Olay ölçümleriyle SOC’nizi daha iyi yönetme

Güvenlik operasyonları merkezi (SOC) yöneticisi olarak, ekibinizin performansını ölçmek için genel verimlilik ölçümlerinin ve ölçülerinin parmaklarınızın ucunda olması gerekir. Olay işlemlerini zaman içinde önem derecesi, MITRE taktikleri, önceliklendirme süresi, ortalama çözüm süresi ve daha fazlası gibi birçok farklı ölçüte göre görmek isteyeceksiniz. Microsoft Sentinel artık bu verileri Log Analytics'teki yeni SecurityIncident tablosu ve şeması ve beraberindeki Güvenlik işlemleri verimliliği çalışma kitabıyla kullanımınıza sunuyor. Ekibinizin zaman içindeki performansını görselleştirebilir ve verimliliği artırmak için bu içgörüleri kullanabilirsiniz. Ayrıca olay tablosuna kendi KQL sorgularınızı yazabilir ve kullanarak belirli denetim gereksinimlerinize ve KPI'lerinize uygun özelleştirilmiş çalışma kitapları oluşturabilirsiniz.

Güvenlik olayları tablosunu kullanma

SecurityIncident tablosu Microsoft Sentinel'de yerleşik olarak bulunur. Günlükler altında SecurityInsights koleksiyonundaki diğer tablolarla birlikte bulabilirsiniz. Log Analytics'teki diğer tüm tablolarda olduğu gibi sorgulayabilirsiniz.

Bir olayı her oluşturduğunuzda veya güncelleştirdiğinizde, tabloya yeni bir günlük girdisi eklenir. Bu, olaylarda yapılan değişiklikleri izlemenize ve daha da güçlü SOC ölçümlerine olanak tanır, ancak bu tablo için sorgu oluştururken dikkatli olmanız gerekir çünkü bir olay için yinelenen girişleri kaldırmanız gerekebilir (çalıştırdığınız sorguya bağlı olarak).

Örneğin, olay numarasına göre sıralanmış tüm olayların listesini döndürmek ancak olay başına yalnızca en son günlüğü döndürmek istiyorsanız, bunu arg_max() toplama işleviyle KQL özetle işlecini kullanarak yapabilirsiniz:

SecurityIncident
| summarize arg_max(LastModifiedTime, *) by IncidentNumber

Diğer örnek sorgular

Olay durumu - belirli bir zaman dilimindeki durum ve önem derecelerine göre tüm olaylar:

let startTime = ago(14d);
let endTime = now();
SecurityIncident
| where TimeGenerated >= startTime
| summarize arg_max(TimeGenerated, *) by IncidentNumber
| where LastModifiedTime  between (startTime .. endTime)
| where Status in  ('New', 'Active', 'Closed')
| where Severity in ('High','Medium','Low', 'Informational')

Yüzdebirlik kapanış süresi:

SecurityIncident
| summarize arg_max(TimeGenerated,*) by IncidentNumber 
| extend TimeToClosure =  (ClosedTime - CreatedTime)/1h
| summarize 5th_Percentile=percentile(TimeToClosure, 5),50th_Percentile=percentile(TimeToClosure, 50), 
  90th_Percentile=percentile(TimeToClosure, 90),99th_Percentile=percentile(TimeToClosure, 99)

Yüzdebirlik değere göre önceliklendirme süresi:

SecurityIncident
| summarize arg_max(TimeGenerated,*) by IncidentNumber 
| extend TimeToTriage =  (FirstModifiedTime - CreatedTime)/1h
| summarize 5th_Percentile=max_of(percentile(TimeToTriage, 5),0),50th_Percentile=percentile(TimeToTriage, 50), 
  90th_Percentile=percentile(TimeToTriage, 90),99th_Percentile=percentile(TimeToTriage, 99) 

Güvenlik işlemleri verimliliği çalışma kitabı

SecurityIncidents tablosunu tamamlamak için, SOC işlemlerinizi izlemek için kullanabileceğiniz kullanıma açık bir güvenlik işlemleri verimlilik çalışma kitabı şablonu sağladık. Çalışma kitabı aşağıdaki ölçümleri içerir:

• Zaman içinde oluşturulan olay
• Sınıflandırma, önem derecesi, sahip ve durum kapatılarak oluşturulan olaylar
• Önceliklendirme için ortalama süre
• Ortalama kapatma süresi
• Zaman içinde önem derecesi, sahip, durum, ürün ve taktikler tarafından oluşturulan olaylar
• Önceliklendirme yüzdebirlik dilimleri
• Yüzdebirlik dilimleri kapatma süresi
• Sahip başına önceliklendirme süresi
• Son etkinlikler
• Son kapanış sınıflandırmaları

Bu yeni çalışma kitabı şablonunu, Microsoft Sentinel gezinti menüsünden Çalışma Kitapları'nı seçip Şablonlar sekmesini seçerek bulabilirsiniz. Galeriden Güvenlik işlemleri verimliliği'ni seçin ve Kaydedilen çalışma kitabını görüntüle ve Şablonu görüntüle düğmelerinden birine tıklayın.

Şablonu kullanarak özel ihtiyaçlarınıza göre uyarlanmış kendi özel çalışma kitaplarınızı oluşturabilirsiniz.

SecurityIncidents şeması

Şemanın veri modeli

Sonraki adımlar

• Microsoft Sentinel'i kullanmaya başlamak için Microsoft Azure aboneliğiniz olmalıdır. Bir aboneliğiniz yoksa ücretsiz deneme sürümü için kaydolabilirsiniz.
• Verilerinizi Microsoft Sentinel'e eklemeyi ve verilerinize ve olası tehditlere ilişkin görünürlük elde etmeyi öğrenin.