Utiliza fuentes de datos federadas en Microsoft Sentinel (Vista previa)

Después de configurar los conectores de datos federados, puede acceder a las tablas federadas a través de varias interfaces en Microsoft Sentinel. Las tablas federadas se usan de la misma manera que otras tablas de data lake. En este artículo se explica cómo ver tablas federadas, consultarlas mediante KQL (Lenguaje de consulta Kusto) y trabajar con ellas en cuadernos de Jupyter Notebook.

Requisitos previos

Antes de empezar, asegúrese de lo siguiente:

• El inquilino debe incorporarse al lago de datos de Sentinel. Para obtener más información, consulte Incorporación al lago de datos de Microsoft Sentinel
• Tiene los permisos adecuados para consultar datos en el lago de datos de Sentinel. Para obtener más información, consulte Roles y permisos en la plataforma de Microsoft Sentinel.

Comprenda la nomenclatura de las tablas federadas

Los nombres de tabla federados siguen el patrón <tableName>_<connectorInstanceName>. Por ejemplo:

Si varias tablas de la instancia del conector tienen el mismo nombre de tabla, se anexa un identificador numérico al nombre de la instancia del conector, por ejemplo widgets_ADLS01_1 , cuando dos tablas dentro de la instancia del ADLS01 conector se llaman widgets.

Use el nombre de la tabla federada al consultar datos del lago de datos de Sentinel.

Visualización de tablas federadas en la administración de tablas

La vista de administración de tablas proporciona información general sobre todas las tablas del lago de datos de Sentinel, incluidas las tablas federadas.

1. Vaya a Microsoft Sentinel>Configuración>Tablas.
2. Seleccione el filtro Tipo .
3. Seleccione Federado y seleccione Aplicar.

Ver detalles de la tabla

Seleccione una fila de tabla para abrir el panel de detalles. El panel de detalles de la tabla contiene tres pestañas:

Consulta de tablas federadas mediante KQL

La página consultas de KQL de Microsoft Sentinel permite consultar tablas federadas junto con datos de Sentinel nativos. Las tablas federadas son compatibles con trabajos de KQL, consultas interactivas y asincrónicas y herramientas de MCP.

1. Vaya a Microsoft Sentinel>Exploración del lago de datos>Consultas KQL.

2. Seleccione el botón Área de trabajo seleccionada en la barra de información.

3. Seleccione Tablas del sistema como una de las áreas de trabajo.

4. En la pestaña Esquema , expanda la sección Tablas del sistema .

5. Expanda la sección Tablas federadas .

6. Busque el tipo de federación del origen de datos, como Microsoft Fabric, Azure Databricks o Azure Data Lake Storage Gen2.

7. Expanda el tipo de federación para ver las tablas federadas.

8. Expanda una tabla para ver sus columnas.

Escribir y ejecutar consultas

Las consultas en tablas federadas funcionan como consultas en tablas de lago nativo con algunas diferencias importantes:

• Es posible que se produzca un cambio en el esquema de una tabla en el origen externo. Esto puede dar lugar a un error durante una consulta que indica que una columna no está presente. Actualice las columnas en la página Administración de tablas seleccionando la tabla federada, seleccionando la pestaña Esquema y seleccionando Actualizar esquema.

• Las tablas federadas sin una TimeGenerated columna, o donde una TimeGenerated columna está presente con datos en el formato incorrecto, no se pueden usar en el explorador de Data Lake para seleccionar intervalos de tiempo mediante el selector de tiempo en la interfaz de usuario. Defina filtros de fecha en el cuerpo del KQL que coincidan con el formato de fecha de la tabla federada.

Crear trabajos de KQL a partir de consultas federadas

Puede crear trabajos de KQL basados en consultas que usan tablas federadas:

1. Escriba y pruebe la consulta de KQL mediante tablas federadas.
2. Seleccione el botón Crear trabajo en la esquina superior derecha del panel de consulta.
3. Configure la configuración de la tarea, incluida la programación y el destino de salida.
4. Guarde el trabajo.

Las tablas federadas son totalmente compatibles con trabajos de KQL, consultas asincrónicas y herramientas de MCP.

Creación de una herramienta MCP con consultas de tabla federada

Puede crear herramientas de MCP basadas en consultas que usan tablas federadas:

1. Escriba y pruebe la consulta de KQL mediante tablas federadas.

2. Seleccione el botón Guardar como herramienta situado encima del editor de consultas.

3. Ajuste la consulta según sea necesario, por ejemplo, parametrizar los valores.

4. Para cualquier referencia de una tabla federada, asegúrese de que anteponga el nombre de la tabla a workspace("default").. Por ejemplo, si la tabla era widgets_ADLS01, el código se muestra workspace("default").widgets_ADLS01 para esa tabla.

