Verwalten von Inhalten als Code mit Microsoft Sentinel Repositorys

Mit Microsoft Sentinel-Repositorys können Sie benutzerdefinierte Inhalte für Sentinel aus einem externen Quellcodeverwaltungs-Repository für Continuous Integration/Continuous Delivery (CI/CD) bereitstellen und verwalten. Diese Automatisierung macht manuelle Prozesse zum Aktualisieren und Bereitstellen Ihrer benutzerdefinierten Inhalte über Arbeitsbereiche hinweg überflüssig. Eine Teilmenge von Inhalt als Code ist Detections as Code (DaC). Microsoft Sentinel Repositorys implementiert auch DaC.

Weitere Informationen zu Sentinel Inhalten finden Sie unter Informationen zu Microsoft Sentinel Inhalten und Lösungen.

So funktionieren Microsoft Sentinel-Repositorys

Sie können diese benutzerdefinierten Inhaltstypen von Microsoft Sentinel aus einem externen Repository für die Quellcodeverwaltung bereitstellen, das Sie mit Microsoft Sentinel verbinden:

• Analyseregeln
• Automatisierungsregeln
• Benutzerdefinierte Erkennungsregeln (Vorschau)
• Hunting-Abfragen
• Parser
• Playbooks
• Arbeitsmappen

Aktualisierungen, die Sie am Inhalt in Ihren Microsoft Sentinel-Repositories vornehmen, werden mit Ihrem Microsoft Sentinel-Arbeitsbereich synchronisiert und überschreiben alle Änderungen, die Sie über das Microsoft Sentinel-Portal an diesem Inhalt vornehmen. Ihre Microsoft Sentinel-Repositories werden zu Ihrer einzigen Quelle der Wahrheit für benutzerdefinierte Inhalte in den verbundenen Arbeitsbereichen.

Planen der Repositoryverbindung

Microsoft Sentinel-Repositories erfordern eine sorgfältige Planung, um sicherzustellen, dass Sie über die erforderlichen Berechtigungen für die Verbindung zwischen Ihrem Arbeitsbereich und dem Repository (Repo) verfügen, das Sie anbinden möchten.

• Nur Verbindungen mit GitHub und Azure DevOps-Repositorys werden unterstützt.
• Projektmitarbeiter-Zugriff auf Ihr GitHub-Repository oder Projektadministrator-Zugriff auf Ihr Azure DevOps-Repository ist erforderlich.
• Die Microsoft Sentinel Anwendung benötigt eine Autorisierung für Ihr Repository.
• Aktionen müssen für GitHub aktiviert sein.
• Pipelines müssen für Azure DevOps aktiviert sein.
• Eine Azure DevOps-Verbindung muss sich im selben Mandanten wie Ihr Microsoft Sentinel-Arbeitsbereich befinden.

Zum Erstellen einer Verbindung mit einem Repository ist die Rolle Besitzer in der Ressourcengruppe erforderlich, die Ihren Microsoft Sentinel Arbeitsbereich enthält.

Wenn Sie Inhalte in einem öffentlichen Repository finden, bei dem Sie kein Mitwirkender sind, importieren, forken oder klonen Sie die Inhalte zunächst in ein Repository, bei dem Sie Mitwirkender sind. Verbinden Sie dann Ihr Repository mit Ihrem Microsoft Sentinel Arbeitsbereich. Weitere Informationen finden Sie unter Bereitstellen von benutzerdefinierten Inhalten aus Ihrem Repository.

Maximale Anzahl von Verbindungen und Bereitstellungen

• Jeder Microsoft Sentinel Arbeitsbereich ist derzeit auf fünf Repositoryverbindungen beschränkt.
• Jede Azure Ressourcengruppe ist im Bereitstellungsverlauf auf 800 Bereitstellungen beschränkt. Wenn Sie über eine große Anzahl von Vorlagenbereitstellungen in einer oder mehreren Ihrer Ressourcengruppen verfügen, wird möglicherweise der Deployment QuotaExceeded Fehler angezeigt. Weitere Informationen finden Sie unter DeploymentQuotaExceeded in der Dokumentation zu Azure Resource Manager Vorlagen.

Planen Ihres Repositoryinhalts

Microsoft Sentinel Repositorys unterstützen die Bereitstellung von Inhalten, die Sie als Bicep-Dateien oder arm-Vorlagen (Azure Resource Manager) speichern. Es wird empfohlen, Bicep zu verwenden, das intuitiver ist und die Beschreibung Azure Ressourcen und Microsoft Sentinel Inhalte erleichtert.

Die Vorlage für jeden Inhaltstyp weist eine bestimmte Struktur und einen bestimmten Parameternamen auf, wie in der Referenz zu Sentinel Ressourcenvorlagen dokumentiert. Beispiele für jeden Inhaltstyp finden Sie unter RepositorysSampleContent-Repository.

