ख़तरे के विश्लेषण के लिए माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस को लागू करना

06/01/2025

इस तकनीकी और शैक्षिक लेख का उद्देश्य सुरक्षा विश्लेषकों, आईटी प्रशासकों और सिस्टम इंजीनियरों को अपने संगठनों के खतरे के विश्लेषण और सुरक्षा स्थिति में सुधार करने के लिए माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस (एमडीटीआई) को लागू करने और उपयोग करने में मार्गदर्शन करना है। तेजी से परिष्कृत और विकसित हो रहे साइबर खतरे के परिदृश्य में, हमलों का प्रभावी ढंग से पता लगाने, जांच करने और जवाब देने के लिए अद्यतन, कार्रवाई योग्य खतरे की खुफिया जानकारी तक पहुंच महत्वपूर्ण है। एमडीटीआई खतरे की खुफिया जानकारी का एक मजबूत भंडार प्रदान करता है, जिससे सुरक्षा टीमों को विरोधियों और उनकी रणनीति को बेहतर ढंग से समझने में मदद मिलती है [1]।

परिचय

थ्रेट इंटेलिजेंस (आईटी) साक्ष्य-आधारित ज्ञान है, जिसमें मौजूदा या उभरते खतरे के बारे में संदर्भ, तंत्र, संकेतक, निहितार्थ और कार्रवाई योग्य सलाह शामिल है, जिसका उपयोग घटना प्रतिक्रिया निर्णयों को सूचित करने के लिए किया जा सकता है। प्रभावी ख़तरे की जानकारी के बिना, सुरक्षा दल नुकसान की स्थिति में काम करते हैं, हमलों का पूर्वानुमान लगाने और उन्हें रोकने के बजाय उन पर प्रतिक्रिया करते हैं। आईटी समझौते के संकेतकों (आईओसी) की पहचान करने, हमलावरों की प्रेरणाओं को समझने और सक्रिय रूप से बचाव को मजबूत करने में मदद कर सकता है [2]।

माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस (एमडीटीआई) एक व्यापक मंच है जो दुनिया भर के अरबों संकेतों से एकत्रित माइक्रोसॉफ्ट की विशाल खतरे की खुफिया जानकारी को समेकित करता है। यह विरोधियों, दुर्भावनापूर्ण बुनियादी ढांचे और कमजोरियों में गहरी अंतर्दृष्टि प्रदान करता है, सुरक्षा पेशेवरों को ट्राइएज, घटना प्रतिक्रिया, खतरे की तलाश और भेद्यता प्रबंधन को सुव्यवस्थित करने के लिए सशक्त बनाता है। एमडीटीआई अन्य माइक्रोसॉफ्ट डिफेंडर समाधानों और माइक्रोसॉफ्ट सेंटिनल के साथ एकीकृत होता है, जो अधिक लचीले सुरक्षा पारिस्थितिकी तंत्र के लिए एकीकृत दृश्य और स्वचालन क्षमताएं प्रदान करता है [3]।

यह व्यावहारिक मार्गदर्शिका पूर्वापेक्षाएँ, खतरे की खुफिया अवधारणाएँ, एमडीटीआई पोर्टल और एपीआई का उपयोग कैसे करें, अन्य माइक्रोसॉफ्ट समाधानों के साथ कैसे एकीकृत करें, खतरे का विश्लेषण कैसे करें, समझौते के संकेतकों (आईओसी) की व्याख्या करें और सर्वोत्तम प्रथाओं को लागू करें। चरण-दर-चरण निर्देश, व्यावहारिक उदाहरण और संक्षिप्त स्पष्टीकरण प्रदान किए जाएंगे ताकि पाठक इन सुविधाओं को लागू, परीक्षण और मान्य कर सकें। इसके अलावा, सुरक्षा युक्तियों, अनुपालन जांच और सर्वोत्तम प्रथाओं पर चर्चा की जाएगी ताकि यह सुनिश्चित किया जा सके कि खतरे की खुफिया जानकारी स्वायत्त, पेशेवर और विश्वसनीय रूप से उपयोग की जाती है।

खतरे के विश्लेषण के लिए माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस क्यों महत्वपूर्ण है?

• व्यापक खतरा दृश्यता: दुनिया में सबसे बड़े खतरे वाले खुफिया डेटासेट में से एक तक पहुंच, जिसमें आईओसी, हमलावर बुनियादी ढांचे और दुर्भावनापूर्ण अभियानों की एक विस्तृत श्रृंखला शामिल है।
• गहराई संदर्भ: खतरों के बारे में समृद्ध संदर्भ प्रदान करता है, जिसमें खतरे के अभिनेताओं, रणनीति, तकनीकों और प्रक्रियाओं (टीटीपी), और संबंधित कमजोरियों के बारे में जानकारी शामिल है।
• माइक्रोसॉफ्ट इकोसिस्टम के साथ एकीकरण: माइक्रोसॉफ्ट डिफेंडर एक्सडीआर, माइक्रोसॉफ्ट सेंटिनल और अन्य समाधानों के साथ मूल एकीकरण, एक समन्वित और स्वचालित प्रतिक्रिया को सक्षम करना।
• त्वरित घटना प्रतिक्रिया: सुरक्षा टीमों को घटनाओं के मूल कारण की तुरंत पहचान करने, खतरों को प्राथमिकता देने और प्रभावी जवाबी उपायों को लागू करने में मदद करता है।
• प्रोएक्टिव थ्रेट हंटिंग: खतरे की तलाश करने वालों को महत्वपूर्ण नुकसान पहुंचाने से पहले अपने वातावरण में दुर्भावनापूर्ण गतिविधि की पहचान करने में सक्षम बनाता है।
• उन्नत भेद्यता प्रबंधन: हमलावरों द्वारा शोषण की गई कमजोरियों में अंतर्दृष्टि प्रदान करता है, जिससे संगठनों को निवारण को प्राथमिकता देने की अनुमति मिलती है।

पूर्वावश्यकताएँ

माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस का उपयोग करने के लिए, आपको निम्नलिखित वस्तुओं की आवश्यकता होगी:

1. Microsoft 365 E5 या क्लाउड लाइसेंसिंग के लिए डिफेंडर: MDTI कुछ Microsoft 365 E5 लाइसेंस के साथ और क्लाउड के लिए Microsoft डिफेंडर के हिस्से के रूप में शामिल है, या अलग से खरीदा जा सकता है [4]।
2. Microsoft डिफ़ेंडर पोर्टल एक्सेस: Microsoft डिफ़ेंडर पोर्टल (https://security.microsoft.com) तक पहुँचने के लिए उपयुक्त अनुमतियों वाला एक खाता।
3. माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस पोर्टल एक्सेस: एमडीटीआई डेटा की खोज के लिए समर्पित पोर्टल (https://ti.defender.microsoft.com)।
4. बुनियादी ज्ञानo साइबर सुरक्षा: खतरे की अवधारणाओं, आईओसी और सुरक्षा संचालन से परिचित।

चरण दर चरण: माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस को लागू करना और उसका उपयोग करना

आइए एमडीटीआई पोर्टल देखें, आईओसी खोजें और माइक्रोसॉफ्ट सेंटिनल के साथ एकीकृत करें।

1. माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस पोर्टल तक पहुंच

एमडीटीआई पोर्टल खतरे की खुफिया जानकारी तक पहुंचने और उसकी खोज के लिए केंद्रीय बिंदु है।

1. अपना ब्राउज़र खोलें और Microsoft Defender Threat Intelligence पोर्टल पर जाएँ: https://ti.defender.microsoft.com।
2. अपने Microsoft खाते से लॉग इन करें जिसके पास आवश्यक लाइसेंस और अनुमतियाँ हैं।

3. होम पेज का अन्वेषण करें, जो आम तौर पर नवीनतम खतरे की खबर, शोध लेख और विशेष आईओसी के साथ एक डैशबोर्ड प्रदर्शित करता है।

   • स्पष्टीकरण: पोर्टल खतरे की खुफिया डेटा के विशाल सेट को ब्राउज़ करने के लिए एक सहज इंटरफ़ेस प्रदान करता है, जिसमें शोध लेख, समझौते के संकेतक, बुनियादी ढांचा डेटा और बहुत कुछ शामिल है।

2. समझौते के संकेतकों (आईओसी) पर शोध और विश्लेषण

आप संदर्भ और अंतर्दृष्टि प्राप्त करने के लिए विशिष्ट IoCs (आईपी पते, डोमेन, फ़ाइल हैश) खोज सकते हैं।

1. एमडीटीआई पोर्टल में, आईओसी दर्ज करने के लिए शीर्ष पर खोज बार का उपयोग करें। उदाहरण के लिए, एक संदिग्ध आईपी पता खोजें (जैसे 192.0.2.1)।

2. परिणाम पृष्ठ IoC के बारे में विस्तृत जानकारी प्रदर्शित करेगा, जिसमें शामिल हैं:

   • प्रतिष्ठा: क्या आईओसी को दुर्भावनापूर्ण या संदिग्ध माना जाता है।
   • एसोसिएशन: इस आईओसी से जुड़े अन्य आईओसी, डोमेन, हैश या प्रमाणपत्र।
   • इतिहास: समय के साथ IoC के बुनियादी ढांचे या व्यवहार में परिवर्तन।
   • अनुसंधान लेख: एमडीटीआई लेख जो इस आईओसी का उल्लेख करते हैं, हमले अभियानों या खतरे वाले अभिनेताओं के बारे में संदर्भ प्रदान करते हैं।

   • सेवाएँ और पोर्ट: इस आईपी पर कौन सी सेवाएँ और पोर्ट खुले या देखे गए हैं।

   • स्पष्टीकरण: एमडीटीआई में आईओसी का विश्लेषण करने से सुरक्षा विश्लेषकों को खतरे की प्रकृति, इसके बुनियादी ढांचे और यह अन्य दुर्भावनापूर्ण गतिविधि से कैसे संबंधित है, यह समझने में मदद मिलती है। घटनाओं का परीक्षण और जांच करते समय यह महत्वपूर्ण है।

3. शोध पत्रों और खतरे वाले अभिनेताओं की खोज

एमडीटीआई खतरे वाले अभिनेताओं, उनके टीटीपी और विशिष्ट अभियानों पर गहन शोध लेख प्रकाशित करता है।

1. एमडीटीआई पोर्टल के बाएं नेविगेशन फलक में, शोध लेख या खतरा अभिनेता चुनें।
2. अपने संगठन या उद्योग से संबंधित खतरे की जानकारी खोजने के लिए लेख ब्राउज़ करें।

3. प्रत्येक लेख एक विस्तृत विश्लेषण प्रदान करता है, जिसमें आईओसी, टीटीपी, शमन अनुशंसाएं और अन्य स्रोतों के लिंक शामिल हैं।

   • स्पष्टीकरण: ये लेख रणनीतिक और सामरिक बुद्धिमत्ता का एक मूल्यवान स्रोत हैं, जो सुरक्षा टीमों को खतरे के परिदृश्य को समझने और सक्रिय सुरक्षा विकसित करने में मदद करते हैं।

4. एमडीटीआई को माइक्रोसॉफ्ट सेंटिनल के साथ एकीकृत करना

माइक्रोसॉफ्ट सेंटिनल के साथ एकीकरण आपको एमडीटीआई डेटा को सीधे अपने एसआईईएम और एसओएआर में शामिल करने, इसे अन्य सुरक्षा लॉग के साथ सहसंबंधित करने और प्रतिक्रियाओं को स्वचालित करने की अनुमति देता है।

1. Azure पोर्टल खोलें और Microsoft सेंटिनल पर जाएँ।
2. बाएँ नेविगेशन फलक में, डेटा कनेक्टर्स चुनें।
3. खोज फ़ील्ड में, Microsoft डिफ़ेंडर थ्रेट इंटेलिजेंस टाइप करें।
4. माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस डेटा कनेक्टर का चयन करें और कनेक्टर पेज खोलें पर क्लिक करें।

