Lavorare con l'intelligence per le minacce di Microsoft Sentinel

Accelerare il rilevamento e la correzione delle minacce con la creazione e la gestione semplificate dell'intelligence sulle minacce. Questo articolo illustra come sfruttare al meglio l'integrazione dell'intelligence sulle minacce nell'interfaccia di gestione, sia che si stia accedendo da Microsoft Sentinel nel portale di Defender o nel portale di Azure.

• Creare oggetti di intelligence sulle minacce utilizzando l'espressione strutturata delle informazioni sulle minacce (STIX)
• Gestire la threat intelligence visualizzando, selezionando e rappresentando i dati graficamente

Prerequisiti

• Per gestire l'intelligence sulle minacce, sono necessarie le autorizzazioni di un collaboratore Microsoft Sentinel o di un ruolo superiore assegnato all'account utente.
• Per importare ed esportare informazioni sulle minacce, è necessario installare la soluzione Threat Intelligence in Microsoft Sentinel e abilitare i connettori pertinenti, come descritto in Usare STIX/TAXII per importare ed esportare informazioni sulle minacce in Microsoft Sentinel.

Accedere all'interfaccia di gestione

Accedere all'interfaccia di gestione delle informazioni sulle minacce dal portale di Defender o dal portale di Azure. Anche se il percorso di navigazione varia tra i portali, le attività di creazione e gestione seguono gli stessi passaggi una volta arrivata l'interfaccia di gestione.

Creare intelligence sulle minacce

Usare l'interfaccia di gestione per creare oggetti STIX ed eseguire altre attività comuni di intelligence sulle minacce, ad esempio l'assegnazione di tag degli indicatori e la definizione di connessioni tra gli oggetti.

• Definire le relazioni durante la creazione di nuovi oggetti STIX.
• Creare rapidamente più oggetti usando la funzionalità duplicata per copiare i metadati da un oggetto TI nuovo o esistente.

Per altre informazioni sugli oggetti STIX supportati, vedere Intelligence sulle minacce in Microsoft Sentinel.

Creare un nuovo oggetto STIX

Per creare un nuovo oggetto STIX nell'interfaccia di gestione, seguire questa procedura.

1. Selezionare Aggiungi nuovo>oggetto TI.

   

2. Scegliere il tipo di oggetto, quindi compilare il modulo nella pagina Nuovo oggetto TI . I campi obbligatori sono contrassegnati con un asterisco rosso (*).

3. Valutare se assegnare un valore di riservatezza o una classificazione Traffic Light Protocol (TLP) all'oggetto TI. Per maggiori informazioni su cosa rappresentano i valori di sensibilità e le valutazioni TLP, vedi Curate threat intelligence.

4. Se conosci la relazione tra questo oggetto e un altro oggetto di intelligence sulle minacce, indica tale connessione con il tipo di relazione e il riferimento di destinazione.

5. Selezionare Aggiungi per un singolo oggetto oppure Aggiungi e duplica se si desidera creare altri elementi con gli stessi metadati. Quando si seleziona Aggiungi e duplicato, la sezione dei metadati comuni di ogni oggetto STIX viene copiata nel nuovo oggetto.

Gestire l'intelligence sulle minacce

Ottimizzare l'IT dalle origini con le regole di acquisizione. Curare il TI esistente con il generatore di relazioni. Usare l'interfaccia di gestione per cercare, filtrare e ordinare, quindi aggiungere tag all'intelligence sulle minacce.

Ottimizzare i feed di intelligence sulle minacce con le regole di inserimento

Ridurre il rumore dei feed TI, estendere la validità degli indicatori di valore elevato e aggiungere tag significativi agli oggetti in ingresso. Questi compiti sono solo alcuni dei casi d'uso delle regole di ingestione. Ecco i passaggi per estendere la Valid until data sugli indicatori di valore elevato.

1. Selezionare Regole di inserimento per aprire una pagina completamente nuova per visualizzare le regole esistenti e costruire una nuova logica di regola.

   

2. Immettere un nome descrittivo per la regola. La pagina delle regole di inserimento include un'ampia regola per il nome, ma è l'unica descrizione di testo disponibile per distinguere le regole senza modificarle.

