Охотный ряд режим работы: ТЦ Охотный ряд

Используйте панель поиска, чтобы определить, с чего начать поиск, просматривая количество результатов, всплески или изменение количества результатов за 24-часовой период. Сортировка и фильтрация по избранному, источнику данных, тактике или технике MITRE ATT&CK, результатам, дельте результатов или проценту дельты результатов. Просмотрите запросы, для которых по-прежнему требуется подключение к источникам данных, и получите рекомендации по включению этих запросов.

В следующей таблице описаны подробные действия, доступные на панели поиска:

Действие	Описание
Посмотрите, как запросы применимы к вашей среде	Нажмите кнопку Выполнить все запросы или выберите подмножество запросов, используя флажки слева от каждой строки, и нажмите кнопку Выполнить выбранные запросы . Выполнение ваших запросов может занять от нескольких секунд до многих минут, в зависимости от того, сколько запросов выбрано, временной диапазон и объем запрашиваемых данных.
Просмотр запросов, которые возвратили результаты	После выполнения запросов просмотрите запросы, которые вернули результаты, используя фильтр Результаты : — Сортировка, чтобы увидеть, какие запросы дали больше всего или меньше всего результатов. — просмотрите запросы, которые совсем не активны в вашей среде, выбрав Н/Д в фильтре результатов . — наведите указатель мыши на значок информации ( i ) рядом с Н/Д , чтобы узнать, какие источники данных необходимы для активации этого запроса.
Выявление всплесков в ваших данных	Выявление всплесков данных путем сортировки или фильтрации по Дельта результатов или Процент дельты результатов . Это сравнивает результаты за последние 24 часа с результатами за предыдущие 24-48 часов, выделяя любые большие различия или относительные различия в объеме.
Просмотр запросов, сопоставленных с тактикой MITRE ATT&CK	На панели тактик MITRE ATT&CK в верхней части таблицы указано, сколько запросов сопоставлено с каждой тактикой MITRE ATT&CK. Тактическая панель динамически обновляется в зависимости от текущего набора примененных фильтров. Это позволяет вам увидеть, какие тактики MITRE ATT&CK отображаются при фильтрации по заданному количеству результатов, высокой дельте результатов, N/A результатов или любому другому набору фильтров.
Просмотр запросов, сопоставленных с методами MITRE ATT&CK	Запросы также могут быть сопоставлены с методами MITRE ATT&CK. Вы можете фильтровать или сортировать по методам MITRE ATT&CK, используя фильтр Technique . Открыв запрос, вы сможете выбрать метод, чтобы увидеть описание метода MITRE ATT&CK.
Сохранить запрос в избранное	Запросы, сохраненные в избранном, автоматически выполняются каждый раз при доступе к странице Hunting . Вы можете создать свой собственный поисковый запрос или клонировать и настроить существующий шаблон поискового запроса.
Выполнение запросов	Выберите Запустить запрос на странице сведений о запросе поиска, чтобы выполнить запрос непосредственно со страницы поиска. Количество совпадений отображается внутри таблицы, в столбце Результаты . Просмотрите список поисковых запросов и их совпадений.
Просмотр базового запроса	Выполните быстрый просмотр базового запроса в области сведений о запросе. Вы можете увидеть результаты, нажав на Ссылка Просмотр результатов запроса (под окном запроса) или кнопка Просмотр результатов (в нижней части панели). Запрос откроется в колонке Logs (Log Analytics), и под запросом вы сможете просмотреть совпадения для запроса.

Создайте настраиваемый поисковый запрос

Создайте или измените запрос и сохраните его как собственный запрос или поделитесь им с пользователями, которые находятся в том же арендаторе.

Чтобы создать новый запрос :

1. Выберите Новый запрос .

2. Заполните все пустые поля и выберите Создать .

   1. Создайте сопоставления сущностей, выбрав типы сущностей, идентификаторы и столбцы.

   2. Сопоставьте методы MITRE ATT&CK с вашими охотничьими запросами, выбрав тактику, технику и подтехнику (если применимо).

