Senken der Kosten für Microsoft Sentinel

  • Gilt für:: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Die Kosten für Microsoft Sentinel sind nur ein Teil der monatlichen Kosten in Ihrer Azure-Rechnung. In diesem Artikel wird zwar erläutert, wie Sie die Kosten für Microsoft Sentinel senken, ihnen werden jedoch alle Azure-Dienste und -Ressourcen in Rechnung gestellt, die Ihr Azure-Abonnement verwendet, einschließlich Partnerdiensten.

Wichtig

Nach dem 31. März 2027 wird Microsoft Sentinel im Azure-Portal nicht mehr unterstützt und ist nur im Microsoft Defender-Portal verfügbar. Alle Kunden, die Microsoft Sentinel im Azure-Portal verwenden , werden zum Defender-Portal umgeleitet und verwenden Microsoft Sentinel nur im Defender-Portal.

Wenn Sie Microsoft Sentinel weiterhin im Azure-Portal verwenden, empfehlen wir Ihnen, den Übergang zum Defender-Portal zu planen, um einen reibungslosen Übergang zu gewährleisten und die einheitliche Benutzeroberfläche für Sicherheitsvorgänge von Microsoft Defender in vollem Umfang zu nutzen.

Preisstufe festlegen oder ändern

Um die höchstmöglichen Einsparungen zu erzielen, überwachen Sie Ihr Erfassungsvolumen, um sicherzustellen, dass Sie die Commitment-Stufe haben, die am besten zu Ihren Erfassungsvolumenmustern passt. Erwägen Sie eine Erhöhung oder Verringerung Ihrer Verpflichtungsebene, um sich an sich ändernden Datenvolumes anzupassen.

Sie können Ihren Verpflichtungstarif jederzeit erhöhen, wodurch der 31-tägige Verpflichtungszeitraum neu gestartet wird. Um jedoch wieder zur nutzungsbasierten Abrechnung oder zu einer niedrigeren Verpflichtungsstufe zu wechseln, müssen Sie warten, bis die 31-tägige Verpflichtungslaufzeit beendet ist. Die Abrechnung für Commitment-Stufen erfolgt täglich.

Um Ihren aktuellen Microsoft Sentinel-Tarif anzuzeigen , wählen Sie einstellungen im linken Navigationsbereich von Microsoft Sentinel und dann die Registerkarte Preise aus. Ihr aktueller Tarif ist als Aktueller Tarif gekennzeichnet.

Um Ihre Bindung an die Preisstufe zu ändern, wählen Sie auf der Preisseite eine der anderen Preisstufen aus, und wählen Sie dann Anwenden aus. Sie benötigen die Rolle Mitwirkender oder Besitzer für den Microsoft Sentinel-Arbeitsbereich, um den Tarif ändern zu können.

Screenshot der Seite

Weitere Informationen zum Überwachen Ihrer Kosten finden Sie unter Verwalten und Überwachen von Kosten für Microsoft Sentinel.

Für Arbeitsbereiche, die weiterhin klassische Tarife verwenden, enthalten die Microsoft Sentinel-Tarife keine Log Analytics-Gebühren. Weitere Informationen finden Sie unter Grundlegendes zum vollständigen Abrechnungsmodell für Microsoft Sentinel.

Einen Vorabkaufplan kaufen

Senken Sie Ihre Kosten für die Microsoft Sentinel-Analysestufe, indem Sie Microsoft Sentinel Commit Units (CUs) im Voraus erwerben. Verwenden Sie die vorab erworbenen CUs jederzeit während der einjährigen Kauflaufzeit.

Alle anrechenbaren Microsoft Sentinel-Kosten werden automatisch zuerst von den im Voraus erworbenen CUs abgezogen. Sie müssen Ihren Microsoft Sentinel-Arbeitsbereichen keinen vorab erworbenen Plan neu bereitstellen oder zuweisen, damit die CU-Nutzung die Vorabkaufsrabatte erhält.

Weitere Informationen finden Sie unter Optimieren der Microsoft Sentinel-Kosten mit einem Vorkaufsplan.

Trennen nicht sicherheitsrelevanter Daten in einem anderen Arbeitsbereich

Microsoft Sentinel analysiert alle Daten, die in Log Analytics-Arbeitsbereichen mit Microsoft Sentinel-Unterstützung erfasst werden. Es empfiehlt sich, einen separaten Arbeitsbereich für nicht sicherheitsrelevante Betriebsdaten zu verwenden, um sicherzustellen, dass dafür keine Microsoft Sentinel-Kosten anfallen.

Verwenden des Microsoft Sentinel Data Lake für niedrigere Genauigkeit oder sekundäre Sicherheitsdaten

Die Analyseebene eignet sich zwar am besten für die kontinuierliche Bedrohungserkennung in Echtzeit, der Data Lake von Microsoft Sentinel eignet sich jedoch gut für Abfragen und Analysen sekundärer Sicherheitsdaten, die für die Bedrohungserkennung in Echtzeit nicht benötigt werden. Microsoft Sentinel Data Lake bietet Erfassung und Speicherung zu erheblich reduzierten Kosten. Weitere Informationen finden Sie unter Microsoft Sentinel – Preise.

Optimieren der Log Analytics-Kosten mit dedizierten Clustern

Wenn Sie mindestens 100 GB in Ihren Microsoft Sentinel-Arbeitsbereich oder in Arbeitsbereiche in derselben Region aufnehmen, sollten Sie den Wechsel zu einem dedizierten Log Analytics-Cluster erwägen, um die Kosten zu senken. Eine Mindestabnahme für einen dedizierten Log Analytics-Cluster aggregiert das Datenvolumen mehrerer Arbeitsbereiche, die zusammen mindestens 100 GB pro Tag erfassen. Weitere Informationen finden Sie unter Vereinfachter Tarif für dedizierte Cluster.

