Formazione Sentinella (Sicurezza)

Lezione 1 • Architettura dell'area di lavoro Sentinel

Tratta la struttura dell'area di lavoro Log Analytics, i gruppi di risorse e le relazioni tra tenant. Collega le decisioni di progettazione dell'area di lavoro ai risultati in termini di conservazione dei dati e costi.

Lezione 2 • Fondamenti di SIEM Cloud-Native

Definisce i concetti di SIEM e SOAR e spiega come Sentinel differisca dalle soluzioni on-premises. Stabilisce la base concettuale per tutto il lavoro successivo sulla piattaforma.

Lezione 3 • Navigare nel portale di Sentinel

Guida gli studenti attraverso l'interfaccia del portale di Azure, la struttura dei menu di Sentinel e le dashboard principali. Aumenta la sicurezza per le attività pratiche nei capitoli successivi.

Lezione 1 • Risoluzione dei problemi e convalida dei connettori

Fornisce metodi sistematici per diagnosticare dati mancanti, guasti degli agenti ed errori dei connettori. Rafforza le pratiche di affidabilità essenziali per le distribuzioni in produzione.

Lezione 2 • Connessione dei servizi di sicurezza Microsoft

Guida all'abilitazione dei connettori per Microsoft 365 Defender, Entra ID e i servizi di Azure. Dimostra come le integrazioni native riducano la complessità di configurazione.

Lezione 3 • Ingestione Syslog e CEF

Tratta l'inoltro dei log basato su agenti utilizzando i protocolli Syslog e Common Event Format. Collega le origini log di dispositivi Linux e di rete all'area di lavoro Sentinel.

Lezione 4 • Panoramica dell'ecosistema dei connettori dati

Analizza le categorie di connettori predefiniti, partner e personalizzati e i relativi metodi di ingestione. Fornisce il contesto per selezionare il tipo di connettore appropriato per ciascuna origine dati.

Lezione 1 • Ottimizzazione delle query e migliori pratiche

Affronta le prestazioni delle query, la riduzione dei costi e gli standard di leggibilità per ambienti di team. Prepara gli studenti a scrivere query scalabili utilizzate nelle regole di analisi pianificate.

Lezione 2 • Funzioni, parser e watchlist

Insegna le funzioni salvate, i parser ASIM e l'integrazione delle watchlist per una logica di query riutilizzabile. Riduce le duplicazioni e standardizza il rilevamento in tutta l'area di lavoro.

Lezione 3 • Sintassi KQL e operatori principali

Introduce la sintassi delle espressioni tabulari, gli operatori pipe e i comandi di filtro di base. Fornisce le basi grammaticali necessarie per tutto il lavoro successivo con le query.

Lezione 4 • Join, unioni e correlazioni

Tratta i tipi di join, le istruzioni union e le correlazioni a finestra temporale su più tabelle. Consente la logica di rilevamento delle minacce multi-origine, essenziale per le regole di analisi.

Lezione 1 • Messa a punto delle regole e riduzione dei falsi positivi

Tratta la regolazione delle soglie, l'inserimento in liste di autorizzazione e le esclusioni basate su watchlist per migliorare la qualità del segnale. Riduce direttamente l'affaticamento da alert degli analisti negli ambienti di produzione.

Lezione 2 • Tipi di regole di analisi e casi d'uso

Confronta i tipi di regole pianificate, quasi in tempo reale, di fusione, comportamentali ML e di sicurezza Microsoft. Stabilisce i criteri di selezione per abbinare il tipo di regola ai requisiti di rilevamento.

Lezione 3 • Creazione di regole di analisi pianificate

Guida attraverso la procedura guidata completa di creazione delle regole, inclusi query, mappatura delle entità e raggruppamento degli alert. Produce regole che generano interventi attuabili e ben strutturati.

Lezione 4 • Hub dei contenuti e modelli di regole

Dimostra la distribuzione dei contenuti di rilevamento dall'Hub dei contenuti e la personalizzazione dei modelli di regole. Accelera la copertura di rilevamento utilizzando la logica fornita dalla community e dai fornitori.

