Создание настраиваемых правил обнаружения и управление ими

Область применения:

• Microsoft Defender XDR

Настраиваемые правила обнаружения — это правила, которые можно разработать и настроить с помощью расширенных запросов охоты . Эти правила позволяют упреждающе отслеживать различные события и состояния системы, включая предполагаемые действия по нарушению безопасности и неправильно настроенные конечные точки. Вы можете настроить их на запуск с регулярными интервалами, чтобы создавать оповещения и предпринимать ответные действия при совпадениях.

Необходимые разрешения для управления пользовательскими обнаружениями

Для управления пользовательскими обнаружениями вам должна быть назначена одна из следующих ролей.

• Параметры безопасности (управление) — пользователи с этим разрешением Microsoft Defender XDR могут управлять параметрами безопасности на портале Microsoft Defender.

• Администратор безопасности— пользователи с этой ролью Microsoft Entra могут управлять параметрами безопасности на портале Microsoft Defender и других порталах и службах.

• Оператор безопасности . Пользователи с этой ролью Microsoft Entra могут управлять оповещениями и иметь глобальный доступ только для чтения к функциям, связанным с безопасностью, включая всю информацию на портале Microsoft Defender. Этой роли достаточно для управления пользовательскими обнаружениями, только если управление доступом на основе ролей (RBAC) отключено в Microsoft Defender для конечной точки. Если вы настроили RBAC, вам также потребуется разрешение *Управление параметрами безопасности для Defender для конечной точки.

Вы можете управлять пользовательскими обнаружениями, которые применяются к данным из определенных решений Microsoft Defender XDR, если у вас есть соответствующие разрешения. Например, если у вас есть только разрешения на управление Microsoft Defender для Office 365, можно создавать пользовательские обнаружения с помощью Email* таблиц, но не Identity* таблиц.

Аналогичным образом, так как таблица IdentityLogonEvents содержит сведения о действиях проверки подлинности из Microsoft Defender for Cloud Apps и Defender для удостоверений, необходимо иметь разрешения на управление для обеих служб для управления пользовательскими обнаружениями, запрашивающими эту таблицу.

Для управления необходимыми разрешениями глобальный администратор может:

• Назначьте роль "Администратор безопасности" или "Оператор безопасности" в Центр администрирования Microsoft 365 в разделе Роли>Администратора безопасности.

• Проверьте параметры RBAC для Microsoft Defender для конечной точки в Microsoft Defender XDR в разделе Параметры>Роли разрешений>. Выберите соответствующую роль, чтобы назначить разрешение на управление параметрами безопасности .

Создание настраиваемого правила обнаружения

1. Подготовьте запрос

На портале Microsoft Defender перейдите в раздел Расширенная охота и выберите существующий запрос или создайте новый запрос. При использовании нового запроса запустите запрос, чтобы выявить ошибки и понять возможные результаты.

Обязательные столбцы в результатах запроса

Чтобы создать настраиваемое правило обнаружения, запрос обязан возвращает следующие столбцы.

• Timestamp— используется для установки метки времени для созданных оповещений.
• ReportId— включает поиск исходных записей.
• Один из следующих столбцов, которые определяют определенные устройства, пользователей или почтовые ящики.
  • DeviceId
  • DeviceName
  • RemoteDeviceName
  • RecipientEmailAddress
  • SenderFromAddress (отправитель конверта или адрес Return-Path)
  • SenderMailFromAddress (адрес отправителя, отображенный клиентом электронной почты)
  • RecipientObjectId
  • AccountObjectId
  • AccountSid
  • AccountUpn
  • InitiatingProcessAccountSid
  • InitiatingProcessAccountUpn
  • InitiatingProcessAccountObjectId

Простые запросы, например те, которые не используют project оператор или summarize для настройки или агрегирования результатов, обычно возвращают эти общие столбцы.

Существует несколько способов, чтобы более сложные запросы возвращали эти столбцы. Например, если вы предпочитаете агрегировать и подсчитывать по сущностям в столбце, например DeviceId, можно по-прежнему возвращать Timestamp и ReportId получать его из последнего события с участием каждого уникального DeviceId.

Приведенный ниже пример запроса подсчитывает количество уникальных устройств (DeviceId) с обнаружением антивирусной программы и использует это число для поиска только устройств с более чем пятью обнаружениями. Чтобы вернуть последнюю Timestamp и соответствующую ReportId, она использует summarize оператор с функцией arg_max .

DeviceEvents
| where ingestion_time() > ago(1d)
| where ActionType == "AntivirusDetection"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| where count_ > 5

2. Создайте новое правило и предоставьте сведения об оповещении

В редакторе запросов выберите Создать правило обнаружения и укажите следующие сведения об оповещении:

• Имя обнаружения — имя правила обнаружения; должен быть уникальным
• Частота — интервал выполнения запроса и выполнения действий. Дополнительные рекомендации см. в разделе частоты правил.
• Заголовок оповещения — заголовок отображается с оповещениями, активированными правилом; должен быть уникальным
• Серьезность — потенциальный риск компонента или действия, определенных правилом.
• Категория — компонент угрозы или действие, определяемое правилом.
• MITRE ATT&методы CK — один или несколько методов атаки, определенных правилом, как описано на платформе MITRE ATT&CK. Этот раздел скрыт для определенных категорий оповещений, включая вредоносные программы, программы-шантажисты, подозрительные действия и нежелательное программное обеспечение.
• Описание — дополнительные сведения о компоненте или действии, определяемом правилом.
• Рекомендуемые действия — дополнительные действия, которые могут выполняться в ответ на оповещение.