Sie können einem dedizierten Log Analytics-Cluster mehrere Microsoft Sentinel-Arbeitsbereiche hinzufügen. Die Verwendung eines dedizierten Log Analytics-Clusters für Microsoft Sentinel hat einige Vorteile:

  • Arbeitsbereichsübergreifende Abfragen werden schneller ausgeführt, wenn sich alle an der Abfrage beteiligten Arbeitsbereiche im dedizierten Cluster befinden. Es ist immer noch am besten, so wenige Arbeitsbereiche wie möglich in Ihrer Umgebung zu haben, und ein dedizierter Cluster behält weiterhin den Grenzwert von 100 Arbeitsbereichen für die Aufnahme in eine einzelne arbeitsbereichsübergreifende Abfrage bei.

  • Alle Arbeitsbereiche im dedizierten Cluster können die für den Cluster festgelegte Log Analytics-Verpflichtungsebene gemeinsam nutzen. Wenn Sie sich nicht auf separate Log Analytics-Verpflichtungsebenen für jeden Arbeitsbereich festlegen müssen, können Kosteneinsparungen und Effizienz erzielt werden. Wenn Sie einen dedizierten Cluster aktivieren, verpflichten Sie sich auf eine Mindestabnahmeebene für Log Analytics von 100 GB pro Tag.

Im Folgenden finden Sie einige weitere Überlegungen zum Umstieg auf einen dedizierten Cluster zur Kostenoptimierung:

  • Die maximale Anzahl von Clustern pro Region und Abonnement beträgt zwei.
  • Alle Arbeitsbereiche, die mit einem Cluster verknüpft sind, müssen sich in derselben Region befinden.
  • Die maximale Anzahl von Arbeitsbereichen, die mit einem Cluster verknüpft sind, beträgt 1.000.
  • Sie können die Verknüpfung eines verknüpften Arbeitsbereichs mit Ihrem Cluster aufheben. Die Anzahl der Linkvorgänge in einem bestimmten Arbeitsbereich ist auf zwei in einem Zeitraum von 30 Tagen beschränkt.
  • Sie können einen vorhandenen Arbeitsbereich nicht in einen CMK-Cluster (Customer Managed Key) verschieben. Sie müssen den Arbeitsbereich im Cluster erstellen.
  • Das Verschieben eines Clusters in eine andere Ressourcengruppe oder ein anderes Abonnement wird derzeit nicht unterstützt.
  • Eine Arbeitsbereichslinkung mit einem Cluster schlägt fehl, wenn der Arbeitsbereich mit einem anderen Cluster verknüpft ist.

Weitere Informationen zu dedizierten Clustern finden Sie unter Dedizierte Log Analytics-Cluster.

Senken Sie die Kosten für die Datenaufbewahrung mit umfassender Aufbewahrung

Microsoft Sentinel behält die Daten der Analyseebene standardmäßig für die ersten 90 Tage in Analyseaufbewahrung bei. Mit dem Altern der Daten verlieren sie ihren Wert für Echtzeitanalysen und -untersuchungen. SoC-Benutzer (Security Operations Center) greifen möglicherweise nicht so häufig auf ältere Daten zu, möchten aber dennoch auf die Daten zugreifen, um umfassendere historische Untersuchungen oder Überwachungszwecke zu ermöglichen. Damit Sie die Kosten für die Datenaufbewahrung von Microsoft Sentinel reduzieren können, ist die Gesamtaufbewahrung verfügbar. Daten, deren Aufbewahrungsstatus für Analysen veraltet ist, können weiterhin zu erheblich reduzierten Kosten aufbewahrt und mithilfe von Data Lake-Erkundungsfunktionen auf sie zugegriffen werden. Weitere Informationen finden Sie unter Lake-Explorer, KQL-Abfragen.

Verwenden Sie Datenverwaltungstabellen>, um den Aufbewahrungszeitraum für Analysen und Gesamtdauer anzupassen.

Verwenden von Datensammlungsregeln für Ihre Windows-Sicherheitsereignisse

Mit dem Connector für Windows-Sicherheitsereignisse können Sie Sicherheitsereignisse von jedem Computer mit Windows Server streamen, der mit Ihrem Microsoft Sentinel-Arbeitsbereich verbunden ist, einschließlich physischer, virtueller oder lokaler Server oder in einer beliebigen Cloud. Dieser Connector bietet Unterstützung für den Azure Monitor-Agent, der Datensammlungsregeln verwendet, um die Daten zu definieren, die von jedem Agent gesammelt werden sollen.

Mit Datensammlungsregeln können Sie Sammlungseinstellungen im großen Stil verwalten und gleichzeitig eindeutige, bereichsbezogene Konfigurationen für Teilmengen von Computern zulassen. Weitere Informationen finden Sie unter Konfigurieren der Datensammlung für den Azure Monitor-Agent.

Neben den vordefinierten Ereignissätzen, die Sie für die Erfassung auswählen können, z. B. Alle Ereignisse, Minimal oder Allgemein, ermöglichen Datensammlungsregeln das Erstellen benutzerdefinierter Filter und die Auswahl bestimmter Ereignisse, die erfasst werden sollen. Der Azure Monitor-Agent verwendet diese Regeln, um die Daten an der Quelle zu filtern und dann nur die von Ihnen ausgewählten Ereignisse zu erfassen, während alles andere zurückbleibt. Wenn Sie bestimmte Ereignisse auswählen, die erfasst werden sollen, können Sie Ihre Kosten optimieren und mehr sparen.

Nächste Schritte

  • Last updated on