Entwickeln einer SIEM-Lösung für Microsoft Sentinel

Microsoft Sentinel Lösungen ermöglichen es unabhängigen Softwareanbietern (ISVs) und Partnern, einen Datenkonnektor mit verwandten Sicherheitsinhalten wie Arbeitsmappen, Analyseregeln, Suchabfragen, Playbooks und Parsern in einem einzigen, installierbaren Paket zu bündeln. Kunden können diese Lösungen dann über den Microsoft Sentinel Inhaltshub und Azure Marketplace ermitteln und bereitstellen.

Lernen

Bevor Sie mit dem Erstellen beginnen, führen Sie die folgenden Schritte aus:

• Erfahren Sie mehr über Microsoft Sentinel. Verstehen Sie, wie Microsoft Sentinel funktioniert, was eine Lösung ist, und wie Kunden Lösungen aus dem Inhaltshub entdecken und installieren. Sehen Sie sich an, was Microsoft Sentinel ist? Und durchsuchen Sie den Lösungskatalog.

• Identifizieren Sie, was erstellt werden soll. Entscheiden Sie, welchen Connectortyp Sie verwenden möchten und welche SIEM-Inhaltstypen in Ihre Lösung einbezogen werden sollen. SIEM-Inhaltstypen umfassen Arbeitsmappen, Analyseregeln, Suchabfragen, Playbooks und Parser. Anleitungen zu Verbindertypen finden Sie unter Erstellen eines Datenconnectors .

• Überprüfen Sie die Dokumente. Lesen Sie die allgemeinen Beitragsrichtlinien für Microsoft Sentinel und das Microsoft Sentinel GitHub Wiki.

• Werden Sie Cloud-Partner, und erstellen Sie ein Herausgeberkonto. Lösungen werden über die Microsoft Partner Center veröffentlicht. Sie benötigen ein Herausgeberkonto, bevor Sie Ihre Lösung an Azure Marketplace übermitteln können. Weitere Informationen finden Sie unter Erstellen eines Kontos für den kommerziellen Marketplace in Partner Center.

Build

In der Buildphase richten Sie Ihre Entwicklungsumgebung ein und erstellen anschließend den Konnektor sowie die Lösungsinhalte.

Bereitstellen Ihrer Umgebung

Konfigurieren Sie vor dem Erstellen Ihre Entwicklungsumgebung so, dass Sie Lösungsinhalte erstellen, testen und übermitteln können.

Abteilen und Klonen des Repositoriums

Führen Sie die folgenden Schritte aus, um das Azure-Sentinel-Repository zu forken und zu klonen:

1. Gehen Sie in GitHub zum Azure-Sentinel-Repository und wählen Sie Fork aus.

2. Klonen Sie Ihren Fork auf Ihren lokalen Computer:

   git clone https://github.com/<your-github-username>/Azure-Sentinel.git
   cd Azure-Sentinel
   

3. Fügen Sie die Upstream-Remote hinzu, damit Sie die neuesten Änderungen abrufen können:

   git remote add upstream https://github.com/Azure/Azure-Sentinel.git
   

Einrichten eines Entwicklungs-/Testarbeitsbereichs

Sie benötigen einen funktionierenden Microsoft Sentinel Arbeitsbereich, um Ihren Connector und Ihre Inhalte vor der Übermittlung zu entwickeln und zu überprüfen. Siehe Onboard-Microsoft Sentinel.

Weisen Sie nach der Bereitstellung Ihres Arbeitsbereichs die folgenden Berechtigungen zu:

• Microsoft Sentinel-Mitwirkender für den Arbeitsbereich, um Ressourcen bereitzustellen und zu verwalten
• Log Analytics-Mitwirkender für den Arbeitsbereich, um benutzerdefinierte Tabellen und Datensammlungsregeln (Data Collection Rules, DCRs) zu erstellen und zu verwalten
• Mitwirkender der Ressourcengruppe zur Bereitstellung von ARM-Vorlagen während des Tests

Im Defender-Portal registrieren

Integrieren Sie Ihren Arbeitsbereich in das Defender-Portal, um ihre Lösungsinstallation zu überprüfen, die nahtlose Aufnahme in die Unified Security Operations Platform sicherzustellen und End-to-End vor der Veröffentlichung zu testen. Weitere Informationen finden Sie unter Microsoft Sentinel im Microsoft Defender-Portal.

Lösungen erstellen

Eine Microsoft Sentinel Lösung ist ein Ordner mit Konnektor- und Inhaltsdateien, die das Verpackungstool in einem bereitstellungsfähigen Paket zusammenfügt. Erstellen Sie die Ordnerstruktur, fügen Sie die Verpackungsdateien hinzu, und erstellen Sie dann jeden Inhaltstyp.

Erstellen der Projektmappenordnerstruktur in GitHub

Führen Sie die folgenden Schritte aus, um die Ordnerstruktur Ihrer Lösung einzurichten:

1. Erstellen Sie einen neuen Branch in Ihrem Fork, und wechseln Sie zu diesem. Verwenden Sie einen beschreibenden Namen wie add-<YourSolutionName>-solution:

   git checkout -b add-<YourSolutionName>-solution
   

2. Erstellen Sie einen Ordner mit ihrem Lösungsnamen unter Solutions/:

   Solutions/<YourSolutionName>/
   ├── Data/
   │   └── Solution_<YourSolutionName>.json
   ├── SolutionMetadata.json
   ├── ReleaseNotes.md
   ├── Data Connectors/
   ├── Workbooks/
   ├── Analytic Rules/
   ├── Hunting Queries/
   ├── Playbooks/
   └── Parsers/
   

   Datei/ Ordner	Erforderlich	Inhalt
   Data/Solution_<YourSolutionName>.json	Erforderlich	Lösungsmanifest, das jede Inhaltsdatei in der Lösung auflistet und das Paketerstellungstool steuert
   SolutionMetadata.json	Erforderlich	Publisher- und Marketplace-Metadaten: publisher ID, Angebots-ID, Kategorien und Supportinformationen
   ReleaseNotes.md	Erforderlich	Tabelle des versionierten Änderungsverlaufs, erforderlich für jede Paketeinreichung
   Data Connectors/	Fakultativ	JSON-Dateien für Konnektoren oder Azure-Functions-Code für funktionsbasierte Konnektoren
   Workbooks/	Fakultativ	JSON-Dateien der Arbeitsmappe und Screenshots der Schwarzweißvorschau
   Analytic Rules/	Fakultativ	YAML-Analyseregelvorlagen
   Hunting Queries/	Fakultativ	YAML-Suchabfragevorlagen
   Playbooks/	Fakultativ	Playbook-JSON-Dateien und benutzerdefinierte Connectordefinitionen für Azure Logic Apps
   Parsers/	Fakultativ	YAML Kusto-Funktions-/Parserdefinitionen

   Die Inhaltsunterordner sind optional. Erstellen Sie nur die Ordner, die für Ihre Lösung gelten. Sie müssen nicht jeden Inhaltstyp einschließen, aber die Mindestinhaltsanforderungen erfüllen, verbessern Ihre Qualitätsbewertung.

   Wenn Sie ein Beispiel für eine vollständige Ordnerstruktur haben, öffnen Sie den Ordner "Lösungen/ Ordner" im Repository, und durchsuchen Sie einige der vorhandenen Lösungen.

Erstellen der Lösungspaketdateien

Data/Solution_<YourSolutionName>.json

Diese Datei steuert das V3-Pakettool. Sie listet jede Inhaltsdatei in Ihrer Lösung auf und legt fest, wie sie zu mainTemplate.json zusammengestellt werden. Jeder Inhaltstyp ist ein Array. Fügen Sie für jeden Inhalt, den Sie haben, einen Eintrag pro Datei hinzu. Weitere Informationen zum Verpackungstool finden Sie unter Packen Ihrer Lösung.

Im folgenden Beispiel verfügt die Lösung über zwei Analyseregeln, sodass das "Analytic Rules" Array zwei Einträge enthält. Wenn Sie beispielsweise keine Playbooks erstellen, entfernen Sie den "Playbooks" Schlüssel vollständig aus der Datei.

{
  "Name": "Contoso MyProduct",
  "Author": "Contoso - support@contoso.com",
  "Logo": "<img src=\"https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Logos/contoso.svg\" width=\"75px\" height=\"75px\">",
  "Description": "The Contoso MyProduct solution for Microsoft Sentinel enables you to ingest MyProduct logs into Microsoft Sentinel.",
  "BasePath": "C:/GitHub/Azure-Sentinel/Solutions/Contoso MyProduct",
  "Version": "1.0.0",
  "Metadata": "SolutionMetadata.json",
  "TemplateSpec": true,
  "Data Connectors": [
    "Data Connectors/ContosoMyProduct.json"
  ],
  "Workbooks": [
    "Workbooks/ContosoMyProductWorkbook.json"
  ],
  "Analytic Rules": [
    "Analytic Rules/ContosoMyProductSuspiciousLogin.yaml",
    "Analytic Rules/ContosoMyProductDataExfiltration.yaml"
  ],
  "Hunting Queries": [
    "Hunting Queries/ContosoMyProductThreatHunt.yaml"
  ],
  "Parsers": [
    "Parsers/ContosoMyProduct.yaml"
  ],
  "Playbooks": [
    "Playbooks/ContosoMyProduct-EnrichIncident/azuredeploy.json"
  ]
}

SolutionMetadata.json

Diese Datei enthält die Marketplace- und Herausgebermetadaten, die während der Partner Center-Zertifizierung verwendet werden.

{
  "publisherId": "contoso",
  "offerId": "contoso-myproduct-sentinel",
  "firstPublishDate": "2026-06-15",
  "lastPublishDate": "2026-06-15",
  "providers": [
    "Contoso"
  ],
  "categories": {
    "domains": [
      "Security - Threat Intelligence"
    ]
  },
  "support": {
    "name": "Contoso",
    "email": "support@contoso.com",
    "tier": "Partner",
    "link": "https://support.contoso.com"
  }
}

publisherId und offerId stammen aus Ihrem Angebot im Partner Center. support.tier sollte für ISV-Lösungen "Partner" sein. Gültige categories.domains Werte finden Sie im Lösungskatalog.

ReleaseNotes.md

Die ReleaseNotes.md Datei zeichnet den Änderungsverlauf für Ihre Lösung auf. Diese Datei wird während der PR-Prüfungen überprüft. Fehlende oder falsch formatierte Einträge verursachen pr-Ablehnung.

Die Tabelle muss genau drei Spalten mit diesen genauen Kopfzeilennamen aufweisen (einschließlich der fett formatierten Markierungen):

| **Version** | **Date Modified (DD-MM-YYYY)** | **Change History** |
|---|---|---|
| 1.0.1 | 12-06-2026 | Updated analytic rule query to fix false positives. |
| 1.0.0 | 01-06-2026 | Initial solution release. |

Validierungsregeln

• Versionsformat: X.Y.Z Fügen Sie kein v Präfix ein. Alle drei Teile sind erforderlich.
• Versionen werden in absteigender Reihenfolge mit dem neuesten in der Zeile zuerst aufgelistet.
• Datumsformat: DD-MM-YYYY mit Bindestrichen (nicht YYYY-MM-DD)
• Spaltenüberschriften müssen exakt übereinstimmen, einschließlich der **bold** Markierungen
• Zelle "Änderungsverlauf" darf nicht leer sein
• Hinzufügen einer neuen Zeile für jede Versionsbehebung, einschließlich Tippfehlerbehebungen

Die Version in ReleaseNotes.md muss mit der Version in SolutionMetadata.json, Data/Solution_*.json, und dem Paket ZIP-Dateinamen übereinstimmen.

Hinzufügen Ihres Logos

Platzieren Sie Ihr Logo im Stammverzeichnis des Repositories unter Logos/<YourProductName>.svg. Verweisen Sie in Data/Solution_<YourSolutionName>.json mit einem HTML-<img>Tag darauf, das auf die rohe GitHub-URL verweist:

"Logo": "<img src=\"https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Logos/YourProductName.svg\" width=\"75px\" height=\"75px\">"

Die SVG-Datei muss die folgenden Anforderungen erfüllen:

Ein sauberes Logo verwendet nur fill- und stroke-Attribute direkt auf Pfadelementen, ohne id-Attribute, es sei denn, es verweist auf ein <defs>-Element. Für ein minimales gültiges Beispiel siehe Logos/XBOW.svg.

Erstellen eines Datenconnectors

Wenn Sie einen Connector mit dem AI-Agent-Workflow erstellen, lesen Sie "Erstellen von benutzerdefinierten Connectors mithilfe des KI-Agents in Microsoft Sentinel" anstelle der folgenden Schritte.

Wählen Sie Ihren Verbindertyp aus.

Microsoft Sentinel unterstützt mehrere Connectortypen, von denen viele das Codeless Connector Framework (CCF) verwenden. Wählen Sie das Gewünschte aus, das ihrer Datenquelle und der gewünschten Kundenerfahrung am besten entspricht.

Erstellen der Connectordefinition

Detaillierte Buildschritte sind für jeden Verbindertyp spezifisch. Detaillierte Buildschritte sind für jeden Verbindertyp spezifisch. Folgen Sie den Anweisungen für den ausgewählten Typ aus der Verbindungstyptabelle. .

Verwenden Sie die folgenden Lösungen im Azure-Sentinel Repository als Verweise für jeden Verbindertyp.

Wenn Ihr Connector-JSON fertiggestellt ist, platzieren Sie sie im Unterordner Data Connectors/ Ihres Lösungsordners und benennen Sie sie ProviderNameApplianceName.json (keine Leerzeichen).

Testen Sie Ihren Konnektor

Erstellen Von Inhalten

Zusätzlich zum Datenconnector erweitern Sie Ihre Lösung mit SIEM-Inhalten, die Kunden dabei helfen, sofortigen Nutzen aus Ihren Daten zu ziehen. Weitere SIEM-Inhalte umfassen:

• Arbeitsmappen
• Analytische Regeln
• Jagdabfragen
• Playbooks
• Parser

Dieser Inhalt ist optional, wird jedoch empfohlen. Mindestanforderungen und Qualitätsbewertungen finden Sie unter Microsoft Sentinel Qualitätsrichtlinien für Lösungen.

Erstellen von Arbeitsmappen

Arbeitsmappen sind Dashboards und Visualisierungen, die Kunden dabei helfen, ihre Daten zu verstehen. Informationen zum Erstellen einer Arbeitsmappe finden Sie unter Erstellen von Arbeitsmappen für Microsoft Sentinel.

In den folgenden Referenzbeispielen im Repository Azure-Sentinel finden Sie Anleitungen zum Entwurf und Layout von Arbeitsmappen:

• Microsoft Entra ID - AzureActiveDirectorySignins.json
• XBOW - XBOW.json
• PaloAlto-PAN-OS - PaloAltoOverview.json

Erstellen von Analyseregeln

Analyseregeln sind Vorlagen, die Bedrohungen in Ihren Daten erkennen. Jede Regel ist eine YAML-Datei. Informationen zum Erstellen einer Analyseregel finden Sie unter Erstellen von Analyseregeln für Microsoft Sentinel.

In den folgenden Referenzbeispielen im repository Azure-Sentinel finden Sie Anleitungen zum Entwurf und Layout von Analyseregeln:

• Microsoft Entra ID - FailedLogonToAzurePortal.yaml
• CrowdStrike Falcon - CriticalOrHighSeverityDetectionsByUser.yaml
• XBOW - XbowCriticalHighFindings.yaml

Hunting-Abfragen erstellen

Suchabfragen sind Vorlagen, mit denen Kunden proaktiv nach Bedrohungen in ihren Daten suchen können. Sie werden im Bereich Hunting angezeigt, damit Analysten sie manuell ausführen können. Sie teilen die gleiche YAML-Struktur wie analytische Regeln, sind jedoch nicht automatisiert; Geplante Ausführungsfelder gelten nicht und verursachen einen Prüfungsfehler, wenn sie enthalten sind. Informationen zum Erstellen einer Suchabfrage finden Sie unter Erstellen von Suchabfragen für Microsoft Sentinel.

In den folgenden Referenzbeispielen im Repository Azure-Sentinel finden Sie Anleitungen zum Suchabfrageentwurf und -layout:

• Okta Single Sign-On - AdminPrivilegeGrant.yaml
• PaloAlto-PAN-OS - Palo Alto - mögliches Beaconing erkannt.yaml
• Azure Firewall - Azure Firewall - Erstmalige Quell-IP zum Ziel über Port.yaml

Playbooks erstellen

Playbooks sind automatisierte Antwortworkflows, mit denen Kunden auf Bedrohungen in ihren Daten reagieren können. Jedes Playbook ist ein Azure Logic Apps Workflow, der als ARM-Vorlage exportiert wird. Die beiden erforderlichen Dateien azuredeploy.json und readme.md befinden sich in Solutions/<YourSolutionName>/Playbooks/<PlaybookName>/. Informationen zum Erstellen eines Playbook finden Sie unter Erstellen von Playbooks für Microsoft Sentinel.

In den folgenden Referenzbeispielen im repository Azure-Sentinel finden Sie Anleitungen zum Design und Layout von Playbook:

• Microsoft Entra ID - Block-AADUser (Incident + Warnung + Entitätsauslöser)
• CrowdStrike Falcon – CrowdStrike_Base (Key Vault + Basis-Playbook-Muster)
• Okta Single Sign-On - OktaCustomConnector (benutzerdefinierter Steckverbinder-ARM-Vorlage)

Erstellen von Parsern

Ein Parser ist eine in Ihrem Log Analytics-Arbeitsbereich gespeicherte Kusto-Funktion, die unformatierten Protokolldaten vorgeschaltet ist und diese in saubere, abfragbare Felder normalisiert. Anstatt in jeder Abfrage eine Feldextraktionslogik zu schreiben, rufen Kunden den Parser-Alias einmal auf und erhalten strukturierte Ergebnisse. Parser werden als YAML-Dateien definiert und automatisch bereitgestellt, wenn ein Kunde Ihre Lösung installiert. Informationen zum Erstellen eines Parsers finden Sie unter Erstellen von Parsern für Microsoft Sentinel.

In den folgenden Referenzbeispielen im repository Azure-Sentinel finden Sie Anleitungen zum Parserdesign und -layout:

• Cloudflare CCF - Cloudflare.yaml
• CrowdStrike Falcon - CrowdStrikeReplicatorV2.yaml

Testen Sie Ihr Paket

Tests folgen dem Paket → Bereitstellung → aktivieren → Überprüfungszyklus . Der Zyklus ist gleich, unabhängig davon, wie viel Inhalt Sie erstellt haben. Das V3-Pakettool konvertiert Ihre Lösungsdateien in eine bereitstellungsfähige ARM-Vorlage (mainTemplate.json). Stellen Sie die Vorlage in einem Microsoft Sentinel Entwicklungsarbeitsbereich bereit, aktivieren Sie jeden Inhaltstyp, und bestätigen Sie, dass sie funktioniert, bevor Sie eine PR übermitteln.

Wiederholen Sie diesen Zyklus während der Erstellung. Sie müssen nicht alle Inhaltstypen fertig stellen, bevor Sie mit dem Testen beginnen. Packen und bereitstellen Sie jeden Inhaltstyp, sobald Sie ihn fertiggestellt haben, überprüfen Sie, ob er funktioniert, und fügen Sie dann weitere Inhalte hinzu und packen Sie erneut.

Wenn Ihre Lösung einen Datenkonnektor enthält, testen Sie den Connector zuerst, bevor Sie abhängige Inhalte wie Analyseregeln und Arbeitsmappen erstellen. Alle SIEM-Inhalte sind von Daten abhängig, die mit dem richtigen Schema in die richtigen Tabellen fließen. Wenn der Connector nicht funktioniert oder das Schema nicht den Erwartungen Ihrer Regeln entspricht, müssen Sie die abhängigen Inhalte neu überprüfen. Stellen Sie sicher, dass die Daten zuerst fließen, um Zeit zu sparen.

Verpacken Sie Ihre Lösung

Nachdem Sie Ihre Microsoft Sentinel Lösungskomponenten entwickelt und getestet haben, ist die Verpackung der nächste wichtige Schritt im Lösungslebenszyklus. Das Packaging-Tool konsolidiert alle Inhalte Ihrer Lösung – Datenkonnektoren, Parser, Arbeitsmappen, Analyseregeln, Hunting-Abfragen, benutzerdefinierte Konnektoren für Azure Logic Apps und Playbooks – in einem standardisierten Format zur Bereitstellung. Weitere Informationen finden Sie unter Packen einer SIEM-Lösung für Microsoft Sentinel.

Auf den Markt bringen

Wenn Sie Go live auswählen, durchläuft die Lösung eine endgültige Zertifizierungsprüfung, bevor sie öffentlich verfügbar wird. Nach der Zertifizierung wird die Lösung im Microsoft Sentinel Inhaltshub aufgeführt und im Sentinel-Arbeitsbereich jedes Kundenmandanten unter Content Hub angezeigt. Es ist auch im Azure Marketplace auffindbar. Die Lösung ist jetzt für alle Microsoft Sentinel Kunden verfügbar. Weitere Informationen finden Sie unter Publish SIEM solutions to Microsoft Sentinel.

Ab diesem Zeitpunkt erfordert jede Aktualisierung der Lösung, wie z. B. Inhaltsänderungen, Bugfixes und Versionserhöhungen, eine neue GitHub-PR, eine neue Paketversion und eine neue Übermittlung an das Partner Center mit der aktualisierten ZIP-Datei. Informationen zum Nachverfolgen von Status- und Supportproblemen nach der Veröffentlichung finden Sie unter "Nachverfolgen Ihrer Lösung nach der Veröffentlichung im Partner Center".

Verwandte Inhalte

• Packen Sie eine SIEM-Lösung für Microsoft Sentinel.
• Erstellen eines codelosen Connectors für Microsoft Sentinel
• Microsoft Sentinel-Lösungskatalog
• Allgemeine Beitragsrichtlinien für Microsoft Sentinel