Hunting com notebook do Jupyter

O Microsoft Sentinel é o SIEM/SOAR nativo da nuvem Azure que oferece monitoramento, correlação de eventos e resposta a incidentes em escala.
Entre os recursos mais avançados da plataforma está o Notebooks, que leva a investigação de ameaças para um novo nível.

Neste artigo você vai descobrir o que são os Notebooks, para que servem e como começar a utilizá-los no seu ambiente de segurança.

Os Notebooks são cadernos interativos baseados no Jupyter Notebook, integrados diretamente ao Microsoft Sentinel. https://jupyter.org/
Eles permitem que analistas de segurança façam investigações forenses, caça a ameaças (threat hunting) e análises avançadas combinando dados do Log Analytics com a flexibilidade da linguagem Python.

Na prática, você abre um notebook no portal do Sentinel e já tem acesso aos seus logs, podendo executar consultas, enriquecer dados e criar gráficos dinâmicos – tudo em um único ambiente.

O workspace do Azure Machine Learning é necessário, crie um novo workspace do Azure Machine Learning.

Por que usar Notebooks

• Análises avançadas além do KQL
  Enquanto as regras analíticas usam apenas KQL (Kusto Query Language), os Notebooks permitem integrar bibliotecas de Python para estatística, machine learning ou visualização de dados.
• Threat Hunting interativo
  Ideal para cenários de investigação onde não basta um alerta automático.
  O analista cria hipóteses, testa consultas, cruza dados de múltiplas fontes e refina a busca em tempo real.
• Enriquecimento de dados
  É possível integrar APIs externas, como AlienVaultOTX, VirusTotal, e IBM XForce, para enriquecer os eventos coletados no Sentinel.
• Relatórios e visualizações personalizadas
  Com bibliotecas como matplotlib ou plotly, você constrói gráficos, timelines e dashboards sob medida para seu time.

Boas práticas para começar

• Mantenha um ambiente de testes para experimentar bibliotecas e consultas complexas.
• Documente cada passo no notebook: ele serve como registro de toda a investigação.
• Aproveite os templates oficiais da Microsoft para acelerar o aprendizado.
• Integre fontes externas de Threat Intelligence para enriquecer os resultados.

Conclusão

Os Notebooks do Microsoft Sentinel unem o poder do Jupyter Notebook com a inteligência do SIEM da Microsoft, permitindo análises profundas, hunting proativo e relatórios personalizados.
Com eles, equipes de segurança ganham a flexibilidade e a capacidade analítica necessárias para enfrentar ameaças cada vez mais sofisticadas.