Erste Schritte mit Jupyter Notebooks und MSTICPy in Microsoft Sentinel

In diesem Artikel wird beschrieben, wie Sie das Notebook „Erste Schritte mit Microsoft Sentinel ML-Notebooks“ ausführen, das grundlegende Konfigurationen zum Ausführen von Jupyter-Notebooks in Microsoft Sentinel einrichtet und Beispiele dafür bereitstellt, wie einfache Abfragen ausgeführt werden. Bevor Sie beginnen, stellen Sie sicher, dass Sie die Voraussetzungen erfüllen, einschließlich Berechtigungen, der Python-Einrichtung und Konten bei externen Datenanbietern.

Das Erste Schritte-Handbuch für Microsoft Sentinel ML-Notebooks verwendet MSTICPy, eine leistungsstarke Python-Bibliothek, die sicherheitsrelevante Untersuchungen und bedrohungssuche in Microsoft Sentinel Notebooks verbessert. MSTICPy bietet integrierte Tools für Datenanreicherung, Visualisierung, Anomalieerkennung und automatisierte Abfragen und hilft Analysten dabei, ihren Workflow ohne umfangreiche benutzerdefinierte Codierung zu optimieren.

Weitere Informationen finden Sie unter Verwenden von Notebooks zum Durchführen von Untersuchungen und Verwenden von Jupyter Notebooks zur Suche nach Sicherheitsbedrohungen.

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass Sie über die erforderlichen Berechtigungen und Ressourcen verfügen.

Installieren und Ausführen des notebooks "Erste Schritte Guide"

In den folgenden Schritten wird beschrieben, wie Sie das Notizbuch "Erste Schritte" mit Microsoft Sentinel starten.

1. Wählen Sie für Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Threat Management>Notebooks aus. Wählen Sie für Microsoft Sentinel im Azure-Portal unter Bedrohungsverwaltungdie Option Notebooks aus.

2. Wählen Sie auf der Registerkarte VorlagenEin Leitfaden für den Einstieg in Microsoft Sentinel ML-Notebooks aus.

3. Wählen Sie Aus Vorlage erstellen aus.

4. Bearbeiten Sie den Namen, und wählen Sie den Azure Machine Learning-Arbeitsbereich entsprechend aus.

5. Wählen Sie "Speichern" aus, um das Notizbuch in Ihrem Azure Machine Learning Arbeitsbereich zu speichern.

6. Wählen Sie Notebook starten aus, um das Notebook auszuführen. Das Notebook enthält eine Reihe von Zellen:

   • Markdownzellen enthalten Text und Grafiken mit Anweisungen zur Verwendung des Notebooks
   • Codezellen enthalten ausführbaren Code, der die Notebookfunktionen ausführt

7. Wählen Sie oben auf der Seite Compute aus.

8. Fahren Sie fort, indem Sie die Markdown-Zellen lesen und die Code-Zellen der Reihe nach gemäß den Anweisungen im Notebook ausführen. Das Überspringen von Zellen oder das Ausführen in der falschen Reihenfolge kann später im Notebook zu Fehlern führen.

   Abhängig von der ausgeführten Funktion kann der Code in der Zelle schnell ausgeführt werden, oder es kann einige Zeit dauern, bis der Code abgeschlossen ist. Wenn die Zelle ausgeführt wird, wird die Play-Schaltfläche durch einen Ladespinner ersetzt, und der Status wird zusammen mit der verstrichenen Zeit am unteren Rand der Zelle angezeigt.

   Wenn Sie eine Codezelle zum ersten Mal ausführen, kann es je nach Ihren Computeeinstellungen einige Minuten dauern, bis die Sitzung gestartet wird. Die Anzeige Bereit wird angezeigt, wenn das Notebook bereit ist, Codezellen auszuführen. Zum Beispiel:

   

Das Notebook Erste Schritte-Handbuch für Microsoft Sentinel ML-Notebooks enthält Abschnitte zu den folgenden Aktivitäten:

Der Code im Getting Started Guide For Microsoft Sentinel ML Notebooks startet das Tool MpConfigEdit, das eine Reihe von Registerkarten zur Konfiguration Ihrer Notebookumgebung enthält. Wenn Sie Änderungen am MpConfigEdit-Tool vornehmen, müssen Sie ihre Änderungen speichern, bevor Sie mit der nächsten Registerkarte fortfahren. Die Einstellungen für das Notizbuch werden in der Datei "msticpyconfig.yaml " gespeichert, die automatisch mit den anfänglichen Details für Ihren Arbeitsbereich ausgefüllt wird.

