ترحيل قواعد الكشف عن Splunk إلى Azure Sentinel

قواعد الكشف عن Splunk هي مكونات إدارة معلومات الأمان والأحداث (SIEM) التي تقارن بقواعد التحليلات في Microsoft Sentinel. توضح هذه المقالة المفاهيم لتحديدها ومقارنتها وترحيلها إلى Microsoft Sentinel. أفضل طريقة هي البدء بتجربة ترحيل SIEM، والتي تحدد قواعد التحليلات الجاهزة (OOTB) للترجمة إليها تلقائيا.

إذا كنت ترغب في ترحيل نشر Splunk Observability، فتعرف على المزيد حول كيفية الترحيل من Splunk إلى سجلات Azure Monitor.

قواعد التدقيق

يستخدم Microsoft Sentinel تحليلات التعلم الآلي لإنشاء أحداث عالية الدقة وقابلة للتنفيذ. قد تكون بعض عمليات اكتشاف Splunk الموجودة لديك زائدة عن الحاجة في Microsoft Sentinel، لذلك لا تقم بترحيلها جميعا بشكل أعمى. راجع هذه الاعتبارات خلال تحديد قواعد الكشف الحالية.

• تأكد من تحديد حالات الاستخدام التي تبرر ترحيل القواعد، مع مراعاة أولوية العمل وكفاءته.
• تحقق من فهمك أنواع قواعد Azure Sentinel.
• تحقق من فهمك للمصطلحات الخاصة بالقاعدة.
• راجع القواعد القديمة التي لا تحتوي على تنبيهات خلال الأشهر من 6 إلى 12 شهرا الماضية، وحدد ما إذا كانت لا تزال ذات صلة.
• تخلص من التهديدات أو التنبيهات منخفضة المستوى التي تتجاهلها بشكل روتيني.
• أكد مصادر البيانات المتصلة وراجع طرق اتصال البيانات الخاصة بك. يتطلب Microsoft Sentinel Analytics أن يكون نوع البيانات موجودا في مساحة عمل Log Analytics قبل تمكين قاعدة. أعد زيارة محادثات جمع البيانات لضمان عمق البيانات واتساعها عبر حالات الاستخدام التي تخطط للكشف عنها. ثم استخدم تجربة ترحيل SIEM لضمان تعيين مصادر البيانات بشكل مناسب.

قواعد الترحيل

بعد تحديد اكتشافات Splunk المراد ترحيلها، راجع هذه الاعتبارات لعملية الترحيل:

• قارن الوظائف الحالية لقواعد تحليلات OOTB الخاصة ب Microsoft Sentinel بحالات الاستخدام الحالية. استخدم تجربة ترحيل SIEM لمعرفة اكتشافات Splunk التي يتم تحويلها تلقائيا إلى قوالب OOTB.
• ترجمة عمليات الكشف التي لا تتوافق مع قواعد تحليلات OOTB. أفضل طريقة لترجمة اكتشافات Splunk تلقائيا هي مع تجربة ترحيل SIEM.
• اكتشف المزيد من الخوارزميات لحالات الاستخدام الخاصة بك عن طريق استكشاف موارد المجتمع مثل SOC Prime Threat Detection Marketplace.
• ترجمة عمليات الكشف يدويا إذا لم تكن القواعد المضمنة متوفرة أو لم تتم ترجمتها تلقائيا. إنشاء استعلامات KQL الجديدة ومراجعة تعيين القواعد.

لمزيد من المعلومات، راجع أفضل الممارسات لترحيل قواعد الكشف.

خطوات ترحيل القواعد

1. تأكد من وجود نظام اختبار لكل قاعدة تريد ترحيلها.

   1. أعد عملية التحقق من الصحة للقواعد التي تم ترحيلها، بما في ذلك سيناريوهات الاختبار الكاملة والبرامج النصية.

   2. تأكد من أن فريقك لديه موارد مفيدة لاختبار القواعد التي رحلت.

   3. تأكد من توصيل مصادر البيانات المطلوبة، وراجع أساليب اتصال البيانات.

2. تحقق مما إذا كانت عمليات الكشف الخاصة بك متوفرة كقوالب OOTB في Microsoft Sentinel:

   • استخدم تجربة ترحيل SIEM لأتمتة ترجمة قوالب OOTB وتثبيتها.

     لمزيد من المعلومات، راجع استخدام تجربة ترحيل SIEM.

   • إذا كانت لديك حالات استخدام لا تنعكس في عمليات الكشف، فبادر بإنشاء قواعد لمساحة العمل الخاصة بك باستخدام قوالب قواعد OOTB.

     في Microsoft Sentinel، انتقل إلى مركز المحتوى.

     تصفية نوع المحتوى لقوالب قواعد التحليلات.

     ابحث عن كل حل لمركز المحتوى أو قالب قاعدة تحليلات مستقل وتثبيته/تحديثه.

     لمزيد من المعلومات، راجع الكشف عن التهديدات الجاهزة.

