Defender, Sentinel, Entra ve Purview'de Gömülü Deneyimler

Entra riskli bir oturum açmayı işaretliyor. Cihaz kaydı Intune'da bulunuyor. Sekiz dakika sonra Purview aynı kullanıcı için veri kaybı uyarısı oluşturuyor. Kayıtlar ilişkili olabilir, fakat birbirine yakın üç olay tek bir vakayı kanıtlamaz.

Gömülü Security Copilot, açık olan ürün kaydının içinde çalışmaya başlar. Önce kanıtın sahibi olan ürüne gitmeniz, kayıtlar arasında tanımlayıcıları dikkatle taşımanız ve düzenli görünen anlatıyı alttaki veriden daha güçlü hâle getirmemeniz gerekir.

Kanıt hangi yüzeyde bulunur?

Bir kayıttan başlıyorsanız akıl yürütmenizin dayanağı o kaydı tutan ürün olmalıdır. Defender XDR ile Sentinel olayları özetleyebilir, ancak sonraki adımlarda farklı alanlarda güçlenir. Entra, Intune ve Purview de resmin farklı parçalarını tutar. İhtiyacınız olan kanıtı hangi ürünün tuttuğunu sorarak yönlendirme yapın:

İki alışkanlık güvenilirliği artırır. Önce tanımlayıcılar, zaman damgaları ve varlıklar için ürünün olay kaydını yetkili kaynak sayın. Copilot'un anlatımı bu değerleri doğrulamaz. Bir yüzeyde bulunan özelliğin diğerinde de olduğunu varsaymayın. Defender XDR dosya ve betik analiz eder, yönlendirmeli yanıt sunar. Sentinel'ın belgelenmiş güçlü yönleri olay özetleri ve doğal dilden KQL'ye dönüştürmedir. Yanlış yönlendirme yalnızca zaman kaybettirmez. Bir yüzeye sahip olmadığı bir soruyu sorarsanız yanlış kanıta dayanan kendinden emin bir yanıt veya neredeyse kanıtsız bir özet alabilirsiniz. Önce kanıtın sahibi olan yüzeyi seçin. Sonra dönen olay tanımlayıcısını kendi notlarınızla eşleştirin.

Doğrulanmış, makul veya bilinmeyen?

Gömülü araştırmalarda ürünler arası çalışmaya uygun üç etiket kullanın. Belirli bir kayıt doğrudan destekliyorsa Doğrulanmış, doğrulanmış kanıtın hâlâ kontrol gerektiren makul bir yorumuysa Makul, mevcut kayıtlar göstermiyorsa Bilinmeyen yazın. Bunlar analistin uyguladığı etiketlerdir. Copilot bunları hazır bir alan olarak döndürmez. İfadenin kesin görünmesi de kanıt sayılmaz.

Belgelenmiş bir özellik, belirli kayıtta istediğiniz her alanın bulunacağını garanti etmez. Intune cihaz kaydı uyumluluk durumunu göstermeyebilir. Purview DLP uyarısı kullanıcıyı belirtirken cihazı veya hedefi boş bırakabilir. Bu alanları yine isteyin, fakat eksik olduklarında ne yapılacağını açıkça yazın: "Yalnızca seçili kayıtta bulunan alanları kullan. İstenen alanlardan biri yoksa Not available döndür. Bir değer çıkarımında bulunma."

Sınıflandırma ilk incelemeden sonra da önemini korur, çünkü ifadeler başka kayıtlara taşınır. Doğrulanmış satır vaka kaydına kopyalanabilir veya kaynak uyarıyı hiç açmamış bir analist tarafından kullanılabilir. Makul yorum Doğrulanmış düzeyine çıkarılırsa sonraki karar, kayıtta olmayan kanıta dayanır. Başka bir kayıt boşluğu kapatana kadar daha zayıf etiketi koruyun.

Oluşturulan KQL neden yalnızca taslaktır?

