Mapear os Microsoft Azure Sentinel campos de incidentes

  • Versão de lançamento: Xanadu
  • Atualizado 1 de ago. de 2024
  • 7 min. de leitura

    • Mapeie os campos de incidente Microsoft Azure Sentinel individuais para os campos no incidente de segurança SIR para que você possa criar incidentes com os dados mapeados.

    Antes de Iniciar

    Função necessária: sn_si.admin

    Procedimento

    1. Na página de mapeamento, na seção Mapeamento de campo do Azure Sentinel, selecione um dos Métodos de ingestão de amostra.
      Tabela 1. Métodos de ingestão de amostra
      Campo Descrição
      Todos os campos padrão de Incidente e entidade Use este método de ingestão para exibir a lista estática de todos os incidentes e campos de entidade. Este método contém somente nomes de campo padrão sem valores.

      Você pode usar essas informações para mapear com os campos SIR.
      Recuperar incidentes recentes do Azure Sentinel Use este método de ingestão para importar os dados de entidades e incidentes mais recentes.

      Se o incidente do Azure Sentinel contiver os dados da entidade, os dados da entidade serão recuperados e estarão disponíveis para mapeamento na seção Campos de origem do Azure Sentinel. Às vezes, o incidente do Azure Sentinel pode não conter os dados da entidade e, portanto, os campos da entidade não estão disponíveis para mapeamento nesse cenário.

      Se o incidente do Azure Sentinel contiver vários alertas, o alerta mais antigo que fizer parte do incidente será mostrado na seção de mapeamento. Durante a ingestão, os valores mais antigos do campo de alerta de segurança serão usados.

      Você pode ingerir 5 incidentes de amostra por padrão e um máximo de 20 incidentes de amostra.

      Os valores do campo de incidente de amostra são preenchidos quando o perfil ingere os incidentes de amostra. Você pode mapear esses incidentes para os Campos de destino do incidente SIR. Os campos e valores de incidente aparecem como guias individuais.
      Importar dados de amostra Clique em Importar dados de amostra para importar incidentes de amostra do Azure Sentinel.

      Este botão aparece quando você seleciona o método de ingestão Recuperar incidentes recentes do Azure Sentinel.

      A recuperação de incidentes de amostra do servidor Microsoft Azure Sentinel pode demorar um pouco.

      Mapeie esses incidentes recuperados para os campos de destino do incidente SIR. Os campos e valores de incidente aparecem como guias individuais.
      Mapeamento de campo de incidentes do Azure Sentinel
    2. Para adicionar campos aos campos padrão que são exibidos no incidente de segurança, execute as seguintes ações:
      1. Na seção Campos de destino do incidente SIR, clique no botão Mapear outro campo. Botão Mapear outro campo.
        Ele mostra uma lista de SIR campos, na qual você pode selecionar um campo para um novo campo a ser exibido.
      2. Na coluna Incidente de segurança, expanda a lista exibida e selecione um campo.
        Nota:
        Vários observáveis podem ser exibidos no mesmo incidente de segurança. Por exemplo, o campo Observável pode ser mapeado várias vezes com valores diferentes. Da mesma forma, os campos Item de configuração e Anotações de trabalho oferecem suporte a vários valores. Se você tentar mapear dois valores para um campo que não é compatível com vários valores, verá uma mensagem de erro informando que este campo não é compatível com vários valores. Da mesma forma, se um campo em um incidente de segurança tiver uma lista na qual você pode escolher várias opções e tentar mapear uma opção para esse campo que não está exibido na lista, o campo não será preenchido no incidente de segurança.
      3. Na seção Campos de origem do Azure Sentinel, arraste e solte seu campo para mapeá-lo para o novo campo.
      4. Quando você marca a caixa de seleção que corresponde a um campo, todas as mudanças novas ou atualizadas feitas no Azure Sentinel atualizam automaticamente os respectivos dados de incidente SIR com os novos dados de incidente.
        Nota:
        No sistema base, a propriedade do sistema sn_sec_sentinel.incident_updates é definida por padrão como Verdadeira para receber as Microsoft Azure Sentinel atualizações relacionadas a novos alertas vinculados ao SIR.
        • Por padrão, os campos Usuários afetados, Itens de configuração e Observáveis são verificados. Isso significa que sempre que houver novos observáveis ou itens de configuração associados, ou usuários afetados que sejam adicionados ao incidente, essas informações serão extraídas automaticamente e preenchidas nas respectivas listas relacionadas no Security Incident Response (SIR) durante esse intervalo de pesquisa.
        • Para todos os outros campos, você deve marcar a caixa de seleção que corresponde a um campo para todas as mudanças novas ou atualizadas feitas no registro de incidente do Azure Sentinel no Azure Sentinel. Isso atualizará automaticamente os respectivos dados de incidente SIR com os novos dados de incidente.
        Importante:
        É necessário fazer a diligência prévia antes de selecionar esta funcionalidade, pois a substituição dos dados existentes pode resultar em dados instáveis para o analista trabalhar e qualquer outra automação definida até mesmo pelos valores de campo do incidente de segurança também pode ser afetada. Portanto, é muito importante fazer a devida diligência antes de selecionar qualquer funcionalidade de substituição.
    3. Para remover um campo, use o botão Remover botão Remover item ao lado do campo de expressão de entrada na seção Campos de destino do incidente SIR.
    4. Para mapear um valor de campo da seção Campos de origem do Azure Sentinel para um campo na seção Campos de destino do incidente SIR, use uma das seguintes ações:
      1. Arraste o nome do campo (por exemplo, id) e solte-o ao lado de um nome de campo na coluna Campos de destino do incidente SIR.

