Importieren Sie historische Daten in Ihre Zielplattform

Um exportierte historische SIEM-Daten in eine Zielplattform zu importieren, stellen Sie zunächst sicher, dass Sie eine Zielplattform für historische Daten gewählt, ein Datenübertragungstool für die Migration ausgewählt und die Daten an einem Staging-Ort gespeichert haben.

Dieser Artikel beschreibt, wie man Daten aus Ihrem alten SIEM exportiert und historische Daten in Microsoft Sentinel Data Lake, Azure Data Explorer oder Azure Blob Storage einführt.

Exportieren von Daten aus der Legacy-SIEM-Datei

Im Allgemeinen können SIEMs Daten exportieren oder in eine Datei in Ihrem lokalen Dateisystem abspeichern, sodass Sie diese Methode verwenden können, um die Verlaufsdaten zu extrahieren. Es ist auch wichtig, einen Stagingspeicherort für Ihre exportierten Dateien einzurichten. Das Tool, mit dem Du die Datenaufnahme überträgst, kann die Dateien vom Stagingspeicherort in die Zielplattform kopieren. Informationen zu den Tools, die Sie für die Datenaufnahme verwenden können, finden Sie unter Wählen Sie eine Microsoft-Zielplattform zum Hosten der exportierten Verlaufsdaten aus.

Dieses Diagramm zeigt den übergeordneten Export- und Aufnahmeprozess.

Informationen zum Exportieren von Daten aus Ihrem aktuellen SIEM finden Sie in einem der folgenden Abschnitte:

• Exportieren von Daten aus ArcSight
• Exportieren von Daten aus Splunk
• Exportieren von Daten aus QRadar

Daten in den Microsoft Sentinel Data Lake erfassen

Microsoft Sentinel Data Lake ist die systemeigene Datenschicht der Microsoft Sentinel-Plattform. Es ist der einfachste Pfad zu einem einheitlichen, abfragbaren Verlauf Ihrer Sicherheitsdaten innerhalb Microsoft Sentinel und der empfohlenen Plattform für die langfristige Datenaufbewahrung.

Um Ihre historischen Daten in den Microsoft Sentinel Data Lake einzutragen (wie im Export- und Eingabeprozessdiagramm gezeigt), verwenden Sie das Tool Custom Log Ingestion.

Ingest to Azure Data Explorer (ADX)

Azure Data Explorer (ADX) ist ein schneller, skalierbarer Datenerkundungsdienst. Um Ihre historischen Daten in ADX einzufügen:

1. LightIngest unterstützt nur Windows. Installieren und konfigurieren Sie LightIngest auf dem Windows-System, auf dem die Logs exportiert werden, oder installieren Sie LightIngest auf einem anderen Windows-System, das Zugriff auf die exportierten Logs hat.
2. Wenn Sie keinen vorhandenen ADX-Cluster haben, erstellen Sie einen neuen Cluster und kopieren Sie die Verbindungszeichenfolge. Erfahren Sie, wie Sie ADX einrichten.
3. Erstellen Sie in ADX Tabellen, und definieren Sie ein Schema für das CSV- oder JSON-Format (für QRadar). Lerne, wie man eine Tabelle erstellt und ein Schema mit Beispieldaten definiert oder eine Tabelle erstellt und ein Schema ohne Beispieldaten definiert.
4. Führen Sie LightIngest mit dem Ordnerpfad aus, der die exportierten Protokolle als Pfad enthält, und dem ADX-Verbindungszeichenfolge als Ausgabe. Stellen Sie beim Ausführen von LightIngest sicher, dass Sie den Namen der ADX-Zieltabelle angeben, dass das Argumentmuster auf *.csvfestgelegt ist und das Format auf .csv (oder json für QRadar) festgelegt ist.

Erfassung in Azure Blob Storage

Um Ihre historischen Daten in Azure Blob Storage zu importieren:

1. Installieren und konfigurieren Sie AzCopy auf dem System, in das Sie die Protokolle exportiert haben. Alternativ können Sie AzCopy auf einem anderen System installieren, das Zugriff auf die exportierten Protokolle hat.
2. Erstellen Sie ein Azure Blob Storage-Konto, und kopieren Sie die autorisierten Microsoft Entra ID Anmeldeinformationen oder das Shared Access Signature-Token.
3. Führen Sie AzCopy mit dem Ordnerpfad aus, der die exportierten Protokolle als Quelle enthält, und dem Azure Blob Storage Verbindungszeichenfolge als Ausgabe.

Nächster Schritt