Utilisez des sources de données fédérées dans Microsoft Sentinel (Aperçu)

Après avoir configuré des connecteurs de données fédérés, vous pouvez accéder à vos tables fédérées via plusieurs interfaces dans Microsoft Sentinel. Les tables fédérées sont utilisées de la même façon que les autres tables de lac de données. Cet article explique comment afficher des tables fédérées, les interroger à l’aide de KQL (Langage de requête Kusto) et les utiliser dans des notebooks Jupyter.

Prérequis

Avant de commencer, assurez-vous que :

• Votre locataire doit être intégré au lac de données Sentinel. Pour plus d'informations, veuillez consulter la section Intégrer le lac de données Microsoft Sentinel
• Vous disposez des autorisations appropriées pour interroger des données dans le lac de données Sentinel. Pour plus d’informations, consultez Rôles et autorisations dans la plateforme Microsoft Sentinel.

Comprendre le nommage des tables fédérées

Les noms de tables fédérées suivent le modèle <tableName>_<connectorInstanceName>. Par exemple :

Si plusieurs tables dans le connecteur instance ont le même nom de table, un identificateur numérique est ajouté au nom instance connecteur, par exemple widgets_ADLS01_1 lorsque deux tables au sein du ADLS01 connecteur instance sont appelées widgets.

Utilisez le nom de la table fédérée lors de l’interrogation de données à partir du lac de données Sentinel.

Afficher les tables fédérées dans la gestion des tables

La vue gestion des tables fournit une vue d’ensemble de toutes les tables de votre lac de données Sentinel, y compris les tables fédérées.

1. Accédez à Microsoft Sentinel>Configuration>Tables.
2. Sélectionnez le filtre Type .
3. Sélectionnez Fédéré, puis Appliquer.

Afficher les détails de la table

Sélectionnez une ligne de tableau pour ouvrir le panneau d’informations. Le panneau détails du tableau contient trois onglets :

Interroger des tables fédérées à l’aide de KQL

La page requêtes KQL dans Microsoft Sentinel vous permet d’interroger des tables fédérées avec des données Sentinel natives. Les tables fédérées sont prises en charge pour les travaux KQL, les requêtes interactives et asynchrones et les outils MCP.

1. Accédez à Microsoft Sentinel>Exploration du lac de données>Requêtes KQL.

2. Sélectionnez le bouton Espace de travail sélectionné dans la barre d’informations.

3. Sélectionnez Tables système comme espace de travail.

4. Sous l’onglet Schéma , développez la section Tables système .

5. Développez la section Tables fédérées .

6. Recherchez le type de fédération pour votre source de données, par exemple Microsoft Fabric, Azure Databricks ou Azure Data Lake Storage Gen2.

7. Développez le type de fédération pour afficher vos tables fédérées.

8. Développez une table pour afficher ses colonnes.

Écrire et exécuter des requêtes

Les requêtes sur des tables fédérées fonctionnent comme des requêtes sur des tables de lac natives avec quelques différences importantes :

• Il est possible qu’une modification se produise dans le schéma d’une table dans la source externe. Cela peut entraîner un échec lors d’une requête qui indique qu’une colonne n’est pas présente. Actualisez les colonnes de la page Gestion des tables en sélectionnant la table fédérée, en sélectionnant l’onglet Schéma et en sélectionnant Actualiser le schéma.

• Les tables fédérées sans TimeGenerated colonne ou lorsqu’une TimeGenerated colonne est présente avec des données au format incorrect ne peuvent pas être utilisées dans Data Lake Explorer pour sélectionner des intervalles de temps à l’aide du sélecteur de temps dans l’interface utilisateur. Définissez des filtres de date dans le corps du KQL qui correspondent au format de date de votre table fédérée.

Créer des travaux KQL à partir de requêtes fédérées

Vous pouvez créer des travaux KQL basés sur des requêtes qui utilisent des tables fédérées :

1. Écrivez et testez votre requête KQL à l’aide de tables fédérées.
2. Sélectionnez le bouton Créer un travail dans le coin supérieur droit du volet de requête.
3. Configurez les paramètres du travail, y compris la planification et la destination de sortie.
4. Enregistrez la tâche.

Les tables fédérées sont entièrement prises en charge pour les travaux KQL, les requêtes asynchrones et les outils MCP.

Créer un outil MCP avec des requêtes de table fédérées

Vous pouvez créer des outils MCP basés sur des requêtes qui utilisent des tables fédérées :

1. Écrivez et testez votre requête KQL à l’aide de tables fédérées.

2. Sélectionnez le bouton Enregistrer sous au-dessus de l’éditeur de requête.

3. Ajustez la requête en fonction des besoins, par exemple paramétrer des valeurs.

4. Pour toute référence d’une table fédérée, veillez à préfixer le nom de la table avec workspace("default").. Par exemple, si votre table était widgets_ADLS01, votre code s’affiche workspace("default").widgets_ADLS01 pour cette table.