        Você pode corresponder qualquer valor da seção Campos de origem do Azure Sentinel a um campo na seção Campos de destino do incidente SIR. Os campos são codificados por cores para que você não ignore ou duplique os campos de incidente no processo de mapeamento. Os campos em azul claro indicam que um campo de incidente ainda não foi selecionado e mapeado no incidente de segurança. Você pode preferir associar um campo de incidente de entrada a mais de um campo em um incidente de segurança. Um campo cinza indica que um campo foi selecionado e mapeado para um campo no incidente de segurança. Dessa forma, você pode visualizar quais valores de campo foram adicionados ao incidente de segurança e se alguma informação importante do incidente restante permanece não mapeada.

      2. Você pode adicionar uma combinação de texto e campo.
        Por exemplo, o nome do incidente é ${name}$. Aqui, o nome do incidente pode ser inserido manualmente enquanto ${name}$ é mapeado na seção Campos de origem do Azure Sentinel.
      3. Você pode inserir e mapear manualmente um incidente de origem ou campo de entidade para um campo de destino.
        • Para mapear manualmente um campo de incidente de origem, use o formato $⁠{field name}$. Por exemplo, para mapear um campo de incidente Gravidade, o formato é$⁠{properties(severity)}$.
        • Para adicionar manualmente um campo de entidade de origem, use o formato $⁠{entity name: entity field}$. Por exemplo, para mapear um campo de entidade Descrição do alerta de segurança da entidade, o formato é $⁠{SecurityAlert: properties(description)}$.
      Esta integração classifica determinados subtipos de observável. Quando você mapeia um campo do Azure Sentinel com o campo do observável SIR, o Now Platform classifica automaticamente o observável. Se você quiser mapear genericamente o observável do Azure Sentinel de entrada para o tipo de observável em SIR, arraste e solte o campo do Azure Sentinel no campo Observável. No entanto, se você estiver ciente do tipo de observável para o observável do Azure Sentinel de entrada em SIR, mapeie especificamente para o campo de tipo de observável SIR. Alguns exemplos de tipos de observável específicos em SIR incluem Observável (nome do domínio), Observável (endereço de e-mail), Observável (endereço IP (V4)) e Observável (nome do host).

      Se os campos de entrada do Azure Sentinel contiverem MITRE-ATT&CK informações, mapeie-as para o campo MITRE-ATT&CK Técnica. Certifique-se de que o campo de entrada do Azure Sentinel contenha o ID da técnica MITRE-ATT&CK ou o nome da técnica.

      Às vezes, os valores do campo de incidente em Microsoft Azure Sentinel podem não ser convertidos diretamente para os campos no incidente de segurança SIR. Para esses valores, você pode usar um editor de script para formatar valores de campo no incidente de segurança durante a etapa de mapeamento. Use o editor de script se quiser formatar valores semelhantes, mas não idênticos.

    5. Para formatar uma tradução de campo para um novo campo de um incidente do Azure Sentinel para corresponder a um valor de campo em um incidente de segurança, clique no link Clique aqui no cabeçalho Campos de destino do incidente SIR.
    6. Para modificar os campos que oferecem suporte à tradução de campos, clique no botão Formato de campo ícone de tradução de campo de formato de script.
      Os campos que oferecem suporte à tradução de campos são Categoria, Item de configuraçãoe Prioridade. Por exemplo, clique no ícone do botão Formato de campo ao lado da Categoria. O editor de script Tradução de campo do Azure Sentinel é aberto.
    7. Insira as mudanças no script e clique em Atualizar para salvar as mudanças e retornar à página Mapeamento.
      Por exemplo, para Categoria, defina o seguinte no editor de script:
      "<Incoming Sentinel Incident Field Value>" : "<Category to assign to the Security Incident>".
      Este mapeamento garante que um perfil use somente categorias configuradas.
    8. Continue o mapeamento adicionando ou removendo valores de campos.
      Você pode usar os mesmos valores de campos no construtor Condições de geração de incidentes para definir critérios adicionais que um incidente de entrada deve satisfazer para criar um incidente de segurança.
    9. Para mover para a seção Filtragem e Agregação, clique em Continuar.

    O que Fazer Depois

    Defina e defina as condições do filtro para que você possa especificar quais incidentes devem criar incidentes de segurança. Você pode usar os mesmos valores de campo (definidos na seção Mapeamento) no construtor Condições de geração de incidente (na seção Filtragem e agregação) para definir critérios adicionais que um incidente de entrada deve satisfazer para criar um incidente de segurança.