Listas de observação no Microsoft Sentinel

As listas de observação no Microsoft Sentinel ajudam os analistas de segurança a correlacionar e enriquecer dados de eventos de forma eficiente. Eles oferecem uma maneira flexível de gerenciar dados de referência, como listas de ativos de alto valor ou funcionários demitidos. Integre listas de observação em suas regras de deteção, caça a ameaças e fluxos de trabalho de resposta para reduzir a fadiga de alertas e responder a ameaças mais rapidamente. Este artigo explica como usar listas de observação no Microsoft Sentinel, descreve os principais cenários e limitações e fornece orientação sobre como criar e consultar listas de observação para aprimorar suas operações de segurança.

Use listas de observação em sua pesquisa, regras de deteção, caça a ameaças e playbooks de resposta. As listas de observação são armazenadas como pares nome-valor na tabela Watchlist no espaço de trabalho do Microsoft Sentinel. Eles são armazenados em cache para um desempenho de consulta ideal e baixa latência.

Quando usar listas de observação

Use listas de observação nestes cenários:

• Investigue ameaças e responda a incidentes rapidamente importando endereços IP, hashes de arquivos e outros dados de arquivos CSV. Depois de importar os dados, utilize pares nome-valor da lista de observação para associações e filtros em regras de alerta, investigação de ameaças, pastas de trabalho, blocos de anotações e consultas.

• Importe dados corporativos como uma lista de observação. Por exemplo, importe listas de usuários com acesso privilegiado ao sistema ou listas de funcionários demitidos. Em seguida, use a lista de observação para criar listas de permissões e listas de bloqueio para detetar ou impedir que esses usuários entrem na rede.

• Reduza a fadiga de alerta. Crie listas de permissões para suprimir alertas de um grupo de usuários, como usuários de endereços IP autorizados que executam tarefas que normalmente disparariam o alerta. Evitar que eventos benignos se tornem alertas.

• Enriqueça os dados do evento. Use listas de observação para adicionar combinações nome-valor de fontes de dados externas aos dados do seu evento.

Limitações da lista de observação

Recomendamos rever as seguintes limitações antes de criar listas de observação:

Métodos de criação da lista de observação do Microsoft Sentinel

Use um dos seguintes métodos para criar listas de observação no Microsoft Sentinel:

• Carregar um ficheiro a partir de uma pasta local ou da sua conta de Armazenamento do Azure.

• Transfira um modelo de lista de observação a partir do Microsoft Sentinel, adicione os seus dados e, em seguida, carregue o ficheiro quando criar a lista de observação.

Para criar uma lista de observação a partir de um ficheiro grande (até 500 MB), carregue o ficheiro para a sua conta de Armazenamento do Azure. Crie uma URL de assinatura de acesso compartilhado (SAS) para que o Microsoft Sentinel possa recuperar os dados da lista de observação. Uma URL SAS inclui o URI do recurso e o token SAS de um recurso, como um arquivo CSV em sua conta de armazenamento. Adicione a lista de observação ao seu espaço de trabalho no Microsoft Sentinel.

Para obter mais informações, consulte:

• Criar listas de observação no Microsoft Sentinel
• Esquemas de lista de observação integrados
• Token SAS do Armazenamento do Azure

Listas de observação em consultas para pesquisas e regras de deteção

Para correlacionar os dados da sua lista de observação com outros dados do Microsoft Sentinel, use operadores tabulares Kusto como join e lookup com a Watchlist tabela. O Microsoft Sentinel cria as seguintes funções no espaço de trabalho para ajudar a referenciar e consultar suas listas de observação:

• _GetWatchlistAlias - retorna os aliases de todas as suas listas de observação
• _GetWatchlist - consulta os pares nome-valor da lista de observação especificada

Ao criar uma lista de observação, você define a SearchKey. A chave de pesquisa é o nome de uma coluna na sua lista de observação que você espera usar como uma junção com outros dados ou como um objeto frequente de pesquisas. Por exemplo, suponha que você tenha uma lista de observação do servidor que contenha nomes de países/regiões e seus respetivos códigos de país de duas letras. Espera utilizar frequentemente os códigos de país para pesquisas ou participações. Assim, você usa a coluna do código do país como a chave de pesquisa.

Heartbeat
| lookup kind=leftouter _GetWatchlist('mywatchlist') 
  on $left.RemoteIPCountry == $right.SearchKey

Vejamos alguns outros exemplos de consultas.

Suponha que você queira usar uma lista de observação em uma regra de análise. Você cria uma lista de observação chamada ipwatchlist com colunas para IPAddress e Location. Você define IPAddress como a SearchKey.

Para incluir apenas eventos de endereços IP na lista de observação, você pode usar uma consulta onde watchlist é usado como uma variável ou embutida.

Este exemplo de consulta usa a lista de observação como uma variável:

  //Watchlist as a variable
  let watchlist = (_GetWatchlist('ipwatchlist') | project IPAddress);
  Heartbeat
  | where ComputerIP in (watchlist)

Este exemplo de consulta usa a lista de observação de forma integrada com a consulta e a chave de pesquisa definida para ela.

  //Watchlist inline with the query
  //Use SearchKey for the best performance
  Heartbeat
  | where ComputerIP in ( 
      (_GetWatchlist('ipwatchlist')
      | project SearchKey)
  )

Para obter mais informações, consulte Criar consultas e regras de deteção com listas de observação no Microsoft Sentinel e os seguintes artigos na documentação do Kusto:

• em que operador
• Operador do projeto
• operador de pesquisa
• em operador
• deixar declaração

Para obter mais informações sobre o KQL, consulte Visão geral da Kusto Query Language (KQL).

Outros recursos:

• Referência Rápida da KQL
• Kusto Query Recursos de aprendizagem de línguas

Conteúdo relacionado

Para obter mais informações, consulte:

• Criar listas de observação
• Crie consultas e regras de deteção com listas de observação
• Gerenciar listas de observação