Zarządzanie danymi w Microsoft Sentinel i Microsoft Defender

Portal Microsoft Defender zapewnia scentralizowane środowisko do zarządzania danymi Microsoft Sentinel i Microsoft Defender XDR. Doświadczenie Data & connectors konsoliduje zarządzanie konektorami, zarządzanie tabelami, transformacje oraz monitorowanie stanu ingescji w jednym widoku, dzięki czemu możesz zrozumieć i zoptymalizować dane bezpieczeństwa bez konieczności poruszania się między oddzielnymi stronami.

Ten artykuł przedstawia środowisko Data & connectors oraz wyjaśnia, jak go używać do zarządzania danymi w Microsoft Sentinel i Microsoft Defender XDR. W przypadku powiązanych zadań zobacz:

• Konfigurowanie łączników danych w celu wysyłania danych do Microsoft Sentinel lub Microsoft Defender XDR.
• Zarządzaj istniejącymi tabelami i danymi.

Dane i złącza w portalu Microsoft Defender (podgląd)

Środowisko Dane i łączniki łączy zarządzanie łącznikami, zarządzanie tabelami, transformacje oraz monitorowanie kondycji pozyskiwania danych w jednym widoku w portalu Microsoft Defender. Używaj go do zrozumienia i zarządzania danymi Microsoft Sentinel bez konieczności nawigowania między oddzielnymi stronami.

Aby otworzyć to środowisko, w portalu Microsoft Defender wybierz Konfiguracja i instalacja>Dane i łączniki. Strona zawiera trzy zakładki:

• Zakładka Przegląd — Pulpit kondycji importu danych na poziomie przestrzeni roboczej.
• Zakładka Konektory — Scentralizowany inwentarz konektorów danych, w tym klasycznych konektorów Sentinel i zunifikowanych konektorów.
• Zakładka Tabele — zarządzanie tabelami, eksploracja schematów, transformacje i retencja.

Prerequisites

Aby korzystać z doświadczenia Data & connectors w podglądzie, potrzebujesz:

• Zunifikowana kontrola dostępu oparta na rolach (URBAC) została włączona w portalu Microsoft Defender.
• Uprawnienia Data (manage) w grupie uprawnień Data Operations.
• Uprawnienia do obszaru roboczego równoważne z Log Analytics Contributor, w tym:
  • Microsoft.OperationalInsights/workspaces/write
  • Microsoft.OperationalInsights/workspaces/tables/write

Znane ograniczenia

Do podglądu obowiązują następujące ograniczenia:

• Zakładka Źródła Danych w panelu szczegółów tabeli pojawia się tylko dla tabel federacyjnych. Planowane jest wsparcie dla innych typów tabel.
• Doświadczenie Data & connectors jest dostępne wyłącznie w chmurze komercyjnej. Chmury suwerenne, w tym chmury dla instytucji rządowych USA i Chin, nie są obsługiwane.

Zakładka Przegląd

Zakładka Przegląd to pulpit na poziomie przestrzeni roboczej, który wyświetla wskaźniki stanu pozyskiwania danych, dzięki czemu możesz reagować na problemy, zanim wpłyną na detekcje. Filtruj według zakresu czasowego i przestrzeni roboczej, aby zawęzić zakres danych na dashboardzie.

Karta Omówienie obejmuje:

• Wolumen pozyskiwania danych — Dzienny wolumen pozyskiwania danych w podziale na warstwę Analytics i warstwę Data Lake dla wybranego przedziału czasu.
• Złącza wymagające uwagi — Złącza z błędami poświadczeń, awariami lub przestojami, wraz z typem błędu, liczbą awarii w ciągu ostatnich 24 godzin oraz ostatnim pomyślnym pobraniem danych.
• Wahania pozyskiwania danych tabel — Tabele z nieoczekiwanymi zmianami wolumenu w porównaniu do tego samego dnia w poprzednim tygodniu, pogrupowane jako skoki i spadki. Możesz regulować progi fluktuacji.
• Wolumen pozyskiwania danych według tabeli — Tabele o największym wolumenie pozyskiwania danych uszeregowane według dziennego wolumenu, dzięki czemu można zidentyfikować tabele o dużym wolumenie pozyskiwania danych, które generują koszty pozyskiwania.
• Opóźnienie przetwarzania danych według tabeli — czas między generowaniem danych a dostępnością w Twoim środowisku, dzięki czemu można zidentyfikować ograniczanie łączników lub opóźnienia po stronie źródła.

Zakładka konektorów

Zakładka Connectors łączy ujednolicone konektory danych oraz klasyczne konektory danych Sentinel w jednym wykazie. Użyj go do przeglądania stanu złącza, dodawania nowych złączy lub otwarcia widoku szczegółów złącza.

Zakładka Konektory zawiera:

• Zunifikowany inwentarz złączy — Wszystkie zintegrowane złącza, wraz ze statusem, dostawcą, źródłem treści i dostępnymi aktualizacjami.
• Przełączaj się między zunifikowanymi a klasycznymi łącznikami — Użyj selektora klasycznych łączników, aby przełączać się między katalogiem zunifikowanego łącznika a spisem klasycznych łączników danych Sentinel, który obejmuje łączniki zbudowane przy użyciu Codeless Connector Framework (CCF).
• Filtruj według dostawcy, typu danych i statusu — Zawęż listę, aby szybko znaleźć konkretne konektory.
• Asystent wdrożenia danych — Kierowany przepływ dodawania nowych złączy.
• Stwórz niestandardowe złącze — Rozpocznij nowe niestandardowe złącze z zakładki Złącza.

Tabele

Dane zbierane do Microsoft Sentinel i Microsoft Defender XDR są przechowywane w tabelach. Zakładka Tabele to miejsce, gdzie przeglądasz swoje tabele, przeglądasz stan pozyskiwania danych, przeglądasz ich schemat i transformacje oraz zarządzasz okresem przechowywania i kosztami przechowywania danych związanymi z nimi.

Którymi tabelami można zarządzać w portalu Microsoft Defender?

W tej sekcji opisano typy tabel, które można zarządzać w portalu Microsoft Defender.

Jak działają warstwy danych i przechowywanie

Dane można przechowywać w Microsoft Sentinel w jednej z dwóch warstw:

• Warstwa analizy: ta warstwa udostępnia dane dotyczące alertów, wyszukiwań, skoroszytów i wszystkich funkcji Microsoft Sentinel. Przechowuje dane w dwóch stanach:

  • Przechowywanie danych analitycznych: w tym „gorącym” stanie dane są w pełni dostępne na potrzeby analizy w czasie rzeczywistym, w tym wysokowydajnych zapytań, reguł analitycznych i wyszukiwania zagrożeń. Domyślnie Microsoft Sentinel i Microsoft Defender XDR przechowują dane w tej warstwie przez 30 dni. Okres przechowywania wszystkich tabel można przedłużyć do dwóch lat z proporcjonalną miesięczną opłatą za przechowywanie długoterminowe. Możesz bezpłatnie przedłużyć okres przechowywania tabel rozwiązań Microsoft Sentinel do 90 dni.
  • Całkowity okres przechowywania: Domyślnie wszystkie dane w warstwie analitycznej są odzwierciedlane w jeziorze danych przez ten sam okres przechowywania. Przechowywanie danych w jeziorze można rozszerzyć poza okres przechowywania analizy na maksymalnie 12 lat całkowitego przechowywania przy niskich kosztach.

• Warstwa Data Lake: w tej taniej, „zimnej” warstwie Microsoft Sentinel przechowuje dane wyłącznie w usłudze Data Lake. Dane w warstwie Data Lake nie są dostępne dla funkcji analizy w czasie rzeczywistym i wyszukiwania zagrożeń. Jednak możesz uzyskiwać dostęp do danych w jeziorze zawsze, gdy są potrzebne za pośrednictwem zadań KQL, analizować trendy w czasie, uruchamiając zaplanowane zadania KQL lub Spark oraz agregować szczegółowe informacje z danych przychodzących w regularnym tempie przy użyciu reguł podsumowania.

