Analizzare gli eventi imprevisti con Microsoft Sentinel (legacy)

Questo articolo consente di usare l'esperienza di indagine sugli eventi imprevisti legacy di Microsoft Sentinel. Se si usa la versione più recente dell'interfaccia, vedere Esplorare e analizzare gli eventi imprevisti in Microsoft Sentinel per istruzioni corrispondenti a tale esperienza.

Dopo aver collegato le origini dati a Microsoft Sentinel, si vuole ricevere una notifica quando si verifica un problema sospetto. A tale scopo, Microsoft Sentinel consente di creare regole di analisi avanzate che generano eventi imprevisti che è possibile assegnare e analizzare.

Un evento imprevisto può includere più avvisi. Si tratta di un'aggregazione di tutte le prove rilevanti per un'indagine specifica. Un evento imprevisto viene creato in base alle regole di analisi create nella pagina Analisi . Le proprietà correlate agli avvisi, ad esempio gravità e stato, vengono impostate a livello di evento imprevisto. Dopo aver fatto sapere a Microsoft Sentinel quali tipi di minacce si sta cercando e come trovarle, è possibile monitorare le minacce rilevate analizzando gli eventi imprevisti.

Prerequisiti

Prima di analizzare o assegnare eventi imprevisti, assicurarsi che siano soddisfatti i prerequisiti seguenti:

• Potrai analizzare l'incidente solo se hai usato i campi di mappatura delle entità quando hai configurato la regola di analisi. Il grafico dell'indagine richiede che l'incidente originale includa entità.

• Se si dispone di un utente guest che deve assegnare eventi imprevisti, all'utente deve essere assegnato il ruolo Lettore di directory nel tenant Microsoft Entra. Per impostazione predefinita, questo ruolo è assegnato agli utenti normali (non regolari).

Come analizzare gli eventi imprevisti

Per esaminare e analizzare gli eventi imprevisti, seguire questa procedura:

1. Selezionare Eventi imprevisti. La pagina Eventi imprevisti consente di sapere quanti eventi imprevisti si verificano e se sono nuovi, attivi o chiusi. Per ogni evento imprevisto, è possibile visualizzare l'ora in cui si è verificato e lo stato dell'evento imprevisto. Esaminare la gravità per decidere quali eventi imprevisti gestire per primi.

   

2. È possibile filtrare gli eventi imprevisti in base alle esigenze, ad esempio in base allo stato o alla gravità. Per altre informazioni, vedi Cerca incidenti.

3. Per avviare un'indagine, selezionare un evento imprevisto specifico. A destra è possibile visualizzare informazioni dettagliate per l'evento imprevisto, tra cui la gravità, il riepilogo del numero di entità coinvolte, gli eventi non elaborati che hanno attivato l'evento imprevisto, l'ID univoco dell'evento imprevisto e tutte le tattiche o tecniche MITRE ATT mappate&CK.

4. Per visualizzare altri dettagli sugli avvisi e sulle entità nell'evento imprevisto, selezionare Visualizza dettagli completi nella pagina dell'evento imprevisto ed esaminare le schede pertinenti che riepilogano le informazioni sull'evento imprevisto.

   

   • Se stai attualmente utilizzando la nuova interfaccia, disattivala in alto a destra nella pagina dei dettagli dell'incidente per utilizzare invece l'interfaccia legacy.

   • Nella scheda Sequenza temporale esaminare la sequenza temporale degli avvisi e dei segnalibri nell'evento imprevisto, che consente di ricostruire la sequenza temporale dell'attività degli utenti malintenzionati.

   • Nella scheda Eventi imprevisti simili (anteprima) viene visualizzata una raccolta di un massimo di 20 altri eventi imprevisti più simili all'evento imprevisto corrente. La visualizzazione di eventi imprevisti simili consente di comprendere l'evento imprevisto in un contesto più ampio e di indirizzare l'indagine. Per altre informazioni, vedere Eventi imprevisti simili (anteprima).

   • Nella scheda Avvisi esaminare gli avvisi inclusi in questo evento imprevisto. Vengono visualizzate tutte le informazioni rilevanti sugli avvisi, ovvero le regole di analisi che le hanno generate, il numero di risultati restituiti per ogni avviso e la possibilità di eseguire playbook negli avvisi. Per approfondire ulteriormente l'evento imprevisto, selezionare il numero di eventi. Verrà aperta la query che ha generato i risultati e gli eventi che hanno attivato l'avviso in Log Analytics.