Частота правила

При сохранении нового правила оно запускается и проверяет соответствие данных за последние 30 дней. Затем правило снова выполняется через фиксированные интервалы, применяя длительность обратного просмотра в зависимости от выбранной частоты:

• Каждые 24 часа — выполняется каждые 24 часа, проверяя данные за последние 30 дней.
• Каждые 12 часов — выполняется каждые 12 часов, проверяя данные за последние 48 часов.
• Каждые 3 часа — выполняется каждые 3 часа, проверяя данные за последние 12 часов.
• Каждый час — выполняется ежечасно, проверяя данные за последние 4 часа.
• Непрерывный (NRT) — выполняется непрерывно, проверяя данные из событий по мере их сбора и обработки в режиме, близком к реальному времени (NRT), см. раздел Частота непрерывного (NRT)

При редактировании правила оно будет запускаться с примененными изменениями во время следующего запуска, запланированного в соответствии с установленной частотой. Частота правила основана на метке времени события, а не на времени приема.

Непрерывная частота (NRT)

Настройка настраиваемого обнаружения для запуска в непрерывной (NRT) частоте позволяет повысить способность вашей организации быстрее выявлять угрозы.

Запросы, которые можно выполнять непрерывно

Запрос можно выполнять непрерывно при условии, что:

• Запрос ссылается только на одну таблицу.
• В запросе используется оператор из списка поддерживаемых операторов KQL. Поддерживаемые функции KQL
• Запрос не использует соединения, объединения или externaldata оператор .
• Запрос не содержит строки или сведения о комментариях.

Таблицы с поддержкой непрерывной (NRT) частоты

Для следующих таблиц поддерживаются обнаружения практически в режиме реального времени:

• AlertEvidence
• CloudAppEvents
• DeviceEvents
• DeviceFileCertificateInfo
• DeviceFileEvents
• DeviceImageLoadEvents
• DeviceLogonEvents
• DeviceNetworkEvents
• DeviceNetworkInfo
• DeviceInfo
• DeviceProcessEvents
• DeviceRegistryEvents
• EmailAttachmentInfo
• EmailEvents (кроме LatestDeliveryLocation столбцов и LatestDeliveryAction )
• EmailPostDeliveryEvents
• EmailUrlInfo
• IdentityDirectoryEvents
• IdentityLogonEvents
• IdentityQueryEvents
• UrlClickEvents

3. Выберите затронутые объекты

Определите столбцы в результатах запроса, в которых вы ожидаете найти основную затронутую или затронутую сущность. Например, запрос может возвращать адреса отправителя (SenderFromAddress или SenderMailFromAddress) и получателя (RecipientEmailAddress). Определение того, какой из этих столбцов представляет основную затронутую сущность, помогает службе собирать соответствующие оповещения, коррелировать инциденты и выбирать целевые действия по реагированию.

Для каждого типа сущности (почтовый ящик, пользователь или устройство) можно выбрать только один столбец. Столбцы, которые не возвращаются вашим запросом, не могут быть выбраны.

4. Укажите действия

Пользовательское правило обнаружения может автоматически выполнять действия с устройствами, файлами, пользователями или электронными письмами, возвращаемыми запросом.

Действия на устройствах

Эти действия применяются к устройствам в столбце результатов запроса DeviceId.

• Изоляция устройства — использует Microsoft Defender для конечной точки для применения полной сетевой изоляции, предотвращая подключение устройства к любому приложению или службе. Дополнительные сведения об изоляции Microsoft Defender для конечной точки компьютера
• Сбор пакета исследования — собирает сведения об устройстве в ZIP-файле. Дополнительные сведения о пакете исследования Microsoft Defender для конечной точки
• Запуск антивирусной проверки — выполняет полную проверку Microsoft Defender антивирусной программы на устройстве
• Инициирование исследования — инициирует автоматическое исследование на устройстве.
• Ограничение выполнения приложений — устанавливает ограничения на устройстве, разрешающие запуск только файлов, подписанных сертификатом Майкрософт. Дополнительные сведения об ограничениях приложений с помощью Microsoft Defender для конечной точки

Действия в отношении файлов

• Если этот параметр выбран, к файлу можно применить действие Разрешить или заблокировать . Блокировка файлов разрешена только в том случае, если у вас есть разрешения на исправление файлов и если в результатах запроса определен идентификатор файла, например SHA1. После блокировки файла блокируются и другие экземпляры того же файла на всех устройствах. Вы можете управлять группой устройств, к которой применяется блокировка, но не конкретными устройствами.

