Federierte Datenkonnektoren in Microsoft Sentinel Data Lake einrichten (Vorschau)

In diesem Artikel wird erläutert, wie Sie Verbunddatenconnectors konfigurieren, um das Abfragen externer Datenquellen aus dem Microsoft Sentinel Data Lake zu ermöglichen. Sie können einen Verbund mit Azure Databricks, Azure Data Lake Storage Gen 2 (ADLS) und Microsoft Fabric herstellen. In diesem Artikel wird das Erstellen eines Dienstprinzipals, das Speichern von Anmeldeinformationen in Azure Key Vault und das Einrichten einer Connectorinstanz für jede unterstützte Datenquelle erläutert. Verwenden Sie dieses Handbuch, wenn Sie ein Sicherheitsadministrator sind, der externe Daten zur Untersuchung und Analyse in Microsoft Sentinel bringen muss.

Voraussetzungen

Stellen Sie vor dem Einrichten des Datenverbunds sicher, dass sie die folgenden Anforderungen erfüllen:

• Sentinel Data Lake-Onboarding: Ihr Mandant muss in den Sentinel Data Lake integriert werden. Weitere Informationen finden Sie unter Onboarding in Microsoft Sentinel Data Lake.

• Öffentliche Barrierefreiheit: Die externe Quelle muss öffentlich zugänglich sein. Private Endpunkte werden derzeit nicht unterstützt.

• Dienstprinzipal: Ein Dienstprinzipal mit den entsprechenden Berechtigungen in der Datenquelle, mit der Sie eine Verbindung herstellen möchten, ist für Azure Databricks- und Azure Data Lake Storage Gen2-Quellen erforderlich. Weitere Informationen finden Sie unter Microsoft Entra ID App-Registrierungen.

• Azure Key Vault: Ein Azure Key Vault, der mit dem Dienstprinzipal-Client-Secret konfiguriert ist, ist erforderlich. Die Microsoft Sentinel-Anwendungsidentität erfordert die Zuweisung von Berechtigungen für den Key Vault. Weitere Informationen zum Konfigurieren Azure Key Vaults finden Sie unter Azure Key Vaults.

• Microsoft Sentinel-Berechtigungen: Berechtigungen für Daten (Verwalten) auf den Systemtabellen zum Konfigurieren eines Datenverbund-Connectors. Weitere Informationen finden Sie unter Rollen und Berechtigungen in der Microsoft Sentinel-Plattform.

Erstellen eines Dienstprinzipals

Für Azure Databricks- und ADLS Gen2-Verbund benötigen Sie einen Dienstprinzipal mit Zugriffsanmeldeinformationen, die in Azure Key Vault gespeichert sind. Sie können einen vorhandenen Dienstprinzipal verwenden oder die folgenden Schritte ausführen, um einen neuen Dienstprinzipal zu erstellen.

1. Erstellen Sie eine Microsoft Entra ID Anwendungsregistrierung:

   1. Navigieren Sie im Azure-Portal zu Microsoft Entra ID>App-Registrierungen.
   2. Wählen Sie Neue Registrierung aus.
   3. Geben Sie einen Namen für die Anwendung ein.
   4. Lassen Sie den Umleitungs-URI leer (für dieses Szenario nicht erforderlich).
   5. Wählen Sie Registrieren aus.

2. Erstellen Sie einen geheimen Clientschlüssel:

   1. Wechseln Sie in Ihrer App-Registrierung zu Zertifikate & Geheimnisse.
   2. Wählen Sie Neues Clientgeheimnis aus.
   3. Geben Sie eine Beschreibung ein, und wählen Sie einen Ablaufzeitraum aus.
   4. Klicken Sie auf Hinzufügen.
   5. Kopiere sofort den Wert des Client-Geheimnisses, weil du ihn später nicht mehr abrufen kannst. Du brauchst diesen Wert, wenn du das Geheimnis in Azure Key Vault speicherst.

3. Beachten Sie die Anwendungsdetails:

   • Anwendungs-ID (Client-ID)
   • Objekt-ID
   • Verzeichnis-ID (Mandant)

Weitere Informationen zum Erstellen von Dienstprinzipalen finden Sie unter Microsoft Entra ID App-Registrierungen.

