Voeg Microsoft Sentinel toe aan een Log Analytics-werkruimte

In deze quickstart schakelt u Microsoft Sentinel in en installeert u een oplossing vanuit de content hub. Vervolgens stelt u een gegevensconnector in om gegevens in Microsoft Sentinel te gaan verzamelen. Voordat u begint, moet u ervoor zorgen dat u voldoet aan de vereisten, waaronder een actief Azure-abonnement en de vereiste machtigingen.

Microsoft Sentinel bevat veel gegevensconnectoren voor Microsoft-producten, zoals de Microsoft Defender XDR service-to-service-connector. U kunt ook ingebouwde connectors inschakelen voor niet-Microsoft-producten, zoals Syslog of Cef (Common Event Format). Voor deze quickstart gebruikt u de Azure Activity-gegevensconnector die beschikbaar is in de oplossing Azure Activity voor Microsoft Sentinel.

Als u wilt onboarden naar Microsoft Sentinel met behulp van de API, raadpleegt u de meest recente ondersteunde versie van Sentinel Onboarding States.

Vereisten

• Actief Azure-abonnement: Als je er geen hebt, maak dan een gratis Azure-account aan voordat je begint.

• Machtigingen:

  • Als u Microsoft Sentinel wilt inschakelen, hebt u inzendermachtigingen nodig voor het abonnement waarin de Microsoft Sentinel werkruimte zich bevindt.

  • Als u Microsoft Sentinel wilt gebruiken, hebt u de machtigingen Microsoft Sentinel-inzender of Microsoft Sentinel-lezer nodig voor de resourcegroep waartoe de werkruimte behoort.

  • Als u oplossingen in de inhoudshub wilt installeren of beheren, hebt u de rol Microsoft Sentinel Inzender nodig voor de resourcegroep waartoe de werkruimte behoort.

  • Als u een nieuwe Microsoft Sentinel klant bent en machtigingen hebt van een abonnementseigenaar of een beheerder van gebruikerstoegang, wordt uw werkruimte automatisch toegevoegd aan de Defender-portal. Gebruikers van dergelijke werkruimten gebruiken Microsoft Sentinel alleen in de Defender-portal.

• Microsoft Sentinel is een betaalde dienst: Bekijk de prijsopties van Microsoft Sentinel en de prijspagina van Microsoft Sentinel.

• Voordat u Microsoft Sentinel implementeert in een productieomgeving, controleert u de predeploymentactiviteiten en vereisten voor het implementeren van Microsoft Sentinel.

Een Log Analytics-werkruimte maken

Microsoft Sentinel moet worden toegevoegd aan een werkruimte. Als u al een Log Analytics werkruimte hebt, gaat u verder met Microsoft Sentinel toevoegen aan uw Log Analytics werkruimte. Als u nog geen Log Analytics werkruimte hebt, maakt u er een met behulp van de volgende procedure in deze sectie. Zie Een Log Analytics werkruimte maken voor een gedetailleerdere uitleg. Zie Uw implementatie van Azure Monitor-logboeken ontwerpen voor meer informatie over Log Analytics-werkruimtes.

Uw Log Analytics werkruimte heeft mogelijk een standaard bewaarperiode van 30 dagen onder verouderde prijscategorieën. Om ervoor te zorgen dat u alle Microsoft Sentinel functionaliteit en functies kunt gebruiken, verhoogt u de retentie tot 90 dagen. Beleid voor gegevensbewaring en archivering configureren in Azure Monitor-logboeken.

1. Meld u aan bij Azure Portal.

2. Zoek en selecteer Microsoft Sentinel.
   

3. Selecteer Aanmaken.

4. Selecteer Een nieuwe werkruimte maken.

5. Selecteer onderAbonnementsresourcegroep>de optie Nieuwe maken. Voer een naam in voor uw resourcegroep en selecteer OK.

6. Geef de werkruimte een naam, selecteer een regio en selecteer vervolgens Beoordelen en maken. (Zie Log Analytics regionale beschikbaarheid.)

7. Nadat de validatie is voltooid, selecteert u Maken. Wacht totdat uw implementatie is voltooid.

Microsoft Sentinel toevoegen aan uw Log Analytics-werkruimte

Voer de volgende stappen uit om Microsoft Sentinel toe te voegen aan een bestaande Log Analytics-werkruimte:

1. Zoek en selecteer Microsoft Sentinel in de Azure Portal.

2. Selecteer Aanmaken.

3. Selecteer de werkruimte die u wilt gebruiken en selecteer Toevoegen. U kunt Microsoft Sentinel uitvoeren op meer dan één werkruimte, maar gegevens worden geïsoleerd in één werkruimte.

   • De standaardwerkruimten die door Microsoft Defender voor Cloud zijn gemaakt, worden niet weergegeven in de lijst. U kunt Microsoft Sentinel niet installeren op deze werkruimten.
   • Eenmaal geïmplementeerd in een werkruimte, biedt Microsoft Sentinel geen ondersteuning voor het verplaatsen van die werkruimte naar een andere resourcegroep of een ander abonnement.

Toegang tot Microsoft Sentinel in de Defender-portal

Om toegang te krijgen tot Microsoft Sentinel in het Defender-portaal:

1. Meld u aan bij de Defender-portal.

   De eerste keer dat u de Defender-portal opent, duurt het enige tijd om uw tenant in te richten.

