Gérer les niveaux de données et la rétention dans Microsoft Sentinel

Les données que vous collectez dans Microsoft Sentinel (SIEM) et Microsoft Defender XDR sont stockées dans des tables. Le portail Microsoft Defender vous permet de gérer la période de rétention et les coûts de stockage associés à vos données. Vous pouvez gérer la rétention et les coûts dans les cas suivants :

• Configurez des connecteurs de données pour envoyer des données à Microsoft Sentinel ou Microsoft Defender XDR.
• Gérez vos tables et données existantes.

Cet article explique comment gérer la rétention des tables et les options de niveau dans le portail Microsoft Defender pour optimiser les opérations de sécurité et réduire les coûts en Microsoft Sentinel et Microsoft Defender XDR.

Quelles tables pouvez-vous gérer dans le portail Microsoft Defender ?

Cette section décrit les types de tables que vous pouvez gérer dans le portail Microsoft Defender.

Fonctionnement des niveaux de données et de la rétention

Vous pouvez conserver les données dans Microsoft Sentinel dans l’un des deux niveaux suivants :

• Niveau Analytique : ce niveau rend les données disponibles pour les alertes, la chasse, les classeurs et toutes les fonctionnalités Microsoft Sentinel. Il conserve les données dans deux états :

  • Rétention d’analyse : dans cet état « chaud », les données sont entièrement disponibles pour l’analytique en temps réel, notamment les requêtes hautes performances, les règles d’analyse et la chasse aux menaces. Par défaut, Microsoft Sentinel et Microsoft Defender XDR conserver les données dans ce niveau pendant 30 jours. Vous pouvez étendre la période de rétention de toutes les tables à un maximum de deux ans avec des frais de rétention à long terme mensuels calculés au prorata. Vous pouvez étendre gratuitement la période de rétention de Microsoft Sentinel tables de solutions à 90 jours.
  • Rétention totale : par défaut, toutes les données du niveau analytique sont mises en miroir dans le lac de données pendant la même période de rétention. Vous pouvez étendre la conservation de vos données dans le lac au-delà de la rétention analytique, jusqu’à 12 ans de rétention totale à faible coût.

• Niveau lac de données : dans ce niveau « froid » économique, Microsoft Sentinel conserve vos données uniquement dans le data lake. Les données du niveau lac de données ne sont pas disponibles pour les fonctionnalités d'analytique en temps réel et la chasse aux menaces. Toutefois, vous pouvez accéder aux données du lac chaque fois que vous en avez besoin via des travaux KQL, analyser les tendances au fil du temps en exécutant des travaux KQL ou Spark planifiés, et agréger des insights à partir des données entrantes à une cadence régulière à l’aide de règles récapitulatives.

• Données XDR : par défaut, Microsoft Defender XDR données de repérage des menaces est toujours disponible dans le niveau Analytics pendant 30 jours. Vous pouvez étendre la rétention de ces données au niveau Analytics jusqu’à 90 jours, ce qui entraîne des coûts d’ingestion, tandis que le stockage reste gratuit. L’extension de la rétention au-delà de 90 jours dans le niveau Analytics entraîne également des coûts de stockage. Vous pouvez également ingérer exclusivement dans le niveau lac de données, mais les données restent disponibles dans le niveau Analytics pendant 30 jours. L’ingestion de données XDR directement dans le niveau lac de données est plus rentable, mais elle implique l’ingestion, le stockage et les coûts de traitement. Dans cette option, les clients obtiennent toujours 30 jours de données dans le niveau Analytics sans coût supplémentaire.

Pour plus d’informations sur les différences entre le niveau Analytics et le niveau lac de données, voir Comparer les niveaux analytique et data lake.

Le diagramme suivant illustre les composantes de rétention des niveaux par défaut Analytics, lac de données et XDR, ainsi que les types de tableaux applicables à chaque niveau :

Pour plus d’informations sur le lac de données Microsoft Sentinel, consultez Qu’est-ce que Microsoft Sentinel lac de données ?

Utiliser Table Insights pour l’observabilité au niveau de la table

Dans le portail Microsoft Defender, Table Insights est une vue d’analyse intégrée sur la page Tables qui vous permet de comprendre l’intégrité de l’ingestion au niveau de la table pour l’espace de travail Microsoft Sentinel sélectionné. Il vous donne des signaux d’observabilité rapides pour vous permettre d’identifier les modèles d’ingestion et de coût avant de modifier les paramètres de niveau ou de rétention.

Les informations sur les tableaux incluent des signaux tels que :

• Volume d’ingestion par niveau
• Fluctuations de l’ingestion quotidienne sur semaine
• Tables principales par volume d’ingestion quotidien
• Dernières données reçues
• Coût d’ingestion quotidien estimé
• Anomalie de volume

Utilisez ces signaux pour détecter les défaillances des connecteurs, analyser les pics de coûts, valider l’intégration de nouveaux connecteurs et identifier les éléments candidats à un ajustement adéquat de la durée de rétention et du niveau de service.

