Gegevensbronnen verbinden met Microsoft Sentinel met behulp van gegevensconnectors

  • Van toepassing op: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Als u gegevensbronnen aan Microsoft Sentinel wilt koppelen, moet u gegevensconnectoren installeren en configureren. In dit artikel wordt in het algemeen uitgelegd hoe u gegevensconnectors installeert die beschikbaar zijn in de Microsoft Sentinel Content Hub om gegevens op te nemen en te analyseren voor verbeterde detectie van bedreigingen.

Belangrijk

Na 31 maart 2027 worden Microsoft Sentinel niet meer ondersteund in de Azure Portal en zijn ze alleen beschikbaar in de Microsoft Defender portal. Alle klanten die Microsoft Sentinel in de Azure Portal gebruiken, worden omgeleid naar de Defender-portal en gebruiken alleen Microsoft Sentinel in de Defender-portal.

Als u nog steeds Microsoft Sentinel in de Azure Portal gebruikt, wordt u aangeraden uw overgang naar de Defender-portal te plannen om een soepele overgang te garanderen en optimaal te profiteren van de geïntegreerde beveiligingsbewerkingen die door Microsoft Defender worden geboden.

Vereisten

Voordat u begint, moet u ervoor zorgen dat u de juiste toegang hebt en u of iemand in uw organisatie de bijbehorende oplossing installeert.

Een gegevensconnector inschakelen

Nadat u of iemand in uw organisatie de oplossing heeft geïnstalleerd die de gegevensconnector bevat die u nodig hebt, configureert u de gegevensconnector om gegevens op te nemen.

  1. Voor Microsoft Sentinel in de Defender-portal selecteert u Microsoft Sentinel>Configuraties>Gegevensconnectors. Voor Microsoft Sentinel in de Azure Portal selecteert u onder Configuratiede optie Gegevensconnectors.

  2. Zoek en selecteer de connector. Als u de gewenste gegevensconnector niet ziet, controleert u nogmaals of de relevante oplossing is geïnstalleerd in de inhoudshub.

  3. Selecteer Connectorpagina openen.

  4. Controleer de vereisten voor uw gegevensconnector en controleer of aan deze is voldaan.

  5. Volg de stappen die worden beschreven in de sectie Configuraties voor uw gegevensconnector.

    Voor sommige connectoren vind je meer specifieke configuratie-informatie in het gedeelte Gegevens verzamelen van het betreffende connectorartikel in Find your Microsoft Sentinel data connector.

Gegevensretentie en gelaagdheid configureren

Als u bent geïntegreerd met de Microsoft Sentinel-gegevenslake, kunt u gegevensbewaring en tiering configureren voor de gegevensconnector. De data lake bestaat uit een analyselaag: uw huidige Microsoft Sentinel werkruimten en een Data Lake-laag waarin u gegevens maximaal 12 jaar kunt opslaan. Zie Aan de slag met de data lake van Microsoft Sentinel voor meer informatie over het onboardingproces.

Wanneer u een connector inschakelt, worden de gegevens standaard verzonden naar de analyselaag en gespiegeld in de data lake-laag. Configureer gegevensretentie in elke laag of verzend de gegevens alleen naar de data lake-laag. Retentie en indeling in niveaus worden beheerd via de installatiepagina's van de connector of via de pagina Tabelbeheer in de Defender-portal. Zie Gegevenslagen en retentie beheren in Microsoft Defender Portal voor meer informatie over tabelbeheer en -retentie.

Zodra u de connector hebt ingesteld, configureert u gegevensretentie en gelaagdheid met behulp van de volgende stappen:

  1. Selecteer op de pagina Connectordetails in de sectie Tabelbeheer de tabel die u wilt beheren.

    Een schermopname van een pagina met details van de connector.

  2. Het tabelvenster wordt weergegeven met de huidige bewaarinstellingen.

  3. Als u retentie wilt configureren, selecteert u Tabel beheren. Een schermopname van het deelvenster Tabel beheren.

  4. Het deelvenster Tabel beheren wordt weergegeven, met de huidige bewaarinstellingen. U kunt de bewaarinstellingen voor de analyselaag en de data lake-laag wijzigen. De standaardinstelling is om de gegevens te spiegelen naar de data lake-laag met dezelfde retentie als de analyselaag.