3. Selezionare il tipo di oggetto. L'esempio di estensione della validità dell'indicatore si basa sulla Valid from proprietà, che è disponibile solo per Indicator tipi di oggetti.

4. Aggiungi una condizione per SourceEquals e seleziona il valore alto Source.

5. Aggiungere una condizione per ConfidenceGreater than or equal e immettere un Confidence punteggio.

6. Selezionare l'azione. Poiché la regola dovrebbe modificare gli indicatori di corrispondenza, seleziona Edit.

7. Selezionare l'azione Aggiungi per Valid until, Extend bye selezionare un intervallo di tempo in giorni.

8. Provare ad aggiungere un tag per indicare il valore elevato posizionato su questi indicatori, ad esempio Extended. Il campo data dell'oggetto Modified non viene aggiornato dalle regole di ingestione.

9. Selezionare l'ordine in cui si vuole eseguire la regola. Le regole vengono eseguite dal numero di ordine più basso al più alto. Ogni regola valuta ogni oggetto inserito.

10. Se la regola è pronta per essere abilitata, imposta Status su Attivo.

11. Selezionare Aggiungi per creare la regola di inserimento.

Per altre informazioni, vedi Regole di acquisizione dell'intelligence sulle minacce.

Gestire l'intelligence sulle minacce con il generatore di relazioni

Collegare gli oggetti di threat intelligence con l'editor di relazioni. Nel generatore sono presenti al massimo 20 relazioni contemporaneamente, ma è possibile creare più connessioni tramite più iterazioni e aggiungendo riferimenti di destinazione delle relazioni per i nuovi oggetti.

1. Selezionare Aggiungi nuova>relazione TI.

2. Iniziare con un oggetto TI esistente, ad esempio un attore di minacce o un modello di attacco in cui il singolo oggetto si connette a uno o più oggetti esistenti, ad esempio gli indicatori.

3. Aggiungere il tipo di relazione in base alle procedure consigliate descritte nella tabella seguente e nella tabella di riepilogo delle relazioni di riferimento STIX 2.1:

   Tipo di relazione	Descrizione
   Duplicato di Derivato da Correlato a	Relazioni comuni definite per qualsiasi oggetto di dominio STIX (SDO) Per altre informazioni, vedere Informazioni di riferimento su STIX 2.1 sulle relazioni comuni
   Obiettivi	Attack pattern o Threat actor Destinazioni Identity
   Utilizzi	Threat actor Utilizza Attack pattern
   Attribuito a	Threat actor Attribuito a Identity
   Indica	Indicator Indica Attack pattern o Threat actor
   Impersona	Threat actor Impersona Identity

4. Come esempio di configurazione di costruzione di relazioni, puoi collegare un attore minaccioso a un modello di attacco, un indicatore e un'identità nel portale Defender.

   

5. Completare la relazione configurando le proprietà comuni .

Visualizzare l'intelligence sulle minacce nell'interfaccia di gestione

Usa l'interfaccia di gestione per ordinare, filtrare e cercare le informazioni sulle minacce, indipendentemente dalla fonte da cui sono state acquisite, senza dover scrivere una query di Log Analytics.

1. Dall'interfaccia di gestione espandere il menu Cosa si vuole cercare?

2. Selezionare un tipo di oggetto STIX o lasciare il valore predefinito Tutti i tipi di oggetto.

3. Selezionare le condizioni usando gli operatori logici.

4. Selezionare l'oggetto su cui si desidera visualizzare altre informazioni.

Ad esempio, è possibile eseguire ricerche in base a più origini inserendole in un OR gruppo, raggruppando più condizioni con l'operatore AND .

Microsoft Sentinel mostra solo la versione più aggiornata delle tue informazioni sulle minacce nell'interfaccia di gestione. Per altre informazioni su come vengono aggiornati gli oggetti, vedere Ciclo di vita dell'intelligence sulle minacce.

Gli indicatori IP e dei nomi di dominio sono arricchiti con dati aggiuntivi GeoLocation , WhoIs in modo da poter fornire più contesto per le indagini in cui viene trovato l'indicatore.

