Nachverfolgen von Daten während der Suche mit Microsoft Sentinel

Die Suche nach Lesezeichen in Microsoft Sentinel hilft Ihnen, die Abfragen und Abfrageergebnisse beizubehalten, die Sie als relevant erasten. Sie können auch Ihre kontextbezogenen Beobachtungen aufzeichnen und auf Ihre Ergebnisse verweisen, indem Sie Notizen und Tags hinzufügen. Mit Lesezeichen versehene Daten sind für Sie und Ihre Teamkollegen sichtbar, um die Zusammenarbeit zu vereinfachen. Weitere Informationen finden Sie unter Lesezeichen.

In diesem Artikel wird erläutert, wie Sie Lesezeichen für die Suche in Microsoft Sentinel erstellen, anzeigen und verwalten und wie sie bei Untersuchungen verwendet werden.

Hinzufügen eines Lesezeichens (nur Azure-Portal)

Erstellen Sie ein Lesezeichen, um die Abfragen, Ergebnisse, Ihre Beobachtungen und Erkenntnisse zu speichern.

1. Wählen Sie unter Bedrohungsmanagement die Option Hunting aus.

2. Wählen Sie auf der Registerkarte Abfragen eine oder mehrere suchabfragen aus.

3. Wählen Sie in der oberen Befehlsleiste Ausgewählte Abfragen ausführen aus.

4. Wählen Sie Abfrageergebnisse anzeigen aus. Zum Beispiel:

   

   Wenn Sie "Abfrageergebnisse anzeigen" auswählen, werden die Abfrageergebnisse im Protokollbereich geöffnet.

5. Verwenden Sie in der Liste der Protokollabfrageergebnisse die Kontrollkästchen, um eine oder mehrere Zeilen auszuwählen, die die Informationen enthalten, die Sie für interessant finden.

6. Wählen Sie im Azure-Portal Lesezeichen hinzufügen aus:

   

7. Aktualisieren Sie auf der rechten Seite im Bereich Lesezeichen hinzufügen optional den Namen der Textmarke, fügen Sie Tags und Notizen hinzu, damit Sie identifizieren können, was an dem Element interessant war.

8. Lesezeichen können optional MITRE ATT&CK-Techniken oder Untertechniken zugeordnet werden. MITRE ATT&CK-Zuordnungen werden aus den zugeordneten Werten in Hunting-Abfragen übernommen, Sie können sie jedoch auch manuell erstellen. Wählen Sie im Dropdown-Menü im Abschnitt Tactics & Techniques des Bereichs Lesezeichen hinzufügen die der gewünschten Technik zugeordnete MITRE ATT&CK-Taktik aus. Das Menü wird erweitert, um alle MITRE ATT&CK-Techniken anzuzeigen, und Sie können in diesem Menü mehrere Techniken und Untertechniken auswählen.

   

9. Jetzt kann ein erweiterter Satz von Entitäten aus mit Lesezeichen versehenen Abfrageergebnissen zur weiteren Untersuchung extrahiert werden. Verwenden Sie im Abschnitt Entitätszuordnung die Dropdownliste, um Entitätstypen und Bezeichner auszuwählen. Ordnen Sie dann die Spalte in den Abfrageergebnissen zu, die den entsprechenden Bezeichner enthält. Zum Beispiel:

   

   Um das Lesezeichen im Ermittlungsdiagramm anzuzeigen, müssen Sie mindestens eine Entität zuordnen. Entitätszuordnungen zu den von Ihnen erstellten Konto-, Host-, IP- und URL-Entitätstypen werden unterstützt, wobei die Abwärtskompatibilität erhalten bleibt.

10. Wählen Sie Erstellen aus, um Ihre Änderungen zu übernehmen und das Lesezeichen hinzuzufügen. Alle mit Lesezeichen versehenen Daten werden für andere Analysten freigegeben und sind ein erster Schritt in Richtung einer gemeinsamen Untersuchungserfahrung.

Die Ergebnisse der Protokollabfrage unterstützen Lesezeichen, wenn der Logs-Bereich von Microsoft Sentinel aus geöffnet wird. Wenn Sie beispielsweise in der Navigationsleiste Allgemein>Protokolle auswählen, Ereignislinks im Untersuchungsdiagramm auswählen oder eine Warnungs-ID in den vollständigen Details eines Incidents auswählen. Sie können keine Lesezeichen erstellen, wenn der Bereich Protokolle an anderer Stelle geöffnet wird, wie etwa direkt über Azure Monitor.

Anzeigen und Aktualisieren von Lesezeichen

Suchen und Aktualisieren eines Lesezeichens auf der Registerkarte "Lesezeichen".

1. Wählen Sie für Microsoft Sentinel im Azure-Portal unter Bedrohungsverwaltungdie Option Hunting aus.
   Wählen Sie für Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Bedrohungsverwaltung>Suche aus.

