練習 - 使用 Microsoft Sentinel 分析來偵測威脅

身為 Contoso 的資訊安全工程師，您最近發現您的 Azure 訂用帳戶中，有大量的 VM 遭到刪除。您想要分析此事件，並在未來發生類似活動時收到警示。您決定要實作分析規則，以在有人刪除現有的 VM 時建立事件。

練習：使用 Microsoft Sentinel Analytics 來偵測威脅

在本練習中，您將探索 Microsoft Sentinel 分析規則並執行下列工作：

注意

為完成此練習，您必須完成單元 2 中的練習設定單位。如果您尚未這麼做，請先完成該單元，然後再繼續進行練習步驟。

在 [一般] 索引標籤上，輸入下表中的輸入值，然後選取 [下一步：設定規則邏輯]

名稱	Azure VM 刪除。
描述	當有人刪除 Azure 虛擬機器時，會發出警示的簡單偵測。
MITRE ATT&CK	從 [MITRE ATT&CK] 下拉式功能表中，選取 [影響]。
嚴重性	選取 [嚴重性] 下拉式功能表，然後選取 [中]。
狀態	確定狀態為 [已啟用]。您可以選取 [停用]，在規則產生大量誤判為真的情況下將其停用。

[分析規則精靈 - 建立新規則] 螢幕擷取畫面。

在 [設定規則邏輯] 索引標籤上，將下列程式碼複製並貼到 [規則查詢] 文字方塊中：

AzureActivity
| where OperationNameValue == "MICROSOFT.COMPUTE/VIRTUALMACHINES/DELETE"
| where ActivityStatusValue == "Success"

在 Azure 入口網站中，選取 [首頁]，然後在 [搜尋] 網址列中輸入虛擬機器，然後選取 Enter。
在 [虛擬機器] 頁面上，找出並選取您在此練習的資源群組中建立的 simple-vm 虛擬機器，然後在標頭列上選取 [刪除]。在 [刪除虛擬機器] 提示中，選取 [是]。
在 [刪除虛擬機器] 提示中，選取 [確定] 以刪除該虛擬機器。

注意

此工作會根據您在＜工作 1＞中建立的分析規則建立事件。事件建立最多可能需要花費 15 分鐘的時間。您可以繼續進行此單元的剩餘步驟，並於稍後再觀察結果。

在 Azure 入口網站中，選取 [首頁]、選取 [Azure Sentinel]，然後選取您在本課程模組第 2 單元中建立的 Microsoft Sentinel 工作區。
開啟 Microsoft Sentinel，在左側功能表的 [設定] 下選取 [分析]。
在 [分析] 窗格中，選取 [規則範本] 索引標籤。
在 [搜尋] 欄位中，輸入根據適用於雲端的 Microsoft Defender 建立事件，然後選取該規則範本。
在詳細資料窗格中，選取 [建立規則]。
在 [一般] 窗格中，觀察分析規則的名稱，然後確認該規則的 [狀態] 為 [已啟用]。
在 [分析規則邏輯] 區段中，確認 Microsoft 安全性服務顯示已選取 [適用於雲端的 Microsoft Defender]。
在 [依嚴重性篩選] 區段中，選取 [自訂]，然後在下拉式功能表中，選取 [高] 與 [中]。
如果要為來自「適用於雲端的 Microsoft Defender」的警示設定更多篩選條件，您可以在 [包括特定警示] 和 [排除特定警示] 中新增文字。
選取 [下一步: 自動化回應]，然後選取 [下一步: 檢閱]。
在 [檢閱及建立] 頁面上，選取 [建立]。

完成此練習後，您已經從現有的範本建立事件規則，並使用您自己的查詢程式碼，建立排程的查詢規則。

完成練習之後，請刪除資源以免產生費用。