Tenere traccia dei dati durante la ricerca con Microsoft Sentinel

  • Si applica a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

La ricerca di segnalibri in Microsoft Sentinel consente di mantenere le query e i risultati delle query ritenuti rilevanti. È anche possibile registrare le osservazioni contestuali e fare riferimento ai risultati aggiungendo note e tag. I dati con segnalibro sono visibili all'utente e ai colleghi per semplificare la collaborazione. Per altre informazioni, vedere Segnalibri.

Questo articolo illustra come creare, visualizzare e gestire i segnalibri di ricerca in Microsoft Sentinel e come usarli durante le indagini.

Nota

Segnalibri di ricerca proattiva di Microsoft Sentinel: I segnalibri possono essere creati solo nel portale di Azure, in Microsoft Sentinel>Threat management>Hunting. Nel portale di Microsoft Defender è possibile visualizzare i segnalibri già creati, ma non è possibile aggiungerne di nuovi.

Segnalibri di ricerca avanzata: I segnalibri non sono disponibili in Ricerca avanzata, che offre un'esperienza unificata di query tra Microsoft Defender e Microsoft Sentinel dati. Tuttavia, i segnalibri sono ancora disponibili in Microsoft Sentinel>Threat management>Hunting, che fornisce l'esperienza di ricerca specifica del Microsoft Sentinel. È anche possibile usare alternative, ad esempio tag degli eventi imprevisti, query salvate o tabelle di ricerca personalizzate per mantenere e tenere traccia del contesto di indagine.

Importante

Dopo il 31 marzo 2027, Microsoft Sentinel non sarà più supportato nel portale di Azure e sarà disponibile solo nel portale di Microsoft Defender. Tutti i clienti che usano Microsoft Sentinel nel portale di Azure verranno reindirizzati al portale di Defender e useranno Microsoft Sentinel solo nel portale di Defender.

Se si usa ancora Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza di operazioni di sicurezza unificata offerta da Microsoft Defender.

Aggiungere un segnalibro (solo portale di Azure)

Crea un segnalibro per conservare le query, i risultati, le tue osservazioni e le conclusioni.

  1. In Gestione delle minacce selezionare Ricerca.

  2. Nella scheda Query selezionare una o più query di ricerca.

  3. Nella barra dei comandi superiore selezionare Esegui query selezionate.

  4. Selezionare Visualizza i risultati della query. Ad esempio:

    Schermata che mostra i risultati di una query in Microsoft Sentinel Hunting.

    Se si seleziona Visualizza risultati query , i risultati della query vengono aperti nel riquadro Log .

  5. Nell'elenco dei risultati delle query di log usare le caselle di controllo per selezionare una o più righe contenenti le informazioni che si trovano interessanti.

  6. In portale di Azure selezionare Aggiungi segnalibro:

    Screenshot dell'aggiunta di un segnalibro di ricerca alla query.

  7. A destra, nel riquadro Aggiungi segnalibro , facoltativamente, aggiornare il nome del segnalibro, aggiungere tag e note per identificare gli elementi interessanti dell'elemento.

  8. I segnalibri possono essere facoltativamente associati a tecniche o sotto-tecniche MITRE ATT&CK. Le mappature MITRE ATT&CK vengono ereditate dai valori mappati nelle query di ricerca, ma è anche possibile crearle manualmente. Selezionare la tattica MITRE ATT&CK associata alla tecnica desiderata dal menu a discesa nella sezione Tattiche & Tecniche del riquadro Aggiungi segnalibro . Il menu si espande per visualizzare tutte le tecniche MITRE ATT&CK ed è possibile selezionare più tecniche e tecniche secondarie in questo menu.

    Schermata che mostra come associare tattiche e tecniche MITRE ATT&CK ai segnalibri.

  9. Ora è possibile estrarre un insieme più ampio di entità dai risultati di query aggiunti ai segnalibri per ulteriori analisi. Nella sezione Mappatura entità utilizzare gli elenchi a discesa per selezionare i tipi di entità e gli identificatori. Eseguire quindi il mapping della colonna nei risultati della query contenenti l'identificatore corrispondente. Ad esempio:

    Screenshot per eseguire il mapping dei tipi di entità per la ricerca di segnalibri.

    Per visualizzare il segnalibro nel grafico dell'indagine, è necessario mappare almeno un'entità. Sono supportate le mappature delle entità ai tipi di entità account, host, IP e URL che hai creato, preservando la retrocompatibilità.

  10. Selezionare Crea per eseguire il commit delle modifiche e aggiungere il segnalibro. Tutti i dati con segnalibro vengono condivisi con altri analisti ed è un primo passaggio verso un'esperienza di indagine collaborativa.

I risultati della query di log supportano i segnalibri ogni volta che il riquadro Log viene aperto da Microsoft Sentinel. Ad esempio, se si seleziona Generale>Log dalla barra di navigazione, si selezionano i link agli eventi nel grafico delle investigazioni o si seleziona l'ID di un avviso nei dettagli completi di un incidente. Non è possibile creare segnalibri quando il riquadro Log viene aperto da un'altra posizione, ad esempio direttamente da Monitoraggio di Azure.

