在 Azure 门户中，在 Microsoft Sentinel 中手动创建自己的事件

使用 Microsoft Sentinel 作为安全信息和事件管理 (SIEM) 解决方案，安全运营的威胁检测和响应活动将集中于调查和修正的事件。 这些事件有两个主要来源：

• 当检测机制对 Microsoft Sentinel 从其已连接的数据源引入的日志和警报运行时，它们会自动生成。

• 它们直接由创建它们的其他已连接的 Microsoft 安全服务引入。

不过，威胁数据也可能来自未引入 Microsoft Sentinel 的其他源，或未记录在任何日志中的事件，但仍可以证明开展调查是合理的。 例如，员工可能会注意到一个无法识别的人从事与组织的信息资产相关的可疑活动。 此员工可能会向安全运营中心 (SOC) 致电或发送电子邮件来报告该活动。

使用 Azure 门户中的 Microsoft Sentinel，安全分析人员可以手动为任何类型的事件创建事件，无论其源或数据如何，因此你不会错过调查这些不寻常类型的威胁。

常见用例

为报告的事件创建事件

当用户、员工或分析师报告了未作为遥测数据引入 Microsoft Sentinel 的可疑活动时，请使用此选项。 例如，员工可能会注意到一个无法识别的人从事与组织的信息资产相关的可疑活动，并通过电话或电子邮件将其报告给安全运营中心（SOC）。

根据外部系统中的事件创建事件

根据日志未引入 Microsoft Sentinel 的系统中的事件创建事件。 例如，基于短信的网络钓鱼活动可能会使用组织的公司品牌和主题来攻击员工的个人移动设备。 你可以调查此类攻击，并可以在 Microsoft Sentinel 中创建事件，以便获得一个平台来管理调查、收集和记录证据以及记录响应和缓解措施。

根据狩猎结果创建事件

根据搜寻活动观察到的结果创建事件。 例如，在某项特定调查中进行威胁搜寻时（或自行开展威胁搜寻时），你可能会发现某个完全无关的威胁的证据，而这值得另行单独调查。

手动创建事件

可通过三种方法手动创建事件：

• 使用 Azure 门户创建事件
• 使用 Azure 逻辑应用创建事件（使用 Microsoft Sentinel 事件触发器）。
• 通过事件操作组使用 Microsoft Sentinel API 创建事件。 这样能获取、创建、更新和删除事件。

权限

需有以下角色和权限才能手动创建事件。

详细了解Microsoft Sentinel角色和权限。

使用 Azure 门户创建事件

若要在 Azure 门户中手动创建事件，请执行以下步骤：

1. 选择“Microsoft Sentinel”并选择自己的工作区。

2. 从 Microsoft Sentinel 导航菜单中，选择“事件”。

3. 在“事件”页上，选择按钮兰中的“+创建事件(预览)”。

   

   随后会在屏幕右侧打开“创建事件(预览)”面板。

   

4. 在该面板中的字段中填写相应的信息。

   • 标题

     • 输入您为该事件自定的标题。 该事件将显示在具有此标题的队列中。
     • 必填。 无长度限制的自由文本。 将剪裁空格。

   • 说明

     • 输入有关事件的描述性信息，包括事件来源、涉及的实体、与其他事件的关系、通知的人员等详细信息。
     • 可选。 最多 5000 个字符的自由文本。

   • 严重性

     • 从下拉列表中选择严重性。 所有 Microsoft Sentinel 支持的严重性级别均可用。
     • 必填。 默认值为“中等”。

   • 地位

     • 从下拉列表中选择状态。 所有 Microsoft Sentinel 支持的状态都可用。
     • 必填。 默认值为“新建”。
     • 可以创建状态为“已关闭”的事件，然后手动将其打开以进行更改并选择其他状态。 从下拉列表中选择“已关闭”将激活“分类原因”字段，用于选择关闭事件的原因和添加注释。

   • 所有者

     • 从租户中的可用用户或组中选择。 先键入名称以搜索用户和组。 选择字段（单击或点击）以显示建议列表。 选择列表顶部的“分配给我”，可将事件分配给自己。
     • 可选。

   • 标记

     • 使用标记对事件进行分类，并在队列中筛选和查找它们。
     • 创建标记：选择加号图标，在对话框中输入文本，然后选择“确定”。 自动完成功能会建议将标记用于过去两周内使用的工作区。
     • 可选。 自由文本。

5. 在面板底部选择“创建”。 系统将在几秒钟后创建事件，事件会显示在事件队列中。

   如果为事件分配到的状态为“已关闭”，则不会显示在队列中，除非更改“状态”筛选器以将已关闭的事件也显示出来。 默认情况下，筛选器设置为仅显示状态为“新建”或“活动”的事件。

选择队列中的事件，可查看其完整详细信息、添加书签、更改其所有者和状态等。

如果出于某种原因，您在创建事件后又改变了主意，您可以从队列网格中删除该事件，或者在事件本身内将其删除。 必须具有 Microsoft Sentinel 参与者角色才能删除事件。

使用 Azure 逻辑应用创建事件

在 Microsoft Sentinel 连接器中也能以逻辑应用操作的形式创建事件，因此在 Microsoft Sentinel playbook 中也是如此。

可以在事件触发器的剧本架构中找到 创建事件（预览） 操作。

需要按以下步骤提供参数：

• 在对应的下拉列表中选择自己的“订阅”、“资源组”和“工作区名称”。

• 有关其余字段，请参阅使用 Azure 门户创建事件中的字段说明。

  

使用 Microsoft Sentinel API 创建事件

事件操作组不仅允许你创建事件，还可以更新事件、检索事件、列出事件和删除事件。

若要通过 REST API 创建或更新Microsoft Sentinel事件，请向以下终结点发送PUT请求。 如果指定的事件 ID 尚不存在，API 将创建新事件。 请求成功完成后，事件将显示在门户中的事件队列中。

PUT https://management.chinacloudapi.cn/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/incidents/{incidentId}?api-version=2022-07-01-preview

以下示例演示了一个 JSON 请求正文，该正文使用标题、说明、严重性、所有者、状态和分类等属性创建事件：

{
  "etag": "\"0300bf09-0000-0000-0000-5c37296e0000\"",
  "properties": {
    "lastActivityTimeUtc": "2019-01-01T13:05:30Z",
    "firstActivityTimeUtc": "2019-01-01T13:00:30Z",
    "description": "This is a demo incident",
    "title": "My incident",
    "owner": {
      "objectId": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
    },
    "severity": "High",
    "classification": "FalsePositive",
    "classificationComment": "Not a malicious activity",
    "classificationReason": "IncorrectAlertLogic",
    "status": "Closed"
  }
}

说明

对于手动创建的事件，请记住以下限制和行为：

• 手动创建的事件不包含任何实体或警报。 因此，在将现有警报与事件关联之前，事件页面中的“警报”选项卡会保持为空。

  “实体”选项卡也将保持为空，因为当前不支持将实体直接添加到手动创建的事件。 （如果将某个警报与此事件关联，警报中的实体将出现在事件中。）

• 手动创建的事件也不会在队列中显示任何产品名称。

• 默认情况下，事件队列会被筛选为仅显示状态为“新建”或“活动”的事件。如果创建状态为“已关闭”的事件，则事件不会显示在队列中，除非更改“状态”筛选器以将已关闭的事件也显示出来。

后续步骤

有关详细信息，请参阅：

• 将警报关联到 Microsoft Sentinel 中的事件
• 删除 Microsoft Sentinel 中的事件
• 浏览、会审和管理 Microsoft Sentinel 事件
• 深入调查 Microsoft Sentinel 事件