Integración de Microsoft Sentinel con Análisis de tráfico

Análisis de tráfico en Azure Network Watcher procesa y agrega registros de flujo de red virtual para proporcionar visibilidad de los flujos de red, los patrones de tráfico y los posibles riesgos de seguridad. Enriquece los datos de flujo con inteligencia sobre amenazas, atributos de geolocalización y contexto de topología para ayudar a identificar anomalías y evaluar la exposición en todo el entorno.

Traffic Analytics admite la integración con Microsoft Sentinel. Microsoft Sentinel es una solución escalable de administración de eventos e información de seguridad nativa de la nube (SIEM) que proporciona una supervisión de seguridad rentable en entornos multinube y multiplataforma. Microsoft Sentinel usa analizadores basados en ASIM para normalizar los datos entrantes, lo que permite transformar los registros de flujo de red virtual enriquecidos en el esquema necesario para la correlación, la investigación y la detección de amenazas.

Juntos, Análisis de tráfico y Microsoft Sentinel permiten la supervisión proactiva y la investigación reactiva. La telemetría de nivel de flujo resalta rutas de comunicación inesperadas, volúmenes de tráfico inusuales e indicadores de riesgo, lo que le permite detectar desviaciones del comportamiento de línea base e investigar eventos con información confiable y estructurada.

Prerrequisitos

• Una cuenta de Azure con una suscripción activa. Cree una cuenta gratuita.

• Análisis de tráfico habilitado para los registros de flujo. Para obtener más información, consulte Habilitación o deshabilitación del análisis de tráfico.

• Acceso de colaborador o administrador de seguridad en el área de trabajo.

• Rol colaborador de Microsoft Sentinel en el grupo de recursos al que pertenece el área de trabajo.

Integración de Microsoft Sentinel con Traffic Analytics mediante Azure Portal

Puede integrar Fácilmente Microsoft Sentinel con Traffic Analytics directamente desde Azure Portal.

Habilitación de Microsoft Sentinel en el área de trabajo

Para empezar, habilite Microsoft Sentinel en el mismo área de trabajo de Log Analytics que usa Traffic Analytics. Esto permite a Sentinel acceder a los datos de Análisis de tráfico y analizarlos sin necesidad de configuración ni movimiento de datos adicionales.

1. En el cuadro de búsqueda de la parte superior del portal, busque Microsoft Sentinel.

2. Seleccione Crear y elija el área de trabajo de Log Analytics que usa Traffic Analytics.

3. Seleccione Agregar para habilitar Microsoft Sentinel en el área de trabajo.

Instalación del contenido de Análisis de red

Instale la solución de red necesaria desde el centro de contenido de Microsoft Sentinel. Esto proporciona libros precompilados, reglas de análisis y consultas de búsqueda diseñadas para analizar los datos de tráfico de red normalizados.

1. En Administración de contenido en Microsoft Sentinel, seleccione Centro de contenido.

2. Busque Aspectos esenciales de la sesión de red.

3. Seleccione Network Session Essentials y, a continuación, seleccione Instalar con dependencias.

4. Seleccione Instalar para confirmar e instalar la solución.

   

Habilitación de reglas de análisis

Habilite las reglas de análisis de red pertinentes para empezar a generar alertas de seguridad e incidentes. Estas reglas evalúan continuamente los datos de Análisis de tráfico para detectar comportamientos de red sospechosos o anómalos.

1. En el centro de contenido, filtre por tipo de contenido: regla de análisis.

2. Busque Red para ver todas las reglas de detección disponibles relacionadas con la red que se pueden habilitar en el área de trabajo.

3. Para habilitar una regla de Analytics, seleccione la regla de la lista y, a continuación, seleccione Crear regla para crear la regla en el área de trabajo y empiece a generar alertas basadas en la actividad de red coincidente. Se abrirá el Asistente para reglas de análisis.

   

4. En la pestaña Establecer lógica de reglas del Asistente para reglas de análisis, revise la configuración de la regla predeterminada, incluida la lógica de consulta, la frecuencia de ejecución y el período de retroceso. Ajuste esta configuración si es necesario.

   

5. En la pestaña Configuración de incidentes , configure cómo se agrupan las alertas en incidentes.

6. Seleccione Revisar y crear y, después, guardar para habilitar la regla.

   Una vez habilitada, la regla se ejecuta automáticamente en los datos de Análisis de tráfico y genera alertas e incidentes cuando se detecta la actividad de red coincidente.

Conclusiones generadas por reglas de análisis

En esta sección se describe cómo las reglas de análisis de Microsoft Sentinel generan información de seguridad a partir de los registros de flujo de NSG (Network Security Group) mediante el esquema de sesión de red de ASIM. Recorre un conjunto de nueve reglas de análisis que ayudan colectivamente a identificar comportamientos de red sospechosos y potencialmente malintencionados, como intentos por fuerza bruta, exámenes de puerto, patrones de señalización y anomalías de tráfico. Para cada regla, en la tabla se explica qué tipo de actividad se está detectando y se muestra cómo aparecen alertas en Sentinel mediante gráficos de alertas.

El contenido también resalta cómo los analistas pueden pasar de tendencias de alertas de alto nivel a una investigación detallada al profundizar en alertas individuales, revisar marcas de tiempo, entidades y propiedades extendidas, y correlacionar detecciones con tácticas y técnicas de MITRE ATT&CK.

Contenido relacionado

• Introducción a Análisis de tráfico
• Escenarios de uso de Análisis de tráfico
• Esquema y agregación de datos de Análisis de tráfico