Erste Schritte mit Jupyter Notebooks und MSTICPy in Microsoft Sentinel

In diesem Artikel wird beschrieben, wie Sie das Notebook Erste Schritte Handbuch für Microsoft Sentinel ML-Notebooks ausführen, das grundlegende Konfigurationen für die Ausführung von Jupyter Notebooks in Microsoft Sentinel einrichtet und Beispiele für die Ausführung einfacher Abfragen enthält.

Das Erste Schritte-Handbuch für Microsoft Sentinel ML-Notebooks verwendet MSTICPy, eine leistungsstarke Python-Bibliothek, die sicherheitsrelevante Untersuchungen und bedrohungssuche in Microsoft Sentinel Notebooks verbessert. Es bietet integrierte Tools für Datenanreicherung, Visualisierung, Anomalieerkennung und automatisierte Abfragen, die Analysten dabei unterstützen, ihren Workflow ohne umfangreiche benutzerdefinierte Codierung zu optimieren.

Weitere Informationen finden Sie unter Verwenden von Notebooks zum Durchführen von Untersuchungen und Verwenden von Jupyter Notebooks zur Suche nach Sicherheitsbedrohungen.

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass Sie über die erforderlichen Berechtigungen und Ressourcen verfügen.

Installieren und Ausführen des notebooks "Erste Schritte Guide"

In diesem Verfahren wird beschrieben, wie Sie Ihr Notebook mit Microsoft Sentinel starten.

1. Wählen Sie für Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Threat Management>Notebooks aus. Wählen Sie für Microsoft Sentinel im Azure-Portal unter Bedrohungsverwaltungdie Option Notebooks aus.

2. Wählen Sie auf der Registerkarte Vorlagen die Option A Erste Schritte Guide For Microsoft Sentinel ML Notebooks aus.

3. Wählen Sie Aus Vorlage erstellen aus.

4. Bearbeiten Sie den Namen, und wählen Sie den Azure Machine Learning-Arbeitsbereich entsprechend aus.

5. Wählen Sie Speichern aus, um sie in Ihrem Azure Machine Learning-Arbeitsbereich zu speichern.

6. Wählen Sie Notebook starten aus, um das Notebook auszuführen. Das Notebook enthält eine Reihe von Zellen:

   • Markdownzellen enthalten Text und Grafiken mit Anweisungen zur Verwendung des Notebooks
   • Codezellen enthalten ausführbaren Code, der die Notebookfunktionen ausführt

7. Wählen Sie oben auf der Seite Ihre Compute-Instanz aus.

8. Fahren Sie fort, indem Sie Markdownzellen lesen und Codezellen in der richtigen Reihenfolge ausführen, indem Sie die Anweisungen im Notebook befolgen. Das Überspringen von Zellen oder das Ausführen der Zellen in nicht ordnungsgemäßer Reihenfolge kann später im Notebook zu Fehlern führen.

   Abhängig von der ausgeführten Funktion kann der Code in der Zelle schnell ausgeführt werden, oder es kann einige Zeit dauern, bis der Code abgeschlossen ist. Wenn die Zelle ausgeführt wird, ändert sich die Wiedergabeschaltfläche in einen Ladespinner, und die status wird am unteren Rand der Zelle zusammen mit der verstrichenen Zeit angezeigt.

   Wenn Sie eine Codezelle zum ersten Mal ausführen, kann es je nach Ihren Computeeinstellungen einige Minuten dauern, bis die Sitzung gestartet wird. Die Anzeige Bereit wird angezeigt, wenn das Notebook bereit ist, Codezellen auszuführen. Zum Beispiel:

   

Das Notebook Erste Schritte Handbuch für Microsoft Sentinel ML-Notebooks enthält Abschnitte für die folgenden Aktivitäten:

Der Code im Erste Schritte Guide For Microsoft Sentinel ML Notebooks startet das Tool MpConfigEdit, das eine Reihe von Registerkarten zum Konfigurieren Ihrer Notebookumgebung enthält. Wenn Sie Änderungen im MpConfigEdit-Tool vornehmen, müssen Sie ihre Änderungen speichern, bevor Sie fortfahren. Die Einstellungen für das Notebook werden in der Datei msticpyconfig.yaml gespeichert, die automatisch mit anfänglichen Details für Ihren Arbeitsbereich aufgefüllt wird.

