Microsoft Sentinel und Microsoft 365 Defender

Willkommen im vereinheitlichten Repository für Microsoft Sentinel und Microsoft 365 Defender! Dieses Repository enthält vorgefertigte Erkennungen, Abfragen für die Erkundung, Jagdabfragen, Arbeitsmappen, Playbooks und vieles mehr, um Ihnen den Einstieg in Microsoft Sentinel zu erleichtern und Ihnen Sicherheitsinhalte zur Sicherung Ihrer Umgebung und zur Bedrohungsjagd bereitzustellen. Die Jagdabfragen umfassen auch Microsoft 365 Defender-Jagdabfragen für erweiterte Jagdszenarien in Microsoft 365 Defender und Microsoft Sentinel. Sie können auch Issues einreichen, um Beispiele oder Ressourcen anzufragen, die Sie hier sehen möchten, wenn Sie Microsoft Sentinel einführen. Dieses Repository begrüßt Beiträge. Hilfe zum Start finden Sie im Wiki dieses Repositorys. Bei Fragen oder Feedback wenden Sie sich bitte an [email protected].

Ressourcen

• Microsoft Sentinel-Dokumentation
• Microsoft 365 Defender-Dokumentation
• Sicherheits-Community-Webinare
• Erste Schritte mit GitHub

Wir schätzen Ihr Feedback. Hier sind einige Kanäle, die Ihnen helfen, Ihre Fragen oder Rückmeldungen zu platzieren:

1. Allgemeine produktspezifische Fragen und Antworten zu SIEM und SOAR – Beteiligen Sie sich an den Microsoft Sentinel Tech Community-Gesprächen
2. Allgemeine produktspezifische Fragen und Antworten zu XDR – Beteiligen Sie sich an den Microsoft 365 Defender Tech Community-Gesprächen
3. Produktspezifische Feature-Wünsche – Stimmen Sie ab oder erstellen Sie neue auf den Microsoft Sentinel-Feedbackforen
4. Melden von Produkt- oder Beitragsfehlern – Erstellen Sie ein GitHub-Issue mit der Bug-Vorlage
5. Allgemeines Feedback zur Community und zum Beitragsprozess – Erstellen Sie ein GitHub-Issue mit der Feature-Request-Vorlage

Richtlinien für Beiträge

Dieses Projekt begrüßt Beiträge und Vorschläge. Die meisten Beiträge erfordern, dass Sie einer Contributor License Agreement (CLA) zustimmen, die erklärt, dass Sie das Recht haben, uns die Rechte zur Nutzung Ihres Beitrags zu gewähren, und dies auch tun. Details finden Sie unter https://cla.microsoft.com.

Hinzufügen Ihrer neuen oder aktualisierten Beiträge zu GitHub

Hinweis: Wenn Sie zum ersten Mal zu diesem Repository beitragen, befolgen Sie die allgemeine GitHub-Fork-Anleitung vor dem Klonen oder die spezifischen Schritte für das Sentinel-Repository.

Allgemeine Schritte

Völlig neue oder aktualisierte Beiträge auf diese Weise einreichen:

• Direkt auf der GitHub-Website zur Überprüfung einreichen
  • Navigieren Sie zu dem Ordner, in den Sie Ihre Datei hochladen möchten
  • Wählen Sie "Dateien hochladen" und navigieren Sie zu Ihrer Datei.
  • Sie werden aufgefordert, Ihren eigenen Branch zu erstellen und dann den Pull-Request zur Überprüfung einzureichen.
• Verwenden Sie GitHub Desktop oder Visual Studio oder VSCode
  • Forken Sie das Repository
  • Klonen Sie das Repository
  • Erstellen Sie Ihren eigenen Branch
  • Führen Sie Ihre Ergänzungen/Aktualisierungen in GitHub Desktop durch
  • Stellen Sie sicher, dass Sie vor dem Pushen den Master in Ihren Branch zusammenführen.
  • Pushen Sie Ihre Änderungen zu GitHub

Pull-Request

• Nach dem Pushen Ihrer Änderungen müssen Sie den Pull-Request (PR) einreichen
• Details zu den vorgeschlagenen Änderungen sind erforderlich. Geben Sie ein Minimum an Details an, damit ein Reviewer den Grund für die Änderung verstehen kann und worauf sich die Änderung im Code bezieht.
• Überprüfen Sie nach der Einreichung den Pull-Request auf Kommentare
• Nehmen Sie vorgeschlagene Änderungen vor und aktualisieren Sie Ihren Branch, oder erklären Sie, warum keine Änderung erforderlich ist. Lösen Sie den Kommentar, wenn Sie fertig sind.

Überprüfung der Strukturvalidierung der Pull-Request-Erkennungsvorlage

Als Teil der PR-Prüfungen führen wir eine Strukturvalidierung durch, um sicherzustellen, dass alle erforderlichen Teile der YAML-Struktur enthalten sind. Für Erkennungen gibt es einen neuen Abschnitt, der enthalten sein muss. Weitere Informationen finden Sie in den Richtlinien für Beiträge. Wenn dieser oder ein anderer erforderlicher Abschnitt nicht enthalten ist, tritt ein Validierungsfehler ähnlich dem folgenden auf. Das Beispiel bezieht sich speziell darauf, dass in der YAML der Abschnitt entityMappings fehlt:

A total of 1 test files matched the specified pattern.
[xUnit.net 00:00:00.95]     Kqlvalidations.Tests.DetectionTemplateStructureValidationTests.Validate_DetectionTemplates_HaveValidTemplateStructure(detectionsYamlFileName: "ExcessiveBlockedTrafficGeneratedbyUser.yaml") [FAIL]
  X Kqlvalidations.Tests.DetectionTemplateStructureValidationTests.Validate_DetectionTemplates_HaveValidTemplateStructure(detectionsYamlFileName: "ExcessiveBlockedTrafficGeneratedbyUser.yaml") [104ms]
  Error Message:
   Expected object to be <null>, but found System.ComponentModel.DataAnnotations.ValidationException with message "An old mapping for entity 'AccountCustomEntity' does not have a matching new mapping entry."

Überprüfung der Pull-Request-KQL-Validierung

Als Teil der PR-Prüfungen führen wir eine Syntaxvalidierung der im Template definierten KQL-Abfragen durch. Wenn diese Prüfung fehlschlägt, gehen Sie zu Azure Pipeline (klicken Sie auf den Fehlerlink auf der Registerkarte "Checks" in Ihrem PR) In der Pipeline können Sie sehen, welcher Test fehlgeschlagen ist und was die Ursache ist: