Fügen Sie Microsoft Sentinel Bedrohungsdaten in großen Mengen aus einer CSV- oder JSON-Datei hinzu

In diesem Artikel wird veranschaulicht, wie Sie Indikatoren aus einem CSV- oder STIX-Objekt aus einer JSON-Datei zu Microsoft Sentinel Threat Intelligence hinzufügen. Da die Threat Intelligence-Freigabe während einer laufenden Untersuchung immer noch über E-Mails und andere informelle Kanäle erfolgt, ist die Möglichkeit, diese Informationen schnell in Microsoft Sentinel zu importieren, wichtig, um neue Bedrohungen an Ihr Team weiterzugeben. Die importierten Bedrohungsintelligenzobjekte stehen dann zur Verfügung, um andere Analysen wie das Erstellen von Sicherheitswarnungen, Vorfällen und automatisierten Reaktionen zu unterstützen.

Voraussetzungen

Sie müssen über Lese- und Schreibberechtigungen für den Microsoft Sentinel Arbeitsbereich verfügen, um Ihre Threat Intelligence speichern zu können.

Wählen Sie eine Importvorlage für Ihre Bedrohungsinformationen

Fügen Sie mehrere Threat Intelligence-Objekte mit einer speziell gestalteten CSV- oder JSON-Datei hinzu. Laden Sie die Dateivorlagen herunter, um sich mit den Feldern und deren Zuordnung zu ihren Daten vertraut zu machen. Überprüfen Sie die erforderlichen Felder für jeden Vorlagentyp, um Ihre Daten zu überprüfen, bevor Sie sie importieren.

1. Wählen Sie für Microsoft Sentinel im Azure-Portal unter Bedrohungsverwaltung die Option Threat Intelligence aus.

   Wählen Sie für Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Bedrohungsverwaltung>threat intelligence aus.

2. Wählen Sie Importieren>Importieren mithilfe einer Datei aus.

   • Defender-Portal
   • Azure-Portal

   

3. Wählen Sie im Dropdownmenü Dateiformat die Option CSV oder JSON aus.

   

   Hinweis

   Die CSV-Vorlage unterstützt nur Indikatoren. Die JSON-Vorlage unterstützt Indikatoren und andere STIX-Objekte wie Bedrohungsakteure, Angriffsmuster, Identitäten und Beziehungen. Weitere Informationen zum Erstellen unterstützter STIX-Objekte in JSON finden Sie unter Api-Referenz zum Hochladen.

4. Nachdem Sie eine Vorlage für den Massenupload ausgewählt haben, wählen Sie den Link Vorlage herunterladen aus.

5. Erwägen Sie, Ihre Bedrohungserkennung nach Quelle zu gruppieren, da für jeden Dateiupload eine Quelle erforderlich ist.

Die CSV- und JSON-Vorlagen liefern alle Felder, die Sie benötigen, um einen einzigen gültigen Indikator zu erstellen, einschließlich der erforderlichen Felder und Validierungsparameter. Replizieren Sie die Feldstruktur der Vorlage, um mehr Indikatoren in einer Datei zu füllen, oder fügen Sie STIX-Objekte zur JSON-Datei hinzu. Weitere Informationen zu den Vorlagen finden Sie unter Grundlegendes zu den Importvorlagen.

Hochladen der Threat Intelligence-Datei

Laden Sie Ihre vorbereitete CSV- oder JSON-Datei hoch, und geben Sie die Quelldetails für den Import an.

1. Ändern Sie den Dateinamen von der Standardeinstellung der Vorlage, aber behalten Sie die Dateierweiterung als .csv oder .json bei. Wenn Sie einen eindeutigen Dateinamen erstellen, ist es einfacher, Ihre Importe über den Bereich Dateiimporte verwalten zu überwachen.

2. Ziehen Sie Ihre Threat-Intelligence-Sammeldatei in den Bereich Datei hochladen, oder wählen Sie die Datei über den Link aus.

3. Geben Sie im Textfeld Quelle eine Quelle für die Bedrohungsinformationen ein. Der Quellwert wird auf allen in dieser Datei enthaltenen Indikatoren gestempelt. Zeigen Sie diese Eigenschaft als Feld an SourceSystem . Der Quellwert wird auch im Bereich "Dateiimporte verwalten " angezeigt. Weitere Informationen finden Sie unter Arbeiten mit Bedrohungsindikatoren.

4. Wählen Sie aus, wie Microsoft Sentinel ungültige Einträge behandeln sollen, indem Sie eine der Schaltflächen am unteren Rand des Bereichs Importieren mithilfe einer Datei auswählen:

   • Importieren Sie nur die gültigen Einträge, und lassen Sie alle ungültigen Einträge aus der Datei weg.
   • Importieren Sie keine Einträge, wenn ein einzelnes Objekt in der Datei ungültig ist.

   

5. Wählen Sie Importieren aus.

Verwalten von Dateiimporten

Überwachen Sie Ihre Importe, und zeigen Sie Fehlerberichte für teilweise importierte oder fehlgeschlagene Importe an.

1. Wählen Sie Importieren>Dateiimporte verwalten aus.

   

2. Überprüfen Sie die status importierter Dateien und die Anzahl ungültiger Einträge. Die gültige Eintragsanzahl wird aktualisiert, nachdem die Datei verarbeitet wurde. Warten Sie, bis der Import abgeschlossen ist, um die aktualisierte Anzahl gültiger Einträge abzurufen.

   

3. Zeigen Sie Importe an, und sortieren Sie sie, indem Sie Quelle, den Namen der Threat Intelligence-Datei, die Zahl Importiert, die Gesamtanzahl der Einträge in jeder Datei oder das Erstellungsdatum auswählen.

4. Wählen Sie die Vorschau der Fehlerdatei aus, oder laden Sie die Fehlerdatei herunter, die die Fehler zu ungültigen Einträgen enthält.

Microsoft Sentinel behält die status des Dateiimports 30 Tage lang bei. Die eigentliche Datei und die zugehörige Fehlerdatei werden 24 Stunden lang im System verwaltet. Nach 24 Stunden werden die Datei und die Fehlerdatei gelöscht, aber alle erfassten Indikatoren werden weiterhin in Threat Intelligence angezeigt.

Grundlegendes zu den Importvorlagen

Überprüfen Sie die CSV- und JSON-Vorlagen, um sicherzustellen, dass Ihre Bedrohungsinformationen erfolgreich importiert werden. Stellen Sie sicher, dass Sie die Anweisungen in der CSV- oder JSON-Vorlagendatei sowie die ergänzenden Anleitungen in den Abschnitten CSV-Vorlagenstruktur und JSON-Vorlagenstruktur referieren.

CSV-Vorlagenstruktur

Verwenden Sie die CSV-Vorlagenoptionen, um die richtige Struktur für Ihre Indikatordaten auszuwählen.

1. Wählen Sie im Dropdownmenü Indikatortypdie Option CSV aus. Wählen Sie dann zwischen den Optionen Dateiindikatoren oder Alle anderen Indikatortypen aus.

   Die CSV-Vorlage benötigt mehrere Spalten, um den Dateiindikatortyp zu berücksichtigen, da Dateiindikatoren mehrere Hashtypen wie MD5 und SHA256 aufweisen können. Alle anderen Indikatortypen wie IP-Adressen erfordern nur den beobachtbaren Typ und den beobachtbaren Wert.

2. Die Spaltenüberschriften für die CSV-Vorlage Alle anderen Indikatortypen enthalten Felder wie threatTypes, einzelne oder mehrere tags, confidenceund tlpLevel. Das Feld tlpLevel legt die Stufe des Traffic Light Protocol (TLP) fest, die als Sensibilitätskennzeichnung dient, um Entscheidungen über die Weitergabe von Bedrohungsinformationen zu unterstützen.

3. Nur die validFromFelder , observableTypeund observableValue sind erforderlich.

4. Löschen Sie die gesamte erste Zeile aus der Vorlage, um die Kommentare vor dem Upload zu entfernen.

   Die maximale Dateigröße für einen CSV-Dateiimport beträgt 50 MB.

Das folgende CSV-Beispiel zeigt, wie man einen Domainnamenindikator für den Massenimport mit dem CSV-Vorlagenschema formatiert:

threatTypes,tags,name,description,confidence,revoked,validFrom,validUntil,tlpLevel,severity,observableType,observableValue
Phishing,"demo, csv",MDTI article - Franken-Phish domainname,Entity appears in MDTI article Franken-phish,100,,2022-07-18T12:00:00.000Z,,white,5,domain-name,1776769042.tailspintoys.com

JSON-Vorlagenstruktur

Die JSON-Vorlage verwendet eine einzige STIX-2.1-Struktur für alle unterstützten Objekttypen. Überprüfen Sie die folgenden Details, wenn Sie Ihre JSON-Datei vorbereiten.