  5. Selecteer onder Retentie van analyse de retentieperiode voor de analyselaag.

  6. Als u de data lake-laag wilt configureren, selecteert u een bewaarperiode in de vervolgkeuzelijst Totale retentie . Een schermopname van de opties voor de analyse- en Data Lake-laag.

  7. Als u de laag wilt wijzigen in alleen Data Lake, selecteert u de data lake-laag en selecteert u een bewaarperiode in de vervolgkeuzelijst Retentie . Als u deze optie selecteert, wordt verdere opname naar de analyselaag gestopt.

  8. Selecteer Opslaan om de wijzigingen op te slaan.

Een schermopname met de optie alleen bewaren van data lake-lagen.

Nadat u de gegevensconnector hebt geconfigureerd, kan het enige tijd duren voordat de gegevens zijn opgenomen in Microsoft Sentinel. Het duurt 90 tot 120 minuten om data in het datameer te verwerken. Wanneer de gegevensconnector is verbonden, ziet u een samenvatting van de gegevens in de grafiek Ontvangen gegevens en de connectiviteitsstatus van de gegevenstypen.

Schermopname van een pagina van een gegevensconnector met de status 'Verbonden' en een grafiek die de ontvangen gegevens toont.

Gebruikers- en entiteitsgedraganalyse (UEBA) inschakelen vanuit ondersteunde connectors

Gebruikers- en entiteitsgedraganalyse (UEBA) in Microsoft Sentinel analyseert logboeken en waarschuwingen van verbonden gegevensbronnen om basislijngedragsprofielen te maken van de entiteiten van uw organisatie, zoals gebruikers, hosts, IP-adressen en toepassingen. Met behulp van machine learning identificeert UEBA afwijkende activiteiten die kunnen duiden op een gecompromitteerde asset.

UEBA inschakelen vanuit ondersteunde gegevensconnectors in Microsoft Defender portal:

  1. Selecteer in het navigatiemenu van het Microsoft Defender-portaal Microsoft Sentinel > Configuratie > Gegevensconnectors.

  2. Selecteer een door UEBA ondersteunde gegevensconnector die UEBA ondersteunt. Zie Microsoft Sentinel UEBA-verwijzing voor meer informatie over door UEBA ondersteunde gegevensconnectoren en tabellen.

  3. Selecteer in het deelvenster gegevensconnector de optie Connectorpagina openen.

  4. Selecteer op de pagina Connectordetailsde optie Geavanceerde opties.

  5. Schakel onder UEBA configureren de tabellen in die u wilt inschakelen voor UEBA.

    Schermopname van de UEBA-configuratie in de gegevensconnector.

Uw gegevens zoeken

Nadat u de connector hebt ingeschakeld, begint de connector gegevens te streamen naar de tabelschema's die betrekking hebben op de gegevenstypen die u hebt geconfigureerd.

In de Defender-portal voert u een query uit op gegevens op de pagina Geavanceerde opsporing of in de Azure Portal op gegevens op de pagina Logboeken.

Navigeer naar Data lake explorer>KQL-queries om data in het data lake op te vragen. Zie KQL en de Microsoft Sentinel data lake voor meer informatie.

Ondersteuning zoeken voor een gegevensconnector

Zowel Microsoft als andere organisaties ontwikkelen Microsoft Sentinel-gegevensconnectoren. Vind het supportcontact op de gegevenspagina van de connector in Microsoft Sentinel.

  1. Selecteer op de pagina Gegevensconnectors in Microsoft Sentinel de relevante connector.

  2. Als u toegang wilt krijgen tot ondersteuning en onderhoud voor de connector, gebruikt u de koppeling ondersteuningscontact in het veld Ondersteund door in het zijpaneel van de connector.

    Schermopname waarop het veld Ondersteund door van een gegevensconnector in Microsoft Sentinel te zien is.

Zie Ondersteuning voor gegevensconnectors voor meer informatie.

Verwante onderwerpen

  • Last updated on