Azure Firewall与Microsoft Sentinel的概述

您可以在用于 Microsoft Sentinel 的易于部署的 Azure Firewall 解决方案中获得检测和预防功能。

安全性是主动防御和被动防御之间的持续平衡。 它们同样重要，两者都不能被忽视。 有效保护组织意味着不断优化预防和检测。

通过结合预防和检测，可以在可以时防止复杂的威胁，同时保持 假设漏洞心态 来检测和快速响应网络攻击。

先决条件

关键功能

将Azure Firewall与Microsoft Sentinel集成后，可以启用以下功能：

  • 监视和可视化Azure Firewall活动。
  • 检测威胁并应用 AI 辅助调查功能。
  • 自动化响应并与其他来源进行关联。

整个体验被打包成一个解决方案，放在 Microsoft Sentinel 应用程序商店中，这意味着部署起来比较轻松。

为Microsoft Sentinel部署和启用Azure Firewall解决方案

可以从内容中心快速部署解决方案。 在Microsoft Sentinel工作区中，选择Analytics，然后在内容中心选择更多内容。 搜索并选择 Azure Firewall，然后选择 Install。

安装后，选择管理，按照向导中的所有步骤操作，经过验证并创建解决方案。 通过一些选择，所有内容（包括连接器、检测、工作簿和剧本）都部署在 Microsoft Sentinel 工作区中。

监视和可视化Azure Firewall活动

Azure Firewall工作簿允许可视化Azure Firewall事件。 使用此工作簿，可以：

  • 了解应用程序和网络规则。
  • 请参阅跨 URL、端口和地址的防火墙活动的统计信息。
  • 按防火墙和资源组进行筛选。
  • 在调查日志中的问题时，使用易于读取的数据集动态筛选每个类别。

该工作簿提供单个仪表板，用于持续监视防火墙活动。 在威胁检测、调查和响应方面，Azure Firewall解决方案还提供内置的检测和搜寻功能。

检测威胁并使用 AI 辅助调查功能

解决方案的检测规则为Microsoft Sentinel提供了一种可靠的方式来分析Azure Firewall信号，并检测出在网络中显示恶意活动模式的流量。 此方法支持快速响应和修正威胁。

检测规则根据 MITRE ATT&CK 框架细分攻击者在防火墙解决方案中追求的攻击阶段。 MITRE 框架是一系列步骤，从早期侦察阶段到数据外泄，跟踪网络攻击的阶段。 该框架可帮助防御者了解和打击勒索软件、安全违反和高级攻击。

该解决方案包括对攻击者可能使用的常见场景的检测，从发现阶段（获取有关系统和内部网络的知识），到命令和控制（C2）阶段（与受控系统通信以对其进行控制），再到数据外流阶段（攻击者试图从组织窃取数据）。

检测规则 它有什么作用？ 它指示什么？
端口扫描 标识源 IP 扫描Azure Firewall上的多个开放端口。 攻击者恶意扫描端口，试图揭示组织中可能因初始访问而遭到入侵的开放端口。
端口扫描 标识源 IP 扫描Azure Firewall不同 IP 上的相同开放端口。 攻击者恶意扫描端口，试图揭示组织中开放的特定易受攻击端口的 IP。
源 IP 的异常拒绝率 根据配置期间完成的机器学习，识别特定源 IP 到目标 IP 的异常拒绝率。 潜在的外泄、初始访问或 C2，攻击者尝试利用组织中计算机上的相同漏洞，但Azure Firewall规则会阻止它。
端口与协议的异常对应 根据活动期间完成的机器学习，通过非标准端口识别已知协议的通信。 攻击者尝试通过已知端口 (SSH、HTTP) 进行通信但不使用与端口号匹配的已知协议标头，从而引起的恶意通信 (C2) 或外泄。
受同一 TI 目标影响的多个源 标识多个尝试连接到被 Azure 防火墙的威胁情报（TI）阻止的同一目标的机器。 同一攻击组试图窃取数据，对组织进行了攻击。

搜寻查询

搜寻查询是安全研究人员在发生事件后或主动发现新的或未知攻击后，在组织网络中查找威胁的工具。 为此，安全研究人员研究了一些入侵指标 (IOC)。 Azure Firewall解决方案中的内置Microsoft Sentinel搜寻查询为安全研究人员提供了从防火墙日志中查找高影响活动所需的工具。 几个示例包括：

狩猎查询 它有什么作用？ 它指示什么？
源 IP 首次连接到目标端口 当新主机或 IP 尝试使用特定端口与目标通信时，有助于识别攻击的常见指示 (IOA)。 基于在指定时间段内了解正常流量模式。
源 IP 首次连接到目标 当从未访问过目标的计算机第一次进行恶意通信时，它有助于识别入侵指标 (IOA)。 基于在指定时间段内了解正常流量模式。
源 IP 异常连接到多个目标 识别异常连接到多个目标的源 IP。 表示攻击者的初始访问尝试，他们试图在组织中的不同计算机之间跳转，利用横向移动路径或不同计算机上的相同漏洞来查找易受攻击的计算机进行访问。
组织的不常见端口 识别组织网络中使用的异常端口。 攻击者可以绕过受监视的端口，并通过不常见的端口发送数据。 此操作允许攻击者逃避例行检测系统的探测。
与目标 IP 的不常见端口连接 识别计算机用于连接到目标 IP 的异常端口。 攻击者可以绕过受监视的端口，并通过不常见的端口发送数据。 这种操作还可以通过使用组织中的计算机从未用于通信的端口来检测到来自计算机的外泄攻击。

自动化响应和与其他源的关联

Azure Firewall还包括Microsoft Sentinel playbook，可用于自动响应威胁。 例如，假设防火墙记录一个事件，其中网络上的特定设备尝试通过非标准 TCP 端口使用 HTTP 协议与 Internet 通信。 此操作在Microsoft Sentinel中触发检测。 playbook 通过Microsoft Teams自动向安全运营团队发送通知，安全分析师可以通过单个选择来阻止设备的源 IP 地址。 此操作可防止它访问 Internet，直到调查完成。 剧本使此流程更加高效和流畅。

真实示例

下面是实际方案中完全集成的解决方案的外观。

Azure Firewall的攻击和初始防护

公司的销售代表意外打开了网络钓鱼电子邮件，并打开包含恶意软件的 PDF 文件。 恶意软件会立即尝试连接到恶意网站，但Azure Firewall阻止它。 防火墙使用微软威胁情报源检测到该域。

响应

连接尝试会在 Microsoft Sentinel 上触发检测，并启动剧本自动化过程，通过 Teams 频道，通知安全运营团队。 在那里，分析师可以阻止计算机与 Internet 通信。 接着，安全运营团队会通知 IT 部门，IT 部门会从销售代表的计算机中删除恶意软件。 但是，安全研究人员采用主动且深入的方法，应用 Azure Firewall 狩猎查询，并运行 Source IP 异常连接到多个目标查询。 这表明，受感染计算机上的恶意软件试图与更广泛网络上的许多其他设备通信，并试图访问其中的许多设备。 其中一次访问尝试成功了，因为没有适当的网络分段来防止网络中的横向移动，而且新设备存在已知的漏洞，恶意软件会利用该漏洞来感染该设备。

结果

安全研究人员从新设备中删除了恶意软件，完成了攻击缓解，并在此过程中发现了网络弱点。

后续步骤

  • 上次更新时间为