Erstellen einer Azure Key Vault und Speichern von Anmeldeinformationen

Sie können ein vorhandenes Azure Key Vault verwenden und die folgenden Schritte ausführen, um Key Vault Zugriff zu konfigurieren, oder eine neue Key Vault erstellen, indem Sie die folgenden Schritte ausführen:

1. Erstellen Sie eine Azure Key Vault:

   1. Erstellen Sie im Azure-Portal eine neue Azure Key Vault.
   2. Verwenden Sie das Berechtigungsmodell „Azure rollenbasierte Zugriffssteuerung“ (empfohlen).
   3. Aktivieren Sie die Einstellungen für Soft Delete und Bereinigungsschutz für den Key Vault.
   4. Notieren Sie sich den Key Vault-URI nach der Erstellung.

2. Konfigurieren des Key Vault Zugriffs:

   1. Weisen Sie der verwalteten Identität der Microsoft Sentinel-Plattform die Rolle Key Vault Secrets User zu. Der Identität wird msg-resources- vorangestellt.
   2. Wenn Sie Zugriffsrichtlinien für Key Vaults anstelle von Azure rollenbasierten Zugriffssteuerung verwenden, stellen Sie die Berechtigungen für Get und List für Geheimnisverwaltungsvorgänge bereit.

3. Speichern Sie den geheimen Clientschlüssel in Key Vault:

   1. Wechseln Sie in Ihrem Key Vault zu Geheimnisse>generieren/importieren.
   2. Erstellen Sie ein neues Geheimnis, das das Clientgeheimnis des Dienstprinzipals enthält.
   3. Notieren Sie sich den geheimen Namen. Sie wird beim Konfigurieren der Instanz des Datenföderations-Connectors verwendet.

Weitere Informationen zum Konfigurieren Azure Key Vaults finden Sie unter Azure Key Vaults.

Verbunddatenkonnektoren im Defender-Portal anzeigen und verwalten

Verbundkonnektoren werden auf der Seite „Datenkonnektoren“ in Microsoft Sentinel im Microsoft Defender-Portal verwaltet.

1. Navigieren Sie zu Microsoft Sentinel>Konfiguration>Datenconnectors.

2. Wählen Sie unter Datenverbunddie Option Katalog aus, um die verfügbaren Verbundconnectors anzuzeigen.

   Auf der Katalogseite wird Folgendes angezeigt:

   • Verfügbare Verbundconnectortypen
   • Anzahl der konfigurierten Instanzen für jeden Connector
   • Herausgeber- und Supportinformationen

   

3. Wählen Sie die Seite „Meine Konnektoren“ aus, um alle konfigurierten Konnektorinstanzen anzuzeigen. Auf der Seite werden die Datenverbund-Connector-Instanzen Ihres Mandanten zusammen mit ihrem Anzeigenamen, ihrer Version, ihrem Status und ihrem Supportanbieter aufgelistet.

4. Wählen Sie die einzelnen instance aus, um Details anzuzeigen, Konfigurationen zu bearbeiten oder die instance zu löschen.

Erstellen Sie eine Connector-Instanz

Der Prozess zum Erstellen einer Connectorinstanz hängt davon ab, ob Sie eine Verbindung mit Microsoft Fabric, Azure Data Lake Storage Gen 2 oder Azure Databricks herstellen. Befolgen Sie die Anweisungen für Ihren spezifischen Datenquellentyp.

Überprüfen Sie Tabellen in Ihrer Connector-Instanz

Überprüfen Sie nach dem Erstellen eines Connectors instance, ob die Tabellen, die Sie im Verbund erstellt haben, in Microsoft Sentinel verfügbar sind.

