Convertir des tableaux de bord en classeurs Azure

  • S’applique à: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Convertissez les tableaux de bord de votre solution SIEM (Security Information and Event Management) existante en classeur Azure pour Microsoft Sentinel. les classeurs Azure offrent une polyvalence pour créer des tableaux de bord personnalisés pour Microsoft Sentinel. Cet article explique comment examiner, planifier et convertir vos tableaux de bord actuels en classeurs Azure.

Passer en revue les tableaux de bord dans votre SIEM actuel

Tenez compte des étapes suivantes lorsque vous concevez votre migration.

  • Analysez les tableaux de bord : Recueillez des informations sur vos tableaux de bord, y compris la conception, les paramètres, les sources de données et d’autres détails. Identifiez l’objectif ou l’utilisation de chaque tableau de bord.
  • Soyez sélectif : ne migrez pas tous les tableaux de bord sans y réfléchir. Concentrez-vous sur les tableaux de bord critiques et utilisés régulièrement.
  • Considérez les autorisations : Considérez qui sont les utilisateurs cibles des cahiers d’exercices. Les classeurs Azure utilisent le contrôle d’accès en fonction du rôle Azure (Azure RBAC). Pour plus d’informations, consultez Évaluer le contrôle dans les classeurs Azure. Pour créer des tableaux de bord en dehors de Azure, par exemple pour les cadres d’entreprise sans accès Azure, utilisez un outil de création de rapports tel que Power BI.

Préparer la conversion du tableau de bord

Après avoir examiné vos tableaux de bord, effectuez les tâches suivantes pour préparer la migration de votre tableau de bord :

  • Passez en revue toutes les visualisations dans chaque tableau de bord. Les tableaux de bord de votre SIEM actuel peuvent contenir plusieurs graphiques ou panneaux. Il est essentiel d’examiner le contenu de vos tableaux de bord présélectionés pour éliminer les visualisations ou données indésirables.

  • Capturez la conception et l’interactivité du tableau de bord.

  • Identifiez tous les éléments de conception qui sont importants pour vos utilisateurs. Par exemple, la disposition du tableau de bord, la disposition des graphiques, ou même la taille ou la couleur de la police des graphiques.

  • Recensez toute interactivité, telle que l’exploration descendante, le filtrage, entre autres, que vous devez reprendre dans Azure Workbooks.

  • Identifiez les paramètres requis ou les entrées utilisateur. Dans la plupart des cas, vous devez définir des paramètres permettant aux utilisateurs d’effectuer des recherches, de filtrer ou d’étendre les résultats (par exemple, plage de dates, nom de compte et autres). Par conséquent, il est essentiel de capturer les détails relatifs aux paramètres. Voici quelques-unes des exigences de paramètre clés à collecter :

    • Le type de paramètre pour que les utilisateurs effectuent la sélection ou l’entrée ; Par exemple, la plage de dates, un texto ou d’autres choses.
    • Comment les paramètres sont représentés, comme la liste déroulante, la zone de texte ou d’autres.
    • Le format de valeur attendu ; par exemple, temps, chaîne, entier ou autres.
    • D’autres propriétés, telles que la valeur par défaut, autorisent la sélection multiple, la visibilité conditionnelle, etc.

Convertir des tableaux de bord

Pour convertir votre tableau de bord, effectuez les tâches suivantes dans Azure Classeurs et Microsoft Sentinel.

1. Identifier les sources de données

Les classeurs Azure sont compatibles avec un grand nombre de sources de données. Pour plus d’informations, consultez les sources de données des classeurs Azure. Dans la plupart des cas, utilisez la source de données des journaux Azure Monitor et les requêtes en langage de requête Kusto (KQL) pour visualiser les journaux sous-jacents dans votre espace de travail Microsoft Sentinel.

2. Construire ou examiner des requêtes KQL

Pour construire ou passer en revue vos requêtes, vous utilisez principalement KQL pour visualiser vos données. Vous pouvez construire et tester vos requêtes dans Microsoft Sentinel avant de les convertir en classeurs Azure. Pour tester les requêtes de Microsoft Sentinel dans le Portail Azure, accédez à Journaux. Dans Microsoft Sentinel du portail Defender, accédez à Investigation et réponse>Chasse>Chasse avancée.

Avant de finaliser vos requêtes KQL, passez toujours en revue et réglez les requêtes pour améliorer les performances des requêtes. Requêtes optimisées :

  • Exécutez plus rapidement, réduisez la durée globale de l’exécution de la requête.
  • Ont moins de risques d’être limitées ou rejetées.

Pour plus d’informations, consultez les ressources suivantes :

3. Créer ou mettre à jour le classeur

Créez un classeur, mettez à jour le cahier ou clonez un cahier existant pour ne pas avoir à repartir de zéro. Spécifiez également la façon dont les données ou les visualisations sont représentées, organisées et regroupées. Il existe deux conceptions courantes :

  • Classeur vertical
  • Classeur avec onglets

Si vous souhaitez en savoir plus, consultez les articles suivants :

4. Créer ou mettre à jour des paramètres de classeur ou des entrées utilisateur

Après avoir défini la structure du classeur, vous devez avoir identifié les paramètres requis pour votre classeur. Avec les paramètres, vous pouvez recueillir des données saisies par les utilisateurs et réutiliser ces données dans d’autres parties du classeur. Cette entrée est généralement utilisée pour définir l’étendue du jeu de résultats, pour définir la visualisation correcte et vous permet de créer des rapports et des expériences interactifs.

Les classeurs vous permettent de contrôler la manière dont vos commandes de paramètre sont présentées aux utilisateurs. Par exemple, vous sélectionnez si les contrôles sont présentés sous forme de boîte de texte ou menu déroulant, ou simple ou multi-sélection. Vous pouvez également sélectionner les valeurs à utiliser, à partir de texte, JSON, KQL ou Azure Resource Graph, etc.

Passez en revue les paramètres de classeur pris en charge. Vous pouvez référencer ces valeurs de paramètres dans d’autres parties du même classeur en utilisant des liaisons ou des extensions de valeurs.

5. Créer ou mettre à jour des visualisations

Les classeurs fournissent un ensemble complet de fonctionnalités pour la visualisation de vos données. Passez en revue les exemples détaillés suivants de chaque type de visualisation.

6. Afficher un aperçu et enregistrer le classeur

Après avoir sauvegardé votre cahier d’exercices, spécifiez les paramètres et validez les résultats. Vous pouvez également essayer l’actualisation automatique des données du classeur ou la fonction d’impression pour imprimer un classeur ou l’enregistrer au format PDF.

Étape suivante

Mettre à jour les processus SOC

  • Last updated on