如何檢測安全事件何時發生

Question

剛剛獲得了一個新職位，我將負責在安全方面進行一些系統集成和自動化。 我從未做過任何集成或自動化，所以這是我的第一個牛仔競技表演。 我有以下工具可供使用：

• 縮放器
• 蔚藍哨兵
• 微軟雲應用安全
• 微軟電源套件
• 邁克菲歐洲專利局

我得到了一份要完成的行動項目清單。 他們中的很多人都需要在事件發生后立即做出響應，而這正是我迷失的地方。 例如，假設 Zscaler 檢測到 IA 感染，我們希望 X 和 X 操作在檢測到后發生。 我如何確保我們的系統在事件發生后立即收到警報？ 我猜這是查詢 API 的問題，但是使用我擁有的工具進行設置的正確方法是什么？

Answer 1

通常，您會將這些安全工具的日志發送到 Log Analytics，並可以基於它們構建 KQL 查詢。

例如，在擁有 McAfee EPO 的自定義日志源后，您可以創建重復查詢，例如

McafeeEPO | 其中 EventType = ThreatEventLog | 擴展 HostCustomEntity = hostname_s，AccountCustomEntity = username_s，IPCustomEntity = ipv4_s

我以https://github.com/Azure/Azure-Sentinel/blob/master/Detections/EsetSMC/eset-threats.yaml為例，你也可以檢查其他人。