Verbinden Sie Datenquellen mit Microsoft Sentinel mithilfe von Datenconnectoren

Um Datenquellen mit Microsoft Sentinel zu verbinden, müssen Sie Datenkonnektoren installieren und konfigurieren. Dieser Artikel bietet einen allgemeinen Überblick darüber, wie Sie die im Microsoft Sentinel Content hub verfügbaren Datenkonnektoren installieren, um Daten zu importieren und zu analysieren und so die Bedrohungserkennung zu verbessern.

• Microsoft Sentinel-Datenkonnektoren
• Finden Sie Ihren Microsoft Sentinel-Datenconnector
• Entdecken und verwalten Sie die vorgefertigten Inhalte von Microsoft Sentinel

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass Sie über den entsprechenden Zugriff verfügen und Sie oder jemand in Ihrem organization die zugehörige Lösung installiert.

• Sie müssen über Lese- und Schreibberechtigungen für den Microsoft Sentinel Arbeitsbereich verfügen.
• Installieren Sie die Lösung, die den Datenkonnektor aus dem Content Hub in Microsoft Sentinel enthält. Weitere Informationen finden Sie unter Entdecken und Verwalten sofort einsatzbereiter Inhalte in Microsoft Sentinel.

Aktivieren eines Datenconnectors

Nachdem Sie oder eine Person in Ihrem organization die Lösung installiert haben, die den benötigten Datenconnector enthält, konfigurieren Sie den Datenconnector so, dass er mit der Erfassung von Daten beginnt.

1. Wählen Sie in Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Konfigurationen>Datenconnectors aus. Wählen Sie in Microsoft Sentinel im Azure-Portal unter KonfigurationDatenkonnektoren aus.

2. Suchen Sie den Connector, und wählen Sie ihn aus. Wenn der gewünschte Datenconnector nicht angezeigt wird, überprüfen Sie erneut, ob die relevante Lösung im Inhaltshub installiert ist.

3. Wählen Sie „Connectorseite öffnen“ aus.

   • Defender-Portal
   • Azure-Portal

   

4. Überprüfen Sie die Voraussetzungen für Ihren Datenconnector, und stellen Sie sicher, dass sie erfüllt sind.

5. Führen Sie die im Abschnitt Konfigurationen für Ihren Datenconnector beschriebenen Schritte aus.

   Für einige Steckverbinder finden Sie spezifischere Konfigurationsinformationen im Abschnitt Daten sammeln im entsprechenden Connector-Artikel in Find your Microsoft Sentinel Data Connector.

   • Verbinden von Microsoft Sentinel mit Azure-, Windows-, Microsoft- und Amazon-Diensten
   • Voraussetzungen für den Datenconnector

Datenaufbewahrung und Tiering konfigurieren

Wenn Sie Microsoft Sentinel-Data Lake eingerichtet haben, können Sie die Datenaufbewahrung und das Datentiering für den Datenconnector konfigurieren. Der Data Lake besteht aus einer Analyseebene – Ihren aktuellen Microsoft Sentinel Arbeitsbereichen und einer Data Lake-Ebene, in der Sie Daten bis zu 12 Jahre lang speichern können. Weitere Informationen zum Onboarding finden Sie unter Onboarding in Microsoft Sentinel Data Lake.

Wenn Sie einen Connector aktivieren, werden die Daten standardmäßig an die Analyseebene gesendet und auf der Data Lake-Ebene gespiegelt. Konfigurieren Sie die Datenaufbewahrung in jeder Ebene, oder senden Sie die Daten nur an die Data Lake-Ebene. Aufbewahrung und Staffelung werden von den Konnektoreinrichtungsseiten oder über die Tabellenverwaltungsseite im Defender-Portal verwaltet. Weitere Informationen zur Tabellenverwaltung und -aufbewahrung finden Sie unter Verwalten von Datenebenen und -aufbewahrung in Microsoft Defender Portal.

Nachdem Sie Ihren Connector eingerichtet haben, konfigurieren Sie die Datenaufbewahrung und das Tiering mithilfe der folgenden Schritte:

1. Wählen Sie auf der Seite Connectordetails im Abschnitt Tabellenverwaltung die Tabelle aus, die Sie verwalten möchten.

   

2. Der Tabellenbereich wird mit den aktuellen Aufbewahrungseinstellungen angezeigt.

3. Um die Aufbewahrung zu konfigurieren, wählen Sie Tabelle verwalten aus.

4. Der Bereich Tabelle verwalten wird mit den aktuellen Aufbewahrungseinstellungen angezeigt. Sie können die Aufbewahrungseinstellungen für die Analyseebene und die Data Lake-Ebene ändern. Standardmäßig werden die Daten mit derselben Aufbewahrungsdauer wie in der Analyseebene auf die Data-Lake-Ebene gespiegelt.