Ecco un esempio di indicatore arricchito con dati GeoLocation e WhoIs.

Etichetta e modifica le informazioni sulle minacce

L'assegnazione di tag all'intelligence sulle minacce è un modo rapido per raggruppare gli oggetti per facilitarne la ricerca. In genere, è possibile applicare tag correlati a un evento imprevisto specifico. Tuttavia, se un oggetto rappresenta le minacce di un determinato attore noto o di una campagna di attacco nota, prendere in considerazione la creazione di una relazione anziché di un tag.

1. Usare l'interfaccia di gestione per ordinare, filtrare e cercare l'intelligence sulle minacce.
2. Dopo aver trovato gli oggetti da usare, selezionarli in più opzioni scegliendo uno o più oggetti dello stesso tipo.
3. Selezionare Aggiungi tag e contrassegnarli tutti contemporaneamente con uno o più tag.
4. Poiché l'assegnazione di tag è in formato libero, è consigliabile creare convenzioni di denominazione standard per i tag nell'organizzazione.

Modifica le informazioni sulle minacce un oggetto alla volta, sia se create direttamente in Microsoft Sentinel sia se provenienti da fonti dei partner, come i server TIP e TAXII. Per informazioni sulle minacce create nell'interfaccia di gestione, tutti i campi sono modificabili. Per informazioni sulle minacce inseriti da origini partner, sono modificabili solo campi specifici, inclusi tag, data di scadenza, attendibilità e revoca. Che le informazioni sulla minaccia siano state create in Microsoft Sentinel o ingerite da una fonte partner, nell'interfaccia di gestione appare solo l'ultima versione dell'oggetto.

Per altre informazioni sull'aggiornamento delle informazioni sulle minacce, vedere Visualizzare l'intelligence sulle minacce.

Trovare e visualizzare l'intelligence sulle minacce con le query

Visualizza le informazioni sulle minacce tramite query, indipendentemente dal feed di origine o dal metodo usato per acquisirle.

Gli indicatori di minaccia vengono archiviati nella tabella Microsoft SentinelThreatIntelIndicators. La ThreatIntelIndicators tabella è la base per le query di threat intelligence effettuate da altre funzionalità di Microsoft Sentinel, come Analytics, Hunting e Workbooks.

Per altre informazioni, vedere Visualizzare l'intelligence sulle minacce.

Visualizzare l'intelligence sulle minacce con le cartelle di lavoro

Usare una cartella di lavoro di Microsoft Sentinel appositamente creata per visualizzare le informazioni chiave sull'intelligence sulle minacce in Microsoft Sentinel e personalizzare la cartella di lavoro in base alle esigenze aziendali.

Per trovare la cartella di lavoro di Intelligence per le minacce in Microsoft Sentinel e personalizzarla, completare la procedura seguente.

1. Dal portale di Azure passare a Microsoft Sentinel.

2. Scegli l'area di lavoro in cui hai importato gli indicatori di minaccia utilizzando uno dei due connettori dati per l'intelligence sulle minacce.

3. Nella sezione Gestione delle minacce del menu Microsoft Sentinel selezionare Cartelle di lavoro.

4. Trova la cartella di lavoro denominata Threat Intelligence. Verificare di avere i dati nella ThreatIntelIndicators tabella.

   

5. Selezionare Salva e scegliere un percorso Azure in cui archiviare la cartella di lavoro. Salvare il quaderno è necessario se intendi modificarlo in qualche modo e salvare le tue modifiche.

6. Selezionare Ora Visualizza cartella di lavoro salvata per aprire la cartella di lavoro per la visualizzazione e la modifica.

7. Verranno ora visualizzati i grafici predefiniti forniti dal modello. Per modificare un grafico, selezionare Modifica nella parte superiore della pagina per avviare la modalità di modifica per la cartella di lavoro.

8. Aggiungere un nuovo grafico degli indicatori di minaccia per tipo di minaccia. Scorrere fino alla fine della pagina e selezionare Aggiungi query.

