Partager via

Repérer les menaces pour la sécurité à l’aide de notebooks Jupyter

  • Article
  • S’applique à:
    Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Dans le cadre de vos investigations et du repérage des menaces pour la sécurité, lancez et exécutez des notebooks Jupyter afin d’analyser vos données par programmation.

Dans cet article, vous allez créer un espace de travail Azure Machine Learning, lancer un notebook de Microsoft Sentinel vers votre espace de travail Azure Machine Learning et exécuter du code dans le notebook.

Important

Microsoft Sentinel est désormais en disponibilité générale dans la plateforme d’opérations de sécurité unifiée de Microsoft du portail Microsoft Defender. Pour en savoir plus, consultez Microsoft Sentinel dans le portail Microsoft Defender.

Prérequis

Avant de suivre les étapes de cet article, nous vous recommandons de vous renseigner sur les notebooks Microsoft Sentinel. Consultez Utiliser des notebooks Jupyter afin de repérer les menaces pour la sécurité.

Pour utiliser des notebooks Microsoft Sentinel, vous devez disposer des rôles et autorisations suivants :

Type Détails
Microsoft Sentinel - Rôle Contributeur Microsoft Sentinel, afin d’enregistrer et de lancer des notebooks à partir de Microsoft Sentinel.
Azure Machine Learning - Rôle de propriétaire ou de contributeur au niveau du groupe de ressources, pour créer un espace de travail Azure Machine Learning si nécessaire.
- Rôle Contributeur sur l’espace de travail Azure Machine Learning dans lequel vous exécutez vos notebooks Microsoft Sentinel.

Pour plus d’informations, consultez Gérer l’accès à un espace de travail Azure Machine Learning.

Créer un espace de travail Azure Machine Learning à partir de Microsoft Sentinel

Pour créer votre espace de travail, sélectionnez l’un des onglets suivants, selon que vous utilisez un point de terminaison public ou privé.

  • Nous vous recommandons d’utiliser un point de terminaison public lorsque votre espace de travail Microsoft Sentinel en a un, afin d’éviter tout problème potentiel dans la communication réseau.
  • Si vous souhaitez utiliser un espace de travail Azure Machine Learning dans un réseau virtuel, utilisez un point de terminaison privé.

  1. Dans Microsoft Sentinel, dans le Portail Microsoft Azure, sous Gestion du menaces, sélectionnez Notebooks.
    Pour Microsoft Sentinel dans le portail Defender, sélectionnez Microsoft Sentinel>Gestion des menaces>Notebooks.

  2. Sélectionnez Configurer Azure Machine Learning>Créer un espace de travail AML.

  3. Entrez les détails suivants et sélectionnez Suivant.

    Champ Description
    Abonnement Sélectionnez l’abonnement Azure que vous souhaitez utiliser.
    Groupe de ressources Utilisez un groupe de ressources existant dans votre abonnement, ou entrez un nom pour créer un groupe de ressources. Un groupe de ressources contient les ressources associées d’une solution Azure.
    Nom de l’espace de travail Entrez un nom unique qui identifie votre espace de travail. Dans le groupe de ressources, les noms doivent être uniques. Utilisez un nom dont il est facile de se rappeler et que vous pouvez facilement différencier des autres espaces de travail.
    Région Sélectionnez l’emplacement le plus proche de vos utilisateurs et des ressources de données pour créer votre espace de travail.
    Compte de stockage Un compte de stockage est utilisé comme magasin de données par défaut pour l’espace de travail. Vous pouvez créer une ressource de stockage Azure ou en sélectionner une existante dans votre abonnement.
    KeyVault Un coffre de clés est utilisé pour stocker les secrets et autres informations sensibles nécessaires à l’espace de travail. Vous pouvez créer une ressource Azure Key Vault ou en sélectionner une existante dans votre abonnement.
    Application Insights L’espace de travail utilise Azure Application Insights pour stocker des informations de surveillance sur vos modèles déployés. Vous pouvez créer une ressource Azure Application Insights ou en sélectionner une existante dans votre abonnement.
    Registre de conteneurs Un registre de conteneurs est utilisé pour enregistrer les images du docker utilisées dans les formations et les déploiements. Pour réduire les coûts, une ressource Azure Container Registry est créée uniquement après la création de votre première image. Vous pouvez également choisir de créer la ressource maintenant ou d’en sélectionner une existante dans votre abonnement, ou de sélectionner Aucun si vous ne souhaitez pas utiliser un registre de conteneurs.

