Configura i connettori dati federati nel data lake Microsoft Sentinel (Anteprima)

Questo articolo illustra come configurare i connettori dati federati per abilitare l'esecuzione di query su origini dati esterne dal data lake Microsoft Sentinel. È possibile eseguire la federazione con Azure Databricks, Azure Data Lake Storage (ADLS) Gen 2 e Microsoft Fabric. L'articolo illustra come creare un'entità servizio, archiviare le credenziali in Azure Key Vault e configurare un'istanza del connettore per ogni origine dati supportata. Usa questa guida se sei un amministratore della sicurezza che deve importare dati esterni in Microsoft Sentinel per l'indagine e l'analisi.

Prerequisiti

Prima di configurare la federazione dei dati, assicurarsi di soddisfare i requisiti seguenti:

• Onboarding del data lake di Sentinel: è necessario eseguire l'onboarding del tenant nel data lake di Sentinel. Per altre informazioni, vedi Effettuare l'onboarding al data lake di Microsoft Sentinel.

• Accessibilità pubblica: l'origine esterna deve essere accessibile pubblicamente. Gli endpoint privati non sono attualmente supportati.

• Entità servizio: è richiesta un'entità servizio con le autorizzazioni appropriate per l'origine dati a cui ci si vuole connettere per le origini di Azure Databricks e Azure Data Lake Storage Gen2. Per altre informazioni, vedere Registrazioni delle app in Microsoft Entra ID.

• Azure Key Vault: è necessario un Azure Key Vault configurato con il segreto client del principal del servizio. All'identità dell'applicazione Microsoft Sentinel devono essere assegnate autorizzazioni per l'istanza di Key Vault. Per altre informazioni su come configurare Azure Key Vault, vedere Azure Key Vaults.

• Autorizzazioni di Microsoft Sentinel: autorizzazioni Dati (gestione) sulle tabelle di sistema per configurare un connettore di federazione dei dati. Per altre informazioni, vedere Ruoli e autorizzazioni nella piattaforma Microsoft Sentinel.

Creare un'entità servizio

Per la federazione di Azure Databricks e ADLS Gen 2, è necessaria un'entità servizio con credenziali di accesso che sono archiviate in Azure Key Vault. È possibile usare un'entità servizio esistente o seguire questa procedura per creare una nuova entità servizio.

1. Creare una registrazione dell'applicazione Microsoft Entra ID:

   1. Nel portale di Azure passare a Microsoft Entra ID>Registrazioni app.
   2. Selezionare Nuova registrazione.
   3. Immettere un nome per l'applicazione.
   4. Lasciare vuoto l'URI di reindirizzamento (non necessario per questo scenario).
   5. Selezionare Registra.

2. Crea un segreto del client:

   1. Nella registrazione dell'app passare a Certificati & segreti.
   2. Seleziona Nuovo segreto del client.
   3. Immettere una descrizione e selezionare un periodo di scadenza.
   4. Selezionare Aggiungi.
   5. Copiare subito il valore del segreto client perché non è possibile recuperarlo in seguito. Ti serve questo valore quando memorizzi il segreto in Azure Key Vault.

3. Prendere nota dei dettagli dell'applicazione:

   • ID applicazione (client)
   • ID dell'oggetto
   • ID della directory (tenant)

Per altre informazioni sulla creazione di entità servizio, vedere Registrazioni dell'app Microsoft Entra ID.

Creare un Azure Key Vault e archiviare le credenziali

È possibile usare un Azure Key Vault esistente e seguire la procedura seguente per configurare l'accesso Key Vault o creare un nuovo Key Vault seguendo questa procedura:

1. Creare un Azure Key Vault:

   1. Nel portale di Azure creare un nuovo Azure Key Vault.
   2. Usare il modello di autorizzazione Azure controllo degli accessi in base al ruolo (scelta consigliata).
   3. Abilitare le impostazioni di eliminazione temporanea e di protezione dall'eliminazione definitiva per il Key Vault.
   4. Annotare l'URI di Key Vault dopo la creazione.

2. Configurare l'accesso a Key Vault:

   1. Assegnare il ruolo Utente dei segreti di Key Vault all'identità gestita della piattaforma di Microsoft Sentinel. L'identità è preceduta da msg-resources-.
   2. Se si usano i criteri di accesso per i Key Vault anziché il controllo degli accessi in base al ruolo di Azure, specificare le autorizzazioni Get e List per le operazioni di gestione dei segreti.

3. Archiviare il segreto client in Key Vault:

   1. Nel Key Vault, vai a Segreti>Genera/Importa.
   2. Creare un nuovo segreto contenente il segreto client dell'entità servizio.
   3. Prendere nota del nome del segreto. Viene usato durante la configurazione dell'istanza del connettore di federazione dati.

Per altre informazioni su come configurare Azure Key Vault, vedere Azure Key Vaults.

Visualizzare e gestire i connettori dati federati nel portale di Defender

I connettori federati vengono gestiti nella pagina Connettori dati in Microsoft Sentinel nel portale di Defender.

