Beobachtungslisten in Microsoft Sentinel

Watchlists in Microsoft Sentinel helfen Sicherheitsanalysten, Ereignisdaten effizient zu korrelieren und anzureichern. Sie bieten Ihnen eine flexible Möglichkeit zum Verwalten von Referenzdaten, z. B. Listen mit hochwertigen Ressourcen oder gekündigten Mitarbeitern. Integrieren Sie Watchlists in Ihre Erkennungsregeln, Bedrohungssuche und Reaktionsworkflows, um die Ermüdung von Warnungen zu reduzieren und schneller auf Bedrohungen zu reagieren. In diesem Artikel wird erläutert, wie Watchlists in Microsoft Sentinel verwendet werden, und es werden wichtige Szenarien und Einschränkungen beschrieben und Anleitungen zum Erstellen und Abfragen von Watchlists bereitgestellt, um Ihre Sicherheitsvorgänge zu verbessern.

Verwenden Sie Watchlists in Ihren Suchabfragen, Erkennungsregeln, der Bedrohungssuche und Reaktionsplaybooks. Watchlists werden in Ihrem Microsoft Sentinel Arbeitsbereich in der Watchlist Tabelle als Name-Wert-Paare gespeichert und für eine optimale Abfrageleistung zwischengespeichert.

Wann Watchlists verwendet werden sollten

Verwenden Sie Watchlists in diesen Szenarien:

• Untersuchen Sie Bedrohungen , indem Sie IP-Adressen, Dateihashes und andere Daten aus CSV-Dateien (Durch Trennzeichen getrennte Werte) importieren, und verwenden Sie dann Watchlist-Name-Wert-Paare für Verknüpfungen und Filter in Warnungsregeln, Bedrohungssuche, Arbeitsmappen, Notizbüchern und Abfragen.

• Importieren Sie Geschäftsdaten als Watchlist. Importieren Sie beispielsweise Benutzerlisten mit privilegiertem Systemzugriff oder Listen von gekündigten Mitarbeitern. Verwenden Sie dann die Watchlist, um Zulassungs- und Sperrlisten zu erstellen, um zu erkennen oder zu verhindern, dass sich diese Benutzer beim Netzwerk anmelden.

• Reduzieren Sie die Alarmmüdigkeit. Erstellen Sie Zulassungslisten, um Warnungen von einer Gruppe von Benutzern zu unterdrücken, z. B. Benutzer von autorisierten IP-Adressen, die Aufgaben ausführen, die normalerweise die Warnung auslösen würden. Verhindern, dass gutartige Ereignisse zu Warnungen werden.

• Anreichern von Ereignisdaten mit Namenswertkombinationen aus externen Datenquellen.

Einschränkungen der Watchlist

Überprüfen Sie die folgenden Einschränkungen, bevor Sie Watchlists erstellen:

Microsoft Sentinel Methoden zum Erstellen von Watchlists

Verwenden Sie eine der folgenden Methoden, um Watchlists in Microsoft Sentinel zu erstellen:

• Laden Sie eine Datei aus einem lokalen Ordner oder aus Ihrem Azure Storage Konto hoch.
• Laden Sie eine Watchlist-Vorlage aus Microsoft Sentinel herunter, fügen Sie Ihre Daten hinzu, und laden Sie die Datei hoch.

Um eine Watchlist aus einer großen Datei (bis zu 500 MB) zu erstellen, laden Sie die Datei in Ihr Azure Storage-Konto hoch. Erstellen Sie eine SAS-URL (Shared Access Signature), damit Microsoft Sentinel die Watchlistdaten abrufen können. Eine SAS-URL enthält sowohl den Ressourcen-URI als auch das SAS-Token für eine Ressource, z. B. eine CSV-Datei in Ihrem Speicherkonto. Fügen Sie die Watchlist ihrem Arbeitsbereich in Microsoft Sentinel hinzu.

Weitere Informationen finden Sie unter:

• Erstellen von Watchlists in Microsoft Sentinel
• Integrierte Watchlist-Schemata
• Azure Storage-SAS-Token

Watchlists für Abfragen zu Suchvorgängen und Erkennungsregeln

Um Ihre Watchlistdaten mit anderen Microsoft Sentinel Daten zu korrelieren, verwenden Sie tabellarische Kusto-Operatoren wie join und lookup mit der Watchlist Tabelle. Microsoft Sentinel bietet die folgenden integrierten Funktionen, mit denen Sie Watchlists abfragen können:

• _GetWatchlistAlias – gibt die Aliase aller Ihrer Watchlists zurück.
• _GetWatchlist – ruft die Name-Wert-Paare der angegebenen Watchlist ab.