• Dane XDR: Domyślnie dane wyszukiwania zagrożeń w usłudze Microsoft Defender XDR są zawsze dostępne w warstwie Analytics przez 30 dni. Możesz wydłużyć okres przechowywania tych danych w warstwie Analytics do 90 dni, co wiąże się z opłatami za pozyskiwanie danych, natomiast magazynowanie pozostaje bezpłatne. Wydłużenie okresu przechowywania poza 90 dni w warstwie Analiza wiąże się również z kosztami magazynowania. Możesz również przekazywać dane wyłącznie do warstwy Data Lake, ale dane pozostają dostępne w warstwie Analytics przez 30 dni. Bezpośrednie importowanie danych XDR do warstwy Data Lake jest bardziej opłacalne kosztowo, ale wiąże się z kosztami importowania, przechowywania i przetwarzania. W tej opcji klienci nadal otrzymują dane z 30 dni w warstwie Analiza bez dodatkowych kosztów.

Aby uzyskać więcej informacji o różnicach między poziomem Analytics a poziomem Data Lake, zobacz Porównaj poziomy analityki i data lake.

Poniższy diagram ilustruje komponenty retencji domyślnych poziomów Analytics, Data Lake i XDR oraz typy tabel odnoszące się do każdego poziomu:

Aby uzyskać więcej informacji na temat Microsoft Sentinel data lake, zobacz What is Microsoft Sentinel data lake (Co to jest Microsoft Sentinel data lake).

Użyj statystyk tabeli do monitorowania na poziomie tabeli

Informacje o tabelach na karcie Tabele pomagają zrozumieć kondycję pozyskiwania danych na poziomie tabeli dla wybranego obszaru roboczego Microsoft Sentinel. Zapewnia ona szybkie sygnały obserwacji, dzięki czemu można zidentyfikować wzorce pozyskiwania i kosztów przed zmianą ustawień warstwy lub przechowywania.

Wskaźniki analizy tabeli pojawiają się w dwóch miejscach na karcie Tabele:

• Kafelki podsumowujące na górze strony pokazują liczby na poziomie obszaru roboczego, w tym liczbę tabel oraz sposób ich rozmieszczenia pomiędzy warstwą Analytics, warstwą Data Lake i domyślną warstwą XDR.
• Kolumny w siatce tabel pokazują wskaźniki stanu dla każdej tabeli, w tym:
  • Ostatnie odebrane dane
  • Średnia dzienna ilość przyjętych danych
  • Szacowany dzienny koszt pozyskiwania danych
  • Anomalia wolumenu (wahania pozyskiwania danych z dnia na tydzień)

Używaj kolumn siatki do sortowania, filtrowania i porównywania tabel obok siebie. Połącz te sygnały, aby wykrywać awarie złączy, badać skoki kosztów, weryfikować onboarding nowych złączy oraz identyfikować kandydatów do optymalizacji retencji i poziomu.

Aby uzyskać wskazówki dotyczące konfiguracji, dostępu i interpretacji, zobacz Konfigurowanie ustawień tabeli w Microsoft Sentinel.

Panel szczegółów tabeli

Wybierz tabelę na zakładce Tabele , aby otworzyć panel szczegółów tabeli. Panel konsoliduje schemat, transformacje i informacje o retencji dla wybranej tabeli. Zawiera następujące karty:

Porównanie warstw analizy i usługi Data Lake

W tej tabeli porównaliśmy warstwy Analizy i Data Lake oraz ich kluczowe cechy:

Co się stanie po zmodyfikowaniu ustawień tabeli

Ustawienia warstwy i przechowywania tabeli można przełączać w dowolnym momencie.

Gdy zmienisz warstwę tabeli z Analizy na Data Lake, wszystkie zapytania analizy i wyszukiwania zagrożeń w czasie rzeczywistym przestaną działać.

Po skróceniu całkowitego przechowywania tabeli Microsoft czeka 30 dni przed usunięciem danych, aby można było przywrócić zmianę i uniknąć utraty danych w przypadku wystąpienia błędu konfiguracji.