Wir haben ein Beispielrepository mit Vorlagen für jeden der aufgeführten Inhaltstypen bereitgestellt. Das Repository veranschaulicht auch die Verwendung erweiterter Features von Repositoryverbindungen. Weitere Informationen finden Sie unter beispiel für Microsoft Sentinel CI/CD-Repositorys.

Obwohl Sie Vorlagen von Grund auf neu erstellen können, ist es häufig einfacher, entweder mit den YAML-Dateien des Sentinel öffentlichen GitHub-Repositorys oder mit sofort einsatzbereiten Microsoft Sentinel Inhalten zu beginnen. In dieser Tabelle wird beschrieben, wie Sie eine ARM-Vorlage für die Verwendung mit Microsoft Sentinel Repositorys konvertieren.

Informationen zum Erstellen von benutzerdefinierten Inhalten von Grund auf finden Sie in den relevanten Microsoft Sentinel GitHub-Wiki für jeden Inhaltstyp.

Bereitstellen von benutzerdefinierten Erkennungsregeln als Code (Vorschau)

Mithilfe der Microsoft Security BICEP-Erweiterung können Sie benutzerdefinierte Erkennungsregeln als Code in Ihrem Repository verwalten. Benutzerdefinierte Erkennungsregeln verwenden einen anderen BICEP-Erweiterungs- und Ressourcenanbieter als andere Microsoft Sentinel Inhaltstypen.

Voraussetzungen für benutzerdefinierte Erkennungsregeln

Zusätzlich zu den standardmäßigen Repositoryverbindungsvoraussetzungen erfordern benutzerdefinierte Erkennungsregeln Folgendes:

• Eine Microsoft 365 E5-Lizenz (oder eine gleichwertige Lizenz, die Microsoft Defender XDR enthält).
• Microsoft Sentinel-Arbeitsbereiche, die in das Microsoft Defender-Portal eingebunden wurden.

Konfigurieren der Microsoft Security BICEP-Erweiterung

Benutzerdefinierte Erkennungsregeln erfordern die Microsoft Security BICEP-Erweiterung. Erstellen Sie eine bicepconfig.json Datei im Stammverzeichnis Ihres Repositorys:

{
  "extensions": {
    "MicrosoftSecurity": "br:mcr.microsoft.com/bicep/extensions/microsoftsecurity:v1.0.1"
  }
}

Diese Konfiguration ist sowohl für die repositorybasierte Synchronisierung als auch für die direkte BICEP-Bereitstellung erforderlich.

Erstellen einer benutzerdefinierten BICEP-Datei für eine Erkennungsregel

Definieren Sie eine benutzerdefinierte Erkennungsregel mithilfe des Microsoft.Security/detectionRules Ressourcentyps. Erstellen Sie eine .bicep Datei (z. B detectionRule.bicep. ) mit der folgenden Struktur:

extension MicrosoftSecurity

resource detectionRule 'Microsoft.Security/detectionRules@2026-06-01-preview' = {
  id: 'custom-rule-id'
  displayName: 'Custom Rule Display Name'
  status: 'enabled'
  queryCondition: {
    queryText: 'DeviceProcessEvents | take 10 | project DeviceId, Timestamp, FileName'
  }
  schedule: {
    frequency: 'PT1H'
  }
  detectionAction: {
    alertTemplate: {
      title: '<ruleTitle>'
      description: 'Custom detection rule'
      severity: 'medium'
      tactics: [
        {
          tactic: 'Execution'
          techniques: [
            {
              technique: 'T1059'
            }
          ]
        }
      ]
      entityMappings: {
        hosts: [
          {
            id: 'h'
            deviceIdColumn: 'DeviceId'
          }
        ]
      }
    }
  }
}

Regeln werden durch ihre ID eindeutig identifiziert, die in der Vorlage angegeben werden muss.

Benutzerdefinierte Erkennungsregeln bereitstellen

Sie können benutzerdefinierte Erkennungsregeln mithilfe einer der folgenden Methoden bereitstellen.

Option 1: Bereitstellen mithilfe von Microsoft Sentinel Repositorys

1. Checken Sie die BICEP-Datei und bicepconfig.json in Ihr GitHub- oder Azure DevOps-Repository ein.
2. Navigieren Sie im Microsoft Defender-Portal zu Microsoft Sentinel>Inhaltsverwaltung>Repositorys.
3. Erstellen Sie eine neue Repositoryverbindung, oder bearbeiten Sie eine vorhandene.
4. Wählen Sie in den Verbindungseinstellungen unter "Inhaltstypen" die Option "Benutzerdefinierte Erkennungsregeln" aus.
5. Speichern Sie die Verbindung.

Nach der Aktivierung synchronisiert Microsoft Sentinel automatisch benutzerdefinierte Erkennungsregeln aus dem Repository.

Option 2: Direkt mit BICEP bereitstellen

Führen Sie den folgenden Azure CLI Befehl aus:

az deployment group create \
  --resource-group <RESOURCE_GROUP> \
  --template-file detectionRule.bicep \
  --name mtp-deployment

Überprüfen Sie, ob die Bereitstellung in der Ressourcengruppe erfolgreich abgeschlossen wurde.

Validierung der Bereitstellung

Nach der Bereitstellung mit einer der beiden Optionen:

1. Bestätigen Sie, dass die Erkennungsregel in Ihrer Liste der benutzerdefinierten Erkennungsregeln im Microsoft Defender Portal angezeigt wird.
2. Überprüfen Sie, ob die Regel aktiviert ist und erwartete Ergebnisse erzeugt werden.
3. Wenn Sie die Repositorysynchronisierung (Option 1) verwendet haben, nehmen Sie Änderungen am Repository vor, um das Synchronisierungsverhalten zu überprüfen.

Einschränkungen bei der Vorschau

Während der Vorschau:

• Benutzerdefinierte Häufigkeit für Microsoft Sentinel Daten wird nicht unterstützt.
• Benutzerdefinierte Details werden nicht unterstützt.

Verbessern der Leistung mit intelligenten Bereitstellungen

Das Feature für intelligente Bereitstellungen ist eine Back-End-Funktion, die die Leistung verbessert, indem Änderungen an den Inhaltsdateien eines verbundenen Repositorys aktiv nachverfolgt werden. Es verwendet eine CSV-Datei innerhalb des .sentinel Ordners in Ihrem Repository, um jeden Commit zu überwachen. Der Workflow vermeidet die erneute Bereitstellung von Inhalten, die seit der letzten Bereitstellung nicht geändert wurden. Dieser Prozess verbessert die Leistung Ihrer Bereitstellung und verhindert Manipulationen an unveränderten Inhalten in Ihrem Arbeitsbereich, z. B. das Zurücksetzen dynamischer Zeitpläne Ihrer Analyseregeln.

Intelligente Bereitstellungen sind für neu erstellte Verbindungen standardmäßig aktiviert. Wenn Sie alle Quellcodeverwaltungsinhalte bevorzugen, die jedes Mal bereitgestellt werden, wenn eine Bereitstellung ausgelöst wird, unabhängig davon, ob dieser Inhalt geändert wurde oder nicht, ändern Sie Ihren Workflow, um intelligente Bereitstellungen zu deaktivieren. Weitere Informationen finden Sie unter Anpassen des Workflows oder der Pipeline.

Erwägen von Bereitstellungsanpassungsoptionen

Berücksichtigen Sie beim Bereitstellen von Inhalten mit Microsoft Sentinel Repositorys die folgenden Anpassungsoptionen.

Anpassen des Workflows oder der Pipeline

Passen Sie den Workflow oder die Pipeline auf eine der folgenden Arten an:

• Verschiedene Bereitstellungsauslöser konfigurieren
• Bereitstellen von Inhalten nur aus einem bestimmten Stammordner für einen bestimmten Arbeitsbereich
• Planen der regelmäßigen Ausführung des Workflows
• Verschiedene Workflow-Ereignisse zusammenführen
• Intelligente Bereitstellungen deaktivieren

Diese Anpassungen werden in einer .yml-Datei definiert, die für Ihren Workflow oder Ihre Pipeline spezifisch ist. Weitere Informationen zur Implementierung finden Sie unter Repository-Bereitstellungen anpassen

Bereitstellung anpassen

Sobald der Workflow oder die Pipeline ausgelöst wurde, unterstützt die Bereitstellung die folgenden Szenarien:

• Priorisieren von Inhalten, die vor dem rest des Repositoryinhalts bereitgestellt werden sollen
• Ausschließen von Inhalten aus der Bereitstellung
• ARM-Vorlagenparameterdateien angeben

Diese Optionen sind über ein Feature des PowerShell-Bereitstellungsskripts verfügbar, das aus dem Workflow oder der Pipeline aufgerufen wird. Weitere Informationen zum Implementieren dieser Anpassungen finden Sie unter Anpassen von Repositorybereitstellungen.

Verwalten Microsoft Sentinel Repositorys mithilfe der API

Informationen zum Verwalten von Microsoft Sentinel-Repositorys mithilfe der API finden Sie in der Microsoft Sentinel-REST-API unter den Aktionen Source Control und Source Controls.

Nächste Schritte

Hier finden Sie weitere Beispiele und Schritt-für-Schritt-Anweisungen zur Bereitstellung von Microsoft-Sentinel-Repositorys.

• Bereitstellen von benutzerdefinierten Inhalten aus Ihrem Repository
• Microsoft Sentinel CI/CD-Beispielrepository
• Automatisieren der Sentinel Integration mit DevOps