Visualizzare i dati raccolti nella pagina Panoramica

Dopo aver connesso le origini dati a Microsoft Sentinel, usare la pagina Panoramica per visualizzare, monitorare e analizzare le attività nell'ambiente. Questo articolo descrive i widget e i grafici disponibili nel dashboard Panoramica di Microsoft Sentinel, tra cui informazioni dettagliate su eventi imprevisti, efficienza di automazione, inserimento dati e stato delle regole di analisi per valutare rapidamente il comportamento di sicurezza dell'ambiente.

Prerequisiti

Prima di accedere alla pagina Panoramica, assicurarsi di soddisfare i prerequisiti seguenti:

• Assicurarsi di avere accesso come lettore alle risorse Microsoft Sentinel. Per altre informazioni, vedere Ruoli e autorizzazioni in Microsoft Sentinel.

Accedere alla pagina Panoramica

Se l'area di lavoro è stata caricata nel portale di Microsoft Defender, selezionare Panoramica generale>. In caso contrario, selezionare direttamente Overview. Ad esempio:

I dati per ogni sezione del dashboard Panoramica sono precalcolati e l'ora dell'ultimo aggiornamento viene visualizzata nella parte superiore di ogni sezione. Selezionare Aggiorna nella parte superiore della pagina per aggiornare l'intera pagina.

Visualizzare i dati degli eventi imprevisti

Per ridurre il rumore e ridurre al minimo il numero di avvisi che è necessario esaminare e analizzare, Microsoft Sentinel usa una tecnica di fusione per correlare gli avvisi in eventi imprevisti. Gli eventi imprevisti sono gruppi interattivi di avvisi correlati da analizzare e risolvere.

L'immagine seguente mostra un esempio della sezione Eventi imprevisti nel dashboard Panoramica :

Nella sezione Eventi imprevisti sono elencati i dati seguenti:

• Il numero di incidenti nuovi, attivi e chiusi nelle ultime 24 ore.
• Numero totale di eventi imprevisti di ogni gravità.
• Il numero di incidenti chiusi per ciascun tipo di classificazione di chiusura.
• Stati degli eventi imprevisti in base all'ora di creazione, in intervalli di quattro ore.
• Tempo medio per riconoscere un evento imprevisto e il tempo medio per chiudere un evento imprevisto, con un collegamento alla cartella di lavoro di efficienza SOC . Per altre informazioni, vedere Visualizzare e monitorare i dati usando cartelle di lavoro in Microsoft Sentinel.

Selezionare Gestisci eventi imprevisti per passare alla pagina eventi imprevisti Microsoft Sentinel per altri dettagli.

Visualizzare i dati di automazione

Dopo aver implementato l'automazione con Microsoft Sentinel, monitorate l'automazione dell'area di lavoro nella sezione Automazione del dashboard Panoramica.

• Inizia con un riepilogo dell'attività delle regole di automazione: incidenti chiusi dall'automazione, il tempo risparmiato dall'automazione e lo stato di integrità dei playbook correlati.

  Microsoft Sentinel calcola il tempo risparmiato dall'automazione individuando il tempo medio salvato da una singola automazione, moltiplicato per il numero di eventi imprevisti risolti dall'automazione. La formula è la seguente:

  (avgWithout - avgWith) * resolvedByAutomation

  Dove:

  • avgWithout è il tempo medio necessario per risolvere un evento imprevisto senza automazione.
  • avgWith è il tempo medio necessario per risolvere un evento imprevisto tramite l'automazione.
  • resolvedByAutomation è il numero di eventi imprevisti risolti dall'automazione.

• Il grafico delle azioni di automazione riepiloga i numeri di azioni eseguite dall'automazione, in base al tipo di azione.

• La sezione include anche un conteggio delle regole di automazione attive con un collegamento alla pagina Automazione .

Selezionare il collegamento configura regole di automazione alla pagina di automazione , in cui è possibile configurare più automazione.

Visualizzare lo stato dei record dei dati, dei collettori di dati e delle informazioni sulle minacce

Nella sezione Dati del dashboard Panoramica tenere traccia delle informazioni su record di dati, agenti di raccolta dati e intelligence sulle minacce.

Visualizzare i dettagli seguenti:

• Numero di record che Microsoft Sentinel raccolti nelle ultime 24 ore, rispetto alle 24 ore precedenti, e anomalie rilevate in tale periodo di tempo.

• Riepilogo dello stato del connettore dati, diviso per connettori non integri e attivi. I connettori non integri indicano quanti connettori presentano errori. I connettori attivi sono connettori con flusso di dati in Microsoft Sentinel, come misurato da una query inclusa nel connettore.

• Record di intelligence sulle minacce in Microsoft Sentinel, in base all'indicatore di compromissione.

Selezionare Gestisci connettori per passare alla pagina Connettori dati , in cui è possibile visualizzare e gestire i connettori dati.

Visualizzare i dati di analisi

Tenere traccia dei dati per le regole di analisi nella sezione Analisi del dashboard Panoramica .

Il numero di regole di analisi in Microsoft Sentinel viene visualizzato in base allo stato, inclusi abilitato, disabilitato e disattivato automaticamente.

Fare clic sul collegamento vista MITRE per passare a MITRE ATT&CK, dove è possibile visualizzare in che modo il proprio ambiente è protetto dalle tattiche e tecniche di MITRE ATT&CK. Selezionare il collegamento Gestisci regole di analisi per passare alla pagina Analisi , in cui è possibile visualizzare e gestire le regole che configurano la modalità di attivazione degli avvisi.

Passaggi successivi

• Usare i modelli di cartella di lavoro per approfondire gli eventi generati nell'ambiente. Per altre informazioni, vedere Visualizzare e monitorare i dati usando cartelle di lavoro in Microsoft Sentinel.

• Attiva i log delle query di Log Analytics per ottenere tutte le query eseguite dall'area di lavoro. Per altre informazioni, vedere Controllare le query e le attività di Microsoft Sentinel.

• Scopri le query utilizzate dai widget del dashboard Panoramica. Per altre informazioni, vedere Approfondimento del nuovo dashboard panoramica di Microsoft Sentinel.