2. Wählen Sie die Registerkarte Lesezeichen aus , um die Liste der Lesezeichen anzuzeigen.

3. Suchen oder filtern Sie, um ein bestimmtes oder mehrere Lesezeichen zu finden.

4. Wählen Sie einzelne Lesezeichen aus, um die Lesezeichendetails im rechten Bereich anzuzeigen.

5. Nehmen Sie ihre Änderungen nach Bedarf vor. Ihre Änderungen werden automatisch gespeichert.

Lesezeichen im Untersuchungsgraphen erkunden

Visualisieren Sie Ihre mit Lesezeichen versehenen Daten, indem Sie die Untersuchungsumgebung starten, in der Sie Ihre Ergebnisse mithilfe eines interaktiven Entitätsdiagrammdiagramms und Zeitleiste anzeigen, untersuchen und visuell kommunizieren können.

1. Wählen Sie auf der Registerkarte Lesezeichen das Lesezeichen oder die Lesezeichen aus, die Sie untersuchen möchten.

2. Wählen Sie Ermitteln aus, um das Lesezeichen im Ermittlungsdiagramm anzuzeigen.

Anweisungen zur Verwendung des Untersuchungsgraphen finden Sie unter Verwenden des Untersuchungsgraphen für eine eingehende Analyse.

Hinzufügen von Lesezeichen zu einem neuen oder vorhandenen Incident (nur Azure-Portal)

Fügen Sie einem Incident auf der Registerkarte Lesezeichen auf der Seite Hunting Lesezeichen hinzu.

1. Wählen Sie auf der Registerkarte Lesezeichen das oder die Lesezeichen aus, die Sie zu einem Incident hinzufügen möchten.

2. Wählen Sie in der Befehlsleiste Vorfallaktionen aus:

   

3. Wählen Sie entweder Neuen Incident erstellen oder Zu vorhandenem Incident hinzufügen aus. Gehen Sie dann wie folgt vor:

   • Für einen neuen Incident: Aktualisieren Sie optional die Details für den Incident, und wählen Sie dann Erstellen aus.
   • Zum Hinzufügen eines Lesezeichens zu einem vorhandenen Incident: Wählen Sie einen Incident aus, und wählen Sie dann Hinzufügen aus.

4. So zeigen Sie das Lesezeichen innerhalb des Incidents an

   1. Wechseln Sie zu Microsoft Sentinel>Bedrohungsverwaltung>Vorfälle.
   2. Wählen Sie den Incident mit Ihrem Lesezeichen aus, und zeigen Sie die vollständigen Details an.
   3. Wählen Sie auf der Seite "Incident" im linken Bereich die Option Lesezeichen aus.

Anzeigen von Mit Lesezeichen versehenen Daten in Protokollen

Zeigen Sie mit Lesezeichen markierte Abfragen, Ergebnisse oder deren Verlauf an.

1. Wählen Sie auf der Registerkarte Hunting>Bookmarks das Lesezeichen aus.

2. Wählen Sie im Detailbereich die folgenden Links aus:

   • Zeigen Sie die Quellabfrage an, um die Quellabfrage im Bereich Protokolle anzuzeigen.

   • Zeigen Sie Lesezeichenprotokolle an, um alle Lesezeichenmetadaten anzuzeigen, einschließlich der Person, die die Aktualisierung vorgenommen hat, die aktualisierten Werte und den Zeitpunkt der Aktualisierung.

3. Wählen Sie auf der Befehlsleiste auf der Registerkarte Hunting>Bookmarksdie Option Lesezeichenprotokolle aus, um die Unformatierten Lesezeichendaten für alle Lesezeichen anzuzeigen.

   

In der Ansicht "Lesezeichenprotokolle " werden alle Ihre Lesezeichen mit den zugehörigen Metadaten angezeigt. Sie können Abfragen in Kusto Query Language (KQL) verwenden, um die neueste Version des gesuchten Lesezeichens herauszufiltern.

Zwischen dem Erstellen eines Lesezeichens und der Anzeige auf der Registerkarte Lesezeichen kann es zu einer erheblichen Verzögerung (gemessen in Minuten) kommen.

Löschen eines Lesezeichens

Durch das Löschen der Textmarke wird die Textmarke aus der Liste auf der Registerkarte "Lesezeichen" entfernt. Die HuntingBookmark-Tabelle für Ihren Log Analytics Arbeitsbereich enthält weiterhin vorherige Textmarkeneinträge, aber der neueste Eintrag ändert den SoftDelete-Wert auf "true", wodurch die Textmarke als gelöscht markiert wird, sodass Sie alte Lesezeichen herausfiltern können. Durch das Löschen eines Lesezeichens werden keine Entitäten aus der Untersuchungsumgebung entfernt, die anderen Lesezeichen oder Warnungen zugeordnet sind.

Führen Sie die folgenden Schritte aus, um ein Lesezeichen zu löschen.

1. Wählen Sie auf der Registerkarte Hunting>Lesezeichen das oder die Lesezeichen aus, die Sie löschen möchten.

2. Klicken Sie mit der rechten Maustaste, und wählen Sie die Option zum Löschen der ausgewählten Lesezeichen aus.

Verwandte Inhalte

• Bedrohungssuche mit Microsoft Sentinel
• Verwenden von Notebooks zum Ausführen von automatisierten Huntingkampagnen
• Bedrohungssuche mit Microsoft Sentinel (Trainingsmodul)