Tworzenie niestandardowych reguł zbierania danych i zarządzanie nimi w Ochrona punktu końcowego w usłudze Microsoft Defender (wersja zapoznawcza)

W tym artykule pokazano, jak tworzyć niestandardowe reguły zbierania danych i zarządzać nimi w portalu Microsoft Defender.

Wymagania wstępne

Upewnij się, że masz:

Wydajność i limity

• Każda reguła może przechwytywać do 25 000 zdarzeń na urządzenie na 24-godzinne okno stopniowe
• Gdy urządzenie osiągnie próg, dane telemetryczne dla tej reguły zostaną zatrzymane do momentu zresetowania okna
• Wdrażanie reguł zwykle trwa od 20 minut do 1 godziny
• Kolekcja niestandardowa działa wraz z domyślną konfiguracją bez zakłóceń

Zagadnienia dotyczące zabezpieczeń

Przed utworzeniem reguł należy wziąć pod uwagę następujące implikacje dotyczące zabezpieczeń:

Koszty danych

• Niestandardowe zbieranie danych jest dołączone do Ochrona punktu końcowego w usłudze Microsoft Defender P2
• Pozyskiwanie danych do Microsoft Sentinel wiąże się z naliczaniem opłat na podstawie rozliczeń Sentinel
• Docelowa kolekcja do określonych grup urządzeń w celu kontrolowania kosztów

Tworzenie reguł

1. W portalu Microsoft Defender przejdź do pozycji Ustawienia>Reguły>punktów końcowych Niestandardowe>zbieranie danych.

2. Aby dołączyć obszar roboczy Microsoft Sentinel, w prawym górnym rogu wybierz nazwę obszaru roboczego Microsoft Sentinel.

   

3. Na stronie Zakres obszaru roboczego wybierz obszar roboczy.

   

   Uwaga

   Na tym etapie musisz wybrać obszar roboczy, nawet jeśli masz już połączony obszar roboczy Microsoft Sentinel.

4. Wybierz pozycję Utwórz regułę. W sekcji Informacje ogólne wpisz nazwę i opis reguły, a następnie wybierz pozycję Dalej.

   

5. W sekcji Tworzenie reguły :

   1. Wybierz tabelę, z której chcesz zbierać dane. Aby uzyskać więcej informacji, zobacz Obsługiwane tabele zdarzeń.
   2. Wybierz akcję, dla której chcesz zbierać dane.
   3. Dodaj warunki reguły, aby jeszcze bardziej filtrować dane. Możesz dodać wiele warunków, aby uściślić zbieranie danych. Warunki reguły są oparte na wybranej tabeli. Aby uzyskać więcej informacji, zobacz odpowiedni link do tabeli w obszarze Obsługiwane tabele zdarzeń.

   

6. Wybierz pozycję Dalej.

7. W sekcji Definiowanie zakresu reguły wybierz, czy chcesz zbierać dane ze wszystkich odpowiednich urządzeń klienckich, czy z określonych urządzeń zawierających tagi dynamiczne. Aby uzyskać więcej informacji, zobacz Tworzenie reguł dynamicznych dla urządzeń w zarządzaniu regułami zasobów.

   

   Uwaga

   Niestandardowe zbieranie danych obsługuje tylko tagi dynamiczne.

8. W sekcji Przeglądanie i zakończenie przejrzyj ustawienia reguły i wybierz pozycję Prześlij.

   

Wdrożenie reguły na urządzeniach docelowych może potrwać do godziny.

Monitorowanie i rozwiązywanie problemów

Po wdrożeniu niestandardowych reguł zbierania danych monitoruj ich wydajność i rozwiąż wszelkie problemy.

Weryfikowanie wdrożenia reguły

Aby sprawdzić, czy reguła zbiera dane z określonego urządzenia, wykonaj zapytanie dotyczące niestandardowych tabel zdarzeń w zaawansowanym wyszukiwaniu:

search in (DeviceCustomFileEvents, DeviceCustomScriptEvents, DeviceCustomNetworkEvents, DeviceCustomProcessEvents, DeviceCustomImageLoadEvents) "your_device_id"
| where DeviceId == "your_device_id"
| summarize EventCount = count() by RuleName, RuleLastModificationTime, $table
| order by RuleLastModificationTime desc

Typowe problemy i rozwiązania

Monitorowanie wydajności reguł

• Sprawdzanie woluminu zdarzeń: wykonywanie zapytań względem niestandardowych tabel zdarzeń, aby zobaczyć, ile zdarzeń zbiera każda reguła
• Przejrzyj stan kolekcji: monitorowanie, czy urządzenia zbliżają się do limitu 25 000 zdarzeń na dzień
• Weryfikowanie określania wartości docelowej: upewnij się, że reguły są wdrażane na odpowiednich urządzeniach na podstawie tagów dynamicznych

Zbieranie wszystkich zdarzeń na potrzeby testowania

Aby zebrać wszystkie zdarzenia z określonej tabeli (do testowania lub kompleksowego monitorowania):

1. Tworzenie reguły przy użyciu żądanej tabeli
2. Wybierz wszystkie dostępne akcje
3. Dodaj warunek, który jest zawsze prawdziwy, na przykład:
   • W przypadku zdarzeń sieciowych: RemotePort not equals 0
   • W przypadku zdarzeń pliku: FileName not equals ""
   • W przypadku zdarzeń procesu: ProcessCommandLine not equals ""
4. Najpierw należy kierować do małej grupy pilotażowej z powodu dużej ilości danych

Zarządzanie regułami

Edytowanie reguły

1. Przejdź do pozycji Ustawienia>Reguły>punktów końcowych>— niestandardowe zbieranie danych
2. Wybierz regułę, którą chcesz edytować
3. Wybierz pozycję Edytuj
4. Modyfikowanie ustawień reguły w razie potrzeby (nazwa, opis, tabela, akcje, warunki lub określanie wartości docelowej urządzenia)
5. Wybierz pozycję Prześlij

Zmiany wejdą w życie na urządzeniach docelowych w ciągu 20 minut do 1 godziny.

Włączanie lub wyłączanie reguły

1. W obszarze Zbieranie danych niestandardowych wybierz regułę
2. Zaznacz lub wyczyść pole wyboru Włącz w opisie reguły

Po wyłączeniu reguły zbieranie danych zostanie zatrzymane na wszystkich urządzeniach docelowych podczas następnego zaewidencjonowania agenta (zazwyczaj w ciągu kilku minut do 1 godziny).

Usuwanie reguły

1. W obszarze Zbieranie danych niestandardowych wybierz regułę
2. Wybierz pozycję Usuń
3. Potwierdzanie usunięcia

Następne kroki

• Omówienie zbierania danych niestandardowych: przejrzyj możliwości i czas korzystania z kolekcji niestandardowej
• Tworzenie tagów urządzeń i urządzeń docelowych oraz zarządzanie nimi: dowiedz się, jak tagi umożliwiają określanie wartości docelowej urządzeń na dużą skalę
• Zaawansowane wyszukiwanie zagrożeń: wykonywanie zapytań względem niestandardowych tabel zdarzeń w Microsoft Sentinel