Gefedereerde gegevensconnectors instellen in de Microsoft Sentinel data lake (Preview)

In dit artikel wordt uitgelegd hoe u federatieve gegevensconnectors configureert om query's op externe gegevensbronnen uit de Microsoft Sentinel Data Lake in te schakelen. U kunt federeren met Azure Databricks, Azure Data Lake Storage (ADLS) Gen 2 en Microsoft Fabric. In het artikel wordt stap voor stap beschreven hoe u een service-principal maakt, referenties opslaat in Azure Key Vault en een connectorinstantie instelt voor elke ondersteunde gegevensbron. Gebruik deze handleiding als u een beveiligingsbeheerder bent die externe gegevens naar Microsoft Sentinel moet brengen voor onderzoek en analyse.

Vereisten

Voordat u gegevensfederatie instelt, moet u voldoen aan de volgende vereisten:

• Onboarding voor de Sentinel data lake: Uw tenant moet zijn opgenomen in de Sentinel data lake. Zie Onboard to Microsoft Sentinel data lake (Onboarden naar Microsoft Sentinel data lake) voor meer informatie.

• Openbare toegankelijkheid: De externe bron moet openbaar toegankelijk zijn. Privé-eindpunten worden momenteel niet ondersteund.

• Service-principal: een service-principal met de juiste machtigingen in de gegevensbron waarmee u verbinding wilt maken, is vereist voor Azure Databricks- en Azure Data Lake Storage Gen2-bronnen. Zie Microsoft Entra ID app-registraties voor meer informatie.

• Azure Key Vault: Een Azure Key Vault die is geconfigureerd met het clientgeheim van de service-principal is vereist. De Microsoft Sentinel-toepassingsidentiteit moet machtigingen voor de sleutelkluis hebben. Zie Azure Sleutelkluizen voor meer informatie over het configureren van Azure Sleutelkluizen.

• Microsoft Sentinel-machtigingen: Gegevensmachtigingen (beheren) voor systeemtabelen om een datafederatieconnector te configureren. Zie Rollen en machtigingen in het Microsoft Sentinel-platform voor meer informatie.

Een service-principal maken

Voor Azure Databricks- en ADLS Gen 2-federatie hebt u een service-principal nodig met toegangsreferenties die zijn opgeslagen in Azure Key Vault. U kunt een bestaande service-principal gebruiken of de volgende stappen gebruiken om een nieuwe service-principal te maken.

1. Een Microsoft Entra ID-toepassingsregistratie maken:

   1. Navigeer in de Azure Portal naar Microsoft Entra ID>App-registraties.
   2. Selecteer Nieuwe registratie.
   3. Voer een naam in voor de toepassing.
   4. Laat de omleidings-URI leeg (niet vereist voor dit scenario).
   5. Selecteer Registreren.

2. Een clientgeheim maken:

   1. Ga in uw app-registratie naar Certificaten & geheimen.
   2. Selecteer Nieuw clientgeheim.
   3. Voer een beschrijving in en selecteer een verloopperiode.
   4. Kies Toevoegen.
   5. Kopieer de cliëntgeheimwaarde meteen, want je kunt hem later niet meer terughalen. Je hebt deze waarde nodig wanneer je het geheim opslaat in Azure Key Vault.

3. Noteer de toepassingsdetails:

   • Toepassings-id (client)
   • Object-ID
   • Directory-id (tenant)

Zie Microsoft Entra ID app-registraties voor meer informatie over het maken van service-principals.

Een Azure Key Vault maken en referenties opslaan

U kunt een bestaande Azure Key Vault gebruiken en de onderstaande stappen uitvoeren om Key Vault toegang te configureren of een nieuwe Key Vault maken met behulp van de volgende stappen:

1. Een Azure Key Vault maken:

   1. Maak in de Azure Portal een nieuwe Azure Key Vault.
   2. Gebruik het machtigingsmodel Azure op rollen gebaseerd toegangsbeheer (aanbevolen).
   3. Schakel de instellingen voor soft delete en beveiliging tegen opschonen in voor de sleutelkluis.
   4. Noteer de Key Vault URI na het maken.

2. Key Vault toegang configureren:

   1. Wijs de rol Key Vault-geheimengebruiker toe aan de beheerde identiteit van het Microsoft Sentinel-platform. De identiteit wordt voorafgegaan door msg-resources-.
   2. Als u toegangsbeleid voor Key Vaults gebruikt in plaats van op rollen gebaseerd toegangsbeheer in Azure, moet u de machtigingen Ophalen en Lijst weergeven opgeven voor bewerkingen voor geheimbeheer.

3. Sla het clientgeheim op in Key Vault:

   1. Ga in uw Key Vault naar Geheimen>genereren/importeren.
   2. Maak een nieuw geheim met het clientgeheim van de service-principal.
   3. Noteer de geheime naam. Dit wordt gebruikt bij het configureren van de instantie van de gegevensfederatieconnector.

Zie Azure Sleutelkluizen voor meer informatie over het configureren van Azure Sleutelkluizen.

Federatieve gegevensconnectors weergeven en beheren in de Defender-portal

Federatieve connectors worden beheerd op de pagina Gegevensconnectors in Microsoft Sentinel in de Defender-portal.