Чтобы клонировать и изменить существующий запрос :

1. В таблице выберите поисковый запрос, который вы хотите изменить.

2. Выберите многоточие (…) в строке запроса, который вы хотите изменить, и выберите Клонировать запрос .

3. Измените запрос и выберите Создать .

Чтобы изменить существующий пользовательский запрос :

1. В таблице выберите поисковый запрос, который вы хотите изменить. Обратите внимание, что редактировать можно только запросы из пользовательского источника контента. Другие источники контента должны быть отредактированы в этом источнике.

2. Выберите многоточие (…) в строке запроса, который вы хотите изменить, и выберите Изменить запрос .

3. Измените поле Пользовательский запрос с помощью обновленного запроса. Вы также можете изменить сопоставление сущностей и методы, как описано в разделе « Создание нового запроса » этой документации.

Пример запроса

Типичный запрос начинается с имени таблицы или синтаксического анализатора, за которым следует ряд операторов, разделенных вертикальной чертой («|»).

В приведенном выше примере начните с имени таблицы SecurityEvent и добавьте элементы конвейера по мере необходимости.

1. Определите временной фильтр для просмотра только записей за предыдущие семь дней.

2. Добавьте в запрос фильтр, чтобы отображались только события с идентификатором 4688.

3. Добавьте фильтр в запрос в командной строке, чтобы он содержал только экземпляры cscript.exe.

4. Проецируйте только интересующие вас столбцы и ограничивайте результаты до 1000 и выберите Выполнить запрос .

5. Выберите зеленый треугольник и запустите запрос. Вы можете протестировать запрос и запустить его для поиска аномального поведения.

Мы рекомендуем, чтобы ваш запрос использовал синтаксический анализатор Advanced Security Information Model (ASIM), а не встроенную таблицу. Это гарантирует, что запрос будет поддерживать любой текущий или будущий источник данных, а не один источник данных.

Создание закладок

В процессе поиска и расследования вы можете столкнуться с результатами запросов, которые могут выглядеть необычными или подозрительными. Добавьте эти элементы в закладки, чтобы обращаться к ним в будущем, например, при создании или дополнении инцидента для расследования. Такие события, как потенциальные первопричины, индикаторы компрометации или другие заметные события, должны быть отмечены как закладки. Если ключевое событие, которое вы отметили в закладках, достаточно серьезное, чтобы потребовать расследования, эскалируйте его до инцидента.

• В результатах отметьте галочками все строки, которые вы хотите сохранить, и выберите Добавить закладку . Это создает запись для каждой помеченной строки — закладку — которая содержит результаты строки, а также запрос, создавший результаты. К каждой закладке можно добавлять собственные теги и примечания.

  • Как и в случае с запланированными правилами аналитики, вы можете дополнить свои закладки сопоставлениями сущностей, чтобы извлечь несколько типов и идентификаторов сущностей, а также сопоставлениями MITRE ATT&CK, чтобы связать определенные тактики и методы.
  • Закладки по умолчанию будут использовать те же сопоставления объектов и методов MITRE ATT&CK, что и поисковый запрос, выдавший результаты с закладками.

• Просмотрите все отмеченные находки, щелкнув вкладку Закладки на главной странице Охота . Добавьте теги к закладкам, чтобы классифицировать их для фильтрации. Например, если вы исследуете атакующую кампанию, вы можете создать тег для кампании, применить этот тег ко всем соответствующим закладкам, а затем отфильтровать все закладки на основе кампании.

• Исследуйте одну закладку, выбрав закладку, а затем щелкнув Исследовать на панели сведений, чтобы открыть интерфейс исследования. Вы также можете напрямую выбрать объект из списка, чтобы просмотреть соответствующую страницу этого объекта.

  Вы также можете создать инцидент из одной или нескольких закладок или добавить одну или несколько закладок к существующему инциденту. Установите флажок слева от всех закладок, которые вы хотите использовать, а затем выберите Действия при инциденте > Создать новый инцидент или Добавить к существующему инциденту . Сортировка и расследование инцидента, как и любого другого.