5. कनेक्ट पर क्लिक करें।

   • स्पष्टीकरण: यह कनेक्शन सेंटिनल को एमडीटीआई से स्वचालित रूप से आईओसी और अन्य खतरे की खुफिया जानकारी प्राप्त करने की अनुमति देता है, जिसका उपयोग पहचान नियमों, वॉचलिस्ट और ऑटोमेशन प्लेबुक में किया जा सकता है।

5. एज़्योर सेंटिनल डिटेक्शन नियमों में एमडीटीआई डेटा का उपयोग करना

सेंटिनल में एमडीटीआई डेटा के साथ, आप दुर्भावनापूर्ण गतिविधि की पहचान करने के लिए कस्टम डिटेक्शन नियम बना सकते हैं।

1. Azure सेंटिनल में, एनालिटिक्स > शेड्यूलिंग नियम पर जाएँ।
2. +बनाएँ > अनुसूचित क्वेरी नियम पर क्लिक करें।

3. नियम कॉन्फ़िगर करें, और क्वेरी लॉजिक अनुभाग में, आप एमडीटीआई डेटा का उपयोग कर सकते हैं। उदाहरण के लिए, यह पता लगाने के लिए कि क्या आपके फ़ायरवॉल लॉग में कोई आईपी एमडीटीआई को ज्ञात दुर्भावनापूर्ण आईपी के साथ संचार करता है: ```कुस्टो चलो MalciousIPs = ThreatIntelligenceIndicator | जहां सक्रिय == सत्य और नेटवर्कआईपी != "" | ThreatType द्वारा make_list(NetworkIP) को सारांशित करें;

   सामान्य सुरक्षा लॉग| जहां गंतव्यआईपी (दुर्भावनापूर्णआईपी) | डेस्टिनेशनआईपी, डिवाइसवेंडर, डिवाइसप्रोडक्ट द्वारा गिनती() को सारांशित करें ``` * स्पष्टीकरण: यह कुस्टो क्वेरी एमडीटीआई खतरे की खुफिया जानकारी द्वारा दुर्भावनापूर्ण के रूप में सूचीबद्ध आईपी के साथ संचार के लिए आपके सुरक्षा लॉग (जैसे फ़ायरवॉल) की खोज करती है। आप अन्य प्रकार के IoCs या लॉग स्रोतों को शामिल करने के लिए क्वेरी को परिष्कृत कर सकते हैं।

सत्यापन और परीक्षण

यह सत्यापित करना महत्वपूर्ण है कि एमडीटीआई प्रासंगिक खतरे की खुफिया जानकारी प्रदान कर रहा है और एकीकरण काम कर रहा है।

1. Azure सेंटिनल में डेटा अंतर्ग्रहण का सत्यापन करना

1. परिदृश्य: एमडीटीआई को एज़्योर सेंटिनल से कनेक्ट करने के बाद, सत्यापित करें कि खतरे की खुफिया जानकारी प्राप्त की जा रही है।
2. अपेक्षित कार्रवाई: एमडीटीआई डेटा लॉग एनालिटिक्स में थ्रेटइंटेलिजेंसइंडिकेटर तालिका में दिखाई देना चाहिए।
3. सत्यापन:
   • माइक्रोसॉफ्ट सेंटिनल में, लॉग्स पर नेविगेट करें।
   • क्वेरी चलाएँ ThreatIntelligenceIndicator | 10 ले लो.
   • उन परिणामों की जाँच करें जो दर्शाते हैं कि डेटा का अंतर्ग्रहण किया जा रहा है।

2. एमडीटीआई के साथ आईओसी डिटेक्शन का परीक्षण

सावधानी: इस परीक्षण को एक अलग परीक्षण वातावरण में या उचित प्राधिकरण और पर्यवेक्षण के साथ करें।