1. Navigeer naar Microsoft Sentinel>Configuratie>Gegevensconnectors.

2. Selecteer onder Gegevensfederatiede optie Catalogus om de beschikbare federatieve connectors weer te geven.

   Op de cataloguspagina wordt het volgende weergegeven:

   • Beschikbare typen federatieconnector
   • Aantal geconfigureerde exemplaren voor elke connector
   • Informatie over uitgever en ondersteuning

   

3. Selecteer de pagina Mijn connectors om alle geconfigureerde connectorexemplaren weer te geven. De pagina toont de instanties van de datafederatieconnector voor uw tenant, samen met hun weergavenaam, versie, status en ondersteuningsleverancier.

4. Selecteer elk exemplaar om details weer te geven, configuraties te bewerken of het exemplaar te verwijderen.

Maak een connectorinstantie

Het proces voor het maken van een connectorinstantie varieert afhankelijk van de vraag of u verbinding maakt met Microsoft Fabric, Azure Data Lake Storage Gen 2 of Azure Databricks. Volg de instructies voor uw specifieke gegevensbrontype.

Tabellen van uw connectorinstantie controleren

Nadat u een connectorexemplaar hebt gemaakt, controleert u of de tabellen die u hebt gefedereerd beschikbaar zijn in Microsoft Sentinel.

1. Navigeer naar Microsoft Sentinel > Configuratietabellen>.
2. Filter op Type Federatief om alle federatieve tabellen weer te geven.
3. Zoek op de naam van uw connectorexemplaar.
4. Tabellen van uw connectorinstantie worden weergegeven met hun naam, gevolgd door _instance name. Als bijvoorbeeld de instancenaam van uw gegevensconnector GlobalHRData was en uw tabel hrlogs heette, dan wordt uw tabelnaam weergegeven als hrlogs_GlobalHRData.
5. Selecteer een tabel in de lijst om het detailvenster te openen.
6. Selecteer het tabblad Overzicht om het tabeltype en de federatieprovider weer te geven.
7. Selecteer het tabblad Gegevensbron om de gegevensprovider van het connectorexemplaren en het bronproduct voor de tabel weer te geven. Als u de naam van het connectorexemplaren selecteert, gaat u naar dat exemplaar in Mijn connectors binnen Gegevensconnectors.
8. Selecteer het tabblad Schema om het tabelschema weer te geven.
9. Selecteer vernieuwen op het tabblad Schema om het tabelschema te vernieuwen dat is gekoppeld aan de federatieve tabel.

Connectorinstanties beheren

Een connectorinstantie wijzigen of verwijderen:

1. Ga naar de pagina Gegevensfederatie>Mijn connectors.
2. Selecteer de connectorinstantie die u wilt beheren.
3. Gebruik in het detailvenster de beschikbare opties om het volgende te doen:
   • Verbindingsinstellingen bewerken
   • Federatieve tabellen toevoegen of verwijderen
   • Verwijder de connectorinstantie

Problemen oplossen

Gebruik de volgende controles om veelvoorkomende problemen met de installatie en bewerking van federatieve gegevensconnector vast te stellen.

Verbinding mislukt

• Controleer of de beheerde identiteit van het Sentinel-platform, voorafgegaan door msg-resources-, over de juiste machtigingen voor Azure Key Vault beschikt.

• Als uw verbindingsbron Azure Databricks of Azure Data Lake Storage Gen2 is, moet u ervoor zorgen dat het Key Vault geheim het juiste clientgeheim voor uw service-principal bevat.

• Als je verbindingsbron Azure Databricks is, bevestig dan dat het doelwit een hybride werkruimte gebruikt en dat externe data-toegang voor de werkruimte is ingeschakeld.

• Het Key Vault netwerken moet worden ingesteld op Openbare toegang vanaf alle netwerken toestaan tijdens de connectorconfiguratie. Dit is de standaardconfiguratie van Key Vault. Deze kan worden gewijzigd na het maken of bewerken van de connector.

• Controleer of de externe gegevensbron openbaar toegankelijk is.

• Controleer of de service-principal de juiste machtigingen heeft voor de doelgegevensbron voor Azure Databricks en ADLS.

• Als de doelgegevensbron Fabric is, controleer dan of de identiteit met het voorvoegsel msg-resources- voor Microsoft Sentinel machtigingen heeft gekregen als werkruimtelid.

• Controleer of u niet meer dan 100 verbindingsexemplaren hebt.

Tabellen worden niet weergegeven

• Controleer of de service-principal leestoegang heeft tot de doeltabellen voor ADLS en Azure Databricks en of de service-principal zich in dezelfde tenant bevindt als deze gegevensbronnen.
• Controleer of de doeltafels in delta-parketformaat zijn.
• Voor Databricks moet u ervoor zorgen dat u aan de service-principal zowel de ingebouwde bevoegdheidsvoorinstelling 'Data Reader' als de machtiging 'External Use Schema' hebt verleend.
• Controleer voor ADLS Gen 2 of de rol Lezer van blobgegevens in opslag is toegewezen aan de service-principal.

Prestatieproblemen met query’s

• Houd rekening met de grootte van gegevens die vanuit externe bronnen worden opgevraagd.
• Query's optimaliseren om gegevens vroegtijdig te filteren.
• Controleer de netwerkverbinding tussen Sentinel en de externe bron.

Verwante onderwerpen

• Overzicht van gegevensfederatie
• Query uitvoeren op federatieve tabellen met KQL