Lesen Sie die Markdownzellen sorgfältig durch, damit Sie den Notizbuchkonfigurationsprozess vollständig verstehen, einschließlich der einzelnen Einstellungen und der Datei "msticpyconfig.yaml ". Die nächsten Schritte, zusätzliche Ressourcen und häufig gestellte Fragen aus dem Azure Sentinel Notebooks-Wiki sind am Ende des Notizbuchs verknüpft.

Anpassen Ihrer Abfragen (optional)

Das Handbuch „Erste Schritte mit Microsoft Sentinel ML-Notebooks“ enthält Beispielabfragen, die Sie beim Kennenlernen von Notebooks verwenden können. Passen Sie die integrierten Abfragen an, indem Sie weitere Abfragelogik hinzufügen oder vollständige Abfragen mit der exec_query -Funktion ausführen. Beispielsweise unterstützen die meisten integrierten Abfragen den add_query_items -Parameter, den Sie zum Anfügen von Filtern oder anderen Vorgängen an die Abfragen verwenden können.

1. Führen Sie die folgende Codezelle aus, um einen Datenrahmen hinzuzufügen, der die Anzahl der Warnungen anhand des Warnungsnamens zusammenfasst:

   from datetime import datetime, timedelta
   
   qry_prov.SecurityAlert.list_alerts(
      start=datetime.utcnow() - timedelta(28),
       end=datetime.utcnow(),
       add_query_items="| summarize NumAlerts=count() by AlertName"
   )
   

2. Übergeben Sie dem Abfrageanbieter eine vollständige Abfragezeichenfolge in der Kusto Query Language (KQL). Die Abfrage wird für den verbundenen Arbeitsbereich ausgeführt, und die Daten werden als Panda DataFrame zurückgegeben. Ausführen:

   # Define your query
   test_query = """
   OfficeActivity
   | where TimeGenerated > ago(1d)
   | take 10
   """
   
   # Pass the query to your QueryProvider
   office_events_df = qry_prov.exec_query(test_query)
   display(office_events_df.head())
   
   

Weitere Informationen finden Sie unter:

• Die MSTICPy-Abfragereferenz
• Ausführen vordefinierter MSTICPy-Abfragen

Anleitung auf andere Notebooks anwenden

Die Schritte in diesem Artikel beschreiben, wie Sie das Notebook Erste Schritte für Microsoft Sentinel ML Notebooks in Ihrem Azure Machine Learning-Arbeitsbereich über Microsoft Sentinel ausführen. Sie können diesen Artikel auch als Anleitung zum Starten und Konfigurieren von Notizbüchern in anderen Umgebungen verwenden, einschließlich lokal.

Mehrere Microsoft Sentinel-Notizbücher verwenden MSTICPy nicht (die Python-Bibliothek für Sicherheitsuntersuchungen in Microsoft Sentinel-Notizbüchern), wie etwa die Credential Scanner-Notizbücher oder die PowerShell- und C#-Beispiele. Notebooks, die MSTICPy nicht verwenden, benötigen nicht die in „Installieren und Ausführen des Notebooks „Erste Schritte““ beschriebene MSTICPy-Konfiguration.

Probieren Sie andere Microsoft Sentinel Notebooks aus, z. B.:

• Konfigurieren Ihrer Notebook-Umgebung
• Eine Tour durch cybersec Notebook-Features
• Beispiele für maschinelles Lernen in Notebooks
• Die Entity Explorer-Serie, einschließlich Variationen für Konten, Domänen und URLs, IP-Adressen und Linux- oder Windows-Hosts.

Weitere Informationen finden Sie unter:

• Jupyter Notebooks mit Microsoft Sentinel Hunting-Funktionen
• Erweiterte Konfigurationen für Jupyter Notebooks und MSTICPy in Microsoft Sentinel
• Erstellen Ihres ersten Microsoft Sentinel Notebooks (Blogreihe)
• Einführung in das Linux Host Explorer Notebook (Blog)

Verwandte Inhalte

Weitere Informationen finden Sie unter:

• MSTICPy-Dokumentation
• Jupyter Notebooks: Eine Einführung
• Das Infosec Jupyterbook
• Gründe für die Verwendung von Jupyter für Sicherheitsuntersuchungen
• Sicherheitsuntersuchungen mit Microsoft Sentinel & Notebooks