• Если этот параметр выбран, действие Карантин файла можно применить к файлам в столбце SHA1, InitiatingProcessSHA1, SHA256или InitiatingProcessSHA256 в результатах запроса. Это действие удаляет файл из текущего расположения и помещает копию в карантин.

Действия с пользователями

• Если этот вариант выбран, то действие Отметить пользователя как скомпрометированного применяется к пользователям в столбцах результатов запроса AccountObjectId, InitiatingProcessAccountObjectId или RecipientObjectId. Это действие устанавливает уровень риска пользователей на "высокий" в Microsoft Entra ID, активируя соответствующие политики защиты идентификации.

• Выберите Отключить пользователя , чтобы временно запретить пользователю войти в систему.

• Выберите Принудительно сбросить пароль , чтобы предложить пользователю изменить пароль во время следующего сеанса входа.

Disable user Для параметров и Force password reset требуется идентификатор безопасности пользователя, который входит в столбцы AccountSid, InitiatingProcessAccountSid, RequestAccountSidи OnPremSid.

Дополнительные сведения о действиях пользователей см. в статье Действия по исправлению в Microsoft Defender для удостоверений.

Действия с электронной почтой

• Если пользовательское обнаружение выдает сообщения электронной почты, можно выбрать Переместить в папку почтового ящика , чтобы переместить сообщение в выбранную папку (любую папку нежелательной почты, папку "Входящие" или "Удаленные "). В частности, вы можете переместить результаты электронной почты из элементов, помещенных в карантин (например, в случае ложноположительных результатов), выбрав параметр Входящие .

  

• Кроме того, можно выбрать Удалить электронную почту , а затем переместить их в удаленные элементы (обратимое удаление) или удалить выбранные сообщения навсегда (жесткое удаление).

Столбцы NetworkMessageId и RecipientEmailAddress должны присутствовать в выходных результатах запроса для применения действий к сообщениям электронной почты.

5. Установите область действия правила

Задайте область действия, чтобы указать, на какие устройства распространяется правило. Область влияет на правила проверки устройств и не влияет на правила, которые проверяют только почтовые ящики и учетные записи пользователей или удостоверения.

При настройке области можно выбрать следующее.

• Все устройства
• Определенные группы устройств

Запрашиваются только данные с устройств в область. Кроме того, действия выполняются только на этих устройствах.

6. Просмотрите и включите правило

После проверки правила выберите Создать, чтобы сохранить его. Настраиваемое правило обнаружения запускается немедленно. В следующий раз оно запускается в зависимости от настроенной частоты для проверки совпадений, создания оповещений и реагирования.

Управление существующими настраиваемыми правилами обнаружения

Вы можете просмотреть список существующих настраиваемых правил обнаружения, проверка их предыдущих запусков, а также просмотреть активированные оповещения. Вы также можете запустить правило по запросу и изменить его.

Просмотр существующих правил

Чтобы просмотреть все существующие настраиваемые правила обнаружения, перейдите в раздел Охота>На пользовательские правила обнаружения. На странице перечислены все правила со следующими сведениями о запуске.

• Последний запуск — при последнем выполнении правила для проверка для совпадений запросов и создания оповещений
• Состояние последнего запуска — успешно ли выполнено правило
• Следующий запуск — следующий запланированный запуск
• Состояние — было ли правило включено или отключено.

Просмотр сведений о правиле, изменение правила и запуск правила

Чтобы просмотреть исчерпывающие сведения о настраиваемом правиле обнаружения, перейдите в раздел Охота>на настраиваемые правила обнаружения , а затем выберите имя правила. Затем можно просмотреть общие сведения о правиле, включая сведения, его состояние выполнения и область. На странице также содержится список активных оповещений и действий.

На этой странице также можно сделать следующие действия с правилом.

• Запуск — немедленное выполнение правила. При этом также сбрасывается интервал для следующего запуска.
• Изменить — изменить правило без изменения запроса.
• Изменение запроса — изменение запроса в расширенной охоте
• Включать / Отключить — включить правило или остановить его выполнение
• Удалить — отключить правило и удалить его.

Просмотр и управление активными оповещениями

На экране сведений о правиле (Охота>на пользовательские> обнаружения[имя правила]) перейдите в раздел Активированные оповещения, в котором перечислены оповещения, созданные при совпадении с правилом. Выберите оповещение, чтобы просмотреть подробные сведения о нем и принять следующие меры.

• Управление оповещением: выбор его состояния и классификации (истинное или ложное оповещение)
• Связывание оповещения с инцидентом
• Выполнение запроса, который инициирует оповещение при расширенной охоте

Проверка действий

На экране сведений о правиле (Охота>на пользовательские> обнаружения[имя правила]) перейдите в раздел Активированные действия, где перечислены действия, выполненные на основе совпадений с правилом.

См. также

• Обзор настраиваемых обнаружений
• Обзор расширенной охоты
• Познакомьтесь с языком запросов расширенной охоты
• Перенос расширенных запросов охоты из Microsoft Defender для конечной точки
• API безопасности Microsoft Graph для пользовательских обнаружений