Lezione 1 • Segnalibri e conservazione delle prove

Insegna a creare segnalibri di query per conservare le prove e annotare i risultati durante le indagini di polizia. Supporta le tracce di audit e la documentazione di passaggio di consegne per i team di risposta agli interventi.

Lezione 2 • Grafico dell'indagine di polizia sugli interventi

Tratta il grafico dell'indagine di polizia per visualizzare le relazioni tra entità e le sequenze temporali degli attacchi. Collega le prove degli alert a modelli di attacco più ampi per un'analisi della causa principale più rapida.

Lezione 3 • Chiusura e documentazione degli interventi

Tratta la classificazione, i motivi di chiusura e gli standard di commento post-intervento per registrazioni di qualità. Garantisce dati coerenti per metriche, analisi dei trend e reporting di ottemperanza agli ordini.

Lezione 4 • Coda degli interventi e flusso di lavoro di triage

Spiega i campi di gravità, stato e il filtro della coda degli interventi per un triage efficiente. Stabilisce un processo di acquisizione ripetibile che scala con il volume degli alert.

Lezione 1 • Architettura di App per la logica e playbook

Spiega la struttura di App per la logica di Azure, i connettori e i trigger utilizzati per creare i playbook di Sentinel. Fornisce le basi tecniche per progettare flussi di lavoro di risposta in più fasi.

Lezione 2 • Test e governance dei playbook

Tratta la revisione della cronologia esecuzioni, la gestione degli errori e il controllo degli accessi per i playbook in produzione. Garantisce l'affidabilità dell'automazione e previene azioni non autorizzate o indesiderate.

Lezione 3 • Concetti SOAR e regole di automazione

Introduce i principi SOAR e le regole di automazione di Sentinel per una logica di risposta leggera e senza codice. Stabilisce il livello di automazione prima di introdurre la piena complessità dei playbook.

Lezione 4 • Creazione di playbook di risposta comuni

Guida gli studenti nella creazione di playbook per la disabilitazione degli utenti, il blocco degli IP e la creazione di ticket. Traduce i concetti teorici SOAR in automazioni distribuibili e testate.

Lezione 1 • Cartella di lavoro sulle minacce informatiche e gestione

Esplora la cartella di lavoro TI predefinita per visualizzare la copertura degli indicatori, l'obsolescenza e l'integrità delle origini. Supporta la governance continua del programma TI e la valutazione della qualità dei feed.

Lezione 2 • Fondamenti delle minacce informatiche

Definisce i tipi di indicatori, il punteggio di confidenza e il ciclo di vita dell'intelligence pertinente alle operazioni SIEM. Fornisce agli studenti le basi sui concetti di TI prima della configurazione specifica della piattaforma.

Lezione 3 • Regole di analisi basate su TI

Insegna a creare regole di rilevamento che confrontano i dati di log con gli indicatori importati in tempo reale. Converte direttamente le minacce informatiche in rilevamenti operativi all'interno dell'area di lavoro.

Lezione 1 • Pipeline dalla ricerca al rilevamento

Insegna a convertire le query di ricerca convalidate in regole di analisi pianificate e ad aggiornare i playbook. Chiude il ciclo tra la ricerca proattiva e il rilevamento automatico e continuo.

Lezione 2 • Notebook e analisi avanzate

Introduce i notebook Jupyter integrati con Sentinel per la ricerca assistita da ML e i flussi di lavoro di data science. Consente agli analisti avanzati di applicare metodi statistici ai dati di sicurezza.

Lezione 3 • Query di ricerca di Sentinel e segnalibri

Tratta il pannello Ricerca, la libreria di query predefinita e il flusso di lavoro dei segnalibri per acquisire i risultati. Collega direttamente l'attività di ricerca alla creazione di interventi e alla conservazione delle prove.

Lezione 4 • Metodologia di ricerca delle minacce

Introduce la ricerca guidata da ipotesi, il modello di maturità della ricerca e i framework di pianificazione della ricerca. Stabilisce un approccio strutturato che distingue la ricerca dall'indagine di polizia reattiva.