1. Passare a Microsoft Sentinel>Configurazione>Connettori dati.

2. In Federazione dati selezionare Catalogo per visualizzare i connettori federati disponibili.

   La pagina Catalogo mostra:

   • Tipi di connettori federativi disponibili
   • Numero di istanze configurate per ogni connettore
   • Informazioni sull'editore e sul supporto

   

3. Selezionare La pagina Connettori personali per visualizzare tutte le istanze del connettore configurate. La pagina elenca le istanze del connettore di federazione dei dati del tuo tenant, indicando il nome visualizzato, la versione, lo stato e il fornitore di assistenza.

4. Selezionare ogni istanza per visualizzare i dettagli, modificare le configurazioni o eliminare l'istanza.

Creare un'istanza del connettore

Il processo per la creazione di un'istanza del connettore varia a seconda che ci si connetta a Microsoft Fabric, Azure Data Lake Storage Gen 2 o Azure Databricks. Seguire le istruzioni per lo specifico tipo di origine dati.

Verificare le tabelle dell'istanza del connettore

Dopo aver creato un'istanza del connettore, verificare che le tabelle federate siano disponibili in Microsoft Sentinel.

1. Passare a Microsoft Sentinel > Configurazione > Tabelle.
2. Filtrare in base al tipo Federato per visualizzare tutte le tabelle federate.
3. Eseguire la ricerca in base al nome dell'istanza del connettore.
4. Le tabelle dell'istanza del connettore sono elencate con il nome seguito da _instance name. Ad esempio, se il nome dell'istanza del connettore dati era GlobalHRData e la tabella è stata chiamata hrlogs, il nome della tabella viene visualizzato come hrlogs_GlobalHRData.
5. Selezionare una tabella dall'elenco per aprire il pannello dei dettagli.
6. Selezionare la scheda Panoramica per visualizzare il tipo di tabella e il provider di federazione.
7. Selezionare la scheda Origine dati per visualizzare il provider di dati dell'istanza del connettore e il prodotto di origine per la tabella. Selezionando il nome dell'istanza del connettore, si viene reindirizzati a quell'istanza in Connettori personali all'interno di Connettori dati.
8. Selezionare la scheda Schema per visualizzare lo schema della tabella.
9. Nella scheda Schema selezionare Aggiorna per aggiornare lo schema della tabella associato alla tabella federata.

Gestire le istanze del connettore

Per modificare o eliminare un'istanza del connettore:

1. Passare a Federazione dei dati>Connettori personali.
2. Selezionare l'istanza del connettore da gestire.
3. Nel pannello dei dettagli usare le opzioni disponibili per:
   • Modificare le impostazioni di connessione
   • Aggiungere o rimuovere tabelle federate
   • Eliminare l'istanza del connettore

Risoluzione dei problemi

Usare i controlli seguenti per diagnosticare i problemi comuni relativi alla configurazione e all'operazione del connettore dati federato.

Connessione non riuscita

• Verificare che l'identità gestita della piattaforma Sentinel preceduta da msg-resources- disponga delle autorizzazioni corrette per Azure Key Vault.

• Se l'origine della connessione è Azure Databricks o Azure Data Lake Storage Gen2, verificare che il segreto dell'insieme di credenziali delle chiavi contenga il segreto client corretto per il principale del servizio.

• Se la tua sorgente di connessione è Azure Databricks, conferma che il target utilizza il tipo di workspace ibrido e che l'accesso esterno ai dati sia stato abilitato per lo spazio di lavoro.

• La rete Key Vault deve essere impostata su Consenti l'accesso pubblico da tutte le reti durante la configurazione del connettore, ovvero la configurazione predefinita di Key Vault. Può essere modificato dopo la creazione o la modifica del connettore.

• Verificare che l'origine dati esterna sia accessibile pubblicamente.

• Verificare che l'entità servizio disponga delle autorizzazioni appropriate per l'origine dati di destinazione per Azure Databricks e ADLS.

• Se l'origine dati di destinazione è Fabric, verificare che all'identità con prefisso msg-resources- per Microsoft Sentinel sia stata concessa l'autorizzazione come membro dell'area di lavoro.

• Verificare di non avere più di 100 istanze di connessione.

Le tabelle non vengono visualizzate

• Verificare che l'entità di servizio disponga di diritti di lettura sulle tabelle di destinazione per ADLS e Azure Databricks e che si trovi nello stesso tenant di queste origini dati.
• Verificare che le tabelle di destinazione siano in formato Delta Parquet.
• Per Databricks, assicurarsi di concedere sia il set di privilegi di lettore dati predefinito che l'autorizzazione Schema utilizzo esterno per l'entità servizio.
• Per ADLS Gen 2, verificare che il ruolo Lettore dati BLOB di archiviazione sia assegnato all'entità servizio.

Problemi di prestazioni delle query

• Considera le dimensioni dei dati interrogati da fonti esterne.
• Ottimizzare le query per filtrare i dati in anticipo.
• Controllare la connettività di rete tra Sentinel e l'origine esterna.

Contenuti correlati

• Panoramica della federazione dei dati
• Eseguire query su tabelle federate con KQL