Verbinden Sie Microsoft Sentinel mit anderen Microsoft-Diensten mithilfe von Verbindungen auf der Grundlage von Diagnoseeinstellungen

In diesem Artikel wird beschrieben, wie Sie mithilfe von Diagnoseeinstellungsverbindungen eine Verbindung mit Microsoft Sentinel herstellen. Microsoft Sentinel nutzt die Azure-Grundlage, um integrierte Service-to-Service-Unterstützung für die Datenerfassung aus vielen Azure- und Microsoft 365-Diensten, Amazon Web Services und verschiedenen Windows Server-Diensten bereitzustellen. Es gibt einige verschiedene Methoden, mit denen diese diagnostischen, einstellungsbasierten Verbindungen hergestellt werden.

Dieser Artikel enthält allgemeine Informationen zu den Microsoft Sentinel-Datenconnectors, die auf Diagnoseeinstellungen basierende Verbindungen verwenden. Einige diagnostische einstellungsbasierte Connectors werden mithilfe der Azure Policy verwaltet. Für diagnoseeinstellungsbasierte Connectors, die nicht von Azure Policy verwaltet werden, verwenden Sie die Anweisungen in Connect über einen eigenständigen, auf Diagnoseeinstellungen basierenden Connector.

Hinweis

Informationen zur Verfügbarkeit von Features in US Government-Clouds finden Sie in den Microsoft Sentinel-Tabellen unter Verfügbarkeit von Cloudfeatures für US Government-Kunden.

Voraussetzungen

Um Daten mithilfe eines eigenständigen, auf Diagnoseeinstellungen basierenden Connectors in Microsoft Sentinel erfassen zu können, müssen Sie über Lese- und Schreibberechtigungen für den Log Analytics-Arbeitsbereich verfügen, der für Microsoft Sentinel aktiviert ist.

Zum Erfassen von Daten in Microsoft Sentinel mithilfe von auf Diagnoseeinstellungen basierenden Connectors, die von Azure Policy verwaltet werden, müssen außerdem die folgenden Voraussetzungen erfüllt sein:

  • Um Azure Policy verwenden zu können, um eine Protokollstreamingrichtlinie auf Ihre Ressourcen anzuwenden, müssen Sie über die Rolle Besitzer für den Richtlinienzuweisungsbereich verfügen.

  • Je nachdem, welchen Connector Sie verwenden, gelten die folgenden Voraussetzungen:

    Datenkonnektor Lizenzierung, Kosten und andere Informationen
    Azure-Aktivität Dieser Connector verwendet jetzt die Diagnoseeinstellungs-Pipeline. Wenn Sie die Legacymethode verwenden, müssen Sie die vorhandenen Abonnements von der Legacymethode trennen, bevor Sie den neuen Azure-Aktivitätsprotokollconnector einrichten.

    1. Wählen Sie im Microsoft Sentinel-Navigationsmenü Datenverbindungen aus. Wählen Sie in der Liste der Connectors Azure-Aktivität und dann unten rechts die Schaltfläche Connectorseite öffnen aus.
    2. Überprüfen Sie auf der Registerkarte Anweisungen im Abschnitt Konfiguration in Schritt 1 die Liste Ihrer vorhandenen Abonnements, die mit der Legacymethode verbunden sind, und trennen Sie alle gleichzeitig, indem Sie unten auf die Schaltfläche Alle trennen klicken.
    3. Fahren Sie mit der Einrichtung des neuen Connectors anhand der Anweisungen unter Über einen eigenständigen, auf Diagnoseeinstellungen basierten Connector verbinden fort.
    Azure DDoS-Schutz – Konfiguriert Azure DDoS-Standard-Schutzplan.
    – Konfiguriertes virtuelles Netzwerk mit aktiviertem Azure DDoS-Standard
    - Möglicherweise fallen weitere Gebühren an.
    – Der Status für Azure DDoS Protection Data Connector ändert sich nur dann in Verbunden, wenn die geschützten Ressourcen einem DDoS-Angriff ausgesetzt sind.
    Azure-Speicherkonto Die (übergeordnete) Speicherkontoressource enthält andere (untergeordnete) Ressourcen für jeden Speichertyp: Dateien, Tabellen, Warteschlangen und Blobs.
    Beim Konfigurieren von Diagnose für ein Speicherkonto müssen Sie Folgendes auswählen und konfigurieren:

    – Die ressource des übergeordneten Kontos, die die Transaktionsmetrik exportiert.
    - Die einzelnen untergeordneten Speichertypressourcen zum Exportieren aller Protokolle und Metriken

    Es werden nur die Speichertypen angezeigt, für die Sie tatsächlich Ressourcen definiert haben.

Verbinden über einen eigenständigen, auf Diagnoseeinstellungen basierten Connector

In diesem Verfahren wird beschrieben, wie Sie über Datenkonnektoren, die eigenständige Verbindungen auf der Grundlage von Diagnoseeinstellungen verwenden, eine Verbindung zu Microsoft Sentinel herstellen.

  1. Wählen Sie im Navigationsmenü von Microsoft Sentinel Datenkonnektoren aus.

  2. Wählen Sie Ihren Ressourcentyp aus dem Katalog der Datenconnectors aus, und wählen Sie dann im Vorschaubereich Connectorseite öffnen aus.

  3. Wählen Sie im Abschnitt Konfiguration der Connectorseite den Link aus, um die Ressourcenkonfigurationsseite zu öffnen.

