Creare query o regole di rilevamento con gli elenchi di controllo in Microsoft Sentinel

  • Si applica a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Correla i dati della lista di controllo con qualsiasi dato di Microsoft Sentinel usando operatori di tabella di Kusto come join e lookup. Quando si crea un elenco di controllo, si definisce SearchKey. La chiave di ricerca è il nome di una colonna nella watchlist che prevedi di usare per unire altri dati o come oggetto di ricerche frequenti.

Per prestazioni ottimali delle query, usare SearchKey come chiave per i join nelle query.

Importante

Dopo il 31 marzo 2027, Microsoft Sentinel non sarà più supportato nel portale di Azure e sarà disponibile solo nel portale di Microsoft Defender. Tutti i clienti che usano Microsoft Sentinel nel portale di Azure verranno reindirizzati al portale di Defender e useranno Microsoft Sentinel solo nel portale di Defender.

Se si usa ancora Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza di operazioni di sicurezza unificata offerta da Microsoft Defender.

Compilare query con watchlist

Per usare una watchlist in una query di ricerca, scrivi una query KQL (Kusto Query Language) che utilizzi la funzione _GetWatchlist('watchlist-name') e SearchKey come chiave di join.

  1. Per Microsoft Sentinel nel portale di Defender selezionare Microsoft Sentinel>Watchlist di configurazione>. Per Microsoft Sentinel nel portale di Azure, in Configurazione selezionare Watchlist.

  2. Seleziona la watchlist che vuoi usare.

  3. Selezionare Visualizza nei log.

    Screenshot che mostra come usare gli elenchi di controllo nelle query.

  4. Rivedi la scheda Risultati. Gli elementi nella tua lista di controllo vengono estratti automaticamente per la tua query.

    L'esempio seguente mostra i risultati dell'estrazione dei campi Nome e Indirizzo IP . SearchKey viene visualizzato come colonna specifica.

    Schermata che mostra query con i campi della watchlist.

    La marca temporale delle query verrà ignorata sia nell'interfaccia utente delle query sia negli avvisi programmati.

  5. Scrivere una query che utilizzi la funzione _GetWatchlist('watchlist-name') e utilizzi SearchKey come chiave per il join.

    Ad esempio, la query di esempio seguente unisce la colonna RemoteIPCountry nella tabella Heartbeat con la chiave di ricerca definita per la watchlist denominata mywatchlist.

    Heartbeat
| lookup kind=leftouter _GetWatchlist('mywatchlist') 
 on $left.RemoteIPCountry == $right.SearchKey

    L'immagine seguente mostra i risultati di questa query di esempio in Log Analytics.

    Schermata delle query sulla watchlist usata come lookup.

Creare una regola di analisi con un elenco di controllo

La funzione _GetWatchlist('watchlist-name') restituisce il contenuto di un watchlist specificato in modo da poter fare riferimento ai dati watchlist direttamente in una query. Per usare le watchlist nelle regole di analisi, creare una regola che includa questa funzione nella query della regola.

  1. In Configurazione selezionare Analisi.

  2. Selezionare Crea e il tipo di regola da creare.

  3. Nella scheda Generale immettere le informazioni appropriate.

  4. Nella scheda Imposta la logica della regola, in Query della regola utilizzare la funzione _GetWatchlist('<watchlist>') nella query.

    Si supponga, ad esempio, di avere un elenco di controllo denominato ipwatchlist creato da un file CSV con i valori seguenti:

    IPAddress,Location
    10.0.100.11,Home
    172.16.107.23,Work
    10.0.150.39,Home
    172.20.32.117,Work

    Il file CSV è simile all'immagine seguente. Screenshot di quattro elementi in un file CSV usato per l'elenco di controllo.

    Per usare la _GetWatchlist funzione per questo esempio, la query sarà _GetWatchlist('ipwatchlist').

    Screenshot che mostra la query che restituisce i quattro elementi dell'elenco di controllo.

    In questo esempio vengono inclusi solo gli eventi degli indirizzi IP nell'elenco di controllo:

    //Watchlist as a variable
let watchlist = (_GetWatchlist('ipwatchlist') | project IPAddress);
Heartbeat
| where ComputerIP in (watchlist)

    L'esempio di query seguente usa la watchlist direttamente nella query e la chiave di ricerca definita per la watchlist.

    //Watchlist inline with the query
//Use SearchKey for the best performance
Heartbeat
| where ComputerIP in ( 
    (_GetWatchlist('ipwatchlist')
    | project SearchKey)
)

    Lo screenshot seguente mostra la query inline _GetWatchlist('ipwatchlist') usata nella query della regola.

    Screenshot che mostra come usare gli elenchi di controllo nelle regole di analisi.

  5. Completa le schede rimanenti della procedura guidata della regola di analisi.

Le watchlist vengono aggiornate nell'area di lavoro ogni 12 giorni, aggiornando il campo TimeGenerated. Per altre informazioni, vedere Creare regole di analisi personalizzate per rilevare le minacce.

Visualizza l'elenco degli alias della watchlist

L'alias della watchlist è l'identificatore univoco utilizzato per fare riferimento a una watchlist nelle query e nelle regole di analisi. Potrebbe essere necessario visualizzare un elenco degli alias delle watchlist per identificare una watchlist da usare in una query o in una regola di analisi.

  1. Per Microsoft Sentinel nel portale di Azure, in Generale selezionare Log.
    Nel portale di Defender selezionare Indagine & risposta>Ricerca>ricerca avanzata.

  2. Nella pagina Nuova query eseguire la query seguente: _GetWatchlistAlias.

  3. Esaminare l'elenco di alias nella scheda Risultati .

    Schermata che mostra un elenco di watchlist.

Per ulteriori informazioni sugli operatori e le istruzioni di Kusto usati negli esempi in questa pagina, consulta la documentazione di Kusto:

Per altre informazioni su KQL, vedi panoramica di Kusto Query Language (KQL).

Altre risorse:

Contenuto correlato

Per altre informazioni sugli elenchi di controllo e sulle Microsoft Sentinel, vedere gli articoli seguenti:

  • Last updated on