  4. Sous l’onglet Mise en réseau, sélectionnez Activer l’accès public à partir de tous les réseaux.

    Définissez les paramètres appropriés dans les onglets Avancé ou Balises, puis sélectionnez Vérifier + créer.

  5. Dans l’onglet Vérifier + créer, passez en revue les informations pour vérifier qu’elles sont correctes, puis sélectionnez Créer pour démarrer le déploiement de votre espace de travail. Par exemple :

    Vérifier + créer votre espace de travail Machine Learning à partir de Microsoft Sentinel.

    La création de votre espace de travail dans le cloud peut prendre plusieurs minutes. Pendant ce temps, la page Vue d’ensemble de l’espace de travail affiche l’état actuel du déploiement et se met à jour une fois le déploiement terminé.

Une fois votre déploiement terminé, revenez à Notebooks dans Microsoft Sentinel et lancez des notebooks à partir de votre nouvel espace de travail Azure Machine Learning.

Si vous disposez de plusieurs notebooks, veillez à sélectionner un espace de travail AML par défaut à utiliser lors du lancement de vos notebooks. Par exemple :

Sélectionnez un espace de travail AML par défaut pour vos notebooks.

Lancer un notebook dans votre espace de travail Azure Machine Learning

Après avoir créé un espace de travail Azure Machine Learning, lancez vos notebooks dans cet espace de travail depuis Microsoft Sentinel. N’oubliez pas que si vous avez des points de terminaison privés activés dans votre compte de stockage Azure, vous ne pouvez pas lancer de notebooks dans l’espace de travail Azure Machine Learning depuis Microsoft Sentinel. Vous devez copier le modèle de notebook depuis Microsoft Sentinel, puis charger le notebook dans Azure Machine Learning studio.

Pour lancer votre notebook Microsoft Sentinel dans votre espace de travail Azure Machine Learning, effectuez les étapes suivantes.

  1. Dans Microsoft Sentinel, dans le Portail Microsoft Azure, sous Gestion du menaces, sélectionnez Notebooks.
    Pour Microsoft Sentinel dans le portail Defender, sélectionnez Microsoft Sentinel>Gestion des menaces>Notebooks.

  2. Sélectionnez l’onglet Modèles pour afficher les notebooks que Microsoft Sentinel fournit.

  3. Sélectionnez un notebook pour afficher sa description, les types de données requis et les sources de données.

  4. Une fois que vous avez trouvé le notebook souhaité, sélectionnez Créer à partir d’un modèle et Enregistrer pour le cloner dans votre propre espace de travail.

  5. Changez le nom selon les besoins. Si le notebook existe déjà dans votre espace de travail, remplacez-le ou créer en un nouveau. Par défaut, votre notebook est enregistré dans le répertoire /Users/<Your_User_Name>/ de l’espace de travail AML sélectionné.

    Enregistrez un bloc-notes pour le cloner dans votre propre espace de travail.

  6. Une fois le notebook enregistré, le bouton Enregistrer le notebook est remplacé par le bouton Lancer le notebook. Sélectionnez Lancer le notebook pour l’ouvrir dans votre espace de travail AML.

    Par exemple :

    Lancez votre notebook dans votre espace de travail AML.