   • Nella scheda Segnalibri vengono visualizzati eventuali segnalibri collegati a questo evento imprevisto da parte dell'utente o di altri investigatori. Per altre informazioni, vedere Segnalibri in Microsoft Sentinel.

   • Nella scheda Entità è possibile visualizzare tutte le entitàmappate ai campi dati come parte della definizione della regola di avviso. Si tratta degli oggetti che hanno svolto un ruolo nell'evento imprevisto, che si tratti di utenti, dispositivi, indirizzi, file o altri tipi di entità supportati.

   • Infine, nella scheda Commenti è possibile aggiungere i commenti all'indagine e visualizzare eventuali commenti fatti da altri analisti e investigatori. Per altre informazioni, vedere Commenti sugli eventi imprevisti.

5. Se si sta analizzando attivamente un evento imprevisto, è consigliabile impostare lo stato dell'evento imprevisto su Attivo fino alla chiusura.

6. Gli eventi imprevisti possono essere assegnati a un utente specifico o a un gruppo. Per ogni evento imprevisto è possibile assegnare un proprietario impostando il campo Proprietario . Tutti gli eventi imprevisti iniziano come non assegnati. È anche possibile aggiungere commenti in modo che altri analisti siano in grado di comprendere cosa si è indagato e quali sono le preoccupazioni relative all'evento imprevisto.

   

   Gli utenti e i gruppi selezionati di recente vengono visualizzati nella parte superiore dell'elenco a discesa illustrato.

7. Selezionare Analizza per visualizzare la mappa di indagine.

Usare il grafico di indagine per approfondire

Il grafico di indagine consente agli analisti di porre le domande corrette per ogni indagine. Il grafico di analisi consente di comprendere l'ambito e identificare la causa radice di una potenziale minaccia alla sicurezza correlando i dati rilevanti con qualsiasi entità coinvolta. È possibile approfondire e analizzare qualsiasi entità presentata nel grafico selezionandola e scegliendo tra diverse opzioni di espansione.

Il grafico di analisi fornisce:

• Contesto visivo da dati non elaborati: il grafico visivo attivo visualizza le relazioni di entità estratte automaticamente dai dati non elaborati. In questo modo è possibile visualizzare facilmente le connessioni tra origini dati diverse.

• Individuazione dell'ambito di indagine completo: espandere l'ambito dell'indagine usando query di esplorazione predefinite per visualizzare l'intero ambito di una violazione.

• Passaggi di indagine predefiniti: usare opzioni di esplorazione predefinite per assicurarsi di porre le domande corrette di fronte a una minaccia.

Per usare il grafico di analisi:

1. Selezionare un evento imprevisto, quindi selezionare Analizza. In questo modo si passa al grafico di indagine. Il grafico fornisce una mappa illustrativa delle entità direttamente connesse all'avviso e di ogni risorsa connessa ulteriormente.

   

   Importante

   • Potrai analizzare l'incidente solo se hai usato i campi di mappatura delle entità quando hai configurato la regola di analisi. Il grafico dell'indagine richiede che l'incidente originale includa entità.

   • Microsoft Sentinel attualmente supporta l'analisi di incidenti risalenti fino a 30 giorni fa.

2. Selezionare un'entità per aprire il riquadro Entità in modo da poter esaminare le informazioni sull'entità.

   

3. Espandere l'indagine passando il puntatore del mouse su ogni entità per visualizzare un elenco di domande progettate dagli esperti di sicurezza e dagli analisti per tipo di entità per approfondire l'indagine. Queste opzioni vengono chiamate query di esplorazione.

   

   Ad esempio, è possibile richiedere avvisi correlati. Se si seleziona una query di esplorazione, le entità risultanti vengono nuovamente aggiunte al grafo. In questo esempio, selezionando Avvisi correlati sono stati restituiti gli avvisi seguenti nel grafico:

   

   Nel grafico vengono visualizzati avvisi correlati connessi all'entità tramite linee tratteggiate.

4. Per ogni query di esplorazione, è possibile selezionare l'opzione per aprire i risultati degli eventi non elaborati e la query usata in Log Analytics selezionando Eventi>.

