelse
    Parameternavn Niveau
    Vist navn Niveau
    parametertype Vælg Drop down i rullemenuen.
    Kræves? Markér dette afkrydsningsfelt.
    Tillad flere markeringer Markér dette afkrydsningsfelt.
    Begræns flere markeringer Markér ikke dette afkrydsningsfelt.
    Afgrænser Bevar standardværdierne.
    Tilbud med Bevar standardværdierne.
    Forklaring Denne parameter filtrerer hændelserne baseret på niveauet.
    Skjul parameter i læsetilstand Markér ikke dette afkrydsningsfelt.
    Hent data fra Forespørgsel

  14. I afsnittet Log Analytics-arbejdsområde Logfører forespørgsel skal du angive følgende forespørgsel og derefter vælge Kør forespørgsel.

    AzureActivity
|summarize by Level

  15. Bekræft, at forespørgselsresultatet returnerer to typer hændelser baseret på niveauet: Informational og Warning.

    Skærmbillede af ruden Ny parameter med trin til tilføjelse af en ny parameter. Indstillingerne Gem, Forespørgsel, Kør forespørgsel og AzureActivity er fremhævet på skærmbilledet.

  16. Vælg Gem for at bekræfte ændringerne, og bemærk, at parametertrinnet nu indeholder en parameter med navnet Niveau.

    Drikkepenge

    I redigeringstilstand kan du vælge ellipseikonet ud for indstillingen Rediger for at få vist en ny rullemenu. I denne menu kan du flytte dette trin til forskellige dele af projektmappen. Du kan også klone eller fjerne trinnet fra projektmappen.

  17. Vælg ikonet Gem som på overskriftslinjen for at gemme den brugerdefinerede projektmappe.

  18. I feltet Titel skal du angive et navn til den nye projektmappe og derefter vælge Gem.

  19. Når du er færdig med at foretage ændringer, skal du vælge Udført redigering.

    Drikkepenge

    Din nye projektmappe er tilgængelig fra Microsoft Sentinel | Ruden Projektmapper under fanen Mine projektmapper . Hvis din nye projektmappe ikke er angivet, skal du vælge indstillingen Opdater .

Ryd op i ressourcerne

  1. Søg efter ressourcegrupperpå Azure Portal.
  2. Vælg azure-sentinel-rg.
  3. Vælg Slet ressourcegruppe på overskriftslinjen.
  4. I feltet SKRIV RESSOURCEGRUPPENAVNET: skal du angive navnet på ressourcegruppen azure-sentinel-rg og vælge Slet.