Gebruik gefedereerde databronnen in Microsoft Sentinel (Preview)

Nadat u federatieve gegevensconnectors hebt ingesteld, hebt u toegang tot uw federatieve tabellen via meerdere interfaces in Microsoft Sentinel. Federatieve tabellen worden op dezelfde manier gebruikt als andere Data Lake-tabellen. In dit artikel wordt uitgelegd hoe u federatieve tabellen weergeeft, er een query op uitvoert met behulp van KQL (Kusto-querytaal) en ermee werkt in Jupyter-notebooks.

Vereisten

Voordat u begint, moet u het volgende controleren:

• Uw tenant moet worden ge onboardd naar de Sentinel Data Lake. Zie Onboard to Microsoft Sentinel data lake (Onboarden naar Microsoft Sentinel data lake) voor meer informatie
• U hebt de juiste machtigingen om query's uit te voeren op gegevens in de Sentinel data lake. Zie Rollen en machtigingen in het Microsoft Sentinel-platform voor meer informatie.

Federatieve tabelnaamgeving begrijpen

Federatieve tabelnamen volgen het patroon <tableName>_<connectorInstanceName>. Bijvoorbeeld:

Als meerdere tabellen in het connectorexemplaren dezelfde tabelnaam hebben, wordt een numerieke id toegevoegd aan de naam van het connectorexemplaren, bijvoorbeeld widgets_ADLS01_1 wanneer twee tabellen in het ADLS01 connectorexemplaren worden aangeroepen widgets.

Gebruik de naam van de federatieve tabel bij het opvragen van gegevens uit de Sentinel data lake.

Federatieve tabellen weergeven in tabelbeheer

De tabelbeheerweergave biedt een overzicht van alle tabellen in uw Sentinel Data Lake, inclusief federatieve tabellen.

1. Ga naar Microsoft Sentinel>Configuratietabellen>.
2. Selecteer het filter Type.
3. Selecteer Federatief en selecteer Toepassen.

Tabeldetails weergeven

Selecteer een tabelrij om het detailvenster te openen. Het deelvenster tabeldetails bevat drie tabbladen:

Query uitvoeren op federatieve tabellen met behulp van KQL

Op de pagina KQL-query's in Microsoft Sentinel kunt u federatieve tabellen naast systeemeigen Sentinel gegevens opvragen. Federatieve tabellen worden ondersteund voor KQL-taken, interactieve en asynchrone query's en MCP-hulpprogramma's.

1. Navigeer naar Microsoft Sentinel>Verkenning van data lake>KQL-query's.

2. Selecteer de knop Geselecteerde werkruimte in de informatiebalk.

3. Selecteer Systeemtabellen als een van de werkruimten.

4. Vouw op het tabblad Schema de sectie Systeemtabellen uit .

5. Vouw de sectie Federatieve tabellen uit.

6. Zoek het federatietype voor uw gegevensbron, zoals Microsoft Fabric, Azure Databricks of Azure Data Lake Storage Gen2.

7. Vouw het federatietype uit om uw federatieve tabellen weer te geven.

8. Vouw een tabel uit om de kolommen weer te geven.

Query's schrijven en uitvoeren

Query's op gefedereerde tabellen werken hetzelfde als query's op native laketabellen, met een paar belangrijke verschillen:

• Het is mogelijk dat er een wijziging optreedt in het schema van een tabel in de externe bron. Dit kan leiden tot een fout tijdens een query die aangeeft dat een kolom niet aanwezig is. Vernieuw kolommen op de pagina Tabelbeheer door de federatieve tabel te selecteren, het tabblad Schema te selecteren en Schema vernieuwen te selecteren.

• Federatieve tabellen zonder kolom TimeGenerated , of waarbij een TimeGenerated kolom aanwezig is met gegevens in de verkeerde indeling, kunnen niet worden gebruikt in Data Lake Explorer om tijdsbereiken te selecteren met behulp van de tijdkiezer in de gebruikersinterface. Definieer datumfilters in de hoofdtekst van de KQL die overeenkomen met de datumnotatie van uw federatieve tabel.

KQL-taken maken op basis van federatieve query's

U kunt KQL-taken maken op basis van query's die gebruikmaken van federatieve tabellen:

1. Schrijf en test uw KQL-query met behulp van federatieve tabellen.
2. Selecteer de knop Taak maken in de rechterbovenhoek van het queryvenster.
3. Configureer de taakinstellingen, inclusief planning en uitvoerbestemming.
4. Sla de job op.

Federatieve tabellen worden volledig ondersteund voor KQL-taken, asynchrone query's en MCP-hulpprogramma's.

Een MCP-hulpprogramma maken met federatieve tabelquery's

U kunt MCP-hulpprogramma's maken op basis van query's die gebruikmaken van federatieve tabellen:

1. Schrijf en test uw KQL-query met behulp van federatieve tabellen.

2. Selecteer de knop Opslaan als boven de queryeditor.

3. Pas de query zo nodig aan, bijvoorbeeld waarden parameteriseren.

4. Voor elke verwijzing naar een federatieve tabel zorgt u ervoor dat u de tabelnaam voorvoegt met workspace("default").. Als uw tabel bijvoorbeeld widgets_ADLS01 was, toont uw code workspace("default").widgets_ADLS01 voor die tabel.