Дополнительные сведения см. в разделе Использование закладок при поиске.

Используйте ноутбуки для проведения расследований

Когда ваша охота и расследования становятся более сложными, используйте ноутбуки Microsoft Sentinel, чтобы улучшить свою деятельность с помощью машинного обучения, визуализации и анализа данных.

Ноутбуки представляют собой своего рода виртуальную песочницу с собственным ядром, где вы можете провести полное расследование. Ваша записная книжка может включать необработанные данные, код, который вы запускаете на этих данных, результаты и их визуализации. Сохраняйте свои записные книжки, чтобы делиться ими с другими для повторного использования в вашей организации.

Записные книжки могут быть полезны, когда ваша охота или расследование становятся слишком большими, чтобы их можно было легко запомнить, просмотреть детали или когда вам нужно сохранить запросы и результаты. Чтобы помочь вам создавать и совместно использовать блокноты, Microsoft Sentinel предоставляет Jupyter Notebooks, интерактивную среду разработки и обработки данных с открытым исходным кодом, интегрированную непосредственно на странице Microsoft Sentinel Notebooks .

Для получения дополнительной информации см.:

• Использование Jupyter Notebook для поиска угроз безопасности
• Документация проекта Jupyter
• Вводная документация по Jupyter.
• Книга Infosec Jupyter
• Учебники по реальному Python

В следующей таблице описаны некоторые методы использования записных книжек Jupyter для поддержки ваших процессов в Microsoft Sentinel:

Метод	Описание
Постоянство данных, повторяемость и возврат	Если вы работаете со многими запросами и наборами результатов, у вас, вероятно, возникнут тупиковые ситуации. Вам нужно будет решить, какие запросы и результаты сохранить и как собрать полезные результаты в одном отчете. Используйте Jupyter Notebooks для сохранения запросов и данных по ходу работы, используйте переменные для повторного запуска запросов с другими значениями или датами или сохраняйте запросы для повторного запуска в будущих исследованиях.
Сценарии и программирование	Используйте Jupyter Notebooks для добавления программирования к вашим запросам, включая: — Декларативные языки , такие как Kusto Query Language (KQL) или SQL, для кодирования вашей логики в одном, возможно, сложном операторе. — Процедурный языков программирования для запуска логики в несколько шагов. Разделение логики на этапы может помочь вам просматривать и отлаживать промежуточные результаты, добавлять функциональные возможности, которые могут быть недоступны в языке запросов, и повторно использовать частичные результаты на последующих этапах обработки.
Ссылки на внешние данные	В то время как таблицы Microsoft Sentinel содержат большую часть данных телеметрии и событий, Jupyter Notebooks может ссылаться на любые данные, доступные по сети или из файла. Использование Jupyter Notebooks позволяет включать такие данные, как:  — данные во внешних службах, которыми вы не владеете, например данные геолокации или источники информации об угрозах.  – конфиденциальные данные, которые хранятся только внутри вашей организации, например базы данных кадров или списки ценных активов.  – данные, которыми вы владеете. еще не мигрировали в облако.
Специализированные средства обработки данных, машинного обучения и визуализации	Jupyter Notebooks предоставляет дополнительные визуализации, библиотеки машинного обучения, а также функции обработки и преобразования данных. Например, используйте Jupyter Notebooks со следующими возможностями Python: — панды для обработки данных, очистки и разработки — Matplotlib, HoloViews и Plotly для визуализации — NumPy и SciPy для расширенной числовой и научной обработки — scikit-learn для машинного обучения — TensorFlow, PyTorch и Keras для глубокого обучения Совет : Jupyter Notebooks поддерживает несколько языковых ядер. Используйте magics , чтобы смешивать языки в одной записной книжке, разрешая выполнение отдельных ячеек с использованием другого языка. Например, вы можете получить данные с помощью ячейки сценария PowerShell, обработать данные в Python и использовать JavaScript для визуализации.

