Historische gegevens opnemen in uw doelplatform

Om geëxporteerde historische SIEM-gegevens in een doelplatform te verwerken, zorg je er eerst voor dat je een doelplatform hebt gekozen voor historische data, een datatransfertool hebt gekozen voor migratie-opname en de data hebt opgeslagen op een staginglocatie.

Dit artikel beschrijft hoe je gegevens uit je legacy SIEM kunt exporteren en historische gegevens kunt invoeren in Microsoft Sentinel Data Lake, Azure Data Explorer of Azure Blob Storage.

Gegevens exporteren uit de verouderde SIEM

In het algemeen kunnen SIEM's gegevens exporteren of dumpen naar een bestand in uw lokale bestandssysteem, zodat u deze methode kunt gebruiken om de historische gegevens te extraheren. Het is ook belangrijk om een faseringslocatie in te stellen voor uw geëxporteerde bestanden. Het hulpprogramma dat u gebruikt om de gegevensopname over te dragen, kan de bestanden van de faseringslocatie naar het doelplatform kopiëren. Zie Een doel Microsoft platform selecteren om de geëxporteerde historische gegevens te hosten voor informatie over de hulpprogramma's die u kunt gebruiken voor gegevensopname.

In dit diagram ziet u het export- en opnameproces op hoog niveau.

Als u gegevens wilt exporteren uit uw huidige SIEM, raadpleegt u een van de volgende secties:

• Gegevens exporteren uit ArcSight
• Gegevens exporteren uit Splunk
• Gegevens exporteren uit QRadar

Gegevens opnemen in Microsoft Sentinel data lake

Microsoft Sentinel data lake is de systeemeigen gegevenslaag van het Microsoft Sentinel-platform. Het is het eenvoudigste pad naar een uniforme, doorzoekbare geschiedenis van uw beveiligingsgegevens binnen Microsoft Sentinel en het aanbevolen platform voor langetermijnretentie van gegevens.

Om je historische gegevens in het Microsoft Sentinel Data Lake te importeren (zoals weergegeven in het export- en invoerprocesdiagram), gebruik je de tool Custom Log Ingestion.

Ingest to Azure Data Explorer (ADX)

Azure Data Explorer (ADX) is een snelle, schaalbare data-exploratiedienst. Om je historische gegevens in ADX te verwerken:

1. LightIngest ondersteunt alleen Windows. Installeer en configureer LightIngest op het Windows-systeem waar logs worden geëxporteerd, of installeer LightIngest op een ander Windows-systeem dat toegang heeft tot de geëxporteerde logs.
2. Als u geen bestaand ADX-cluster hebt, maakt u een nieuw cluster en kopieert u de verbindingsreeks. Meer informatie over het instellen van ADX.
3. Maak in ADX tabellen en definieer een schema voor de CSV- of JSON-indeling (voor QRadar). Leer hoe je een tabel maakt en een schema definieert met voorbeeldgegevens, of maakt een tabel en definieert een schema zonder voorbeeldgegevens.
4. Voer LightIngest uit met het mappad dat de geëxporteerde logboeken als pad bevat en de ADX-verbindingsreeks als uitvoer. Wanneer u LightIngest uitvoert, moet u ervoor zorgen dat u de naam van de ADX-doeltabel opgeeft, dat het argumentpatroon is ingesteld op *.csven dat de indeling is ingesteld op .csv (of json voor QRadar).

Naar Azure Blob Storage laden

Om je historische data in te voeren in Azure Blob Storage:

1. Installeer en configureer AzCopy op het systeem waarnaar u de logboeken hebt geëxporteerd. U kunt ook AzCopy installeren op een ander systeem dat toegang heeft tot de geëxporteerde logboeken.
2. Maak een Azure Blob Storage-account en kopieer de geautoriseerde Microsoft Entra ID referenties of het Shared Access Signature-token.
3. Voer AzCopy uit met het mappad dat de geëxporteerde logboeken als bron bevat en de Azure Blob Storage verbindingsreeks als uitvoer.

Volgende stap