Microsoft Sentinel और Microsoft 365 Defender

Microsoft Sentinel और Microsoft 365 Defender के एकीकृत रिपॉजिटरी में आपका स्वागत है! इस रिपॉजिटरी में आउट-ऑफ-द-बॉक्स डिटेक्शन, एक्सप्लोरेशन क्वेरीज़, हंटिंग क्वेरीज़, वर्कबुक, प्लेबुक और बहुत कुछ शामिल है ताकि आप Microsoft Sentinel के साथ शुरुआत कर सकें और अपने वातावरण को सुरक्षित करने तथा खतरों की तलाश करने के लिए सुरक्षा सामग्री प्रदान कर सकें। हंटिंग क्वेरीज़ में Microsoft 365 Defender हंटिंग क्वेरीज़ भी शामिल हैं जो Microsoft 365 Defender और Microsoft Sentinel दोनों में उन्नत हंटिंग परिदृश्यों के लिए हैं। आप Microsoft Sentinel में शामिल होने पर यहाँ देखने के लिए किसी भी नमूने या संसाधन के लिए issues में सबमिट कर सकते हैं। यह रिपॉजिटरी योगदान का स्वागत करती है और शुरू करने के लिए इस रिपॉजिटरी के wiki का संदर्भ लें। प्रश्नों और प्रतिक्रिया के लिए, कृपया [email protected] से संपर्क करें।

संसाधन

• Microsoft Sentinel दस्तावेज़ीकरण
• Microsoft 365 Defender दस्तावेज़ीकरण
• सुरक्षा समुदाय वेबिनार
• GitHub के साथ शुरुआत

हम आपकी प्रतिक्रिया को महत्व देते हैं। यहाँ आपके प्रश्नों या प्रतिक्रिया को साझा करने के कुछ चैनल हैं:

1. SIEM और SOAR के लिए सामान्य उत्पाद-विशिष्ट Q&A - Microsoft Sentinel Tech Community वार्तालापों में शामिल हों
2. XDR के लिए सामान्य उत्पाद-विशिष्ट Q&A - Microsoft 365 Defender Tech Community वार्तालापों में शामिल हों
3. उत्पाद-विशिष्ट सुविधा अनुरोध - Microsoft Sentinel फीडबैक फ़ोरम पर वोट करें या नया पोस्ट करें
4. उत्पाद या योगदान बग की रिपोर्ट करें - बग टेम्पलेट का उपयोग करके GitHub Issue फ़ाइल करें
5. समुदाय और योगदान प्रक्रिया पर सामान्य प्रतिक्रिया - सुविधा अनुरोध टेम्पलेट का उपयोग करके GitHub Issue फ़ाइल करें

योगदान दिशानिर्देश

यह परियोजना योगदान और सुझावों का स्वागत करती है। अधिकांश योगदानों के लिए आपको एक योगदानकर्ता लाइसेंस समझौता (CLA) से सहमत होना होता है जो घोषित करता है कि आपके पास हमें आपके योगदान का उपयोग करने का अधिकार है, और वास्तव में करते हैं। विवरण के लिए, https://cla.microsoft.com पर जाएं।

GitHub पर अपने नए या अपडेट किए गए योगदान जोड़ें

नोट: यदि आप इस रिपॉजिटरी में पहली बार योगदान दे रहे हैं, तो क्लोन करने से पहले सामान्य GitHub फोर्क रेपो गाइड या Sentinel रेपो के लिए विशिष्ट चरण देखें।

सामान्य चरण

इन तरीकों से बिल्कुल नया या योगदान में अपडेट करें:

• सीधे GitHub वेबसाइट पर समीक्षा के लिए सबमिट करें
  • उस फ़ोल्डर पर जाएँ जहाँ आप अपनी फ़ाइल अपलोड करना चाहते हैं
  • फ़ाइलें अपलोड करें चुनें और अपनी फ़ाइल पर ब्राउज़ करें।
  • आपको अपनी खुद की शाखा बनानी होगी और फिर समीक्षा के लिए पुल रिक्वेस्ट सबमिट करनी होगी।
• GitHub Desktop या Visual Studio या VSCode का उपयोग करें
  • रिपॉजिटरी को फोर्क करें
  • रिपॉजिटरी को क्लोन करें
  • अपनी खुद की शाखा बनाएँ
  • GitHub Desktop में अपने जोड़/अपडेट करें
  • पुश करने से पहले अपनी शाखा में मास्टर को मर्ज करना सुनिश्चित करें।
  • अपने परिवर्तनों को GitHub पर पुश करें