9. Aggiungere il testo seguente alla casella di testo Log Query dell'area di lavoro Log Analytics :

   ThreatIntelligenceIndicator
   | summarize count() by ThreatType
   

   Per altre informazioni sull'operatore summarize e sulla count() funzione di aggregazione usata in questa query, vedere la documentazione di Kusto:

   • summarize operatore
   • Funzione di aggregazione count()

10. Nel menu a discesa Visualizzazione selezionare Grafico a barre.

11. Selezionare Fine modifica e visualizzare il nuovo grafico per la cartella di lavoro.

    

Le cartelle di lavoro offrono potenti dashboard interattivi che offrono informazioni dettagliate su tutti gli aspetti della Microsoft Sentinel. È possibile eseguire molte attività con le cartelle di lavoro e i modelli forniti sono un ottimo punto di partenza. Personalizzare i modelli o creare nuovi dashboard combinando molte origini dati in modo da poter visualizzare i dati in modo univoco.

Microsoft Sentinel cartelle di lavoro sono basate sulle cartelle di lavoro di Monitoraggio Azure, quindi sono disponibili una documentazione completa e molti altri modelli. Per altre informazioni, vedere Creare report interattivi con cartelle di lavoro di monitoraggio Azure.

È disponibile anche un'ampia raccolta di risorse per i workbook di Monitoraggio di Azure su GitHub, da cui è possibile scaricare ulteriori modelli e contribuire con i propri modelli.

Esportare informazioni sulle minacce

Microsoft Sentinel consente di esportare informazioni sulle minacce in altre destinazioni. Ad esempio, se è stata inserita l'intelligence sulle minacce usando il connettore dati Threat Intelligence - TAXII , è possibile esportare nuovamente l'intelligence sulle minacce nella piattaforma di origine per la condivisione di intelligence bidirezionale. La funzione di esportazione dell'intelligence sulle minacce di Microsoft Sentinel riduce la necessità di processi manuali o manuali personalizzati per distribuire l'intelligence sulle minacce.

Per esportare l'intelligence sulle minacce:

1. Per Microsoft Sentinel nel portale di Defender, selezionare Intelligence sulle minacce > Gestione Intel. Per Microsoft Sentinel nel portale di Azure, selezionare Gestione delle minacce > Intelligence per le minacce.

2. Selezionare uno o più oggetti STIX e quindi selezionare Esporta nella barra degli strumenti nella parte superiore della pagina. Ad esempio:

   • Portale di Defender
   • Portale di Azure

   

3. Nell'elenco a discesa Esporta TI del riquadro Esporta selezionare il server in cui si vuole esportare l'intelligence sulle minacce.

   Se non è elencato un server, devi prima configurare un server TAXII 2.1 per l'esportazione, come descritto in Abilita il connettore dati Threat intelligence - TAXII Export. Microsoft Sentinel attualmente supporta l'esportazione solo in piattaforme basate su TAXII 2.1.

4. Selezionare Esporta.

   Importante

   Quando si esportano oggetti Intelligence sulle minacce, il sistema esegue una operazione in blocco. Esiste un problema noto per cui questa operazione in blocco a volte non riesce. Se l'operazione di esportazione in blocco fallisce, vedrai un avviso quando apri il pannello laterale Esportazione, che ti chiede di rimuovere l'azione fallita dalla vista della cronologia delle operazioni in massa. Microsoft Sentinel mette in pausa le operazioni di esportazione successive finché non rimuovi l'operazione fallita.

Per accedere alla cronologia di esportazione:

1. Passare all'elemento esportato nella pagina Gestione Intel (portale di Defender) o Intelligence sulle minacce (portale di Azure).
2. Nella colonna Esportazioni selezionare Visualizza cronologia esportazione per visualizzare la cronologia di esportazione per tale elemento.

Contenuto correlato

Per altre informazioni, vedere gli articoli seguenti:

• Intelligenza sulle minacce in Microsoft Sentinel
• Connettere Microsoft Sentinel ai feed di intelligence sulle minacce STIX/TAXII.
• Scopri quali TIP, flussi TAXII e arricchimenti possono essere facilmente integrati con Microsoft Sentinel.

Per altre informazioni su KQL, vedi panoramica di Kusto Query Language (KQL).

Altre risorse:

• Guida rapida a KQL
• Risorse di apprendimento per il linguaggio di query Kusto