Introdução ao notebooks Jupyter e à MSTICPy no Microsoft Azure Sentinel

Este artigo descreve como executar o Guia de Introdução para o Microsoft Sentinel ML Notebooks, que define configurações básicas para executar notebooks Jupyter no Microsoft Sentinel e fornece exemplos de execução de consultas simples.

O Guia de Introdução para o bloco de anotações Microsoft Sentinel ML Notebooks utiliza MSTICPy, uma poderosa biblioteca Python projetada para aprimorar investigações de segurança e caça a ameaças dentro dos blocos de anotações do Microsoft Sentinel. Ele fornece ferramentas internas para enriquecimento de dados, visualização, detecção de anomalias e consultas automatizadas, ajudando os analistas a simplificar seu fluxo de trabalho sem codificação personalizada extensa.

Para obter mais informações, consulte Usar notebooks para alimentar investigações e usar notebooks Jupyter para procurar ameaças à segurança.

Pré-requisitos

Antes de começar, verifique se você tem as permissões e os recursos necessários.

Instalar e executar o notebook Guia de Introdução

Este procedimento descreve como iniciar seu notebook com o Microsoft Sentinel.

1. Para o Microsoft Sentinel no Portal do Defender, selecione Microsoft Sentinel>Gerenciamento de ameaças>Notebooks. Para o Microsoft Sentinel no portal do Azure, em Gerenciamento de ameaças, selecione Notebooks.

2. Na aba Templates, selecione Guia de Iniciação para Notebooks de ML do Microsoft Sentinel.

3. Selecione Criar a partir do modelo.

4. Edite o nome e selecione o workspace do Azure Machine Learning conforme apropriado.

5. Selecione Salvar para salvá-lo no workspace do Azure Machine Learning.

6. Selecione Abrir notebook para executar o notebook. O notebook contém uma série de células:

   • As células Markdown contêm texto e elementos gráficos com instruções para usar o notebook
   • As células de código contêm código executável que executam as funções de notebook

7. Na parte superior da página, selecione sua Computação.

8. Continue lendo as células de markdown e executando as células de código na sequência correta, usando as instruções do notebook. Ignorar células ou executá-las fora de ordem pode causar erros no notebook mais tarde.

   Dependendo da função que está sendo executada, o código na célula pode ser executado rapidamente ou pode levar algum tempo para ser concluído. Quando a célula está em execução, o botão de reprodução muda para um spinner de carregamento e o status é exibido na parte inferior da célula, juntamente com o tempo decorrido.

   Na primeira vez em que você executa uma célula de código, pode haver alguns minutos para iniciar a sessão, dependendo das configurações de computação. Uma indicação Pronto é mostrada quando o notebook está pronto para executar células de código. Por exemplo:

   

O Guia de Introdução dos Notebooks de ML do Microsoft Sentinel inclui seções para as seguintes atividades:

O código no Guia de Introdução do Microsoft Sentinel ML Notebooks abre a ferramenta MpConfigEdit, que possui uma série de abas para configurar o ambiente do seu notebook. Ao fazer alterações na ferramenta MpConfigEdit , salve as alterações antes de continuar. As configurações do notebook são armazenadas no arquivo msticpyconfig.yaml , que é preenchido automaticamente com detalhes iniciais para seu workspace.

Leia cuidadosamente as células markdown para entender completamente o processo, incluindo cada uma das configurações e o arquivo msticpyconfig.yaml . As próximas etapas, recursos extras e perguntas frequentes do wiki do Azure Sentinel Notebooks estão disponíveis no final do caderno.

Personalizar suas consultas (opcional)

O Guia de Introdução do Bloco de Anotações ML do Microsoft Sentinel fornece consultas de exemplo para você usar ao aprender sobre blocos de anotações. Personalize as consultas internas adicionando mais lógica de consulta ou execute consultas completas usando a exec_query função. Por exemplo, a maioria das consultas internas dá suporte ao parâmetro add_query_items, que você pode usar para anexar filtros ou outras operações às consultas.

1. Execute a célula de código a seguir para adicionar um quadro de dados que resume o número de alertas por nome do alerta:

   from datetime import datetime, timedelta
   
   qry_prov.SecurityAlert.list_alerts(
      start=datetime.utcnow() - timedelta(28),
       end=datetime.utcnow(),
       add_query_items="| summarize NumAlerts=count() by AlertName"
   )
   

2. Passe uma cadeia de caracteres de consulta KQL (Linguagem de Consulta Kusto) completa para o provedor de consulta. A consulta é executada no espaço de trabalho conectado e os dados retornam como um DataFrame do Panda. Execute:

   # Define your query
   test_query = """
   OfficeActivity
   | where TimeGenerated > ago(1d)
   | take 10
   """
   
   # Pass the query to your QueryProvider
   office_events_df = qry_prov.exec_query(test_query)
   display(office_events_df.head())
   
   

Para obter mais informações, consulte:

• A Referência de consulta MSTICPy
• Executando consultas predefinidas do MSTICPy

Aplicar diretrizes a outros notebooks

As etapas neste artigo descrevem como executar o notebook Guia de Introdução para Notebooks do ML do Microsoft Sentinel no workspace do Azure Machine Learning por meio do Microsoft Sentinel. Você também pode usar este artigo como guia para realizar etapas semelhantes para executar notebooks em outros ambientes, inclusive localmente.

Vários notebooks do Microsoft Sentinel não usam MSTICPy, como os notebooks do Verificador de Credenciais ou os exemplos do PowerShell e do C#. Os notebooks que não usam o MSTICpy não precisam da configuração do MSTICPy descrita neste artigo.

Experimente outros cadernos do Microsoft Sentinel, como:

• Configurando o ambiente do notebook
• Um tour pelos recursos do notebook Cybersec
• Exemplos do Machine Learning em Notebooks
• A série Explorador de Entidades, incluindo variações para contas, domínios e URLs, endereços IP e hosts Linux ou Windows.

Para obter mais informações, consulte:

• Jupyter notebooks com recursos de busca do Microsoft Sentinel
• Configurações avançadas para jupyter notebooks e MSTICPy no Microsoft Sentinel
• Criar seu primeiro bloco de anotações do Microsoft Sentinel (série de blogs)
• Passo a passo do Bloco de Anotações do Gerenciador de Host do Linux (Blog)

Conteúdo relacionado

Para obter mais informações, consulte:

• Documentação do MSTICPy
• Jupyter Notebooks: Uma introdução
• O Jupyterbook de Infosec
• Por que usar o Jupyter para investigações de segurança
• Investigações de segurança com o Microsoft Sentinel &Notebooks