Wenn Sie eine Watchlist erstellen, definieren Sie den SearchKey. Der Suchschlüssel ist der Name einer Spalte in Ihrer Watchlist, die Sie als Verknüpfung mit anderen Daten oder als häufiges Suchobjekt verwenden möchten. Angenommen, Sie verfügen über eine Server-Watchlist, die Länder-/Regionsnamen und die entsprechenden zweistelligen Ländercodes enthält. Sie gehen davon aus, dass Sie die Ländercodes häufig für Suchvorgänge oder Joins verwenden. Daher verwenden Sie die Ländercodespalte als Suchschlüssel.

Heartbeat
| lookup kind=leftouter _GetWatchlist('mywatchlist') 
  on $left.RemoteIPCountry == $right.SearchKey

Sehen wir uns einige andere Beispielabfragen an.

Angenommen, Sie möchten eine Watchlist in einer Analyseregel verwenden. Sie erstellen eine Watchlist namens ipwatchlist mit Spalten für IPAddress und Location. Sie legen IPAddress als den SearchKey fest.

Um nur Ereignisse von IP-Adressen in die Watchlist einzuschließen, können Sie eine Abfrage verwenden, bei der watchlist als Variable oder Inline verwendet wird.

In dieser Beispielabfrage wird die Watchlist als Variable verwendet:

  //Watchlist as a variable
  let watchlist = (_GetWatchlist('ipwatchlist') | project IPAddress);
  Heartbeat
  | where ComputerIP in (watchlist)

Diese Beispielabfrage verwendet die Watchlist direkt in der Abfrage sowie den für die Watchlist definierten Suchschlüssel.

  //Watchlist inline with the query
  //Use SearchKey for the best performance
  Heartbeat
  | where ComputerIP in ( 
      (_GetWatchlist('ipwatchlist')
      | project SearchKey)
  )

Weitere Informationen zum Erstellen von Abfragen und Erkennungsregeln mit Watchlists finden Sie unter Erstellen von Abfragen und Erkennungsregeln mit Watchlists in Microsoft Sentinel. Informationen zu Kusto-Operatoren und -Anweisungen finden Sie in den folgenden Artikeln:

• where-Operator
• Projektoperator
• Suchoperator
• in-Operator
• let-Anweisung

Weitere Informationen zu KQL finden Sie unter übersicht über Kusto-Abfragesprache (KQL).

Weitere Ressourcen:

• KQL-Kurzübersicht
• Kusto-Abfragesprache Lernressourcen

Problembehandlung bei Überwachungslisten während Vorfällen und bei Abfrageproblemen

Behandeln von Problemen mit der Portal- oder API-Verfügbarkeit

Wenn die Seite „Watchlists“ leer ist, sich wiederholt neu lädt oder bei Watchlist-Vorgängen 502 Bad Gateway- oder andere 5XX-Antworten zurückgegeben werden, prüfen Sie zunächst, ob das Problem wahrscheinlich dienstseitig ist, bevor Sie die Watchlist-Konfiguration ändern.

Verwenden Sie die folgenden Prüfungen:

• Vergewissern Sie sich, ob sich das Problem auf alle Watchlists oder mehrere Watchlists auswirkt.

• Vergewissern Sie sich, ob sich das Problem auf mehrere Benutzer auswirkt.

• Überprüfen Sie, ob sich das Problem sowohl auf das Azure-Portal als auch auf Automatisierungs- oder API-basierte Vorgänge auswirkt.

• Überprüfen Sie, ob Watchlist-Daten weiterhin aus Protokollen abfragbar sind:

  _GetWatchlistAlias
  

  Wenn Sie den Alias der Watchlist kennen, testen Sie auch:

  _GetWatchlist('watchlist-alias')
  | take 10
  

• Überprüfen Sie Azure Service Health und aktive Incident-Mitteilungen auf Auswirkungen im Zusammenhang mit Microsoft Sentinel.

• Vermeiden Sie wiederholte Lösch- und Neuversuche, während der Vorfall aktiv ist. Ein Portal- oder API-Fehler weist nicht unbedingt auf Watchlist-Datenverlust hin.

• Behandeln Sie leere Portal- oder Watchlist-CRUD-Vorgänge, die benutzer- oder arbeitsbereichsübergreifend 502 oder andere 5XX-Fehler zurückgeben, als möglichen Servicevorfall, bis Sie umfassendere Auswirkungen auf die Plattform ausgeschlossen haben.

• Wenn ein Logic Apps-Workflow, der Watchlist-Vorgänge aufruft, plötzlich 502 Bad Gateway oder ähnliche vorübergehende Fehler zurückgibt, überprüfen Sie den Dienststatus von Microsoft Sentinel, bevor Sie davon ausgehen, dass das Problem durch Berechtigungen des Connectors oder die Workflowkonfiguration verursacht wird. Automatisierungsfehler können während eines Überwachungslistendienstvorfalls als generische Zugriffs- oder Gatewayfehler angezeigt werden, auch wenn die Workflowidentität und -konfiguration unverändert sind.