Pour obtenir des conseils d’installation, d’accès et d’interprétation, consultez Configurer les paramètres de table dans Microsoft Sentinel.

Comparer les niveaux d’analyse et de lac de données

Ce tableau compare les niveaux Analytics et lac de données et leurs principales caractéristiques :

Que se passe-t-il lorsque vous modifiez les paramètres de la table

Vous pouvez changer le niveau et les paramètres de rétention d’une table à tout moment.

Lorsque vous modifiez le niveau d'une table d'Analytics vers lac de données, toutes les requêtes d'analyse et de repérage en temps réel arrêtent de fonctionner.

Lorsque vous raccourcissez la rétention totale d'une table, Microsoft attend 30 jours avant de supprimer les données. Vous pouvez donc rétablir la modification et éviter toute perte de données si vous avez effectué une erreur de configuration.

Lorsque vous augmentez la rétention totale, la nouvelle période de rétention s’applique à toutes les données qui ont déjà été ingérées dans la table et qui n’ont pas encore été supprimées.

Lorsque vous modifiez les paramètres de rétention analytique d’une table avec des données existantes, la modification prend effet immédiatement.

Exemple :

• Vous disposez d’une table dans l’offre Analytics avec une période de rétention des données d’analyse de 180 jours. Par défaut, la rétention totale est également définie sur 180 jours.
• Vous modifiez la durée de conservation des données analytiques à 90 jours sans modifier la durée de conservation totale, qui reste de 180 jours.
• Microsoft Sentinel supprime automatiquement de la rétention analytique les données des 90 derniers jours, mais continue de stocker dans la couche lac de données les données âgées de 90 à 180 jours.

Gérer les données XDR dans Microsoft Sentinel

Par défaut, Microsoft Defender XDR conserve les données de chasse aux menaces dans le niveau XDR par défaut pendant 30 jours. Ces données ne sont pas ingérées dans les niveaux Analytics ou lac de données par défaut. Si vous étendez la période de rétention des tables XDR prises en charge au-delà de 30 jours et jusqu’à 90 jours, les coûts d’ingestion Sentinel s’appliquent, mais il n’existe aucun coût de stockage supplémentaire. Les tables sont créées dans votre espace de travail Microsoft Sentinel dans le niveau Analytics et mises en miroir au niveau lac de données.

Si vous activez le connecteur XDR Microsoft Sentinel dans le portail Azure, les tables que vous sélectionnez lors de l’installation sont automatiquement ingérées dans le niveau Analytics et mises en miroir au niveau lac de données. La rétention par défaut est de 30 jours et vous pouvez la prolonger jusqu’à 12 ans. Pour obtenir la liste des tables, consultez intégration Microsoft Defender XDR avec Microsoft Sentinel. Vous pouvez ingérer les tables XDR prises en charge que vous n'avez pas sélectionnées pendant le déploiement du connecteur dans le niveau Analytics et les mettre en miroir au niveau lac de données en définissant la rétention sur plus de 30 jours.

Si vous n’activez pas le connecteur Microsoft Sentinel XDR, les tables XDR ne sont pas automatiquement ingérées, mais vous pouvez toujours les ingérer en définissant la durée de rétention du niveau Analytics ou lac de données à plus de 30 jours dans le portail Microsoft Defender.

Vous pouvez choisir d’ingérer des tables XDR prises en charge exclusivement dans le niveau lac de données en sélectionnant l’option de niveau lac de données lors de la configuration des paramètres de rétention. Pour plus d’informations, consultez Configurer la conservation et la hiérarchisation des données.

Pour arrêter d’ingérer des données dans le niveau Analytique, il faut réinitialiser la rétention analytique et la rétention totale aux 30 jours par défaut.

Pour plus d’informations sur la gestion de vos tables et données, consultez Gérer vos tables et données existantes.

Conservation et coûts des données XDR

Les tableaux suivants résument les périodes de rétention gratuites et les implications en termes de coûts pour les différents niveaux dans Microsoft Sentinel :

Pour plus d’informations sur la facturation et les coûts, consultez Comprendre le modèle de facturation complet pour Microsoft Sentinel.

Dans les exemples suivants, les données XDR sont disponibles via la chasse avancée pendant au moins 30 jours, quels que soient les paramètres de rétention dans les niveaux d’analytique ou de lac de données.

Étapes suivantes

Pour en savoir plus, consultez les liens suivants :

• Configuration des niveaux de table de journal et des paramètres de rétention
• Création d’un travail de recherche pour récupérer des données correspondant à des critères particuliers