1. परिदृश्य: दुर्भावनापूर्ण माने जाने वाले आईओसी का उपयोग करें (उदाहरण के लिए एक ज्ञात मैलवेयर कमांड और नियंत्रण आईपी) और इसे सेंटिनल द्वारा मॉनिटर किए गए डिवाइस (उदाहरण के लिए एक परीक्षण वीएम) से एक्सेस करने का प्रयास करें।
2. अपेक्षित कार्रवाई: यदि पता लगाने का नियम सही ढंग से कॉन्फ़िगर किया गया है, तो सेंटिनल को दुर्भावनापूर्ण आईओसी के साथ संचार के आधार पर एक घटना उत्पन्न करनी चाहिए।
3. सत्यापन:
   • माइक्रोसॉफ्ट सेंटिनल में, घटनाएं पर नेविगेट करें।
   • एक नई घटना खोजें जो आपकी परीक्षण गतिविधि से मेल खाती हो।

सुरक्षा युक्तियाँ और सर्वोत्तम प्रथाएँ

• निरंतर आईटी उपभोग: लगातार बदलते खतरे के परिदृश्य को समझने के लिए शोध लेखों और एमडीटीआई द्वारा जारी नवीनतम खतरों से अपडेट रहें।
• व्यापक एकीकरण: दृश्यता और प्रतिक्रिया को अधिकतम करने के लिए अपने सभी माइक्रोसॉफ्ट सुरक्षा समाधानों (एंडपॉइंट के लिए डिफेंडर, क्लाउड ऐप्स के लिए डिफेंडर, पहचान के लिए डिफेंडर) और माइक्रोसॉफ्ट सेंटिनल के साथ एमडीटीआई को एकीकृत करें।
• प्लेबुक के साथ स्वचालन: एमडीटीआई आईओसी द्वारा ट्रिगर की गई घटनाओं की प्रतिक्रियाओं को स्वचालित करने के लिए माइक्रोसॉफ्ट सेंटिनल में प्लेबुक का उपयोग करें, जैसे फ़ायरवॉल में दुर्भावनापूर्ण आईपी को अवरुद्ध करना या समझौता किए गए उपकरणों को अलग करना।
• प्रोएक्टिव थ्रेट हंटिंग: अपने लॉग में दुर्भावनापूर्ण गतिविधि को सक्रिय रूप से देखने के लिए माइक्रोसॉफ्ट सेंटिनल में अपने थ्रेट हंटिंग प्रश्नों में एमडीटीआई डेटा का उपयोग करें।
• नियमित सत्यापन: यह सुनिश्चित करने के लिए अपने आईटी-आधारित पहचान नियमों का नियमित रूप से परीक्षण करें कि वे अपेक्षा के अनुरूप काम कर रहे हैं और आईओसी अद्यतित हैं।
• आईओसी का संदर्भीकरण: केवल पृथक आईओसी पर निर्भर न रहें। हमले के अभियान, टीटीपी और आईओसी के पीछे के खतरों को समझने के लिए एमडीटीआई द्वारा प्रदान किए गए संदर्भ का उपयोग करें।

सामान्य समस्या निवारण

• एमडीटीआई डेटा सेंटिनल में प्रदर्शित नहीं होता है:
  • सत्यापित करें कि Azure सेंटिनल में MDTI डेटा कनेक्टर सक्षम है।
  • पुष्टि करें कि आपका Microsoft लाइसेंस सेंटिनल के साथ MDTI एकीकरण का समर्थन करता है।
  • प्रारंभिक डेटा अंतर्ग्रहण में देरी हो सकती है। कुछ घंटे प्रतीक्षा करें.
  • डेटा कनेक्टर संबंधी त्रुटियों के लिए Azure ऑडिट लॉग की जाँच करें।
• एमडीटीआई-आधारित पहचान नियम अलर्ट उत्पन्न नहीं करते हैं:
  • अपनी Kusto क्वेरी का सिंटैक्स जाँचें। सुनिश्चित करें कि ThreatIntelligenceIndicator तालिका सही ढंग से संदर्भित की जा रही है।
  • पुष्टि करें कि परीक्षण गतिविधि वास्तव में आपके नियम मानदंड से मेल खाती है।
  • एनालिटिक्स नियम सेटिंग्स (अलर्ट थ्रेशोल्ड, शेड्यूलिंग) की जाँच करें।
• एमडीटीआई पोर्टल पर आईओसी अपडेट नहीं हैं:
  • एमडीटीआई लगातार अद्यतन किया जाता है। यदि आप पुराना डेटा देखते हैं, तो यह ब्राउज़र कैश समस्या या अस्थायी सेवा विलंब हो सकता है।
  • Azure स्थिति पृष्ठ पर MDTI सेवा स्थिति की जाँच करें।
• एमडीटीआई पोर्टल तक पहुँचने में समस्याएँ:
  • सत्यापित करें कि आपके खाते के पास एमडीटीआई तक पहुंचने के लिए सही लाइसेंस और अनुमतियां हैं।
  • अपना ब्राउज़र कैश साफ़ करें या इसे गुप्त मोड में एक्सेस करने का प्रयास करें।

