Gelişmiş tehdit avcılığı sorgu dilini öğrenme

Gelişmiş avcılık , Kusto sorgu dilini temel alır. Kusto işleçlerini ve deyimlerini kullanarak özel bir şemadaki bilgileri bu alan sorgular oluşturabilirsiniz.

Bazı kullanışlı Kusto sorgu dili temel bilgilerini öğrenmek için bu kısa videoyu izleyin.

Bu kavramları daha iyi anlamak için ilk sorgunuzu çalıştırın.

İlk sorgunuzu deneyin

Microsoft Defender portalında, ilk sorgunuzu çalıştırmak için Avcılık'a gidin. Aşağıdaki örneği kullanın:

// Finds PowerShell execution events that could involve a download
union DeviceProcessEvents, DeviceNetworkEvents
| where Timestamp > ago(7d)
// Pivoting on PowerShell processes
| where FileName in~ ("powershell.exe", "powershell_ise.exe")
// Suspicious commands
| where ProcessCommandLine has_any("WebClient",
 "DownloadFile",
 "DownloadData",
 "DownloadString",
"WebRequest",
"Shellcode",
"http",
"https")
| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine,
FileName, ProcessCommandLine, RemoteIP, RemoteUrl, RemotePort, RemoteIPType
| top 100 by Timestamp

Bu sorguyu gelişmiş avcılıkta çalıştırın

Sorguyu açıklama ve aranacak tabloları belirtme

Sorgunun ne için olduğunu açıklamak için sorgunun başına kısa bir açıklama eklenmiştir. Bu açıklama, daha sonra sorguyu kaydetmeye ve kuruluşunuzdaki diğer kişilerle paylaşmaya karar vermenize yardımcı olur.

// Finds PowerShell execution events that could involve a download

Sorgunun kendisi genellikle bir tablo adıyla başlar ve ardından bir kanalla (| ile başlayan birkaç öğe gösterilir). Bu örnekte, iki tablo DeviceProcessEvents ve öğesinin birleşimini oluşturarak başlayacağız ve DeviceNetworkEventsgerektiğinde kanallı öğeler ekleyeceğiz.

union DeviceProcessEvents, DeviceNetworkEvents

Zaman aralığını ayarlama

İlk kanallı öğe, kapsamı önceki yedi güne göre belirlenmiş bir zaman filtresidir. Zaman aralığını sınırlamak sorguların iyi performans göstermesini, yönetilebilir sonuçlar döndürmesini ve zaman aşımına neden olmamasını sağlamaya yardımcı olur.

| where Timestamp > ago(7d)

Belirli işlemleri denetleme

Zaman aralığı hemen ardından PowerShell uygulamasını temsil eden işlem dosyası adları araması yapılır.

// Pivoting on PowerShell processes
| where FileName in~ ("powershell.exe", "powershell_ise.exe")

Belirli komut dizelerini arama

Daha sonra sorgu, genellikle PowerShell kullanarak dosyaları indirmek için kullanılan komut satırlarındaki dizeleri arar.

// Suspicious commands
| where ProcessCommandLine has_any("WebClient",
    "DownloadFile",
    "DownloadData",
    "DownloadString",
    "WebRequest",
    "Shellcode",
    "http",
    "https")

Sonuç sütunlarını ve uzunluğunu özelleştirme

Artık sorgunuz bulmak istediğiniz verileri net bir şekilde tanımladığınıza göre sonuçların nasıl görüneceğini tanımlayabilirsiniz. project belirli sütunları döndürür ve top sonuç sayısını sınırlar. Bu işleçler, sonuçların iyi biçimlendirildiğinden, makul ölçüde büyük ve işlenmesi kolay olduğundan emin olunmasını sağlar.

| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine,
FileName, ProcessCommandLine, RemoteIP, RemoteUrl, RemotePort, RemoteIPType
| top 100 by Timestamp

Sonuçları görmek için Sorguyu çalıştır'ı seçin.

Yaygın sorgu işleçlerini öğrenme

İlk sorgunuzu çalıştırdıktan sonra bileşenleri hakkında genel bir fikir edindiniz. Biraz geri dönüş yapıp bazı temel bilgileri öğrenmenin zamanı geldi. Gelişmiş avcılık tarafından kullanılan Kusto sorgu dili, aşağıdaki yaygın olanlar da dahil olmak üzere çeşitli işleçleri destekler.

Bu işleçlerin canlı bir örneğini görmek için bunları gelişmiş avcılıktaki Kullanmaya başlama bölümünden çalıştırın.

Veri türlerini anlama

Gelişmiş avcılık, aşağıdaki yaygın türler de dahil olmak üzere Kusto veri türlerini destekler:

Bu veri türleri hakkında daha fazla bilgi edinmek için Kusto skaler veri türleri hakkında bilgi edinin.

Sorgu yazarken yardım alma

Sorguları daha hızlı yazmak için aşağıdaki işlevlerden yararlanın:

• Otomatik öneri : Sorgu yazarken gelişmiş tehdit avcılığı IntelliSense'ten öneriler sağlar.
• Şema ağacı - çalışma alanınızın yanında tabloların listesini ve sütunlarını içeren bir şema gösterimi sağlanır. Daha fazla bilgi için bir öğenin üzerine gelin. Bir öğeyi sorgu düzenleyicisine eklemek için çift tıklayın.
• Şema başvurusu - tablo ve sütun açıklamalarının yanı sıra desteklenen olay türleri (ActionType değerler) ve örnek sorgularla portal içi başvuru

Düzenleyicide birden çok sorguyla çalışma

Birden çok sorguyla deneme yapmak için sorgu düzenleyicisini kullanabilirsiniz. Birden çok sorgu kullanmak için:

• Her sorguyu boş bir satırla ayırın.

• Çalıştırmadan önce sorguyu seçmek için imleci sorgunun herhangi bir bölümüne getirin. Bu işlem yalnızca seçili sorguyu çalıştırır. Başka bir sorgu çalıştırmak için imleci uygun şekilde hareket ettirin ve Sorguyu çalıştır'ı seçin.

  

  Daha verimli bir çalışma alanı için aynı avlanma sayfasında birden çok sekme de kullanabilirsiniz. Yeni sorgunuz için bir sekme açmak için Yeni sorgu'yu seçin.

  

  Daha sonra yeni bir tarayıcı sekmesi açmadan farklı sorgular çalıştırabilirsiniz.

  

Örnek sorguları kullanma

Kullanmaya başlama bölümü, yaygın olarak kullanılan işleçleri kullanan birkaç basit sorgu sağlar. Bu sorguları çalıştırmayı ve küçük değişiklikler yapmayı deneyin.

Sorgu dili belgelerine erişme

Kusto sorgu dili ve desteklenen işleçler hakkında daha fazla bilgi için kusto sorgu dili belgelerine bakın.

İlgili konular

• Gelişmiş avcılığa genel bakış
• Sorgu sonuçlarıyla çalışın
• Paylaşılan sorguları kullanın
• Cihazlar, e-postalar, uygulamalar ve kimlikler arasında avlayın
• Şemayı anlayın
• Sorgu en iyi yöntemlerini uygulayın