2. Zodra dit is ingericht, ziet u Microsoft Sentinel in het navigatiedeelvenster, met daaronder geneste Microsoft Sentinel-knooppunten. Bijvoorbeeld:

   

3. Schuif omlaag in het navigatiedeelvenster en selecteer Instellingen > Microsoft Sentinel > Werkruimten om de werkruimten weer te geven die zijn toegevoegd aan de Defender-portal en voor u beschikbaar zijn.

De Defender-portal ondersteunt meerdere werkruimten, waarbij één werkruimte fungeert als de primaire werkruimte per tenant. Zie Meerdere Microsoft Sentinel werkruimten in de Defender-portal en Microsoft Defender multitenantbeheer voor meer informatie.

Een oplossing installeren vanuit de inhoudshub

De inhoudshub in Microsoft Sentinel is de centrale locatie voor het detecteren en beheren van out-of-the-box inhoud, inclusief gegevensconnectors. Voor deze quickstart installeert u de oplossing voor Azure Activity.

1. Blader in Microsoft Sentinel naar de pagina Inhoudshub en zoek en selecteer de oplossing Azure Activiteit.

   • Defender-portal
   • Azure Portal

   

2. Selecteer installeren in het detailvenster van de oplossing aan de zijkant.

Azure Activity-gegevensconnector instellen

Microsoft Sentinel neemt gegevens op uit services en apps door verbinding te maken met de service en de gebeurtenissen en logboeken door te sturen naar Microsoft Sentinel. Voor deze quickstart installeert u de gegevensconnector om gegevens voor Azure Activiteit door te sturen naar Microsoft Sentinel.

1. Selecteer in Microsoft Sentinel Configuratie>Gegevensconnectors en zoek naar en selecteer de gegevensconnector Azure Activity.

2. Selecteer in het detailvenster van de connector de optie Connectorpagina openen. Gebruik de instructies op de pagina Azure Activiteitsconnector om de gegevensconnector in te stellen.

   1. Selecteer Wizard voor Azure Policy-toewijzing starten.

   2. Stel op het tabblad Basis het Bereik in op het abonnement en de resourcegroep waarvan de activiteit naar Microsoft Sentinel moet worden verzonden. Selecteer bijvoorbeeld het abonnement dat uw Microsoft Sentinel-exemplaar bevat.

   3. Selecteer het tabblad Parameters en stel de primaire Log Analytics-werkruimte in. Dit moet de werkruimte zijn waar Microsoft Sentinel is geïnstalleerd.

   4. Selecteer Beoordelen + maken en Maken.

Activiteitsgegevens genereren

We gaan enkele activiteitsgegevens genereren door een regel in te schakelen die is opgenomen in de oplossing Azure Activiteit voor Microsoft Sentinel. In deze stap ziet u ook hoe u inhoud beheert in de inhoudshub.

1. Selecteer in Microsoft Sentinel De hub Inhoud en zoek en selecteer de sjabloon voor de implementatieregel voor verdachte resources in de oplossing Azure Activity.

2. Selecteer in het detailvenster Regel maken om een nieuwe regel te maken met behulp van de wizard Analyseregel.

3. Wijzig op de pagina Wizard Analyseregel - Een nieuwe geplande regel maken de Status in Ingeschakeld.

   Op de tabbladen Algemeen, Regellogica instellen, Incidentinstellingen en Geautomatiseerde respons laat je de standaardwaarden zoals ze zijn.

4. Selecteer op het tabblad Controleren en makende optie Maken.

Gegevens weergeven die zijn opgenomen in Microsoft Sentinel

Nu u de connector voor Azure activiteitsgegevens hebt ingeschakeld en enkele activiteitsgegevens hebt gegenereerd, gaan we de activiteitsgegevens bekijken die aan de werkruimte zijn toegevoegd.

1. Selecteer in Microsoft Sentinel Configuratie>Gegevensconnectors en zoek naar en selecteer de gegevensconnector Azure Activity.

2. Selecteer in het detailvenster van de connector de optie Connectorpagina openen.

3. Controleer de status van de gegevensconnector. Deze moet Verbonden zijn.

   

4. Selecteer een tabblad om door te gaan, afhankelijk van de portal die u gebruikt:

   • Defender-portal
   • Azure Portal

   1. Selecteer Ga naar log analytics om de pagina Geavanceerde opsporing te openen .

   2. Selecteer bovenaan het deelvenster naast het tabblad Nieuwe query de + om een nieuw querytabblad toe te voegen.

   3. Voer de volgende query uit om de activiteitsdatum weer te geven die in de werkruimte is opgenomen:

      AzureActivity
      

   Bijvoorbeeld:

   

Overzicht

In deze quickstart hebt u Microsoft Sentinel ingeschakeld en een oplossing vanuit de inhoudshub geïnstalleerd. Vervolgens stelt u een gegevensconnector in om te beginnen met het opnemen van gegevens in Microsoft Sentinel. U hebt ook gecontroleerd of gegevens worden opgenomen door de gegevens in de werkruimte te bekijken.

Als u een nieuwe klant bent die automatisch is voorbereid op de Defender-portal, hebben uw gebruikers alleen toegang tot Microsoft Sentinel in de Defender-portal. Wanneer u de Microsoft Sentinel-documentatie gebruikt, moet u de Defender-portalversie van de documentatie selecteren.

Verwante onderwerpen

• Visualiseer de verzamelde gegevens op de Microsoft Sentinel Overzichtspagina.
• Tutorial: Detectie van bedreigingen met behulp van analyseregels in Microsoft Sentinel