    Wenn eine Liste der Ressourcen des gewünschten Typs angezeigt wird, wählen Sie den Link für eine Ressource aus, deren Protokolle Sie erfassen möchten.

  4. Wählen Sie im Ressourcennavigationsmenü Diagnoseeinstellungen aus.

  5. Wählen Sie unten in der Liste + Diagnoseeinstellung hinzufügen aus.

  6. Geben Sie auf dem Bildschirm Diagnoseeinstellungen einen Namen in das Feld Name der Diagnoseeinstellungen ein.

    Aktivieren Sie das Kontrollkästchen An Log Analytics senden . Unter dem Kontrollkästchen "An Log Analytics senden" werden zwei neue Felder angezeigt. Wählen Sie das relevante Abonnement und den Log Analytics-Arbeitsbereich aus (in dem sich Microsoft Sentinel befindet).

  7. Aktivieren Sie die Kontrollkästchen der Typen von Protokollen und Metriken, die Sie sammeln möchten. Informationen zu unseren empfohlenen Optionen für jeden Ressourcentyp finden Sie im Abschnitt des jeweiligen Konnektors auf der Seite Referenz zu Datenkonnektoren.

  8. Wählen Sie oben auf dem Bildschirm Speichern aus.

Weitere Informationen finden Sie auch unter Erstellen von Diagnoseeinstellungen zum Senden von Azure Monitor-Plattformprotokollen und -metriken an verschiedene Ziele in der Azure Monitor-Dokumentation.

Herstellen der Verbindung über einen Connector auf Basis von Diagnoseeinstellungen, der von Azure Policy verwaltet wird

In diesem Verfahren wird beschrieben, wie Sie eine Verbindung mit Microsoft Sentinel mithilfe von Datenconnectors herstellen, die Verbindungen verwenden, die auf Diagnoseeinstellungen basieren und von Azure Policy verwaltet werden.

Connectors dieses Typs verwenden Azure Policy, um eine einzelne Diagnoseeinstellungskonfiguration auf eine Sammlung von Ressourcen eines einzelnen Typs anzuwenden, die als Bereich definiert sind. Die von einem bestimmten Ressourcentyp erfassten Protokolltypen finden Sie auf der linken Seite der Connectorseite für diese Ressource unter Datentypen.

  1. Wählen Sie im Navigationsmenü von Microsoft Sentinel Datenkonnektoren aus.

  2. Wählen Sie Ihren Ressourcentyp aus dem Katalog der Datenconnectors aus, und wählen Sie dann im Vorschaubereich Connectorseite öffnen aus.

  3. Erweitern Sie auf der Connectorseite im Abschnitt Konfiguration alle dort angezeigten Expander, und wählen Sie die Schaltfläche Azure Policy-Zuweisungs-Assistenten starten aus.

    Der Richtlinienzuweisungs-Assistent wird geöffnet, um eine neue Richtlinie zu erstellen, wobei ein Richtlinienname bereits ausgefüllt ist.

    1. Wählen Sie auf der Registerkarte Grundlagen die Schaltfläche mit den drei Punkten unter Bereich aus, um Ihr Abonnement (und optional eine Ressourcengruppe) auszuwählen. Sie können auch eine Beschreibung hinzufügen.

    2. Auf der Registerkarte Parameter:

      • Deaktivieren Sie das Kontrollkästchen Nur Parameter anzeigen, die Eingabe erfordern .
      • Wenn die Felder Effekt und Einstellungsname angezeigt werden, lassen Sie sie unverändert.
      • Wählen Sie ihren Microsoft Sentinel Arbeitsbereich aus der Dropdownliste Log Analytics-Arbeitsbereich aus.
      • Die verbleibenden Dropdownfelder stellen die verfügbaren Diagnoseprotokolltypen dar. Lassen Sie alle Protokolltypen, die Sie erfassen möchten, als True markiert.

    3. Die Richtlinie wird auf ressourcen angewendet, die in Zukunft hinzugefügt werden. Um die Richtlinie auch auf Ihre vorhandenen Ressourcen anzuwenden, aktivieren Sie die Registerkarte Wartung , und aktivieren Sie das Kontrollkästchen Wartungstask erstellen .

    4. Klicken Sie auf der Registerkarte Überprüfen + erstellen auf Erstellen. Ihre Richtlinie ist jetzt dem von Ihnen ausgewählten Bereich zugewiesen.

Bei diesem Datenkonnektortyp werden die Konnektivitätsstatusindikatoren (ein Farbstreifen in der Galerie der Datenkonnektoren und Verbindungssymbole neben den Datentypnamen) nur dann als verbunden (grün) angezeigt, wenn irgendwann in den letzten 14 Tagen Daten aufgenommen wurden. Nachdem 14 Tage ohne Datenerfassung vergangen sind, wird der Connector als getrennt angezeigt. Sobald wieder mehr Daten eingehen, kehrt der Status Verbunden zurück.

Sie können die Daten für jeden Ressourcentyp mithilfe der Tabellennamen suchen und abfragen, die im Abschnitt für den entsprechenden Connector auf der Referenzseite für Datenconnectors angezeigt werden. Weitere Informationen finden Sie in der Azure Monitor-Dokumentation unter Erstellen von Diagnoseeinstellungen zum Senden von Azure Monitor-Plattformprotokollen und Metriken an verschiedene Ziele.

Verwandte Inhalte

Weitere Informationen finden Sie unter:

  • Last updated on