Usare l'API di streaming con Microsoft Defender for Business

Se la tua organizzazione dispone di un Security Operations Center (SOC), puoi utilizzare l'API di streaming Microsoft Defender per endpoint con Defender for Business e Microsoft 365 Business Premium. L'API di streaming Microsoft Defender per endpoint consente di trasmettere dati, ad esempio file di dispositivo, registro, rete, eventi di accesso e altro ancora a uno dei servizi seguenti:

• Microsoft Sentinel: soluzione scalabile nativa del cloud che offre funzionalità di gestione delle informazioni di sicurezza e degli eventi (SIEM) e di orchestrazione della sicurezza, automazione e risposta (SOAR).
• Hub eventi di Azure: una piattaforma di streaming di Big Data moderna e un servizio di inserimento di eventi che può integrarsi facilmente con altri servizi Azure e Microsoft. Ad esempio, Analisi di flusso di Azure, Power BI e Griglia di eventi di Azure, insieme a servizi esterni come Apache Spark.
• archiviazione Azure: soluzione di archiviazione cloud di Microsoft per scenari di archiviazione dati moderni, con archiviazione a disponibilità elevata, scalabile in modo massiccio, durevole e sicura per un'ampia gamma di oggetti dati nel cloud.

Utilizzando l'API di streaming Defender for Endpoint, puoi utilizzare Advanced hunting e il rilevamento degli attacchi con Defender for Business e Microsoft 365 Business Premium. L'API di streaming consente ai centri operativi di sicurezza di visualizzare più dati sui dispositivi, comprendere meglio come si è verificato un attacco e adottare misure per migliorare la sicurezza dei dispositivi.

Usare l'API di streaming con Microsoft Sentinel

Per trasmettere Defender for Business dati a Microsoft Sentinel, completare la procedura seguente.

1. Assicurati di configurare e configurare Defender for Business e di eseguire l'onboarding dei dispositivi. Vedere Come impostare e configurare Microsoft Defender for Business.

2. Creare un'area di lavoro Log Analytics da usare con Microsoft Sentinel. Vedere Creare un'area di lavoro Log Analytics.

3. Eseguire l'onboarding in Microsoft Sentinel. Vedi Guida introduttiva: Connettere Microsoft Sentinel.

4. Abilitare il connettore Microsoft Defender. Vedere Connettere dati da Microsoft Defender a Microsoft Sentinel.

Usare l'API di streaming con Hub eventi

Per utilizzare Hub eventi di Azure, è necessario un abbonamento Azure. Prima di iniziare, assicurati di creare un event hub nella tua organizzazione. Quindi, accedi al portale di Azure, vai a Sottoscrizioni>La tua sottoscrizione>Provider di risorse>Registra Microsoft.insights.

Per configurare lo streaming per Hub eventi di Azure, completare la procedura seguente.

1. Passare al portale di Microsoft Defender ed eseguire l'accesso.

2. Passare alla pagina Impostazioni di esportazione dati.

3. Selezionare Aggiungi impostazioni di esportazione dati.

4. Scegliere un nome per le nuove impostazioni.

5. Scegliere Inoltra eventi da Hub eventi di Azure.

6. Inserisci il nome di Event Hubs e il tuo ID Event Hubs.

   Nota

   Se lasci vuoto il campo nome Event Hubs, il sistema crea un event hub per ogni categoria nel namespace selezionato. Se non usi un cluster dedicato di Event Hubs, che è una distribuzione single-tenant con capacità dedicata, ricorda che c'è un limite di 10 namespace Event Hub.

   Per ottenere il tuo ID Event Hubs, vai alla pagina dello spazio del nome Event Hub nel portale Azure. Nella scheda Proprietà copiare il testo in ID.

7. Scegliere gli eventi che si desidera trasmettere in streaming e quindi selezionare Salva.

Visualizzare lo schema degli eventi in Hub eventi di Azure

Il seguente esempio JSON mostra il formato di ogni messaggio che l'Hub eventi riceve quando l'inoltro degli eventi è abilitato. Ogni messaggio contiene un array records con una o più voci evento:

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the organization that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}

Ogni messaggio dell'hub eventi in Hub eventi di Azure contiene un elenco di record. Ogni record contiene il nome dell'evento, l'orario in cui Defender for Business ha ricevuto l'evento, l'organizzazione a cui appartiene (ricevi eventi solo dalla tua organizzazione) e l'evento in formato JSON in una proprietà chiamata properties. Per altre informazioni sullo schema degli eventi di ricerca avanzata trasmessi a Hub eventi di Azure, vedere Ricerca proattiva di minacce con ricerca avanzata in Microsoft Defender.

Usa l'API di streaming con Archiviazione di Azure

Per configurare lo streaming per Archiviazione di Azure, completare la procedura seguente.

Abilitare lo streaming di dati non elaborati

Lo streaming di dati non elaborati inoltra i dati degli eventi di sicurezza da Defender for Business direttamente all'account Archiviazione di Azure, in cui è possibile conservarli e analizzarli. Per abilitare lo streaming di dati non elaborati per Archiviazione di Azure, completare la procedura seguente.

1. Passare al portale di Microsoft Defender ed eseguire l'accesso.

2. Passare alla pagina Impostazioni di esportazione dati in Microsoft Defender XDR.

3. Selezionare Aggiungi impostazioni di esportazione dati.

4. Scegliere un nome per le nuove impostazioni.

5. Scegli Inoltra eventi ad Archiviazione di Azure.

6. Digita il tuo ID risorsa dell'account di archiviazione. Per ottenere l'ID della Risorsa del tuo Account Storage, vai alla pagina del tuo account Storage nel portale Azure. Quindi, nella scheda Proprietà, copia il testo sotto ID risorsa dell'account di archiviazione.

7. Scegliere gli eventi che si desidera trasmettere in streaming e quindi selezionare Salva.

Visualizzare lo schema degli eventi in Archiviazione di Azure

Viene creato un contenitore BLOB per ogni tipo di evento. L'esempio JSON seguente illustra lo schema di una singola riga di evento scritta in Archiviazione di Azure. Ogni riga include il timestamp dell'evento, l'identificatore del tenant, la categoria Ricerca avanzata e i dati dell'evento in formato JSON:

{
  "time": "<The time WDATP received the event>"
  "tenantId": "<Your tenant ID>"
  "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
  "properties": { <WDATP Advanced Hunting event as Json> }
}

Ogni BLOB contiene più righe. Ogni riga contiene il nome dell'evento, l'ora in cui Defender for Business ha ricevuto l'evento, l'organizzazione a cui appartiene l'evento (si ricevono eventi solo dalla propria organizzazione) e le proprietà dell'evento in formato JSON. Per altre informazioni sui dati degli eventi di ricerca avanzata trasmessi a Archiviazione di Azure, vedere Ricerca proattiva di minacce con ricerca avanzata in Microsoft Defender.

Contenuti correlati

• API di streaming dei dati non elaborati in Defender for Endpoint
• Panoramica di gestione e API