Bei einem Dienstvorfall besteht die sicherste erste Überprüfung darin, zu bestätigen, ob Watchlists weiterhin abfragbar sind. Wenn der Abfragezugriff ebenfalls fehlschlägt, erfassen Sie den Zeitstempel, den Vorgang und den HTTP-Statuscode, bevor Sie eine Supportanfrage öffnen.

Aufbewahrungs- und Aktualisierungsverhalten verstehen

Der 28-Tage-Aufbewahrungswert bedeutet nicht, dass eine Watchlist nach 28 Tagen nicht mehr verwendet werden kann.

Watchlists bleiben verfügbar, bis Sie sie löschen. Der Aufbewahrungswert gilt für Datensätze in der zugrunde liegenden Log Analytics Watchlist-Tabelle, während der Watchlist-Dienst Überwachungslistendaten in einem wiederkehrenden Intervall aktualisiert. Da die Watchlist regelmäßig aktualisiert wird, bleibt sie im Laufe der Zeit abfragbar, es sei denn, Sie löschen sie oder ein anderes Problem wirkt sich auf die Verfügbarkeit aus.

Diese Unterscheidung ist wichtig, wenn Sie langfristige Analysen planen oder überprüfen, ob eine Watchlist weiterhin in Abfrageergebnissen angezeigt werden soll.

Beheben von Problemen mit Watchlists, die nach dem Erstellen keine Zeilen anzeigen

Wenn eine Watchlist erfolgreich erstellt wird, aber das Portal keine _GetWatchlist() Zeilen zurückgibt, überprüfen Sie einschränkungen für die Erfassung von Arbeitsbereichen im Rahmen der Problembehandlung.

• Vergewissern Sie sich, dass die Überwachungsliste im erwarteten Arbeitsbereich erstellt wurde.

• Watchlist nach Alias abfragen:

  _GetWatchlist('watchlist-alias')
  | take 10
  

• Überprüfen Sie die konfiguration des Log Analytics Arbeitsbereichs auf Aufnahmegrenzwerte, einschließlich der täglichen Obergrenze.

• Wenn der Arbeitsbereich seine tägliche Obergrenze erreicht hat, lassen Sie die Datenerfassung wieder zu und validieren Sie dann die Watchlist erneut.

Ein Ergebnis mit null Zeilen bedeutet nicht immer, dass die Watchlist-Definition fehlt. Grenzwerte für erfassungsbezogene Arbeitsbereiche können sich auswirken, wenn Überwachungslistendaten im Arbeitsbereich sichtbar werden.

Beheben von Problemen mit der Verwaltungsebene und bei Abweichungen im Abfrageverhalten

Der Abfragezugriff und der Verwaltungszugriff können sich während eines vorübergehenden Dienstproblems anders verhalten.

In einigen Fällen können Sie weiterhin Watchlists mit _GetWatchlistAlias oder _GetWatchlist() sogar abfragen, wenn die Portaloberfläche, Bearbeitungsvorgänge oder andere Aktionen auf Verwaltungsebene vorübergehend nicht verfügbar sind. Wenn Abfrageergebnisse zurückgegeben werden, aber das Portal leer ist oder Watchlist-Updates fehlschlagen, überprüfen Sie den Dienststatus, bevor Sie davon ausgehen, dass die Watchlist gelöscht oder das Schema geändert wurde.

Eine erfolgreiche KQL-Abfrage gibt an, dass Überwachungslistendaten möglicherweise noch im Arbeitsbereich verfügbar sind, auch wenn die Verwaltungserfahrung beeinträchtigt wird.

Behandeln von Problemen mit leeren oder teilweisen Abfrageergebnissen

Watchlists werden in einem wiederkehrenden Intervall aktualisiert, und Abfragefunktionen geben den aktuellen Watchlist-Status aus den zugrunde liegenden Watchlist-Daten zurück. Wenn Sie während der Problembehandlung einen schmalen globalen Datetime-Bereich oder andere restriktive Filter anwenden, kann die Abfrage Datensätze ausschließen, die erforderlich sind, um den erwarteten Watchlist-Inhalt zurückzugeben. In diesem Fall kann _GetWatchlist() scheinbar leere oder unvollständige Ergebnisse zurückgeben, obwohl die Watchlist noch vorhanden ist.

Wenn Sie Probleme mit unerwartet leeren Ergebnissen beheben:

• Vergewissern Sie sich, dass Sie den richtigen Watchlist-Alias abfragen.
• Entfernen oder erweitern Sie den Zeitbereich auf Abfrageebene.
• Führen Sie die Abfrage erneut aus, und vergleichen Sie die Ergebnisse.

Verwenden Sie für Szenarien, die vom Datum/Uhrzeitbereich auf Abfrageebene abhängen, einen Zeitbereich, der breit genug ist, um den Aktualisierungszyklus der Watchlist einzuschließen.

Verwandte Inhalte

• Erstellen von Watchlists in Microsoft Sentinel
• Verwalten von Watchlists in Microsoft Sentinel