  7. En haut de la page, sélectionnez une instance de calcul à utiliser pour votre serveur de notebook.

    Si vous n’avez pas d’instance de calcul, créez-en une. Si votre instance de calcul est arrêtée, assurez-vous de la démarrer. Pour plus d’informations, consultez Exécuter un notebook dans Azure Machine Learning Studio.

    Vous seul pouvez voir et utiliser les instances de calcul que vous créez. Vos fichiers utilisateur sont stockés séparément de la machine virtuelle, et partagés entre toutes les instances de calcul dans l’espace de travail.

    Si vous créez une nouvelle instance de calcul afin de tester vos notebooks, créez votre instance de calcul avec la catégorie Usage général.

    Le noyau s’affiche également en haut à droite de votre fenêtre Azure Machine Learning. Si le noyau dont vous avez besoin n’est pas sélectionné, choisissez une autre version dans la liste déroulante.

  8. Une fois votre serveur de notebooks créé et démarré, exécutez vos cellules de notebooks. Dans chaque cellule, sélectionnez l’icône Exécuter pour exécuter le code de votre notebook.

    Pour plus d’informations, consultez Raccourcis du mode de commande.

  9. Si votre notebook se bloque ou si vous voulez recommencer, vous pouvez redémarrer le noyau et réexécuter les cellules du notebook depuis le début. Si vous redémarrez le noyau, les variables et autres états sont supprimés. Après le redémarrage, réexécutez les cellules d’initialisation et d’authentification.

    Pour redémarrer, sélectionnez Noyau>Redémarrer le noyau. Par exemple :

    Redémarrez un noyau de notebook.

Exécuter du code dans votre notebook

Exécutez toujours les cellules de code du notebook dans l’ordre. Ignorer des cellules peut entraîner des erreurs.

Dans un notebook :

  • Les cellules Markdown contiennent du texte, y compris du code HTML, et des images statiques.
  • Les cellules de code contiennent du code. Après avoir sélectionné une cellule de code, exécutez le code dans la cellule en sélectionnant l’icône Lecture à gauche de la cellule, ou en appuyant sur MAJ + ENTRÉE.

Par exemple, exécutez la cellule de code suivante dans votre notebook :

# This is your first code cell. This cell contains basic Python code.

# You can run a code cell by selecting it and then selecting
# the Play button to the left of the cell, or by pressing SHIFT+ENTER.
# Code output displays below the code.

print("Congratulations, you just ran this code cell")

y = 2 + 2

print("2 + 2 =", y)

L’exemple de code produit cette sortie :

Congratulations, you just ran this code cell

2 + 2 = 4

Les variables définies dans une cellule de code du notebook persistent entre les cellules, de sorte que vous pouvez lier des cellules. Par exemple, la cellule de code suivante utilise la valeur y de la cellule précédente :

# Note that output from the last line of a cell is automatically
# sent to the output cell, without needing the print() function.

y + 2

La sortie est la suivante :

6

Télécharger tous les notebooks Microsoft Sentinel

Cette section décrit comment utiliser Git pour télécharger tous les notebooks disponibles dans le référentiel GitHub de Microsoft Sentinel, de l’intérieur d’un notebook Microsoft Sentinel, directement dans votre espace de travail Azure Machine Learning.

Le stockage des notebooks Microsoft Sentinel dans votre espace de travail Azure Machine Learning vous permet de les mettre à jour facilement.

  1. À partir d’un notebook Microsoft Sentinel, entrez le code suivant dans une cellule vide, puis exécutez la cellule :

    !git clone https://github.com/Azure/Azure-Sentinel-Notebooks.git azure-sentinel-nb

    Une copie des contenus du référentiel GitHub est créée dans le répertoire azure-Sentinel-nb sur votre dossier utilisateur dans votre espace de travail Azure Machine Learning.

  2. Dans ce dossier, copiez les notebooks que vous voulez vers votre répertoire de travail.

  3. Pour mettre à jour vos notebooks avec toutes les modifications récentes à partir de GitHub, exécutez :

    !cd azure-sentinel-nb && git pull

Contenu connexe