5. Sla het hulpprogramma op.

Federatieve tabellen gebruiken in Jupyter-notebooks

Federatieve tabellen zijn toegankelijk in Jupyter-notebooks via de extensie Microsoft Sentinel VS Code.

In de Microsoft Sentinel VS Code-extensie worden federatieve tabellen weergegeven onder: Lake-tabellen>Systeemtabellen>Federatieve tabellen

Werken met gefedereerde tabellen in Jupyter-notebooks volgt dezelfde patronen als systeemeigen systeemtabellen:

1. Gebruik de volledige tabelnaam: Verwijs naar tabellen met de <tableName>_<connectorInstance> indeling.
2. Geef geen werkruimtenaam op: leesbewerkingen vereisen geen werkruimtespecificatie.
3. Alleen-lezentoegang: federatieve tabellen zijn alleen-lezen; u kunt geen gegevens terugschrijven naar federatieve bronnen.

Jupyter-notebooktaken

U kunt geplande Jupyter-notebooktaken maken die gebruikmaken van federatieve tabellen op dezelfde manier als u een notebooktaak voor systeemeigen Data Lake-tabellen zou maken:

1. Ontwikkel uw notebook met federatieve tabelquery's.
2. Test het notebook om te controleren of federatieve query's correct worden uitgevoerd.
3. Maak een taak vanuit het notitieblok.
4. Configureer het taakschema en de parameters.

Beste praktijken

Volg deze richtlijnen voor queryoptimalisatie, joinstrategie en foutafhandeling om de beste prestaties te behalen uit gefedereerde tabellen.

Queryoptimalisatie

Gebruik de volgende procedures om de prestaties van federatieve query's te verbeteren.

• Filters vroeg toepassen: gegevens bij de bron filteren, indien mogelijk om de gegevensoverdracht te verminderen.
• Resultatensets beperken: gebruik take of limit -componenten tijdens de ontwikkeling.
• Projecties gebruiken: selecteer alleen de kolommen die u nodig hebt om de prestaties te verbeteren.

Voorbeeld: Geoptimaliseerde query

De volgende query laat zien hoe u een grote federatieve gegevensset vroeg filtert om het gegevensvolume te verminderen en alleen de benodigde kolommen te selecteren om de queryprestaties te verbeteren.

large_dataset_adls_connector
| where EventTime >= ago(1h)           // Filter early
| where EventType == "Login"           // Reduce data volume
| project EventTime, UserId, SourceIP  // Select needed columns
| take 10000                           // Limit results

Deelnamestrategieën

Gebruik de volgende queryprestatiepraktijken bij het samenvoegen van gefedereerde en native tabellen.

• Gebruik de juiste jointypen: kies inner, leftouterof rightouter op basis van uw behoeften.
• Filter vóór het joinen: Verminder het gegevensvolume vóór join-bewerkingen.
• Houd rekening met gegevensgrootten: plaats de kleinere tabel aan de rechterkant van de join.

Foutafhandeling

Houd rekening met de volgende procedures om veelvoorkomende federatieve queryproblemen vast te stellen en af te handelen.

• Verbindingsstatus controleren: controleer of federatieve connectorexemplaren zijn verbonden voordat u een query uitvoert.
• Null-waarden verwerken: externe gegevens kunnen onverwachte null-waarden bevatten; gebruik coalesce() of isnull() functies.
• Prestaties van query's bewaken: houd uitvoeringstijden bij voor federatieve query's om prestatieproblemen te identificeren.

Problemen oplossen

Query retourneert geen resultaten

• Controleer of de connectorinstantie zich in een verbonden status bevindt.
• Controleer of de externe gegevensbron beschikbaar is, samen met de tabellen waarop de query is gericht.
• Controleer of de machtigingen niet zijn ingetrokken voor de service-principal of de door Sentinel beheerde identiteit voor de beoogde gegevensbron.
• Controleer of u de juiste federatieve tabelnaamindeling gebruikt.
• Zorg ervoor dat Systeemtabellen beschikbaar zijn in het navigatiedeelvenster voor uw KQL-query's of Notebook-sessie.

Query is traag

• Pas filters toe om het gegevensvolume te verminderen dat vanuit externe bronnen wordt opgevraagd.
• Controleer de prestaties en beschikbaarheid van de externe bron.
• Overweeg overzichtstabellen te maken voor veelgebruikte gegevens.

Schema komt niet overeen

• Bekijk het tabelschema in de tabelbeheerweergave.
• Pas uw query aan om schemaverschillen af te handelen.
• Controleer of het externe tabelschema is gewijzigd sinds het maken van de connector.

McP-hulpprogramma's voor federatieve tabellen kunnen niet worden uitgevoerd

Zorg ervoor dat u de tabelnaam overal waar u binnen de MCP-tool naar een gefedereerde tabel verwijst, vooraf laat gaan door workspace("default")..

Verwante onderwerpen

• Overzicht van gegevensfederatie
• Gefedereerde gegevensconnectoren instellen
• Naslaginformatie voor KQL-query's