   • إذا كان لديك اكتشافات لا تغطيها قواعد OOTB الخاصة ب Microsoft Sentinel، فجرب أولا تجربة ترحيل SIEM للترجمة التلقائية.

   • إذا لم تترجم قواعد OOTB أو ترحيل SIEM الكشف تماما، فبادر بإنشاء القاعدة يدويا. في مثل هذه الحالات، استخدم الخطوات التالية لإنشاء القاعدة الخاصة بك:

     1. حدد مصادر البيانات التي ترغب استخدامها في القاعدة الخاصة بك. حدد جداول Microsoft Sentinel التي تريد الاستعلام بها عن طريق إنشاء جدول تعيين بين مصادر البيانات وجداول البيانات.

     2. حدد أي سمات أو حقول أو كيانات في البيانات الخاصة بك تريد استخدامها في القواعد.

     3. حدد المعايير الخاصة بالقاعدة والمنطق. في هذه المرحلة، ضع في اعتبارك العثور على قوالب القواعد كعينات لكيفية إنشاء استعلامات KQL الخاصة بك.

        النظر في عوامل التصفية وقواعد الارتباط والقوائم النشطة ومجموعات المراجع وقوائم المشاهدة والحالات الشاذة للكشف والتجميعات، وما إلى ذلك. يمكنك استخدام المراجع التي يوفرها SIEM القديم لفهم كيفية أفضل طريقة لتعيين بناء جملة الاستعلام الخاص بك.

     4. حدد شرط المشغل وقاعدة الإجراء، ثم أنشئ استعلام KQL الخاص بك ومراجعته. أثناء مراجعة الاستعلام الخاص بك، ضع في اعتبارك موارد إرشادات التحسين KQL.

3. تأكد من اختبار القاعدة مع كل حالة من حالات الاستخدام ذات الصلة. إذا لم يوفر النتائج المتوقعة، فراجع KQL وحرره واختبره مرة أخرى.

4. عندما تكون راضيا، ضع في اعتبارك القاعدة التي تم ترحيلها. أنشئ دليل المبادئ لإجراءات القاعدة الخاصة بك عند الحاجة. للمزيد من المعلومات، راجع أتمتة الاستجابة للمخاطر باستخدام أدلة المبادئ في Azure Sentinel.

تعرف على المزيد عن قواعد التحليلات:

• أنشئ قواعد تحليلات مخصصة للكشف عن التهديدات. استخدم تجميع التنبيهات لتقليل إجهاد التنبيه عن طريق تجميع التنبيهات التي تحدث ضمن إطار زمني معين.
• تعيين حقول البيانات إلى كيانات في Azure Sentinel لتمكين مهندسي SOC من تحديد الكيانات كجزء من الأدلة التي يجب تعقبها أثناء التحقيق. كما يتيح تعيين الكيان لمحللي SOC الاستفادة من [الرسم البياني للتحقيق] البديهي (investigate-cases.md#use-the-investigation-graph-to-deep-dive) الذي يمكن أن يساعد في تقليل الوقت والجهد.
• تحقق من الأحداث باستخدام بيانات UEBA، كمثال على كيفية استخدام الأدلة لعرض الأحداث والتنبيهات وأي إشارات مرجعية ذات صلة بحدث معين في جزء الإصدار الأولي للحدث.
• لغة استعلام الخاصة بـ Kusto (KQL) والتي يمكنك استخدامها لإرسال طلبات للقراءة فقط إلى قاعدة بيانات Log Analytics لمعالجة البيانات وإرجاع النتائج. يستخدم KQL أيضاً من خلال خدمات Microsoft الأخرى، مثل Microsoft Defender لنقطة النهاية وApplication Insights.

مقارنة مصطلحات القاعدة

يساعدك هذا الجدول على توضيح مفهوم قاعدة تستند إلى لغة استعلام Kusto (KQL) في Microsoft Sentinel مقارنة بالكشف عن Splunk استنادا إلى لغة معالجة البحث (SPL).

تعيين نماذج القواعد ومقارنتها

استخدم هذه العينات لمقارنة القواعد وتعيينها من Splunk إلى Azure Sentinel في سيناريوهات مختلفة.

أوامر البحث العامة

lookup الأمر: مثال KQL

Users 
| where UserID in ((externaldata (UserID:string) [
@"https://storageaccount.blob.core.windows.net/storagecontainer/users.txt" 
h@"?...SAS..." // Secret token to access the blob 
])) | ... 

stats الأمر: مثال KQL

Sales 
| summarize NumTransactions=count(), 
Total=sum(UnitPrice * NumUnits) by Fruit, 
StartOfMonth=startofmonth(SellDateTime) 

mstats الأمر: مثال KQL

T | summarize count() by price_range=bin(price, 10.0) 

transaction الأمر: مثال على SPL

sourcetype=MyLogTable type=Event
| transaction ActivityId startswith="Start" endswith="Stop"
| Rename timestamp as StartTime
| Table City, ActivityId, StartTime, Duration

transaction الأمر: مثال KQL

let Events = MyLogTable | where type=="Event";
Events
| where Name == "Start"
| project Name, City, ActivityId, StartTime=timestamp
| join (Events
| where Name == "Stop"
| project StopTime=timestamp, ActivityId)
on ActivityId
| project City, ActivityId, StartTime, 
Duration = StopTime – StartTime

يستخدم row_window_session() لحساب قيم بدء جلسة العمل لعمود في مجموعة صفوف متسلسل.

