Erfassung von Ressourcendaten im Microsoft Sentinel Data Lake

Ressourcendaten in der Cybersicherheit beziehen sich auf die physischen und digitalen Entitäten eines organization wie Computer, Identitäten, Software, Clouddienste und Netzwerke. Es zeigt, was vorhanden ist, damit Sie wissen, was geschützt werden muss. Microsoft Sentinel Data Lake bietet einen leistungsstarken Mehrwert, indem diese Ressourcendaten auf skalierbare, kosteneffiziente Weise gespeichert werden, die eine langfristige Aufbewahrung, erweiterte Analysen und KI-gesteuerte Bedrohungserkennung unterstützt. Dank einheitlicher Systemsichtbarkeit und flexibler Datenverwaltung hilft Sentinel Lake Sicherheitsteams dabei, ihre Umgebung zu verstehen, ungewöhnliche Aktivitäten zu erkennen und auf Bedrohungen zu reagieren.

Wie wird die Erfassung von Ressourcendaten in Sentinel Data Lake aktiviert?

• Beim Onboarding in den Sentinel Data Lake werden Ressourcendaten automatisch erfasst, wenn Sie über die entsprechenden Berechtigungen verfügen. Weitere Informationen finden Sie unter Erforderliche Berechtigungen für Ressourcenquellen.

• Wenn Sie nicht über ausreichende Berechtigungen verfügen, werden Ressourcentabellen erstellt, aber es werden keine Daten erfasst. Aktivieren Sie die Erfassung von Ressourcendaten wie folgt manuell:

  1. Wechseln Sie zum Microsoft Sentinel Arbeitsbereich im Azure-Portal.
  2. Navigieren Sie zur Seite Datenkonnektoren.
  3. Suchen Sie den relevanten Konnektor für die Ressourcendatenquelle.
  4. Wählen Sie den Connector aus, und folgen Sie den Anweisungen, um die Erfassung zu aktivieren.

• Ressourcendaten werden nur in der Microsoft Sentinel Data Lake-Ebene erfasst. Nach dem Onboarding der Asset-Daten kann es bis zu 24 Stunden dauern, bis diese im Datenlake ankommen.

• Ressourcendaten werden standardmäßig 30 Tage lang aufbewahrt. Die Aufbewahrung kann für bis zu 12 Jahre erweitert werden. Weitere Informationen zum Verwalten der Tabellenaufbewahrung finden Sie in der Dokumentation zur Tabellenverwaltung.

Überlegungen zur Abrechnung

• Für die Erfassung von Ressourcendaten fallen für Kunden Gebühren an.

• Kunden werden Gebühren für die Aufbewahrung von Asset-Daten berechnet.

Momentaufnahmen von Asset-Daten werden alle 24 Stunden erstellt.

Da die Erfassung von Ressourcendaten beim Onboarding in den Sentinel Data Lake standardmäßig aktiviert ist, ist es wichtig, die grundlegende Rolle der Sentinel-Datenconnectors für Ressourcen zu verstehen, die die Erfassung von Ressourcendaten erleichtern. Diese Datenkonnektoren sind dafür verantwortlich, Asset-bezogene Daten in den Sentinel Data Lake zu übertragen, und sind in ihren jeweiligen Sentinel-Lösungspaketen enthalten. Sie können diese Lösungen über den Content Hub ermitteln und verwalten.

Erforderliche Berechtigungen für Ressourcenquellen

Die folgende Tabelle beschreibt die verschiedenen Asset-Datenquellen und ihre Datenkonnektoren:

Erweitern der Azure Resource Graph Connectorabdeckung

Der Azure Resource Graph Connector erfasst nur die Azure Ressourcen, die von seiner verwalteten Identität gelesen werden können. Wenn Sie den Connector aktivieren, wird seiner verwalteten Identität die Rolle Reader nur für die Abonnements zugewiesen, für die Sie über die Rolle Owner verfügen. Die meisten Benutzer verfügen nicht über Besitzer-Zugriff auf alle Abonnements im Mandanten, sodass der Connector häufig nur eine Teilansicht Ihres Azure-Bestands erfasst, was die Abdeckung einschränkt.

Um die Abdeckung zu erweitern, nachdem der Connector aktiviert wurde, muss ein Benutzer mit übergeordneten Berechtigungen der verwalteten Identität des Connectors die Rolle Leser zuweisen. Dieser Benutzer sollte über Stammberechtigungen auf Mandantenebene verfügen, ein Globaler Administrator mit erhöhten Zugriffsrechten auf Mandantenebene sein oder über Berechtigungen als Benutzerzugriffsadministrator oder Besitzer in einem übergeordneten Bereich verfügen. Der Benutzer muss die dem Connector zugeordnete verwaltete Identität im Azure-Portal suchen und die Rolle „Leser“ im weitesten Bereich zuweisen, den Sie erfassen möchten. Die Zuweisung auf der Ebene der Stammverwaltungsgruppe des Mandanten ermöglicht es dem Connector beispielsweise, Ressourcen in allen Abonnements des Mandanten zu lesen, während eine Zuweisung auf der Ebene einer bestimmten Verwaltungsgruppe oder eines bestimmten Abonnements den Umfang entsprechend einschränkt.