Visualizzare e aggiornare i segnalibri

Trovare e aggiornare un segnalibro dalla scheda segnalibro.

  1. Per Microsoft Sentinel nel portale di Azure, in Gestione minacce selezionare Ricerca.
    Per Microsoft Sentinel nel portale di Defender, selezionare Microsoft Sentinel>Threat management>Hunting.

  2. Selezionare la scheda Segnalibri per visualizzare l'elenco dei segnalibri.

  3. Cerca o filtra per trovare uno o più segnalibri specifici.

  4. Selezionare singoli segnalibri per visualizzare i dettagli del segnalibro nel riquadro a destra.

  5. Apportare le modifiche in base alle esigenze. Le modifiche vengono salvate automaticamente.

Nota

È possibile visualizzare fino a 1.000 segnalibri solo nella scheda segnalibro. È possibile visualizzare il resto dei dati con segnalibro nei log. Visualizza i dati contrassegnati con segnalibro nei log

Esplorazione dei segnalibri nel grafico di analisi

Visualizzare i dati con segnalibro avviando l'esperienza di indagine in cui è possibile visualizzare, analizzare e comunicare visivamente i risultati usando un diagramma di entità-grafo interattivo e una sequenza temporale.

Importante

Ogni segnalibro da analizzare deve avere almeno un'entità mappata. Se un segnalibro non ha un'entità mappata, aggiornare il segnalibro per aggiungerne uno prima di iniziare.

  1. Nella scheda Segnalibri selezionare il segnalibro o i segnalibri da analizzare.

  2. Selezionare Analizza per visualizzare il segnalibro nel grafico di indagine.

Per istruzioni sull'uso del grafico di indagine, vedere Usare il grafico di analisi per approfondire la procedura.

Aggiungere segnalibri a un incidente nuovo o esistente (solo nel portale di Azure)

Aggiungi segnalibri a un incidente dalla scheda dei segnalibri nella pagina Hunting.

  1. Nella scheda Segnalibri, selezionare il segnalibro o i segnalibri da aggiungere a un incidente.

  2. Selezionare Azioni dell'incidente dalla barra dei comandi:

    Screenshot dell'aggiunta dei segnalibri all'incidente.

  3. Selezionare Create new incident (Crea nuovo evento imprevisto ) o Add to existing incident (Aggiungi a un evento imprevisto esistente) in base alle esigenze. In seguito:

    • Per un nuovo evento imprevisto: aggiornare facoltativamente i dettagli per l'evento imprevisto e quindi selezionare Crea.
    • Per aggiungere un segnalibro a un evento imprevisto esistente: selezionare un evento imprevisto e quindi selezionare Aggiungi.

  4. Per visualizzare il segnalibro all'interno dell'incidente,

    1. Passare a Microsoft Sentinel>Gestione delle minacce>Incidenti.
    2. Selezionare l'evento imprevisto con il segnalibro e visualizzare i dettagli completi.
    3. Nella pagina dell'incidente, nel riquadro sinistro, selezionare i Segnalibri.

Visualizzare i dati con segnalibro nei log

Visualizzare le query con segnalibro, i risultati o la relativa cronologia.

  1. Nella scheda Caccia>Segnalibri, selezionare il segnalibro.

  2. Nel riquadro dei dettagli selezionare i collegamenti seguenti:

    • Visualizzare la query di origine per visualizzare la query di origine nel riquadro Log .

    • Visualizzare i log dei segnalibri per visualizzare tutti i metadati dei segnalibri, inclusi chi ha eseguito l'aggiornamento, i valori aggiornati e l'ora in cui si è verificato l'aggiornamento.

  3. Dalla barra dei comandi della scheda Ricerca>Segnalibri, seleziona Registri dei segnalibri per visualizzare i dati grezzi dei segnalibri per tutti i segnalibri.

    Schermata del comando bookmark logs.

La visualizzazione Log segnalibro mostra tutti i segnalibri con i metadati associati. È possibile usare query Kusto Query Language (KQL) per restringere i risultati fino a individuare la versione più recente del segnalibro specifico desiderato.

Può verificarsi un ritardo significativo (misurato in minuti) tra il momento in cui si crea un segnalibro e il momento in cui viene visualizzato nella scheda Segnalibri .

Eliminare un segnalibro

L'eliminazione del segnalibro rimuove il segnalibro dall'elenco nella scheda Segnalibro. La tabella HuntingBookmark per l'area di lavoro Log Analytics continua a contenere voci di segnalibro precedenti, ma l'ultima voce modifica il valore SoftDelete su true, che contrassegna il segnalibro come eliminato in modo da filtrare i segnalibri precedenti. L'eliminazione di un segnalibro non rimuove alcuna entità dall'esperienza di indagine associata ad altri segnalibri o avvisi.

Per eliminare un segnalibro, completare la procedura seguente.

  1. Nella scheda Hunting>Segnalibri, seleziona il segnalibro o i segnalibri da eliminare.

  2. Fare clic con il pulsante destro del mouse e selezionare l'opzione per eliminare i segnalibri selezionati.

Contenuto correlato

  • Last updated on