निष्कर्ष

माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस किसी भी संगठन की साइबर सुरक्षा को मजबूत करने के लिए एक अनिवार्य उपकरण है। एक विशाल और समृद्ध तक पहुंच प्रदान करकेखतरे की खुफिया जानकारी का स्रोत, यह सुरक्षा टीमों को प्रतिक्रियाशील से सक्रिय मुद्रा में जाने, अधिक गति और सटीकता के साथ खतरों का पता लगाने और प्रतिक्रिया देने का अधिकार देता है। माइक्रोसॉफ्ट डिफेंडर इकोसिस्टम और माइक्रोसॉफ्ट सेंटिनल के साथ एमडीटीआई का एकीकरण एक शक्तिशाली, एकीकृत सुरक्षा समाधान बनाता है जो सबसे परिष्कृत खतरों से बचाने में सक्षम है। इस व्यावहारिक मार्गदर्शिका के साथ, सुरक्षा पेशेवर और आईटी प्रशासक माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस को कॉन्फ़िगर करने, मान्य करने और प्रबंधित करने के लिए अच्छी तरह से सुसज्जित होंगे, जिससे साइबर हमलों के खिलाफ उनके संगठनों की लचीलापन मजबूत होगी।

संदर्भ:

[1] माइक्रोसॉफ्ट सुरक्षा। माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस। यहां उपलब्ध है: https://www.microsoft.com/en-us/security/business/siem-and-xdr/microsoft-defender-threat-intelligence [2] माइक्रोसॉफ्ट लर्न। माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस (डिफेंडर आईटी) क्या है?। यहां उपलब्ध है: https://learn.microsoft.com/pt-br/defender/threat-intelligence/what-is-microsoft-defender-threat-intelligence-defender-ti [3] माइक्रोसॉफ्ट लर्न। माइक्रोसॉफ्ट डिफेंडर XDR में खतरा विश्लेषण। यहां उपलब्ध है: https://learn.microsoft.com/pt-br/defender-xdr/threat-analytics [4] माइक्रोसॉफ्ट लर्न। माइक्रोसॉफ्ट थ्रेट इंटेलिजेंस डेटा कनेक्टर सक्षम करें। यहां उपलब्ध है: https://learn.microsoft.com/pt-br/azure/sentinel/connect-mdti-data-connector [5] माइक्रोसॉफ्ट लर्न। माइक्रोसॉफ्ट सेंटिनल के साथ माइक्रोसॉफ्ट डिफेंडर एक्सडीआर एकीकरण। यहां उपलब्ध है: https://learn.microsoft.com/pt-br/azure/sentinel/microsoft-365-defender-sentinel-integration [6] माइक्रोसॉफ्ट लर्न। माइक्रोसॉफ्ट डिफेंडर थ्रेट इंटेलिजेंस के लिए माइक्रोसॉफ्ट ग्राफ़ एपीआई का उपयोग करें। यहां उपलब्ध है: https://learn.microsoft.com/pt-br/graph/api/resources/security-threatintelligence-overview?view=graph-rest-1.0 [7] माइक्रोसॉफ्ट लर्न। माइक्रोसॉफ्ट डिफेंडर पोर्टल में माइक्रोसॉफ्ट सेंटिनल। यहां उपलब्ध है: https://learn.microsoft.com/pt-br/azure/sentinel/microsoft-sentinel-defender-portal