Lesen Sie die Markdownzellen sorgfältig durch, damit Sie den Prozess vollständig verstehen, einschließlich der einstellungen und der Datei msticpyconfig.yaml . Die nächsten Schritte, zusätzliche Ressourcen und häufig gestellte Fragen aus dem Azure Sentinel Notebooks-Wiki sind am Ende des Notizbuchs verknüpft.

Anpassen Ihrer Abfragen (optional)

Das Notebook Erste Schritte Handbuch für Microsoft Sentinel ML-Notebooks enthält Beispielabfragen, die Sie verwenden können, wenn Sie sich mit Notebooks vertraut machen. Passen Sie die integrierten Abfragen an, indem Sie weitere Abfragelogik hinzufügen oder vollständige Abfragen mit der exec_query -Funktion ausführen. Beispielsweise unterstützen die meisten integrierten Abfragen den add_query_items -Parameter, den Sie zum Anfügen von Filtern oder anderen Vorgängen an die Abfragen verwenden können.

1. Führen Sie die folgende Codezelle aus, um einen Datenrahmen hinzuzufügen, der die Anzahl der Warnungen anhand des Warnungsnamens zusammenfasst:

   from datetime import datetime, timedelta
   
   qry_prov.SecurityAlert.list_alerts(
      start=datetime.utcnow() - timedelta(28),
       end=datetime.utcnow(),
       add_query_items="| summarize NumAlerts=count() by AlertName"
   )
   

2. Übergeben Sie eine KQL-Abfragezeichenfolge (Full Kusto-Abfragesprache) an den Abfrageanbieter. Die Abfrage wird für den verbundenen Arbeitsbereich ausgeführt, und die Daten werden als Panda DataFrame zurückgegeben. Ausführen:

   # Define your query
   test_query = """
   OfficeActivity
   | where TimeGenerated > ago(1d)
   | take 10
   """
   
   # Pass the query to your QueryProvider
   office_events_df = qry_prov.exec_query(test_query)
   display(office_events_df.head())
   
   

Weitere Informationen finden Sie unter:

• Die MSTICPy-Abfragereferenz
• Ausführen vordefinierter MSTICPy-Abfragen

Anwenden von Anleitungen auf andere Notebooks

In den Schritten in diesem Artikel wird beschrieben, wie Sie das Notebook "Erste Schritte Guide for Microsoft Sentinel ML Notebooks" in Ihrem Azure Machine Learning-Arbeitsbereich über Microsoft Sentinel ausführen. Sie können diesen Artikel auch als Anleitung verwenden, um ähnliche Schritte zum Ausführen von Notebooks in anderen Umgebungen, einschließlich lokal, auszuführen.

Mehrere Microsoft Sentinel Notebooks verwenden MSTICPy nicht, z. B. die Notebooks für die Anmeldeinformationsprüfung oder die PowerShell- und C#-Beispiele. Notebooks, die MSTICpy nicht verwenden, benötigen nicht die in diesem Artikel beschriebene MSTICPy-Konfiguration.

Probieren Sie andere Microsoft Sentinel Notebooks aus, z. B.:

• Konfigurieren Ihrer Notebook-Umgebung
• Eine Tour durch cybersec Notebook-Features
• Beispiele für maschinelles Lernen in Notebooks
• Die Entity Explorer-Serie, einschließlich Variationen für Konten, Domänen und URLs, IP-Adressen und Linux- oder Windows-Hosts.

Weitere Informationen finden Sie unter:

• Jupyter Notebooks mit Microsoft Sentinel Hunting-Funktionen
• Erweiterte Konfigurationen für Jupyter Notebooks und MSTICPy in Microsoft Sentinel
• Erstellen Ihres ersten Microsoft Sentinel Notebooks (Blogreihe)
• Exemplarische Vorgehensweise für Linux Host Explorer Notebook (Blog)

Verwandte Inhalte

Weitere Informationen finden Sie unter:

• MSTICPy-Dokumentation
• Jupyter Notebooks: Eine Einführung
• The Infosec Jupyterbook
• Gründe für die Verwendung von Jupyter für Sicherheitsuntersuchungen
• Sicherheitsuntersuchungen mit Microsoft Sentinel & Notebooks