Инструменты безопасности MSTIC, Jupyter и Python

Центр Microsoft Threat Intelligence Center (MSTIC) — это группа аналитиков и инженеров Microsoft по безопасности, которые создают средства обнаружения угроз безопасности для нескольких платформ Microsoft и работают над выявлением и расследованием угроз.

Компания MSTIC создала MSTICPy, библиотеку для исследований в области информационной безопасности и поиска в Jupyter Notebooks. MSTICPy предоставляет повторно используемые функции, цель которых — ускорить создание записных книжек и упростить пользователям чтение записных книжек в Microsoft Sentinel.

Например, MSTICPy может:

• Запрашивать данные журнала из нескольких источников.
• Дополните данные аналитикой угроз, геолокациями и данными ресурсов Azure.
• Извлечение индикаторов активности (IoA) из журналов и распаковка закодированных данных.
• Выполняйте сложные анализы, такие как обнаружение аномальных сеансов и декомпозиция временных рядов.
• Визуализируйте данные с помощью интерактивных временных шкал, деревьев процессов и многомерных морфологических диаграмм.

MSTICPy также включает в себя некоторые инструменты записной книжки, позволяющие сэкономить время, такие как виджеты, которые устанавливают границы времени запроса, выбирают и отображают элементы из списков и настраивают среду записной книжки.

Для получения дополнительной информации см.:

• Документация по MSTICPy
Учебник по
• . Начало работы с блокнотами Jupyter и MSTICPy в Microsoft Sentinel
• Расширенные настройки для ноутбуков Jupyter и MSTICPy в Microsoft Sentinel

Полезные операторы и функции

Поисковые запросы построены на Kusto Query Language (KQL), мощном языке запросов с языком IntelliSense, который дает вам мощность и гибкость, необходимые для перехода на новый уровень поиска.

Это тот же язык, который используется в запросах в ваших правилах аналитики и в других местах в Microsoft Sentinel. Дополнительные сведения см. в разделе Справочник по языку запросов.

Следующие операторы особенно полезны в поисковых запросах Microsoft Sentinel:

• , где — фильтрация таблицы по подмножеству строк, удовлетворяющих предикату.

• обобщение — Создать таблицу, объединяющую содержимое входной таблицы.

• объединение — объединить строки двух таблиц, чтобы сформировать новую таблицу путем сопоставления значений указанных столбцов из каждой таблицы.

• count — возвращает количество записей во входном наборе записей.

• верхняя — Вернуть первые N записей, отсортированных по указанным столбцам.

• limit — Возврат до указанного количества строк.

• проект — выберите столбцы для включения, переименования или удаления, а также вставьте новые вычисляемые столбцы.

• extend — создание вычисляемых столбцов и добавление их к набору результатов.

• makeset — вернуть динамический (JSON) массив набора различных значений, которые Expr принимает в группе

• find — Поиск строк, соответствующих предикату в наборе таблиц.

• adx() — эта функция выполняет межресурсные запросы к источникам данных Azure Data Explorer из возможностей поиска Microsoft Sentinel и Log Analytics. Дополнительные сведения см. в статье Запросы между ресурсами Azure Data Explorer с помощью Azure Monitor.

Дальнейшие действия

В этой статье вы узнали, как провести расследование с помощью Microsoft Sentinel.

Для получения дополнительной информации см. :

• Использование ноутбуков для проведения автоматизированных охотничьих кампаний
• Используйте закладки для сохранения интересной информации во время охоты

Изучите пример использования настраиваемых правил аналитики при мониторинге Zoom с помощью настраиваемого соединителя.

DNR: Рыба и дикая природа: охотничий этикет

Закрыть меню

• Рыба и дикая природа
• Рыбные и дикие ресурсы
• Животные
• Охота на белохвостого оленя
• Текущий: Охотничий этикет

1. Получить разрешение на охоту на частной земле по официальному запросу. Вы можете распечатать Форму разрешения на использование частной земли и либо отправить ее землевладельцу по почте, либо передать ее непосредственно ему или ей. Посещение землевладельца лично более дружелюбно и демонстрирует более сильную приверженность, чем отправка запроса по почте, и может увеличить ваши шансы на получение разрешения. Есть много разных причин, по которым землевладелец может отказать в просьбе. Независимо от их решения, всегда относитесь к ним с уважением. Помните, что ваша манера поведения может повлиять на аналогичные возможности для будущих охотников.
2. Если вы получаете разрешение на охоту на частной земле, всегда относитесь с уважением к собственности. Лучшее эмпирическое правило — оставить землю лучше, чем вы ее нашли. Сообщайте землевладельцу о любых признаках беспокойства, убирайте мусор, если видите его, и не оставляйте никаких следов. Оставьте любые ворота такими, какими вы их нашли, открытыми или закрытыми. Не стреляйте вблизи или в сторону домов. Даже если выстрел слишком далеко, чтобы быть опасным, звук может быть разрушительным и обескураживающим для соседних землевладельцев, которые могут подумывать о том, чтобы открыть свою землю для охотников. Соберите свои ракушки, прежде чем уйти.
3. Знайте границы, в которых вам разрешено охотиться. Никогда не стреляйте и не преследуйте оленей на территории без явного разрешения. Это не только грубо, но и незаконно в Индиане. Если высока вероятность того, что ваше место охоты приведет раненого оленя к соседнему участку, на который у вас нет разрешения на охоту, либо найдите другое место, либо получите разрешение от владельца этого участка, прежде чем охотиться.
4. Никогда не используйте прицел для идентификации людей или чего-либо, кроме вашего целевого вида. Для таких целей рекомендуется иметь небольшой бинокль, чтобы приближающиеся люди никогда не направляли на них пистолет.
5. Будьте уверены в своей цели и в том, что за ней; не стреляйте в сторону домов или транспортных средств.
6. Соблюдайте дистанцию ​​между собой и соседними охотниками; не тесните кого-либо, если он или она уже заняли место. Места для охоты предоставляются в порядке живой очереди. Всегда полезно заранее застолбить несколько мест.
7. Если вы получили разрешение на охоту на чужой земле или в чьем-то предпочтительном охотничьем месте, не думайте, что это приглашение распространяется и на других. Недвусмысленно спросите у землевладельца или охотника, предназначено ли это разрешение только для вас или другие люди, которых вы знаете, приветствуются. Если есть разрешение пригласить других, всегда вежливо спросить, сколько.
8. Во время охоты будьте внимательны к другим охотникам и любителям активного отдыха. Громкий шум от разговоров, езды на квадроцикле или волочения оленя может испортить охоту другого человека или общий отдых на природе. Подождите, пока другие охотники не уйдут, если вам нужно сделать что-то шумное.
9. Туши оленей и других диких животных, добытые на законных основаниях, не могут быть сброшены в ручьи или другие водоемы. Сбрасывание мертвых оленей и других диких животных в водоем считается мусором и является уголовным преступлением, наказуемым штрафом. Гниющие трупы в водотоке также могут повлиять на качество воды для тех, кто находится ниже по течению. Трупы нельзя сжигать, так как это может привести к загрязнению воздуха. Туши нельзя оставлять на виду у падальщиков и других лиц без разрешения землевладельца. Мы рекомендуем упаковывать все выброшенные туши и ненужные части животных в пакеты, выбрасывать их в мусор и отправлять на свалку.
10. Служите позитивным представителем охотников и охотничьей культуры для тех, кто не знаком с охотой или не определился с ней. Накройте добытых оленей брезентом и транспортируйте их незаметно. Не показывайте своего оленя в кузове пикапа с опущенной задней дверью. Будьте осторожны с тем, как вас воспринимают не-охотники. Не делайте ничего, преднамеренно или непреднамеренно, что может превратить их в анти-охотников.
11. Самое главное, цените свою охотничью экскурсию по общему опыту. Ценность ваших усилий легко оценить по тому, сколько оленей вы поймали или насколько велик был трофей, но охота — это полный пакет. Вам не нужно брать общий лимит багажа, чтобы получить отличный опыт. Проявите сдержанность.