Skonfiguruj sfederowane łączniki danych w jeziorze danych Microsoft Sentinel (wersja zapoznawcza)

W tym artykule wyjaśniono, jak skonfigurować federacyjne łączniki danych, aby umożliwić wykonywanie zapytań o zewnętrzne źródła danych z usługi Microsoft Sentinel data lake. Możesz federować z usługami Azure Databricks, Azure Data Lake Storage (ADLS) Gen 2 i Microsoft Fabric. W tym artykule omówiono sposób tworzenia nazwy głównej usługi, przechowywania poświadczeń w usłudze Azure Key Vault oraz konfigurowania wystąpienia łącznika dla każdego obsługiwanego źródła danych. Skorzystaj z tego przewodnika, jeśli jesteś administratorem zabezpieczeń, który musi przenieść dane zewnętrzne do Microsoft Sentinel na potrzeby badania i analizy.

Wymagania wstępne

Przed skonfigurowaniem federacji danych upewnij się, że spełniasz następujące wymagania:

• Dołączanie do usługi Sentinel Data Lake: Twoja dzierżawa musi zostać dołączona do usługi Sentinel Data Lake. Aby uzyskać więcej informacji, zobacz Dołączanie do Microsoft Sentinel data lake.

• Dostępność publiczna: źródło zewnętrzne musi być publicznie dostępne. Prywatne punkty końcowe nie są obecnie obsługiwane.

• Nazwa główna usługi: nazwa główna usługi z odpowiednimi uprawnieniami w źródle danych, z którym chcesz się połączyć, jest wymagana w przypadku źródeł Azure Databricks i Azure Data Lake Storage Gen2. Aby uzyskać więcej informacji, zobacz rejestracje aplikacji w usłudze Microsoft Entra ID.

• Azure Key Vault: wymagany jest Azure Key Vault skonfigurowany przy użyciu klucza tajnego klienta jednostki usługi. Tożsamość aplikacji Microsoft Sentinel wymaga uprawnień przypisanych do magazynu kluczy. Aby uzyskać więcej informacji na temat konfigurowania magazynów kluczy Azure, zobacz Azure Magazyny kluczy.

• Uprawnienia usługi Microsoft Sentinel: uprawnienia Data (zarządzanie) do tabel systemowych wymagane do skonfigurowania łącznika federacji danych. Aby uzyskać więcej informacji, zobacz Role i uprawnienia na platformie Microsoft Sentinel.

Tworzenie jednostki usługi

W przypadku federacji Azure Databricks i ADLS Gen 2 potrzebna jest nazwana jednostka usługi z poświadczeniami dostępu przechowywanymi w usłudze Azure Key Vault. Możesz użyć istniejącej jednostki usługi lub wykonać poniższe kroki, aby utworzyć nową jednostkę usługi.

1. Tworzenie rejestracji aplikacji Microsoft Entra ID:

   1. W Azure Portal przejdź do Microsoft Entra ID>Rejestracje aplikacji.
   2. Wybierz pozycję Nowa rejestracja.
   3. Wprowadź nazwę aplikacji.
   4. Pozostaw pole URI przekierowania puste (nie jest wymagane w tym przypadku).
   5. Wybierz pozycję Zarejestruj.

2. Utwórz klucz tajny klienta:

   1. W rejestracji aplikacji przejdź do pozycji Certyfikaty i klucze tajne.
   2. Wybierz pozycję Nowy klucz tajny klienta.
   3. Wprowadź opis i wybierz okres wygaśnięcia.
   4. Wybierz opcję Dodaj.
   5. Natychmiast skopiuj wartość sekretu klienta, ponieważ nie możesz jej później odzyskać. Potrzebujesz tej wartości, gdy przechowujesz sekret w Azure Key Vault.

3. Zanotuj szczegóły aplikacji:

   • Identyfikator aplikacji (klienta)
   • Identyfikator obiektu
   • Identyfikator katalogu (dzierżawcy)

Aby uzyskać więcej informacji na temat tworzenia nazw głównych usługi, zobacz rejestracje aplikacji w usłudze Microsoft Entra ID.

