Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Importante
I rilevamenti personalizzati sono ora il modo migliore per creare nuove regole in Microsoft Sentinel Microsoft Defender XDR SIEM. Con i rilevamenti personalizzati, è possibile ridurre i costi di inserimento, ottenere rilevamenti in tempo reale illimitati e trarre vantaggio dall'integrazione senza problemi con dati, funzioni e azioni di correzione Defender XDR con il mapping automatico delle entità. Per altre informazioni, vedere Rilevamenti personalizzati sono ora l'esperienza unificata per la creazione di rilevamenti in Microsoft Defender XDR.
Importante
L'ottimizzazione del rilevamento è attualmente disponibile in ANTEPRIMA. Per altre condizioni legali applicabili alle funzionalità di Azure in versione beta, in anteprima o non ancora rilasciate in disponibilità generale, vedere le Condizioni aggiuntive per l'utilizzo per Microsoft Azure Previews.
L'ottimizzazione delle regole di rilevamento delle minacce nel SIEM può essere un processo difficile, delicato e continuo di bilanciamento tra la massimizzazione della copertura di rilevamento delle minacce e la riduzione al minimo delle percentuali di falsi positivi. Microsoft Sentinel semplifica e ottimizza questo processo usando il machine learning per analizzare miliardi di segnali provenienti dalle tue fonti di dati, nonché le tue risposte agli incidenti nel tempo, individuando schemi e fornendoti raccomandazioni operative e informazioni dettagliate che possono ridurre significativamente il carico delle attività di ottimizzazione e consentirti di concentrarti sul rilevamento e sulla risposta alle minacce effettive.
Le raccomandazioni e le informazioni dettagliate sull'ottimizzazione sono ora integrate nelle regole di analisi. Questo articolo illustra le informazioni dettagliate visualizzate e come implementare le raccomandazioni per l'ottimizzazione.
Visualizzare informazioni dettagliate sulle regole e consigli sull'ottimizzazione
Per verificare se Microsoft Sentinel dispone di raccomandazioni di ottimizzazione per una delle regole di analisi, selezionare Analisi dal menu di spostamento Microsoft Sentinel.
Tutte le regole con raccomandazioni visualizzano un'icona a forma di lampadina accanto al nome della regola:
Modificare una regola di analisi che visualizza l'icona a forma di lampadina per visualizzarne le raccomandazioni insieme ad altre informazioni dettagliate. Verranno visualizzati insieme nella scheda Imposta la logica della regola della configurazione guidata della regola di analisi, sotto il riquadro Simulazione risultati.
Tipi di approfondimenti
La schermata Approfondimenti sulla regolazione è composta da diversi riquadri che puoi scorrere o sfogliare con un dito, ognuno dei quali mostra informazioni diverse. L'intervallo di tempo - 14 giorni - per cui vengono visualizzate le informazioni dettagliate viene visualizzato nella parte superiore del frame.
Il primo riquadro informazioni dettagliate visualizza alcune informazioni statistiche: il numero medio di avvisi per evento imprevisto, il numero di eventi imprevisti aperti e il numero di eventi imprevisti chiusi, raggruppati per classificazione (vero/falso positivo). Queste informazioni dettagliate consentono di determinare il carico su questa regola e comprendere se è necessaria un'ottimizzazione, ad esempio se è necessario modificare le impostazioni di raggruppamento.
Queste informazioni dettagliate sono il risultato di una query di Log Analytics. Selezionando Avvisi medi per evento imprevisto si accederà alla query in Log Analytics che ha prodotto le informazioni dettagliate. Se si seleziona Apri eventi imprevisti , verrà visualizzato il pannello Eventi imprevisti .
Il secondo riquadro di analisi consiglia un elenco di entità da escludere. Queste entità sono fortemente correlate agli incidenti che hai chiuso e classificato come falso positivo. Seleziona il segno più accanto a ogni entità elencata per escluderla dalla query nelle future esecuzioni di questa regola.
Questa raccomandazione è prodotta dai modelli avanzati di data science e Machine Learning di Microsoft. L'inclusione di questo riquadro nella visualizzazione Informazioni dettagliate sull'ottimizzazione dipende da eventuali raccomandazioni da visualizzare.
Il terzo riquadro informazioni dettagliate mostra le quattro entità mappate più frequentemente visualizzate in tutti gli avvisi generati da questa regola. La mappatura delle entità deve essere configurata nella regola affinché questa informazione dettagliata produca risultati. Queste informazioni potrebbero aiutare a prendere coscienza di tutte le entità che stanno "attirando l'attenzione" e allontanando l'attenzione da altre entità. È possibile gestire queste entità separatamente in una regola diversa, oppure decidere che si tratta di falsi positivi o comunque rumore ed escluderle dalla regola.
Queste informazioni dettagliate sono il risultato di una query di Log Analytics. Se si seleziona una delle entità, si accederà alla query in Log Analytics che ha prodotto le informazioni dettagliate.
Passaggi successivi
Per ulteriori informazioni, vedere: