Overzicht van datafederatie in de Microsoft Sentinel data lake (Preview)

Met gegevensfederatie in Microsoft Sentinel kunt u probleemloos query's uitvoeren op meerdere externe gegevensbronnen vanuit de Microsoft Sentinel Data Lake-omgeving. Door gegevensbronnen zoals Azure Databricks, Azure Data Lake Storage (ADLS) Gen 2 en Microsoft Fabric te federeren, kunnen organisaties hun beveiligingsanalyses en operationele inzichten verbeteren zonder gegevens te verplaatsen of dupliceren.

Wat is gegevensfederatie?

Met gegevensfederatie kunt u rechtstreeks vanuit de Microsoft Sentinel data lake query's uitvoeren op externe gegevensbronnen met behulp van Kusto-querytaal (KQL) of Jupyter-notebooks met behulp van de Microsoft Sentinel Visual Studio Code-extensie. In plaats van de gegevens op te nemen in Sentinel, maakt federatie verbindingen met externe gegevensarchieven, waardoor:

• Geïntegreerde analyse: query's uitvoeren op federatieve bronnen naast systeemeigen Microsoft Sentinel Data Lake-tabellen.
• Beheer- en nalevingscontroles behouden: behoud gegevensbeveiliging en -naleving door query's uit te voeren op gegevens zonder deze te verplaatsen.
• Verbeterde inzichten: combineer beveiligingsgegevens met bedrijfsgegevens, logboeken of andere gegevenssets die zijn opgeslagen in externe systemen.
• Flexibele gegevenstoegang: krijg toegang tot historische of gespecialiseerde gegevenssets die uw beveiligingsbewerkingen aanvullen.

Beschikbare federatiebronnen

De volgende federatiebronnen zijn beschikbaar:

Sleutelbegrippen

Federatieve verbindingen

Een federatieve verbinding is een geconfigureerde koppeling tussen de Sentinel data lake en een externe gegevensbron. Elke verbinding geeft het volgende op:

• De doelgegevensbron (Databricks, ADLS Gen 2 of Fabric).
• Verificatiereferenties die veilig zijn opgeslagen in Azure Key Vault voor ADLS en Azure Databricks.
• De specifieke tabellen om te federeren.

Federatieve tabellen

Federatieve tabellen zijn tabellen die afkomstig zijn van een federatieve verbinding. Federatieve tabellen worden weergegeven op de pagina Sentinel data lake tabelbeheer en kunnen worden opgevraagd als systeemeigen tabellen. Federatieve tabelnamen volgen het patroon <tableName>_<connectorInstanceName>. Als uw connectorexemplaren bijvoorbeeld een naam ADLS01 hebben en u federatief bent met een tabel met de naam widgets, is widgets_ADLS01de naam van de federatieve tabel .

Connectorinstanties

Elke geconfigureerde verbinding met een externe gegevensbron wordt een connectorexemplaar genoemd. U kunt meerdere exemplaren voor hetzelfde federatiebrontype maken, die elk verbinding maken met verschillende externe resources.

Vereisten

Voordat u gegevensfederatie instelt, moet u voldoen aan de volgende vereisten:

• Onboarding voor de Sentinel-gegevenslake: uw tenant moet zijn gekoppeld aan de Sentinel-gegevenslake. Zie Onboard to Microsoft Sentinel data lake (Onboarden naar Microsoft Sentinel data lake) voor meer informatie.
• Openbare toegankelijkheid: De externe bron moet openbaar toegankelijk zijn. Privé-eindpunten worden momenteel niet ondersteund.
• Gegevensindeling: de externe brontabellen moeten een delta parquet-indeling hebben.
• Service-principal: een service-principal met de juiste machtigingen in de gegevensbron waarmee u verbinding wilt maken, is vereist voor Azure Databricks- en Azure Data Lake Storage Gen2-bronnen.
• Azure Key Vault: een Azure Key Vault voor het opslaan van verificatiegeheimen voor de service-principal. U moet machtigingen configureren voor Microsoft Sentinel beheerde identiteit om geheimen uit de sleutelkluis te lezen.

Hoe federatie werkt

1. Verificatie configureren: maak een service-principal en sla de referenties op in Azure Key Vault.
2. Een federatieve verbinding maken: gebruik de pagina Gegevensconnectors in Microsoft Sentinel om een connectorexemplaren te maken voor de gekozen gegevensfederatiebron.
3. Tabellen selecteren: kies welke tabellen uit de externe bron moeten worden gefedereerd.
4. Gefedereerde gegevens opvragen: gebruik data lake-ervaringen zoals KQL-query's, notebooks of MCP-hulpprogramma's voor toegang tot federatieve tabellen naast systeemeigen Sentinel gegevens.

Algemene scenario's voor gegevensfederatie

Met gegevensfederatie hebt u toegang tot gegevens die zich buiten de data lake bevinden. Dit is met name nuttig in de volgende scenario's:

• Gegevensbronnen die operationeel worden ingezet in meerdere teams en systemen.

• Jaren aan historische gegevens die u geleidelijk automatisch wilt laten vervallen en die niet kosteneffectief zijn om in te lezen.

• Regionale of nalevingsregels die het kopiëren van gegevens beperken.

• Gegevens die niet vaak worden geopend en die alleen contextueel relevant zijn in beperkte scenario's.

Voordelen van gegevensfederatie

Geïntegreerde beveiligingsanalyse

Gegevens van beveiligingsincidenten in Sentinel combineren met context van externe bronnen, zoals:

• Analyse-uitvoer van Databricks
• Historische logboeken die zijn opgeslagen in ADLS Gen 2
• Zakelijke toepassingsgegevens van Microsoft Fabric

Operationele flexibiliteit

• Toegang tot gegevens over organisatiegrenzen heen
• Gegevens van verschillende teams of bedrijfseenheden integreren
• Ondersteuning voor complexe onderzoeken die meerdere gegevensbronnen omvatten

Beperkingen

• Gegevensbronnen moeten openbaar toegankelijk zijn. Privé-eindpunten worden niet ondersteund.
• Azure Key Vault netwerken moet worden ingesteld voor Openbare toegang toestaan vanaf alle netwerken, wat de standaardinstelling is voor Key Vault, tijdens de configuratie van ADLS- of Azure Databricks-verbindingsexemplaren. Nadat u een verbinding hebt gemaakt of bewerkt, kan voor de bijbehorende Key Vault een andere netwerkinstelling worden geconfigureerd.
• Federatieve verbindingen met Microsoft Fabric ondersteunen lakehouses waarvoor schema's zijn ingeschakeld en waarbij voor werkruimtes uitgaande-toegangsbeveiliging niet is ingeschakeld.
• Federatieve verbindingen met Azure Databricks ondersteuning bieden voor hybride werkruimten; serverloze werkruimten worden niet ondersteund.
• Gegevensfederatie is alleen-lezen; u kunt geen gegevens terugschrijven naar federatieve bronnen.
• De queryprestaties zijn afhankelijk van de reactiesnelheid en het gegevensvolume van de externe bron.
• Gefedereerde verbindingen met een Fabric-bron kunnen binnen de verbindingsinstantie maximaal 100 tabellen bevatten.
• U kunt maximaal 100 connectorexemplaren hebben. Azure Databricks en ADLS gebruiken één connectorexemplaar per gefedereerde verbinding. Microsoft Fabric gebruikt één connectorinstantie per lakehouse-schema in een gefedereerde verbinding.

Volgende stappen

• Gefedereerde gegevensconnectoren instellen
• Federatieve gegevensbronnen gebruiken in Microsoft Sentinel
• Query uitvoeren op federatieve tabellen met KQL