Führen Sie die folgenden Schritte aus, um der verwalteten Identität des Azure Resource Graph Connectors die Rolle Leser zuzuweisen:

1. Suchen Sie im Azure-Portal die verwaltete Identität, die der Connector erstellt hat. Dem Namen der Identität msg-resources- folgt eine alphanumerische ID, die von der Version abhängt, z. B. msg-resources-b05e.

2. Wählen Sie einen Geltungsbereich aus, der die Ressourcen umfasst, die aufgenommen werden sollen:

   • Stammverwaltungsgruppe des Mandanten, um alle Abonnements im Mandanten abzudecken.
   • Eine bestimmte Verwaltungsgruppe , die eine Teilmenge von Abonnements abdeckt.
   • Ein oder mehrere einzelne Abonnements.

   

3. Wählen Sie Zugriffssteuerung (IAM) aus.

4. Wählen Sie + Hinzufügen>Rollenzuweisung hinzufügen aus.

   

5. Weisen Sie der verwalteten Identität des Connectors die Rolle Reader zu. Eine Schritt-für-Schritt-Anleitung finden Sie in Zuweisen von Azure-Rollen mithilfe des Azure-Portals und, bei der Zuweisung auf der Mandantenstammebene, in Erweitern des Zugriffs zum Verwalten aller Azure-Abonnements und Verwaltungsgruppen.

   

Nachdem die Zuweisung weitergegeben wurde, werden die zusätzlichen Ressourcen im nächsten Erfassungszyklus berücksichtigt. Es kann bis zu 24 Stunden dauern, bis die neuen Daten im Lake angezeigt werden.

Voraussetzungen

Zum Verwalten von Datenkonnektoren für Ressourcen müssen Sie die folgenden Voraussetzungen erfüllen:

• Stellen Sie sicher, dass Sie über den erforderlichen Zugriff und die erforderlichen Berechtigungen für Microsoft Sentinel verfügen, wie in der vorherigen Tabelle angegeben.
• Suchen Sie im Content Hub nach der relevanten Lösung, die den Datenconnector enthält. Content Hub finden Sie im Menü Microsoft SentinelContent Management>Content Hub. Installieren Sie die Lösung, wenn sie noch nicht installiert ist.

Konfigurieren und Verwalten

Rufen Sie die Seite für Connectors auf eine der folgenden Arten auf:

• Aus der installierten Lösung:

  • Wählen Sie Verwalten aus.
  • Wählen Sie den Konnektor aus und dann die Konnektorseite öffnen

• Aus der Connectoren-Galerie:

  • Der Connectorkatalog befindet sich im Menü Microsoft Sentinel unter Konfiguration>Datenconnectors.

Um den Aufbewahrungszeitraum der Tabelle zu bearbeiten, wählen Sie im Tabellenverwaltungsraster die drei Punkte (...) rechts neben dem Tabellennamen aus. Wählen Sie einen Aufbewahrungszeitraum von bis zu 12 Jahren aus. Wenn der Asset-Datenkonnektor den Status Verbunden anzeigt, lautet der Text der Umschaltfläche Verbindung trennen. Dies gibt an, dass die Erfassung aktiviert ist. Um die Erfassung zu deaktivieren, wählen Sie die Schaltfläche Trennen aus. Nachdem die Verbindung getrennt wurde, zeigt der Verbinder status Getrennt an, und der Schaltflächentext schaltet auf Verbinden um.

Verwenden von Ressourcendaten zum Anreichern von Aktivitätsdaten

Ressourcendaten fügen wertvollen Kontext und Erkenntnisse hinzu, die möglicherweise nicht allein aus Aktivitätsprotokollen ersichtlich sind. Wenn Sie beispielsweise riskante Anmeldungen in der SigninLogs Tabelle untersuchen, können Sie die Analyse verbessern, indem Sie sie mit der EntraUsers Tabelle verknüpfen, um benutzerspezifische Attribute wie Abteilung und Einstellungsdatum einzuschließen. Dieser zusätzliche Kontext hilft Sicherheitsteams dabei, das Benutzerverhalten besser zu verstehen und potenzielle Bedrohungen genauer zu bewerten.

SigninLogs
| where IsRisky == true
| join kind=leftouter (
   EntraUsers
   | summarize arg_max(TimeGenerated, userPrincipalName, department, employeeHireDate) by userPrincipalName
) on $left.UserPrincipalName == $right.userPrincipalName
| project Identity, UserPrincipalName, IsRisky, IPAddress, department, employeeHireDate

Ausführen von KQL-Abfragen für Ressourcendaten

Um KQL-Abfragen zu Ressourcendaten im Data Lake von Sentinel auszuführen, stellen Sie sicher, dass Sie im richtigen Arbeitsbereichskontext abfragen. Gehen Sie folgendermaßen vor:

1. Navigieren Sie zum Microsoft Sentinel Menü Data Lake Exploration>KQL-Abfragen.

2. Wählen Sie die Schaltfläche Ausgewählter Arbeitsbereich aus.

   

3. Stellen Sie sicher, dass der Arbeitsbereich Systemtabellen ausgewählt ist.

   

Asset-Datentabellen werden unter der Kategorie Asset angezeigt:

Nächste Schritte

• Details zu Optionen für das Datentiering und Aufbewahrungseinstellungen finden Sie in der Dokumentation zur Tabellenverwaltung.
• Erfahren Sie, wie Ressourcendaten Purview-Datenrisikodiagramme anreichern.
• So fragen Sie Sentinel data lake ab