5. Wählen Sie unter Analytics-Aufbewahrung den Aufbewahrungszeitraum für die Analytics-Stufe aus.

6. Wählen Sie zum Konfigurieren der Data Lake-Ebene in der Dropdownliste Gesamtaufbewahrung einen Aufbewahrungszeitraum aus.

7. Wenn Sie die Ebene in nur Data Lake ändern möchten, wählen Sie die Data Lake-Ebene aus, und wählen Sie in der Dropdownliste Aufbewahrung einen Aufbewahrungszeitraum aus. Wenn Sie diese Option auswählen, wird die weitere Erfassung auf der Analyseebene beendet.

8. Wählen Sie Speichern aus, um die Änderungen zu speichern.

Nach dem Konfigurieren des Datenconnectors kann es einige Zeit dauern, bis die Daten in Microsoft Sentinel erfasst werden. Es dauert 90 bis 120 Minuten, bis die Daten in den Datensee eingetragen werden. Wenn der Datenkonnektor verbunden ist, sehen Sie im Diagramm Empfangene Daten eine Zusammenfassung der Daten sowie den Konnektivitätsstatus der Datentypen.

Aktivieren der Benutzer- und Entitätsverhaltensanalyse (User and Entity Behavior Analytics, UEBA) über unterstützte Connectors

Die Benutzer- und Entitätsverhaltensanalyse (User and Entity Behavior Analytics, UEBA) in Microsoft Sentinel analysiert Protokolle und Warnungen aus verbundenen Datenquellen, um grundlegende Verhaltensprofile der Entitäten Ihrer organization zu erstellen, z. B. Benutzer, Hosts, IP-Adressen und Anwendungen. Mithilfe von maschinellem Lernen erkennt UEBA anomale Aktivität, die auf eine kompromittierte Ressource hinweisen kann.

So aktivieren Sie UEBA über unterstützte Datenkonnektoren im Microsoft Defender-Portal:

1. Wählen Sie im Navigationsmenü des Microsoft Defender-Portals Microsoft Sentinel > Konfiguration > Datenconnectors aus.

2. Wählen Sie einen UEBA-unterstützten Datenconnector aus, der UEBA unterstützt. Weitere Informationen zu von UEBA unterstützten Datenconnectors und -Tabellen finden Sie in der Referenz zu Microsoft Sentinel UEBA.

3. Wählen Sie im Bereich des Datenconnectors Connectorseite öffnen aus.

4. Wählen Sie auf der Seite Connectordetailsdie Option Erweiterte Optionen aus.

5. Schalten Sie unter UEBA konfigurieren die Tabellen ein, die Sie für UEBA aktivieren möchten.

   

Suchen Ihrer Daten

Nachdem Sie den Connector erfolgreich aktiviert haben, beginnt der Connector mit dem Streamen von Daten an die Tabellenschemas, die sich auf die von Ihnen konfigurierten Datentypen beziehen.

Fragen Sie im Defender-Portal auf der Seite Erweiterte Suche Daten ab oder im Azure-Portal auf der Seite Protokolle.

Navigieren Sie zuden KQL-Abfragen des Data Lake Explorers>, um die Daten im Data Lake abzufragen. Weitere Informationen finden Sie unter KQL und der Microsoft Sentinel Data Lake.

Suchen von Unterstützung für einen Datenconnector

Sowohl Microsoft als auch andere Organisationen erstellen Microsoft Sentinel-Datenconnectors. Den Support-Kontakt finden Sie auf der Connector-Details-Seite in Microsoft Sentinel.

1. Wählen Sie auf der Microsoft Sentinel-Seite Datenconnectors den relevanten Connector aus.

2. Um auf Support und Wartung für den Connector zuzugreifen, verwenden Sie den Link Supportkontakt im Feld Unterstützt von im Seitenbereich des Connectors.

   

Weitere Informationen finden Sie unter Unterstützung für Datenkonnektoren.

Verwandte Inhalte

• Microsoft Sentinel-Datenkonnektoren
• Finden Sie Ihren Microsoft Sentinel-Datenconnector
• Verbinden von Microsoft Sentinel mit Azure-, Windows-, Microsoft- und Amazon-Diensten
• Was ist Microsoft Sentinel Data Lake?
• Einführung in den Microsoft Sentinel Data Lake
• Verwalten von Datenebenen und Aufbewahrung in Microsoft Defender Portal
• KQL und der Microsoft Sentinel Data Lake
• Jupyter Notebooks und der Microsoft Sentinel Data Lake