5. Enregistrez l’outil.

Utiliser des tables fédérées dans les notebooks Jupyter

Les tables fédérées sont accessibles dans les notebooks Jupyter via l’extension VS Code Microsoft Sentinel.

Dans l’extension Microsoft Sentinel pour VS Code, les tables fédérées apparaissent sous les éléments suivants : Tables du lac>Tables système>Tables fédérées

L’utilisation de tables fédérées dans les notebooks Jupyter suit les mêmes modèles que les tables système natives :

1. Utilisez le nom complet de la table : Référencez les tables au <tableName>_<connectorInstance> format .
2. Ne spécifiez pas de nom d’espace de travail : les opérations de lecture ne nécessitent pas de spécification d’espace de travail.
3. Accès en lecture seule : les tables fédérées sont en lecture seule ; vous ne pouvez pas réécrire des données dans des sources fédérées.

Tâches de Jupyter Notebook

Il est possible de créer des tâches Jupyter Notebook planifiées exploitant des tables fédérées, selon le même principe que pour des tables natives du lac de données :

1. Développez votre notebook avec des requêtes de table fédérée.
2. Testez le notebook pour vous assurer que les requêtes fédérées s’exécutent correctement.
3. Créez un travail à partir du notebook.
4. Configurez la planification et les paramètres du travail.

Meilleures pratiques

Suivez ces recommandations d’optimisation des requêtes, de stratégie de jointure et de gestion des erreurs pour obtenir les meilleures performances des tables fédérées.

Optimisation des requêtes

Utilisez les pratiques suivantes pour améliorer les performances des requêtes fédérées.

• Appliquer les filtres à l’avance : filtrez les données à la source si possible pour réduire le transfert de données.
• Limiter les jeux de résultats : utilisez les clauses take ou limit pendant le développement.
• Utiliser des projections : sélectionnez uniquement les colonnes dont vous avez besoin pour améliorer les performances.

Exemple : Requête optimisée

La requête suivante illustre le filtrage précoce d’un jeu de données fédéré volumineux pour réduire le volume de données et sélectionner uniquement les colonnes nécessaires pour améliorer les performances des requêtes.

large_dataset_adls_connector
| where EventTime >= ago(1h)           // Filter early
| where EventType == "Login"           // Reduce data volume
| project EventTime, UserId, SourceIP  // Select needed columns
| take 10000                           // Limit results

Stratégies de jointure

Utilisez les bonnes pratiques suivantes en matière de performances des requêtes lors de la jointure de tables fédérées et natives.

• Utilisez les types de jointures appropriés : choisissez inner, leftouterou rightouter en fonction de vos besoins.
• Filtrer avant la jointure : réduisez le volume de données avant les opérations de jointure.
• Tenez compte des tailles de données : placez la table la plus petite sur le côté droit de la jointure.

Gestion des erreurs

Tenez compte des pratiques suivantes pour diagnostiquer et gérer les problèmes courants de requête fédérée.

• Vérifier les status de connexion : vérifiez que les instances de connecteur fédéré sont connectées avant l’interrogation.
• Gérer les valeurs nulles : les données externes peuvent contenir des valeurs nulles inattendues ; utilisez les fonctions coalesce() ou isnull().
• Surveiller les performances des requêtes : suivez les temps d’exécution des requêtes fédérées afin d’identifier les problèmes de performances.

Résolution des problèmes

La requête ne retourne aucun résultat

• Vérifiez que le connecteur instance est dans un état connecté.
• Vérifiez que la source de données externe est disponible, ainsi que les tables ciblées dans la requête.
• Assurez-vous que les autorisations du principal de service ou de l’identité gérée par Sentinel n’ont pas été révoquées en fonction de la source de données visées.
• Vérifiez que vous utilisez le format de nom de table fédéré correct.
• Vérifiez que les tables système sont disponibles dans le volet de navigation pour vos requêtes KQL ou votre session notebook.

La requête est lente

• Appliquez des filtres pour réduire le volume de données interrogés à partir de sources externes.
• Vérifiez les performances et la disponibilité de la source externe.
• Envisagez de créer des tables récapitulatives pour les données fréquemment consultées.

Incompatibilité de schéma

• Passez en revue le schéma de table dans la vue gestion des tables.
• Ajustez votre requête pour gérer les différences de schéma.
• Vérifiez si le schéma de table externe a changé depuis la création du connecteur.

Impossible d’exécuter des outils MCP pour les tables fédérées

Veillez à faire précéder le nom de la table de workspace("default"). chaque fois que vous faites référence à une table fédérée dans l’outil MCP.

Contenu connexe

• Vue d’ensemble de la fédération des données
• Configurer des connecteurs de données fédérés
• Informations de référence sur les requêtes KQL