5. Guarde la herramienta.

Usa tablas federadas en notebooks de Jupyter

Las tablas federadas son accesibles en los cuadernos de Jupyter Notebook mediante la extensión Microsoft Sentinel VS Code.

En la extensión de VS Code de Microsoft Sentinel, las tablas federadas aparecen en: Tablas de lago>Tablas del sistema>Tablas federadas

Trabajar con tablas federadas en cuadernos de Jupyter Notebook sigue los mismos patrones que las tablas nativas del sistema:

1. Utilice el nombre completo de la tabla: Haga referencia a las tablas utilizando el formato <tableName>_<connectorInstance>.
2. No especifique un nombre de área de trabajo: las operaciones de lectura no requieren una especificación del área de trabajo.
3. Acceso de solo lectura: las tablas federadas son de solo lectura; no puede volver a escribir datos en orígenes federados.

Tareas de Jupyter Notebook

Puede crear trabajos programados de Jupyter Notebook que usen tablas federadas de la misma manera que crearía un trabajo de cuaderno para tablas nativas de Data Lake:

1. Desarrolle el cuaderno con consultas de tabla federada.
2. Pruebe el cuaderno para asegurarse de que las consultas federadas se ejecutan correctamente.
3. Cree un trabajo desde el cuaderno.
4. Configure la programación y los parámetros del trabajo.

Procedimientos recomendados

Sigue estas directrices de optimización de consultas, estrategia de unión y gestión de errores para obtener el mejor rendimiento de las tablas federadas.

Optimización de consultas

Use los procedimientos siguientes para mejorar el rendimiento de las consultas federadas.

• Aplicar filtros antes: Filtre los datos en el origen cuando sea posible para reducir la transferencia de datos.
• Limite los conjuntos de resultados: Utilice las cláusulas take o limit durante el desarrollo.
• Usar proyecciones: seleccione solo las columnas que necesita para mejorar el rendimiento.

Ejemplo: Consulta optimizada

En la consulta siguiente se muestra cómo filtrar un conjunto de datos federado de gran tamaño antes para reducir el volumen de datos y seleccionar solo las columnas necesarias para mejorar el rendimiento de las consultas.

large_dataset_adls_connector
| where EventTime >= ago(1h)           // Filter early
| where EventType == "Login"           // Reduce data volume
| project EventTime, UserId, SourceIP  // Select needed columns
| take 10000                           // Limit results

Estrategias de combinación

Utiliza las siguientes prácticas para optimizar el rendimiento de las consultas al unir tablas federadas y nativas.

• Use los tipos de combinación adecuados: elija inner, leftoutero rightouter en función de sus necesidades.
• Filtrar antes de unirse: reduzca el volumen de datos antes de las operaciones de combinación.
• Considere los tamaños de datos: coloque la tabla más pequeña en el lado derecho de la combinación.

Control de errores

Tenga en cuenta los procedimientos siguientes para diagnosticar y controlar problemas comunes de consulta federada.

• Comprobar el estado de la conexión: compruebe que las instancias del conector federado están conectadas antes de realizar la consulta.
• Gestionar valores nulos: los datos externos pueden contener valores nulos inesperados; utilice las funciones coalesce() o isnull().
• Supervisar el rendimiento de las consultas: realice un seguimiento de los tiempos de ejecución de las consultas federadas para identificar problemas de rendimiento.

Solución de problemas

La consulta no devuelve ningún resultado

• Compruebe que la instancia del conector está en un estado conectado.
• Compruebe que el origen de datos externo está disponible, junto con las tablas de destino en la consulta.
• Compruebe que los permisos no se han eliminado de la entidad de servicio ni de la identidad administrada de Sentinel, en función de la fuente de datos de destino.
• Compruebe que usa el formato correcto de nombre de tabla federada.
• Asegúrese de que las tablas del sistema están disponibles en el panel de navegación para las consultas de KQL o la sesión de Notebook.

La consulta es lenta

• Aplique filtros para reducir el volumen de datos consultados desde orígenes externos.
• Compruebe el rendimiento y la disponibilidad del origen externo.
• Considere la posibilidad de crear tablas de resumen para los datos a los que se accede con frecuencia.

Discrepancia de esquema

• Revise el esquema de tabla en la vista de administración de tablas.
• Ajusta tu consulta para gestionar las diferencias de esquema.
• Compruebe si el esquema de tabla externa ha cambiado desde la creación del conector.

No se pueden ejecutar herramientas de MCP para tablas federadas

Asegúrese de que ha precedido el nombre de la tabla con workspace("default"). donde quiera que haga referencia a una tabla federada dentro de la herramienta MCP.

Contenido relacionado

• Introducción a la federación de datos
• Configuración de conectores de datos federados
• Referencia de consulta de KQL