Лабораторная работа — SC-200 Microsoft Security Operations Analyst

Обзор

Предварительные требования

Шаги

1. 1.Провайдер, группа ресурсов, именование

   Стандартное начало для Azure.

   Копировать

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   locals {
     tags = {
       Project   = "certlabpro-sc-200"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-sc-200-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.Развертывание рабочей области Log Analytics + подключение Sentinel

   Создаваемые ресурсы:

   • Azure Monitor
   • Microsoft Sentinel

   Microsoft Sentinel — это уровень поверх рабочей области Log Analytics; у него нет собственной плоскости данных. Домен SC-200 «Управление средой Microsoft Sentinel» подчеркивает эту зависимость: каждая функция Sentinel читает/записывает данные из рабочей области, каждый коннектор данных помещает данные в нее, каждое аналитическое правило запускает KQL-запросы против нее.

   Мы развертываем рабочую область с SKU PerGB2018 + ресурс azurerm_sentinel_log_analytics_workspace_onboarding для подключения Sentinel. После этого вы могли бы подключить источники данных (Azure Activity, входы Microsoft Entra ID, коннекторы Defender XDR) через портал — они сложны по поверхности и проще настраиваются через графический интерфейс, чем через Terraform.

   Копировать

   resource "azurerm_log_analytics_workspace" "main" {
     name                = "log-sc200"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     sku                 = "PerGB2018"
     retention_in_days   = 30
   
     tags = local.tags
   }
   
   resource "azurerm_sentinel_log_analytics_workspace_onboarding" "main" {
     workspace_id = azurerm_log_analytics_workspace.main.id
   }

3. 3.Создание запланированного аналитического правила, которое срабатывает по KQL-шаблону

   Создаваемые ресурсы:

   • Microsoft Sentinel

   Аналитические правила — это способ, которым Sentinel преобразует необработанные события журнала в инциденты. SC-200 проверяет распознавание типов правил: Запланированные (на основе KQL, наиболее распространенные), Инциденты Microsoft (пересылают оповещения Defender XDR), Аномалии (на основе машинного обучения), Угрозы (совпадения с данными об угрозах).

   Мы создаем запланированное правило с заглушкой KQL-запроса (каждые 5 минут, с просмотром за 5 минут — форма почти в реальном времени SC-200). Запрос здесь является заполнителем (SecurityEvent | take 1); в производстве KQL — это фактическая логика правила — проверка входов из невозможных мест, шаблонов распыления паролей, необычных повышений привилегий и т.д.

   Поле tactics сопоставляет правило с фреймворком MITRE ATT&CK — это необходимо для интеграции Defender XDR и для рабочих процессов поиска угроз, которые меняют фокус по тактике.

   Копировать

   resource "azurerm_sentinel_alert_rule_scheduled" "stub" {
     name                       = "certlabpro-sc-200-stub-rule"
     log_analytics_workspace_id = azurerm_log_analytics_workspace.main.id
     display_name               = "Stub rule — lab demonstration"
     description                = "Sample scheduled analytic rule for the SC-200 lab. Replace KQL with a real hunting pattern."
     severity                   = "Medium"
     enabled                    = true
   
     query                      = "SecurityEvent | take 1"
     query_frequency            = "PT5M" # run every 5 minutes
     query_period               = "PT5M" # look back 5 minutes
   
     trigger_operator           = "GreaterThan"
     trigger_threshold          = 0
   
     tactics    = ["InitialAccess"]
     techniques = ["T1078"] # Valid Accounts (MITRE ATT&CK)
   
     incident {
       create_incident_enabled = true
   
       grouping {
         enabled = true
       }
     }
   
     depends_on = [azurerm_sentinel_log_analytics_workspace_onboarding.main]
   }

4. 4.Настройка правила автоматизации для реагирования на инциденты

   Создаваемые ресурсы:

   • Microsoft Sentinel

   Правила автоматизации — это примитив SC-200 «Настройка среды Microsoft Sentinel для управления инцидентами»; они срабатывают при создании, обновлении или закрытии инцидента и выполняют набор действий: назначают инцидент пользователю, изменяют его серьезность, добавляют теги или вызывают playbook Logic App.

   Мы создаем правило, которое запускается при каждом создании любого инцидента. Пример действия просто изменяет серьезность на «Высокую» и добавляет теги к инциденту — в производственной среде вы бы здесь вызвали playbook Logic App, который отправляет сообщения в Teams, создает тикет Jira, обогащает данные об угрозах или запускает runbook для устранения проблемы. SC-200 тестирует эту форму триггерной автоматизации как стандартный шаблон SOC уровня L1.

   Копировать

   resource "azurerm_sentinel_automation_rule" "tag_and_escalate" {
     name                       = "0e84e57b-8b8a-4c8b-a0a8-1d3f3e6f9a01" # GUID required
     log_analytics_workspace_id = azurerm_log_analytics_workspace.main.id
     display_name               = "Tag-and-escalate every new incident"
     order                      = 1
     enabled                    = true
   
     triggers_on  = "Incidents"
     triggers_when = "Created"
   
     action_incident {
       order    = 1
       severity = "High"
     }
   
     action_incident {
       order  = 2
       labels = ["lab-auto-tagged"]
     }
   
     depends_on = [azurerm_sentinel_log_analytics_workspace_onboarding.main]
   }

Очистка ресурсов