Copilot'tan bir tehdit avcılığı sorusunu Kusto Query Language (KQL) sorgusuna çevirmesini istediğinizde saniyeler içinde sözdizimi geçerli metin alabilirsiniz. Geçerli olması doğru olduğu anlamına gelmez. Oluşturulan KQL, önerilen tabloların veriyi tuttuğunu, alanların ortamınızda bulunduğunu, zaman filtresinin olayla eşleştiğini, varlık değerlerinin doğru formatta olduğunu veya dönen satırların hipotezinizi desteklediğini kanıtlamaz.

Tek satırı yorumlamadan önce kısa doğrulama döngüsü uygulayın. Takvim tarihini, zaman aralığını ve saat dilimini eksiksiz belirleyin. "09:00 ile 10:00 arası" ifadesi tarih yoksa belirsiz ve güvensizdir. Önerilen tablo ve alanları şemanızla karşılaştırın. Mantığın iki varlığı aynı kayıtta mı (AND) yoksa varlıklardan herhangi birini mi (OR) araması gerektiğine karar verin. Bu seçim sorgunun anlamını değiştirir. Ardından sorguyu yetkili yüzeyde çalıştırın, dönen kayıtları olay zaman çizelgesiyle karşılaştırın ve yalnızca hatalı olduğu kanıtlanan koşulu düzeltin. Sentinel'ın doğal dilden KQL'ye dönüştürme özelliği Preview durumundadır. Bu durum özelliği kullanılamaz yapmaz. Şema, mantık ve sonuç kontrollerini sizin yapmanızı gerektirir.

Ürünler arası bulguları güvenle nasıl ilişkilendirirsiniz?

Ayrı gömülü oturumlar önceki bulguları otomatik olarak paylaşmaz. İlişkilendirme için her kaynağa bir satır ayırdığınız çalışma sayfası kullanın. Ürünü, kesin kayıt kimliğini, kullanıcıyı, cihazı, zaman damgasını, doğrulanmış kanıtı, yorumu, eksik kanıtı ve ilişkilendirme durumunu yazın. Tanımlayıcılarla bulguları bu sayfaya bilinçli olarak taşıyın.

Ürünler arası ilişkiyi savunabilmek için tanımlayıcıların ve ilgili zamanların uyuşması, kayıtların da bağlantıyı desteklemesi gerekir. Entra ile Purview [email protected] kullanıcısını, Entra ile Intune ise WIN-ENG-042 cihazını birkaç dakika arayla gösteriyor olsun. Ortak kullanıcı ve cihaz Doğrulanmıştır. Purview uyarısında cihaz alanı yoksa DLP etkinliğini o makineye bağlayamazsınız. Bu bağlantı Bilinmeyen, tek bir ortak ele geçirme yorumu ise başka kayıt destekleyene kadar Makul kalır. Yakın zaman damgaları hipotezi destekler. Nedenselliği göstermez.

Öneri, yetki değildir

Defender XDR'ın yönlendirmeli yanıtı analistin değerlendireceği adımlar önerir. Bu adımları onaylamaz. "Cihazı yalıtın" gibi bir öneri talimat gibi okunabilir, fakat araç değişiklik sürecinizi bilmez ve eylemi yürütme yetkisine sahip değildir. Kullanıcı, cihaz, dosya veya ilke üzerinde değişiklik yapmadan önce hedefi doğrulayın, destekleyen kanıtı koruyun, beklenen etkiyle etki alanını anlayın ve gerekli onayı alın.

Önerilen eylemi "onay bekliyor" durumunda kaydedin. Yalnızca eylem uygulandıktan ve yetkili kişi onayladıktan sonra tamamlandı olarak işaretleyin. Sonradan inceleyen kişi kanıtın neyi gösterdiğini, analistin ne önerdiğini ve kuruluşun neyi onayladığını ayırabilmelidir.