पुल रिक्वेस्ट

• अपने परिवर्तनों को पुश करने के बाद, आपको पुल रिक्वेस्ट (PR) सबमिट करना होगा।
• प्रस्तावित परिवर्तनों के बारे में विवरण आवश्यक है, कृपया न्यूनतम स्तर का विवरण शामिल करें ताकि समीक्षा स्पष्ट रूप से परिवर्तन का कारण और कोड में परिवर्तन से संबंधित हो सके।
• सबमिशन के बाद, टिप्पणियों के लिए पुल रिक्वेस्ट की जाँच करें।
• सुझाए गए अनुसार परिवर्तन करें और अपनी शाखा को अपडेट करें या समझाएँ कि परिवर्तन की आवश्यकता क्यों नहीं है। पूरा होने पर टिप्पणी को हल करें।

पुल रिक्वेस्ट डिटेक्शन टेम्पलेट संरचना सत्यापन जाँच

PR जाँच के भाग के रूप में हम एक संरचना सत्यापन चलाते हैं ताकि यह सुनिश्चित हो सके कि YAML संरचना के सभी आवश्यक भाग शामिल हैं। डिटेक्शन के लिए, एक नया अनुभाग शामिल होना चाहिए। अधिक जानकारी के लिए योगदान दिशानिर्देश देखें। यदि यह अनुभाग या कोई अन्य आवश्यक अनुभाग शामिल नहीं है, तो नीचे दिए गए जैसी सत्यापन त्रुटि होगी। उदाहरण विशेष रूप से यदि YAML में entityMappings अनुभाग गायब है:

A total of 1 test files matched the specified pattern.
[xUnit.net 00:00:00.95]     Kqlvalidations.Tests.DetectionTemplateStructureValidationTests.Validate_DetectionTemplates_HaveValidTemplateStructure(detectionsYamlFileName: "ExcessiveBlockedTrafficGeneratedbyUser.yaml") [FAIL]
  X Kqlvalidations.Tests.DetectionTemplateStructureValidationTests.Validate_DetectionTemplates_HaveValidTemplateStructure(detectionsYamlFileName: "ExcessiveBlockedTrafficGeneratedbyUser.yaml") [104ms]
  Error Message:
   Expected object to be <null>, but found System.ComponentModel.DataAnnotations.ValidationException with message "An old mapping for entity 'AccountCustomEntity' does not have a matching new mapping entry."

पुल रिक्वेस्ट KQL सत्यापन जाँच

PR जाँच के भाग के रूप में हम टेम्पलेट में परिभाषित KQL क्वेरीज़ का सिंटैक्स सत्यापन चलाते हैं। यदि यह जाँच विफल होती है, तो अपने PR में चेक टैब पर त्रुटि लिंक दबाकर Azure Pipeline पर जाएँ। पाइपलाइन में आप देख सकते हैं कि कौन सा परीक्षण विफल हुआ और कारण क्या है:

त्रुटि संदेश उदाहरण:

A total of 1 test files matched the specified pattern.
[xUnit.net 00:00:01.81]     Kqlvalidations.Tests.KqlValidationTests.Validate_DetectionQueries_HaveValidKql(detectionsYamlFileName: "ExcessiveBlockedTrafficGeneratedbyUser.yaml") [FAIL]
  X Kqlvalidations.Tests.KqlValidationTests.Validate_DetectionQueries_HaveValidKql(detectionsYamlFileName: "ExcessiveBlockedTrafficGeneratedbyUser.yaml") [21ms]
  Error Message:
   Template Id:fa0ab69c-7124-4f62-acdd-61017cf6ce89 is not valid Errors:The name 'SymantecEndpointProtection' does not refer to any known table, tabular variable or function., Code: 'KS204', Severity: 'Error', Location: '67..93',The name 'SymantecEndpointProtection' does not refer to any known table, tabular variable or function., Code: 'KS204', Severity: 'Error', Location: '289..315'

यदि आप कस्टम लॉग तालिका (एक तालिका जो डिफ़ॉल्ट रूप से सभी कार्यक्षेत्रों पर परिभाषित नहीं है) का उपयोग कर रहे हैं, तो आपको सत्यापित करना चाहिए कि आपकी तालिका स्कीमा फ़ोल्डर Azure-Sentinel\.script\tests\KqlvalidationsTests\CustomTables में json फ़ाइल में परिभाषित है।