5. Per comprendere l'evento imprevisto, il grafico fornisce una sequenza temporale parallela.

   

6. Passare il puntatore del mouse sulla sequenza temporale per vedere quali elementi del grafico si sono verificati in quale momento.

   

Concentra l'indagine

Informazioni su come ampliare o limitare l'ambito dell'indagine aggiungendo avvisi agli eventi imprevisti o rimuovendo gli avvisi dagli eventi imprevisti.

Eventi imprevisti simili (anteprima)

In qualità di analista delle operazioni di sicurezza, quando si analizza un evento imprevisto si vuole prestare attenzione al contesto più ampio. Ad esempio, si vuole verificare se altri eventi imprevisti come questo si sono verificati prima o si stanno verificando ora.

• È possibile identificare gli eventi imprevisti simultanei che potrebbero far parte della stessa strategia di attacco più grande.

• È possibile identificare eventi imprevisti simili in passato, per usarli come punti di riferimento per l'indagine corrente.

• Potresti voler identificare i responsabili di incidenti simili verificatisi in passato, per trovare le persone nel tuo SOC che possano fornire maggior contesto o a cui poter escalare l'indagine.

La scheda eventi imprevisti simili nella pagina dei dettagli degli eventi imprevisti, ora in anteprima, presenta fino a 20 altri eventi imprevisti più simili a quelli correnti. La somiglianza viene calcolata in base agli algoritmi di Microsoft Sentinel interni e gli eventi imprevisti vengono ordinati e visualizzati in ordine decrescente di somiglianza.

Calcolo della somiglianza

Esistono tre criteri in base ai quali viene determinata la somiglianza:

• Entità simili: Un evento imprevisto è considerato simile a un altro evento imprevisto se entrambi includono le stesse entità. Quanto più entità i due incidenti hanno in comune, tanto più sono considerati simili.

• Regola simile: Un evento imprevisto è considerato simile a un altro evento imprevisto se entrambi sono stati creati dalla stessa regola di analisi.

• Dettagli di avviso simili: Un evento imprevisto è considerato simile a un altro evento imprevisto se condividono lo stesso titolo, lo stesso nome del prodotto e/o i dettagli personalizzati.

I motivi per cui un evento imprevisto viene visualizzato nell'elenco eventi imprevisti simili vengono visualizzati nella colonna Motivo della somiglianza . Passare il puntatore del mouse sull'icona delle informazioni per visualizzare gli elementi comuni (entità, nome della regola o dettagli).

Intervallo di tempo di somiglianza

La somiglianza degli eventi imprevisti viene calcolata in base ai dati dei 14 giorni precedenti all'ultima attività dell'evento imprevisto, definita come ora di fine dell'avviso più recente nell'evento imprevisto.

La somiglianza degli eventi imprevisti viene ricalcolata ogni volta che si immette la pagina dei dettagli dell'evento imprevisto, pertanto i risultati potrebbero variare tra le sessioni se sono stati creati o aggiornati nuovi eventi imprevisti.

Commento sugli eventi imprevisti

In qualità di analista delle operazioni di sicurezza, durante l'analisi di un evento imprevisto è consigliabile documentare accuratamente i passaggi da eseguire, sia per garantire report accurati alla gestione che per consentire una collaborazione e una collaborazione senza problemi tra i colleghi. Microsoft Sentinel offre un ambiente di commento completo che consente di eseguire questa operazione.

Un'altra cosa importante che puoi fare con i commenti è arricchire automaticamente gli incidenti. Quando si esegue un playbook su un evento imprevisto che recupera informazioni rilevanti da origini esterne (ad esempio, controllando un file per il malware in VirusTotal), è possibile fare in modo che il playbook inserisci la risposta dell'origine esterna , insieme a qualsiasi altra informazione definita, nei commenti dell'evento imprevisto.

I commenti sono semplici da usare. È possibile accedervi tramite la scheda Commenti nella pagina dei dettagli dell'evento imprevisto.

Domande frequenti sui commenti sugli incidenti

Le domande frequenti seguenti descrivono le considerazioni chiave per l'uso dei commenti sugli eventi imprevisti.

Quali tipi di input sono supportati?

I commenti supportano i tipi di input seguenti:

• Testo: I commenti in Microsoft Sentinel supportano gli input di testo in testo normale, HTML di base e Markdown. È anche possibile incollare testo copiato, HTML e Markdown nella finestra dei commenti.

• Immagini: È possibile inserire collegamenti alle immagini nei commenti e le immagini vengono visualizzate inline, ma le immagini devono essere già ospitate in una posizione accessibile pubblicamente, ad esempio Dropbox, OneDrive, Google Drive e simili. Le immagini non possono essere caricate direttamente nei commenti.

Esiste un limite di dimensioni per i commenti?

Yes. I limiti seguenti si applicano ai commenti degli eventi imprevisti:

• Per commento: Un singolo commento può contenere fino a 30.000 caratteri.

• Per evento imprevisto: Un singolo evento imprevisto può contenere fino a 100 commenti.

  Nota

  Il limite di dimensioni di un singolo record di eventi imprevisti nella tabella SecurityIncident in Log Analytics è di 64 KB. Se questo limite viene superato, i commenti (a partire dal meno recente) verranno troncati, che potrebbero influire sui commenti che verranno visualizzati nei risultati avanzati della ricerca degli eventi imprevisti .

  I record effettivi nel database degli incidenti non subiranno modifiche.

Chi può modificare o eliminare i commenti?

Le autorizzazioni seguenti si applicano alla modifica e all'eliminazione dei commenti:

• Modifica: Solo l'autore di un commento ha l'autorizzazione per modificarlo.

• Eliminazione: Solo gli utenti con il ruolo collaboratore Microsoft Sentinel dispongono dell'autorizzazione per eliminare i commenti. Anche l'autore del commento deve avere questo ruolo per eliminarlo.

Chiudere un incidente

Dopo aver risolto un evento imprevisto specifico( ad esempio, quando l'indagine ha raggiunto la conclusione), è necessario impostare lo stato dell'evento imprevisto su Chiuso. In questo caso, verrà richiesto di classificare l'evento imprevisto specificando il motivo per cui lo si sta chiudendo. Questo passaggio è obbligatorio. Selezionare Seleziona classificazione e scegliere una delle opzioni seguenti nell'elenco a discesa:

• True Positive - Attività sospetta
• Positivo benigno - sospetto ma atteso
• Falso positivo - Logica di avviso non corretta
• Falso positivo : dati non corretti
• Indeterminato

Per altre informazioni sui falsi positivi e sui positivi benigni, vedere Gestire i falsi positivi in Microsoft Sentinel.

Dopo aver scelto la classificazione appropriata, aggiungere del testo descrittivo nel campo Commento . L'aggiunta di un commento descrittivo è utile nel caso in cui sia necessario fare riferimento a questo evento imprevisto. Al termine, selezionare Applica e l'evento imprevisto è chiuso.

Cerca incidenti

Per trovare rapidamente un evento imprevisto specifico, immettere una stringa di ricerca nella casella di ricerca sopra la griglia degli eventi imprevisti e premere INVIO per modificare l'elenco degli eventi imprevisti visualizzato di conseguenza. Se l'evento imprevisto non è incluso nei risultati, è possibile limitare la ricerca usando le opzioni di ricerca avanzate .

Per modificare i parametri di ricerca, selezionare il pulsante Cerca e quindi selezionare i parametri in cui si vuole eseguire la ricerca.

Ad esempio:

Per impostazione predefinita, le ricerche degli eventi imprevisti vengono eseguite solo nei valori ID evento imprevisto, Titolo, Tag, Proprietario e Nome prodotto . Nel riquadro di ricerca scorrere verso il basso l'elenco per selezionare uno o più altri parametri da cercare e selezionare Applica per aggiornare i parametri di ricerca. Selezionare Ripristina predefiniti per reimpostare i parametri selezionati sui valori predefiniti.

L'uso delle opzioni di ricerca avanzate modifica il comportamento di ricerca come indicato di seguito:

Contenuto correlato

In questo articolo si è appreso come iniziare a analizzare gli eventi imprevisti usando Microsoft Sentinel. Per altre informazioni, vedere:

• Analizzare gli eventi imprevisti con dati UEBA
• Automazione in Microsoft Sentinel: orchestrazione, automazione e risposta della sicurezza (SOAR)