Tworzenie Azure Key Vault i przechowywanie poświadczeń

Możesz użyć istniejącego Azure Key Vault i wykonać poniższe kroki, aby skonfigurować dostęp Key Vault lub utworzyć nową Key Vault, wykonując następujące kroki:

1. Utwórz Azure Key Vault:

   1. W Azure Portal utwórz nowy Azure Key Vault.
   2. Użyj modelu uprawnień Azure kontroli dostępu opartej na rolach (zalecane).
   3. Włącz ustawienia usuwania miękkiego i ochrony przed trwałym usunięciem dla magazynu kluczy.
   4. Zanotuj adres URI usługi Key Vault po jej utworzeniu.

2. Konfigurowanie dostępu Key Vault:

   1. Przypisz rolę Key Vault Secrets User do tożsamości zarządzanej platformy Microsoft Sentinel. Identyfikator jest poprzedzony prefiksem msg-resources-.
   2. Jeśli używasz zasad dostępu dla usługi Key Vault zamiast kontroli dostępu opartej na rolach platformy Azure, przyznaj uprawnienia Pobieranie i Wyświetlanie listy dla operacji zarządzania wpisami tajnymi.

3. Przechowuj klucz tajny klienta w Key Vault:

   1. W usłudze Key Vault przejdź do Klucze tajne>Generuj/Importuj.
   2. Utwórz nowy wpis tajny zawierający klucz tajny klienta jednostki usługi.
   3. Zanotuj tajną nazwę. Służy do konfigurowania instancji łącznika federacji danych.

Aby uzyskać więcej informacji na temat konfigurowania magazynów kluczy Azure, zobacz Azure Magazyny kluczy.

Wyświetlanie łączników danych federacyjnych i zarządzanie nimi w portalu Defender

Łączniki federacyjne są zarządzane na stronie Łączniki danych w Microsoft Sentinel w portalu usługi Defender.

1. Przejdź do Microsoft Sentinel>Konfiguracja>Łączniki danych.

2. W obszarze Federacja danych wybierz pozycję Wykaz , aby wyświetlić dostępne łączniki federacyjne.

   Na stronie katalogu są wyświetlane:

   • Dostępne typy łączników federacyjnych
   • Liczba skonfigurowanych wystąpień dla każdego łącznika
   • Informacje o wydawcy i pomocy technicznej

   

3. Wybierz stronę Moje łączniki, aby wyświetlić wszystkie skonfigurowane wystąpienia łączników. Na stronie wyświetlane są wystąpienia łącznika federacji danych w dzierżawie wraz z ich nazwą wyświetlaną, wersją, statusem i dostawcą wsparcia.

4. Wybierz każde wystąpienie, aby wyświetlić szczegóły, edytować konfiguracje lub usunąć wystąpienie.

Utwórz instancję łącznika

Proces tworzenia wystąpienia łącznika różni się w zależności od tego, czy łączysz się z Microsoft Fabric, Azure Data Lake Storage Gen 2 czy Azure Databricks. Postępuj zgodnie z instrukcjami dotyczącymi określonego typu źródła danych.

Zweryfikuj tabele z instancji łącznika

Po utworzeniu instancji konektora sprawdź, czy sfederowane tabele są dostępne w Microsoft Sentinel.