...| extend SessionStarted = row_window_session(
Timestamp, 1h, 5m, ID != prev(ID))

eventstats الأمر: مثال على SPL

… | bin span=1m _time
|stats count AS count_i by _time, category
| eventstats sum(count_i) as count_total by _time

eventstats الأمر: مثال KQL

فيما يلي مثال على العبارة join:

let binSize = 1h;
let detail = SecurityEvent 
| summarize detail_count = count() by EventID,
tbin = bin(TimeGenerated, binSize);
let summary = SecurityEvent
| summarize sum_count = count() by 
tbin = bin(TimeGenerated, binSize);
detail 
| join kind=leftouter (summary) on tbin 
| project-away tbin1

فيما يلي مثال على العبارة make_list:

let binSize = 1m;
SecurityEvent
| where TimeGenerated >= ago(24h)
| summarize TotalEvents = count() by EventID, 
groupBin =bin(TimeGenerated, binSize)
|summarize make_list(EventID), make_list(TotalEvents), 
sum(TotalEvents) by groupBin
| mvexpand list_EventID, list_TotalEvents

anomalydetection الأمر: مثال على SPL

sourcetype=nasdaq earliest=-10y
| anomalydetection Close _ Price

anomalydetection الأمر: مثال KQL

let LookBackPeriod= 7d;
let disableAccountLogon=SignIn
| where ResultType == "50057"
| where ResultDescription has "account is disabled";
disableAccountLogon
| make-series Trend=count() default=0 on TimeGenerated 
in range(startofday(ago(LookBackPeriod)), now(), 1d)
| extend (RSquare,Slope,Variance,RVariance,Interception,
LineFit)=series_fit_line(Trend)
| extend (anomalies,score) = 
series_decompose_anomalies(Trend)

الأوامر الشائعة eval

case(X,"Y",…) مثال SPL

case(error == 404, "Not found",
error == 500,"Internal Server Error",
error == 200, "OK")

case(X,"Y",…) مثال KQL

T
| extend Message = case(error == 404, "Not found", 
error == 500,"Internal Server Error", "OK") 

if(X,Y,Z) مثال KQL

iif(floor(Timestamp, 1d)==floor(now(), 1d), 
"today", "anotherday")

isint(X) مثال KQL

iif(gettype(X) =="long","TRUE","FALSE")

isstr(X) مثال KQL

iif(gettype(X) =="string","TRUE","FALSE")

like(X,"y") على سبيل المثال

… | where field has "addr"

… | where field contains "addr"

… | where field startswith "addr"

… | where field matches regex "^addr.*"

min(X,…) مثال KQL

min_of (expr_1, expr_2 ...)

…|summarize min(expr)

…| summarize arg_min(Price,*) by Product

mvfilter(X) مثال KQL

T | mv-apply Metric to typeof(real) on 
(
 top 2 by Metric desc
)

mvjoin(X,Y) مثال KQL

strcat_array(dynamic([1, 2, 3]), "->")

relative time(X,Y) مثال KQL

let toUnixTime = (dt:datetime)
{
(dt - datetime(1970-01-01))/1s 
};

replace(X,Y,Z) مثال KQL

replace( @'^(\d{1,2})/(\d{1,2})/', @'\2/\1/',date)

strptime(X,Y) مثال KQL

format_datetime(datetime('2017-08-16 11:25:10'),
'HH:mm')

time() مثال KQL

format_datetime(datetime(2015-12-14 02:03:04),
'h:m:s')

tostring(X,Y)

ترجع قيمة X حقل كسلسلة.

• في حالة كانت قيمة X رقمًا، X يعاد تنسيقها إلى قيمة سلسلة.
• إذا كانت X قيمة منطقية، X يعاد تنسيقها إلى TRUE أو FALSE.
• في حالة كانت X الوسيطة رقمًا، فإن الوسيطة Y الثانية اختيارية ويمكن أن تكون hex إما (تحويل X إلى رقم سداسي عشري)، commas أو (تنسيقات X بفواصل ومنزلتين عشريتين)، أو duration (تحويل X من تنسيق زمني بالثواني إلى تنسيق زمني قابل للقراءة: HH:MM:SS).

tostring(X,Y) مثال SPL

هذا المثال يرجع:

foo=615 and foo2=00:10:15:

… | eval foo=615 | eval foo2 = tostring(
foo, "duration")

urldecode(X) مثال SPL

urldecode("http%3A%2F%2Fwww.splunk.com%2Fdownload%3Fr%3Dheader")

مثال KQL للأوامر الشائعة stats

الخطوات التالية

في هذه المقالة، تعلمت كيفية تعيين قواعد الترحيل الخاصة بك من Splunk إلى Azure Sentinel.