Korzystanie z interfejsu API przesyłania strumieniowego w usłudze Microsoft Defender dla Firm

Jeśli Twoja organizacja posiada Security Operations Center (SOC), możesz korzystać z API streamingowego Ochrona punktu końcowego w usłudze Microsoft Defender z Defender dla Firm oraz Microsoft 365 Business Premium. Interfejs API przesyłania strumieniowego usługi Ochrona punktu końcowego w usłudze Microsoft Defender umożliwia przesyłanie strumieniowe danych, takich jak zdarzenia związane z plikami na urządzeniu, rejestrem, siecią i logowaniem, a także innych danych, do jednej z następujących usług:

• Microsoft Sentinel: skalowalne, natywne dla chmury rozwiązanie, które zapewnia funkcje zarządzania informacjami o zabezpieczeniach i zdarzeniami (SIEM) oraz aranżacji zabezpieczeń, automatyzacji i reagowania (SOAR).
• Azure Event Hubs: nowoczesna platforma do strumieniowego przesyłania dużych zbiorów danych oraz usługa pozyskiwania zdarzeń, która może bezproblemowo integrować się z innymi usługami platformy Azure i firmy Microsoft. Na przykład Azure Stream Analytics, Power BI i Azure Event Grid, a także zewnętrzne usługi, takie jak Apache Spark.
• Azure Storage: rozwiązanie magazynu w chmurze firmy Microsoft dla nowoczesnych scenariuszy magazynowania danych z wysoce dostępnym, wysoce skalowalnym, trwałym i bezpiecznym magazynem dla różnych obiektów danych w chmurze.

Korzystając z interfejsu API przesyłania strumieniowego Defender for Endpoint, możesz korzystać z Zaawansowanego wyszukiwania i wykrywania ataków w ramach Defender dla Firm oraz Microsoft 365 Business Premium. Interfejs API przesyłania strumieniowego umożliwia centrom operacji zabezpieczeń wyświetlanie większej ilości danych o urządzeniach, lepsze zrozumienie sposobu ataku i podjęcie kroków w celu zwiększenia bezpieczeństwa urządzeń.

Korzystanie z interfejsu API przesyłania strumieniowego w usłudze Microsoft Sentinel

Aby przesyłać dane Defender dla Firm strumieniowo do usługi Microsoft Sentinel, wykonaj następujące kroki.

1. Upewnij się, że konfigurujesz Defender dla Firm oraz że wdrażasz urządzenia. Zobacz Konfigurowanie i przygotowanie Microsoft Defender dla Firm.

2. Utwórz obszar roboczy usługi Log Analytics do użycia z Microsoft Sentinel. Zobacz Tworzenie obszaru roboczego usługi Log Analytics.

3. Dołącz do Microsoft Sentinel. Zobacz Szybki start: wdrażanie usługi Microsoft Sentinel.

4. Włącz łącznik Microsoft Defender. Zobacz Łączenie danych z Microsoft Defender z Microsoft Sentinel.

Korzystanie z interfejsu API przesyłania strumieniowego w usłudze Event Hubs

Aby korzystać z Azure Event Hubs, potrzebujesz subskrypcji Azure. Zanim zaczniesz, upewnij się, że utworzysz event hub w swojej organizacji. Następnie zaloguj się do portalu Azure, przejdź do Subskrypcje>Twoja subskrypcja>Dostawcy zasobów>Zarejestruj Microsoft.Insights.

Aby skonfigurować przesyłanie strumieniowe do usługi Azure Event Hubs, wykonaj następujące kroki.

1. Przejdź do portalu Microsoft Defender i zaloguj się.

2. Przejdź do strony Ustawienia eksportu danych.

3. Wybierz pozycję Dodaj ustawienia eksportu danych.

4. Wybierz nazwę nowych ustawień.

5. Wybierz pozycję Prześlij zdarzenia do Azure Event Hubs.

6. Wpisz nazwę swojego Event Hubs oraz identyfikator Event Hubs.

   Uwaga

   Jeśli zostawisz pole Nazwa usługi Event Hubs puste, system tworzy centrum zdarzeń dla każdej kategorii w wybranej przestrzeni nazw. Jeśli nie używasz Dedykowanego Klastra Event Hubs, czyli wdrożenia dla jednego tenanta z dedykowaną pojemnością, pamiętaj, że istnieje limit 10 przestrzeni nazw Event Hubs.

   Aby uzyskać identyfikator Event Hubs, przejdź na stronę przestrzeni nazw Event Hubs w portalu Azure. Na karcie Właściwości skopiuj tekst pod nagłówkiem ID.

7. Wybierz zdarzenia, które chcesz przesyłać strumieniowo, a następnie wybierz pozycję Zapisz.

Wyświetlanie schematu zdarzeń w Azure Event Hubs

Poniższy przykład JSON pokazuje format każdej wiadomości event hub, którą Event Hubs otrzymuje po włączeniu przekazywania zdarzeń. Każdy komunikat zawiera tablicę records z co najmniej jednym wpisem zdarzenia:

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the organization that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}

Każdy komunikat centrum zdarzeń w Azure Event Hubs zawiera listę rekordów. Każdy rekord zawiera nazwę zdarzenia, moment, kiedy Defender dla Firm otrzymał zdarzenie, organizację, do której należy (otrzymujesz zdarzenia tylko z własnej organizacji), oraz zdarzenie w formacie JSON we właściwości o nazwie properties. Aby uzyskać więcej informacji na temat schematu zdarzeń zaawansowanego wyszukiwania zagrożeń przesyłanych strumieniowo do Azure Event Hubs, zobacz Proaktywne wyszukiwanie zagrożeń za pomocą zaawansowanego wyszukiwania zagrożeń w Microsoft Defender.

Korzystanie z interfejsu API do przesyłania strumieniowego w usłudze Azure Storage

Aby skonfigurować strumieniowanie do usługi Azure Storage, wykonaj następujące kroki.

Włączanie przesyłania strumieniowego danych pierwotnych

Przesyłanie strumieniowe nieprzetworzonych danych przesyła dane zdarzeń zabezpieczeń z Defender dla Firm bezpośrednio do konta Azure Storage, gdzie można je przechowywać i analizować. Aby włączyć przesyłanie strumieniowe surowych danych do usługi Azure Storage, wykonaj następujące czynności.

1. Przejdź do portalu Microsoft Defender i zaloguj się.

2. Przejdź do strony Ustawienia eksportu danych w Microsoft Defender XDR.

3. Wybierz pozycję Dodaj ustawienia eksportu danych.

4. Wybierz nazwę nowych ustawień.

5. Wybierz pozycję Prześlij zdarzenia do Azure Storage.

6. Wpisz identyfikator zasobu konta magazynu. Aby uzyskać ID zasobów konta magazynowego, przejdź do strony konta magazynowego w portalu Azure. Następnie na karcie Właściwości skopiuj tekst spod pozycji Identyfikator zasobu konta magazynu.

7. Wybierz zdarzenia, które chcesz przesyłać strumieniowo, a następnie wybierz pozycję Zapisz.

Wyświetlanie schematu zdarzeń w Azure Storage

Kontener obiektów blob jest tworzony dla każdego typu zdarzenia. Poniższy przykład JSON przedstawia schemat pojedynczego wiersza zdarzenia zapisanego w Azure Storage. Każdy wiersz zawiera znacznik czasu zdarzenia, identyfikator dzierżawy, kategorię Zaawansowane wyszukiwanie zagrożeń i dane zdarzenia w formacie JSON:

{
  "time": "<The time WDATP received the event>"
  "tenantId": "<Your tenant ID>"
  "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
  "properties": { <WDATP Advanced Hunting event as Json> }
}

Każdy obiekt blob zawiera wiele wierszy. Każdy wiersz zawiera nazwę zdarzenia, czas Defender dla Firm odebrania zdarzenia, organizację, do której należy zdarzenie (otrzymujesz zdarzenia tylko z organizacji) oraz zdarzenie we właściwościach formatu JSON. Aby uzyskać więcej informacji o danych zdarzeń zaawansowanego wyszukiwania zagrożeń przesyłanych strumieniowo do usługi Azure Storage, zobacz Proaktywne wyszukiwanie zagrożeń przy użyciu funkcji zaawansowanego wyszukiwania zagrożeń w Microsoft Defender.

Treści powiązane

• Interfejs API do przesyłania strumieniowego surowych danych w usłudze Defender for Endpoint
• Przegląd zarządzania i interfejsów API