Po zwiększeniu całkowitego okresu przechowywania nowy okres przechowywania ma zastosowanie do wszystkich danych, które zostały już pozyskane do tabeli i nie zostały jeszcze usunięte.

Po zmianie ustawień przechowywania analizy tabeli z istniejącymi danymi zmiana zostanie natychmiast wprowadzona.

Przykład:

• Masz tabelę w warstwie Analiza z 180-dniowym przechowywaniem analiz. Domyślnie łączne przechowywanie jest również ustawione na 180 dni.
• Zmieniasz okres przechowywania danych analitycznych na 90 dni bez zmiany całkowitego okresu przechowywania, który nadal wynosi 180 dni.
• Microsoft Sentinel automatycznie usuwa ostatnie 90 dni przechowywania danych z analizy, ale nadal przechowuje dane, które mają od 90 do 180 dni w warstwie Data Lake.

Zarządzanie danymi XDR w Microsoft Sentinel

Domyślnie Microsoft Defender XDR przechowuje dane wyszukiwania zagrożeń w domyślnej warstwie XDR przez 30 dni. Te dane nie są domyślnie importowane do warstw Analytics ani Data Lake. Jeśli wydłużysz okres przechowywania obsługiwanych tabel XDR powyżej 30 dni, do maksymalnie 90 dni, będą naliczane koszty pozyskiwania danych w usłudze Sentinel, ale nie będzie żadnych dodatkowych kosztów przechowywania. Tabele są tworzone w obszarze roboczym Microsoft Sentinel w warstwie Analytics i replikowane do warstwy Data Lake.

Jeśli włączysz łącznik Microsoft Sentinel XDR w portalu Azure, tabele wybrane podczas konfiguracji są automatycznie importowane do warstwy Analytics i odzwierciedlane w warstwie Data Lake. Domyślny okres przechowywania to 30 dni i można go przedłużyć do 12 lat. Aby uzyskać listę tabel, zobacz integrację Microsoft Defender XDR z Microsoft Sentinel. Możesz importować obsługiwane tabele XDR, których nie wybrano podczas wdrażania łącznika, do warstwy Analytics oraz replikować je do warstwy Data Lake, ustawiając okres przechowywania na ponad 30 dni.

Jeśli nie włączysz łącznika Microsoft Sentinel XDR, tabele XDR nie są pozyskiwane automatycznie, ale nadal można je pozyskiwać, ustawiając opcję Analiza lub przechowywanie warstwy Data Lake na ponad 30 dni w portalu Microsoft Defender.

Możesz wybrać opcję pozyskiwania obsługiwanych tabel XDR wyłącznie w warstwie Data Lake, wybierając opcję warstwy Data Lake podczas konfigurowania ustawień przechowywania. Aby uzyskać więcej informacji, zobacz Konfigurowanie przechowywania danych i warstwowania.

Aby przestać pozyskiwać dane do warstwy Analytics, zresetuj retencję Analytics i retencję całkowitą do domyślnych 30 dni.

Aby uzyskać więcej informacji na temat zarządzania tabelami i danymi, zobacz Zarządzanie istniejącymi tabelami i danymi.

Przechowywanie danych XDR i koszty

Poniższe tabele zawierają podsumowanie bezpłatnych okresów przechowywania i wpływu na koszty dla różnych warstw w Microsoft Sentinel:

Aby uzyskać więcej informacji na temat rozliczeń i kosztów, zobacz Omówienie pełnego modelu rozliczeń dla Microsoft Sentinel.

W poniższych przykładach dane XDR są dostępne za pośrednictwem zaawansowanego wyszukiwania zagrożeń przez co najmniej 30 dni, niezależnie od ustawień przechowywania w warstwach analizy lub usługi Data Lake.

Następne kroki

Dowiedz się więcej o:

• Konfigurowanie warstw tabel dzienników i ustawień przechowywania
• Tworzenie zadania wyszukiwania w celu pobrania danych pasujących do określonych kryteriów