1. Przejdź do Microsoft Sentinel > tabel konfiguracji>.
2. Filtruj według typu federacyjnego , aby wyświetlić wszystkie tabele federacyjne.
3. Wyszukaj po nazwie instancji łącznika.
4. Tabele z instancji łącznika są wyświetlane pod nazwą, po której następuje _instance name. Jeśli na przykład wystąpienie łącznika danych miało nazwę GlobalHRData, a tabela miała nazwę hrlogs, nazwa tabeli jest wyświetlana jako hrlogs_GlobalHRData.
5. Wybierz tabelę z listy, aby otworzyć panel szczegółów.
6. Wybierz kartę Przegląd , aby wyświetlić typ tabeli i dostawcę federacji.
7. Wybierz kartę Źródło danych, aby zobaczyć dostawcę danych dla wystąpienia łącznika i produkt źródłowy tabeli. Wybranie nazwy wystąpienia łącznika spowoduje przejście do tego wystąpienia w obszarze Moje łączniki w łącznikach danych.
8. Wybierz kartę Schemat , aby wyświetlić schemat tabeli.
9. Na karcie Schemat wybierz pozycję Odśwież , aby odświeżyć schemat tabeli skojarzony z tabelą federacyjną.

Zarządzaj instancjami konektorów

Aby zmodyfikować lub usunąć instancję łącznika:

1. Przejdź do strony Federacja> danychMoje łączniki.
2. Wybierz wystąpienie łącznika, które chcesz zarządzać.
3. W panelu szczegółów użyj dostępnych opcji, aby:
   • Edytowanie ustawień połączenia
   • Dodawanie lub usuwanie tabel federacyjnych
   • Usuń instancję łącznika

Rozwiązywanie problemów

Użyj poniższych testów, aby zdiagnozować typowe problemy z konfiguracją i operacją łącznika danych federacyjnych.

Połączenie kończy się niepowodzeniem

• Sprawdź, czy tożsamość zarządzana platformy Sentinel z prefiksem msg-resources- ma odpowiednie uprawnienia w usłudze Azure Key Vault.

• Jeśli źródłem połączenia jest Azure Databricks lub Azure Data Lake Storage Gen2, upewnij się, że wpis tajny w usłudze Key Vault zawiera prawidłowy klucz tajny klienta dla nazwy głównej usługi.

• Jeśli źródłem połączenia jest Azure Databricks, upewnij się, że element docelowy używa hybrydowego typu obszaru roboczego i że włączono dostęp do danych zewnętrznych dla tego obszaru roboczego.

• Sieć Key Vault musi być ustawiona na zezwalanie na dostęp publiczny ze wszystkich sieci podczas konfiguracji łącznika, co jest domyślną konfiguracją Key Vault. Można ją zmienić po utworzeniu lub edytowaniu łącznika.

• Upewnij się, że zewnętrzne źródło danych jest publicznie dostępne.

• Sprawdź, czy jednostka usługi ma odpowiednie uprawnienia do docelowego źródła danych używanego przez Azure Databricks i ADLS.

• Jeśli docelowym źródłem danych jest Fabric, sprawdź, czy tożsamości z prefiksem msg-resources- dla usługi Microsoft Sentinel przyznano uprawnienie Członek obszaru roboczego.

• Sprawdź, czy nie masz więcej niż 100 wystąpień połączeń.

Tabele nie są wyświetlane

• Sprawdź, czy jednostka usługi ma dostęp do odczytu do tabel docelowych dla usług ADLS i Azure Databricks, a jednostka usługi znajduje się w tej samej dzierżawie co te źródła danych.
• Sprawdź, czy tabele docelowe są w formacie Delta Parquet.
• W przypadku usługi Databricks upewnij się, że nazwie głównej usługi przyznano zarówno wbudowane ustawienie uprawnień „Data Reader”, jak i uprawnienie „External Use Schema”.
• W przypadku usługi ADLS Gen 2 potwierdź, że rola Czytelnik danych obiektów blob magazynu jest przypisana do jednostki usługi.

Problemy z wydajnością zapytań

• Weź pod uwagę rozmiar danych pobieranych z zewnętrznych źródeł.
• Optymalizowanie zapytań w celu wczesnego filtrowania danych.
• Sprawdź łączność sieciową między Sentinel a źródłem zewnętrznym.

Treści powiązane

• Omówienie federacji danych
• Wykonywanie zapytań dotyczących tabel federacyjnych za pomocą protokołu KQL