1. Navigieren Sie zu Microsoft Sentinel > Konfigurationstabellen>.
2. Filtern Sie nach Typ Verbund , um alle Verbundtabellen anzuzeigen.
3. Suchen Sie nach dem Namen Ihrer Connector-Instanz.
4. Tabellen aus Ihrem Connector-instance werden mit ihrem Namen gefolgt von _instance nameaufgeführt. Wenn Ihr Datenkonnektor-Instanzname beispielsweise GlobalHRData lautete und Ihre Tabelle hrlogs hieß, wird Ihr Tabellenname als hrlogs_GlobalHRData angezeigt.
5. Wählen Sie eine Tabelle aus der Liste aus, um den Detailbereich zu öffnen.
6. Wählen Sie die Registerkarte Übersicht aus, um den Tabellentyp und den Verbundanbieter anzuzeigen.
7. Wählen Sie die Registerkarte Datenquelle aus, um den Connector instance Datenanbieter und quellprodukt für die Tabelle anzuzeigen. Durch Auswählen des Namens der Connector-Instanz gelangen Sie zu dieser Instanz in Meine Connectoren im Bereich Daten-Connectoren.
8. Wählen Sie die Registerkarte Schema aus, um das Tabellenschema anzuzeigen.
9. Wählen Sie auf der Registerkarte Schema die Option Aktualisieren aus, um das der Verbundtabelle zugeordnete Tabellenschema zu aktualisieren.

Verwalten von Connectorinstanzen

So ändern oder löschen Sie einen Connector instance:

1. Navigieren Sie zu Datenföderation>Seite „Meine Konnektoren“.
2. Wählen Sie den Connector instance aus, den Sie verwalten möchten.
3. Verwenden Sie im Detailbereich die verfügbaren Optionen für Folgendes:
   • Bearbeiten von Verbindungseinstellungen
   • Hinzufügen oder Entfernen von Verbundtabellen
   • Connector-Instanz löschen

Problembehandlung

Verwenden Sie die folgenden Überprüfungen, um häufige Probleme beim Einrichten und Betrieb des Verbunddatenconnectors zu diagnostizieren.

Verbindungsfehler

• Vergewissern Sie sich, dass die verwaltete Sentinel Plattformidentität mit dem Präfix von msg-resources- über die richtigen Berechtigungen für Azure Key Vault verfügt.

• Wenn Ihre Verbindungsquelle Azure Databricks oder Azure Data Lake Storage Gen2 ist, stellen Sie sicher, dass der Geheimniswert in Key Vault das richtige Clientgeheimnis für Ihren Service Principal enthält.

• Wenn Ihre Verbindungsquelle Azure Databricks ist, bestätigen Sie, dass das Ziel einen hybriden Arbeitsbereich verwendet und der externe Datenzugriff für den Arbeitsbereich aktiviert wurde.

• Das Key Vault-Netzwerk muss während der Connectorkonfiguration auf Öffentlichen Zugriff aus allen Netzwerken zulassen festgelegt werden. Dies ist die Standardkonfiguration von Key Vault. Sie kann nach dem Erstellen oder Bearbeiten des Connectors geändert werden.

• Vergewissern Sie sich, dass die externe Datenquelle öffentlich zugänglich ist.

• Überprüfen Sie, ob der Dienstprinzipal über die entsprechenden Berechtigungen für die Zieldatenquelle für Azure Databricks und ADLS verfügt.

• Wenn die Zieldatenquelle Fabric ist, überprüfen Sie, ob die mit dem Präfix msg-resources- versehene Identität für Microsoft Sentinel die Berechtigung als Arbeitsbereichsmitglied erhalten hat.

• Stellen Sie sicher, dass Sie nicht mehr als 100 Verbindungsinstanzen haben.

Tabellen werden nicht angezeigt

• Verifizieren Sie, dass das Dienstprinzipal Lesezugriff auf die Zieltabellen für ADLS und Azure Databricks hat und dass sich das Dienstprinzipal im selben Mandanten wie diese Datenquellen befindet.
• Überprüfen Sie, ob die Zieltabellen im Delta-Parquet-Format vorliegen.
• Stellen Sie für Databricks sicher, dass Sie dem Dienstprinzipal sowohl die integrierte Data Reader-Berechtigungsvorgabe als auch die Berechtigung Externe Schemaverwendung erteilt haben.
• Für ADLS Gen 2, bestätigen Sie, dass die Storage Blob Data Reader-Rolle dem Dienstprinzipal zugewiesen ist.

Probleme mit der Abfrageleistung

• Berücksichtigen Sie die Größe der Daten, die aus externen Quellen abgefragt werden.
• Optimieren Sie Abfragen, um Daten frühzeitig zu filtern.
• Überprüfen Sie die Netzwerkkonnektivität zwischen Sentinel und der externen Quelle.

Verwandte Inhalte

• Übersicht über den Datenverbund
• Abfragen von Verbundtabellen mit KQL