Este novo recurso atualmente (06/05/2024) em preview irá ajudar as empresas que utilizam Sentinel.
Por que é um recurso necessário?
Os utilizadores de Sentinel já conhecem bem o Content Hub e como ele ajuda disponibilizando os diferentes pacotes contendo regras analíticas, conectores e hunting para diferentes necessidades, produtos ou cenários. Alem disso, algumas tabelas e dados podem estar com baixa ou alta ingestão, o que compromete eficácia e custos.
Porem muitas vezes para se atingir a proteção a determinado tipo de ataque é necessário ter diversos pacotes do Content Hub para produtos diferentes ou isolados. Por exemplo para BEC é necessário algumas regras de Fortigate, outras de Cisco, outras de ENTRA e assim por diante, já que podemos ter diversos produtos em um ambiente e qualquer um deles pode ser a porta de entrada.
Resumindo, é dificil saber quais pacotes tem as regras que me protegeriam de um cenário de ataque especifico envolvendo múltiplos produtos e também otimização de custos.
Como o SOC Optimization ajuda e funciona?
Com avaliações periódicas das suas regras instaladas e habilitadas, ele identifica cenários em que sua organização está protegida ou vulnerável. Seguem um print do meu ambiente hoje, onde podem ser vistos os diferentes tipos de ataque:
No exemplo acima, escolhi o BEC para roubo de credencial como o foco de analise realizada pela plataforma e descubro que das 29 recomendações eu tenho apenas 16 aplicadas. Alem disso o grafico me permite ver por tipo de ataque qual é o foco das táticas e técnicas baseado no MITRE.
Ao clicar no link View all MITRE ATTACK technique improvement passo a ter um detalhe das tecnicas que estou cobrindo e quais não estou protegido:
Por fim, ao clicar no botão Go to Content Hub sou direcionado a uma nova tela onde tenho acesso a quais são os objetos que me ajudariam a cobrir o gap identificado e permitindo a instalação imediata:
No exemplo acima vejam que diversas regras estão relacionadas a analise de log de produtos de terceiros que eu não possuo. Como lidar neste caso?
Lembre-se que na tela iniciar de cada avaliação você tem a opção de indicar o estágio que se encontra a sua ação após a análise. Como em meu ambiente não tenho Cisco nem Proofpoint instalaria os objetos que cobrem o meu ambiente e definiria o estágio como Complete.
Conclusão
Simples de utilizar e prático, este recurso irá ajudar muito aos operadores de SOC ter cenários cobertos sem a necessidade de seguir manualmente verificações.
Também irá ajudar na visualização de tabelas com ingestão inadequada.
O workbook agora tornado publico (ate a data que escreve em public preview) eu testei quando esteve a dois meses em Private Preview.
Este workbook permite que você crie conectores para dados que não são padronizados e consequentemente não aparecem no painel de dados do Sentinel, apesar que é possível criar regras de anomalias e hunting a partir de DCRs (Data Collection Rules) do Azure Monitor.
Vantagens de Coletores Customizados
Alem da característica visual no Sentinel de ver o seu coletor e estatísticas, você terá uma integração com APIs externas.
Essa integração permitira que de forma simples você capture dados de fontes externas como produtos PaaS e SaaS de terceiros.
O Workbook
O workbook não é tão simples a ponto de ser utilizado por um profissional que não conheça bem o Azure Monitor e conceitos de log (JSON, CSV, Endpoint, API URL/Autenthication, etc). Mas para quem já utiliza hoje DCRs e captura dados no Log Analytics, ele será mais simples.
Após baixar o workbook pelo Content, verá que ele permite indicar a subscrição, log analytics, endpoint e definir visualmente as características do dado que deseja coletar:
Referencia
Create Codeless Connectors with the Codeless Connector Builder (Preview) - Microsoft Community Hub
Disponivel em preview pelo progama CCP a alguns meses e agora disponivel para todos os usuarios (GA), o recurso de Tasks no Sentinel é um recuros muito importante e esperado (Use tasks to manage incidents in Microsoft Sentinel | Microsoft Learn).
Porque é um recurso importante
Já havia sido introduzido no sentinel a algum tempo o recurso de comentários, mas ele não permitia um controle do que precisaria ser realizado em uma sequencia e servia para cada operador ou analista informar o que foi realizado ou descoberto.
O recurso de tasks permite que os analistas e operadores de SOC indiquem uma sequencia, passos bem definidos e estejam claramente identificados.
A tela abaixo demonstra bem como esse é simples e útil.
Veja que já tenho uma tarefa padrão via automação que abordarei mais tarde, mas já criei uma tarefa de exemplo e a adição de tasks é simples permitindo edição com bullets ou listas numeradas.
As tarefas não permitem a atribuição a terceiros, já que o analista responsavel pela triagem irá direcionar o incidente a outro operador ou analista especialista que irá liderar a investigação.
Automatizando Tasks
No exemplo que utilizei veja que a primeira tarefa foi criada pela automação que inclui o nome do responsavel e cria uma tarefa basica apenas como exemplo.
Isso é feito no Sentinel em Automações (Automation) com todos os incidentes que são gerados no meu ambiente de demonstração: