Sentinel6

• 

  [Microsoft Sentinel]비용 최적화: Fortinet 로그 시간 기반 필터링 Azure Sentinel에서 비용 절감을 위해 Fortinet 로그를 특정 시간대에만 전송하는 필터링을 구현했습니다. 이를 통해 불필요한 로그 데이터를 제한하고 운영 비용을 줄이는 것이 목표였습니다. 다른 솔루션에서 발생하는 로그는 시간에 상관없이 항상 전송되도록 설정했습니다.문제점Fortinet 로그가 모든 시간대에 Azure Sentinel로 전송되어 과도한 비용이 발생했습니다. 비용을 줄이기 위해 필요한 시간대에만 Fortinet 로그를 전송할 수 있는 해결책이 필요했습니다.해결 방법1. 설정 파일 수정:/etc/rsyslog.d/50-default.conf 파일을 00-default.conf로 우선순위를 변경했습니다. 이는 필터링 규칙이 다른 설정보다 먼저 적용되도록 하기 위함입니다.Rainer.. AZURE/보안 2024. 11. 19.

• 

  [Microsoft Sentinel] 메뉴 설명 2 - 콘텐츠 관리 및 구성 콘텐츠 관리콘텐츠 허브 MS에서 제공하는 콘텐츠를 사용할 수 있습니다.데이터 커넥터, 통합 문서, 분석 및 자동화 등을 제공합니다.구성데이터 커넥터Microsoft 제품 및 타사 제품에 대한 데이터 커넥터를 제공하여 custom logs 를 만들고, 이를 바탕으로 센티넬에서 해당 로그를 분석할 수 있습니다.커넥터가 없는 제품에 대해서는 api 를 통해서 연결할 수 있습니다. 분석커넥터를 통해 데이터원본을 연결한 후에 사용자 환경에서 특정 이벤트 또는 이벤트 집합을 검색할 수 있습니다.검색 한 후에 특정 이벤트 임계값 또는 조건에 도달하면 경고를 발생시킵니다.SOC가 심사 및 조사 할 인시던트를 생성하고 자동화된 추적 및 수정 프로세스를 사용하여 위협에 대응합니다. 관심목록데이터 원본의 데이터와 Micro.. AZURE/보안 2023. 12. 14.

• 

  [Microsoft Sentinel] 메뉴 설명 1 - 일반 탭 및 위협관리 일반로그센티넬 log analytics 작업 영역에서 로그 검색을 할 수 있습니다.새 경고 규칙 탭으로 azure monitor 경고나 sentinel 경고 규칙을 생성할 수 있습니다.위협관리인시던트관련 경고의 컬렉션입니다. 분석 규칙에 의하여 위협 발생시 인시던트가 생성됩니다. 분석 규칙에 의해 생성되거나 자체 경고를 생성하는 타사 보안 제품에서 가져온 경고를 기반으로 각 인시던트가 생성되거나 추가됩니다.심각도, 상태, MITRE ATT&CK 전술 및 기술과 같은 경고 속성을 상속합니다.통합문서데이터를 시각화하는 도구입니다.대시보드이며, 한눈에 다양한 소스에서 수집된 데이터를 볼 수 있습니다.보고싶은 데이터를 한눈에 볼 수 있다는 것이 장점입니다.헌팅데이터원본에 대한 위협을 사전 예방 검색을 할 수 있.. AZURE/보안 2023. 12. 13.

• 

  [Microsoft Sentinel] 센티넬의 데이터 수집에 대한 이해 어떻게 LA로 로그를 전송할 수 있는가?에 대한 포스팅입니다.Microsoft Sentinel의 데이터 수집 흐름기본 베이스는 위와 같습니다.센티넬에 데이터를 수집하기 위한 방법은 세 가지가 있습니다.기본 제공 커넥터기본 제공 커넥터의 경우 제공되는 로그 테이블이 있으며 sentinel의 작업 영역에 로그가 쌓이게 된다.커넥터 설치만 하면 되어서 연결이 가장 쉽습니다.에이전트 기반 커넥터에이전트 기반의 커넥터의 경우 현재 두 가지가 사용 중 입니다.AMA 에이전트 : 이 에이전트는 azure monitoring 에이전트로 syslog, windowsevent 를 연결할 수 있습니다.MMA 에이전트 : 레거시 에이전트고 내년 4월 쯤 없어지고 AMA로 통합될 예정입니다.AMA vs MMA 차이점MMA 20.. AZURE/보안 2023. 12. 7.

• 

  [Microsoft Sentinel] AMA 커넥터를 사용하여 "Microsoft Sentinel" 스트림 CEF 로그 전달 - 2 (DCR 구성) rsyslog 서버 구성까지 지난 포스팅에서 완료했습니다. 이제 rsyslog 서버에 AMA agent를 구성하고, sentinel에 연결시키는 작업을 진행해보도록 하겠습니다.실제 구성하면서 캡쳐를 못해서, 아래의 이미지는 Microsoft Docs의 이미지를 참고하였습니다.구성도DCR (그림의 1번 진행)Syslog 및 CEF 로그를 Sentinel로 수집하기 위해 디바이스에서 로그를 수집하고 Microsoft Sentinel 작업 영역으로 전달하는 Linux 컴퓨터(syslog Forwarder) 를 지정하고 구성해야 합니다. 현재 포스팅에서는 Azure VM을 사용하여 Syslog Fowarder을 구성했습니다. DCR의 역할은 AMA을 Syslog Fowrder 서버에 설치하여 로그를 수집하고 구.. AZURE/보안 2023. 12. 6.

• 

  [Microsoft Sentinel] AMA 커넥터를 사용하여 "Microsoft Sentinel" 스트림 CEF 로그 전달-1 (rsyslog서버 구성) 구성도테스트한 서버는 아래와 같습니다. Linux device : ubuntu20Linux log forwarder : ubuntu 20전제 조건이 테스트는 AMA 에이전트를 통해 리눅스의 CEF로그를 센티넬의 Log analytics workspace로 보내는 테스트입니다.그렇기 때문에 아래의 전제조건이 요구됩니다.* Sentinel이 활성되어 있어야 합니다.AMA 에이전트 설치를 위한 전제 조건에이전트를 배포 및 데이터 수집 규칙을 생성하기 위한 다음의 역할이 있는 Azure 계정Log Analytics 작업 영역로그 수집을 위한 Linux 머신Linux 요구 버전https://learn.microsoft.com/en-us/azure/azure-monitor/agents/agents-overview#.. AZURE/보안 2023. 12. 5.