설명:

1 - Amazon Web Services 커넥터 추가
2 - Azure Sentinel의 분석에서 예약된 쿼리를 사용하는 사용자 지정 분석 규칙을 만듭니다.
3 - 알림 논리 설정
참조:
https://docs.microsoft.com/en-us/azure/sentinel/사용자 정의 위협 감지
주제 2, Contoso Ltd
기존 환경
최종 사용자 환경
Contoso의 모든 사용자는 Windows 10 기기를 사용합니다. 각 사용자에게는 Microsoft 365 라이선스가 부여됩니다. 또한, Contoso 영업팀 구성원에게는 iOS 기기가 배포됩니다.
클라우드 및 하이브리드 인프라
모든 Contoso 애플리케이션은 Azure에 배포됩니다.
Microsoft Cloud App Security를 ​​활성화합니다.
Contoso와 Fabrikam은 서로 다른 Azure Active Directory(Azure AD) 테넌트를 사용합니다. Fabrikam은 최근 Azure 구독을 구매하고 지원되는 모든 리소스 유형에 대해 Azure Defender를 활성화했습니다.
현재 문제
Contoso의 보안팀은 수많은 사이버 보안 알림을 받습니다. 보안팀은 어떤 사이버 보안 알림이 합법적인 위협인지, 어떤 알림이 그렇지 않은지 파악하는 데 너무 많은 시간을 허비합니다.
Contoso 영업팀은 iOS 기기만 사용합니다. 영업팀 구성원들은 다양한 타사 도구를 사용하여 고객과 파일을 교환합니다. 과거에도 영업팀은 기기에 대한 다양한 공격을 경험했습니다.
Contoso의 마케팅팀은 외부 공급업체와 협업하기 위해 여러 개의 Microsoft SharePoint Online 사이트를 운영하고 있습니다. 마케팅팀은 공급업체가 맬웨어가 포함된 파일을 업로드하는 사고를 여러 번 경험했습니다.
Contoso 경영진은 보안 침해가 의심됩니다. 경영진은 지난 48시간 동안 Microsoft Cloud App Security로 보호되는 애플리케이션의 데이터 액세스, 다운로드 또는 삭제를 포함하여 5회 이상의 활동이 있었던 파일을 확인해 주시기를 요청합니다.
요구 사항
계획된 변경 사항
Contoso는 두 회사의 보안 운영을 통합하고 모든 보안 운영을 중앙에서 관리할 계획입니다.
기술 요구 사항
Contoso는 다음과 같은 기술 요구 사항을 파악했습니다.
Azure 가상 머신이 무차별 대입 공격을 받는 경우 알림을 받습니다.
Azure Sentinel을 사용하면 환경에 대한 활성 공격을 신속하게 해결하여 조직의 위험을 줄일 수 있습니다.
Contoso와 Fabrikam의 Azure AD 테넌트에서 데이터를 연관시키는 Azure Sentinel 쿼리를 구현합니다.
외부 공격자와 자체 Azure AD 애플리케이션의 잠재적 손상에 대비하여 Fabrikam의 Key Vault 경고에 대한 Azure Defender를 수정하는 절차를 개발합니다.
특정 국가에서 Azure 리소스에 처음으로 로그인하지 못한 모든 사용자 사례를 파악하세요. 하급 보안 관리자가 다음과 같은 불완전한 쿼리를 제공합니다.
행동 분석
| ActivityType == "FailedLogOn"인 경우
| 여기서 ________ == True

설명:

참조:
https://docs.microsoft.com/en-us/azure/sentinel/사용자 정의 위협 감지

설명

참조:
https://docs.microsoft.com/en-us/azure/sentinel/tutorial-investigate-cases#use-the-investigation-graph-to-deep-di