1. Es gibt nur eine JSON-Vorlage für alle STIX-Objekttypen. Die JSON-Vorlage basiert auf dem STIX 2.1-Format.

2. Das type -Element unterstützt indicator, attack-pattern, identity, threat-actorund relationship.

3. Für Indikatoren unterstützt das pattern -Element Indikatortypen wie file, , ipv4-addripv6-addr, domain-name, url, user-accountemail-addr, und windows-registry-key.

4. Entfernen Sie die Vorlagenkommentare vor dem Hochladen.

5. Schließen Sie das letzte Objekt im Array, indem Sie den } ohne Komma verwenden.

   Die maximale Dateigröße für einen JSON-Dateiimport beträgt 250 MB.

Das folgende JSON-Beispiel zeigt, wie man einen ipv4-addr Indikator und ein Objekt attack-pattern für den Massenimport mit dem STIX 2.1-Format definiert:

[
    {
      "type": "indicator",
      "id": "indicator--dbc48d87-b5e9-4380-85ae-e1184abf5ff4",
      "spec_version": "2.1",
      "pattern": "[ipv4-addr:value = '198.168.100.5']",
      "pattern_type": "stix",
      "created": "2022-07-27T12:00:00.000Z",
      "modified": "2022-07-27T12:00:00.000Z",
      "valid_from": "2016-07-20T12:00:00.000Z",
      "name": "Sample IPv4 indicator",
      "description": "This indicator implements an observation expression.",
      "indicator_types": [
        "anonymization",
        "malicious-activity"
      ],
      "kill_chain_phases": [
          {
            "kill_chain_name": "mandiant-attack-lifecycle-model",
            "phase_name": "establish-foothold"
          }
      ],
      "labels": ["proxy","demo"],
      "confidence": "95",
      "lang": "",
      "external_references": [],
      "object_marking_refs": [],
      "granular_markings": []
    },
    {
        "type": "attack-pattern",
        "spec_version": "2.1",
        "id": "attack-pattern--fb6aa549-c94a-4e45-b4fd-7e32602dad85",
        "created": "2015-05-15T09:12:16.432Z",
        "modified": "2015-05-20T09:12:16.432Z",
        "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
        "revoked": false,
        "labels": [
            "heartbleed",
            "has-logo"
        ],
        "confidence": 55,
        "lang": "en",
        "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
        ],
        "granular_markings": [
            {
                "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
                "selectors": [
                    "description",
                    "labels"
                ],
                "lang": "en"
            }
        ],
        "extensions": {
            "extension-definition--d83fce45-ef58-4c6c-a3f4-1fbc32e98c6e": {
                "extension_type": "property-extension",
                "rank": 5,
                "toxicity": 8
            }
        },
        "external_references": [
            {
                "source_name": "capec",
                "description": "spear phishing",
                "external_id": "CAPEC-163"
            }
        ],
        "name": "Attack Pattern 2.1",
        "description": "menuPass appears to favor spear phishing to deliver payloads to the intended targets. While the attackers behind menuPass have used other RATs in their campaign, it appears that they use PIVY as their primary persistence mechanism.",
        "kill_chain_phases": [
            {
                "kill_chain_name": "mandiant-attack-lifecycle-model",
                "phase_name": "initial-compromise"
            }
        ],
        "aliases": [
            "alias_1",
            "alias_2"
        ]
    }
]

Verwandte Inhalte

In diesem Artikel haben Sie erfahren, wie Sie Ihre Threat Intelligence manuell verstärken, indem Sie Indikatoren und andere STIX-Objekte importieren, die in Flatfiles gesammelt wurden. Weitere Informationen dazu, wie Threat Intelligence andere Analysen in Microsoft Sentinel unterstützt, finden Sie in den folgenden Artikeln:

• Arbeiten mit Bedrohungsindikatoren in Microsoft Sentinel
• Bedrohungsindikatoren für Cyber Threat Intelligence in Microsoft Sentinel
• Schnelle Erkennung von Bedrohungen mit Analyseregeln nahezu in Echtzeit (NRT) in Microsoft Sentinel