Transformera eller anpassa data vid inmatningstid i Microsoft Sentinel (förhandsversion)

Den här artikeln beskriver hur du konfigurerar datatransformering för inmatningstid och anpassad logginmatning för användning i Microsoft Sentinel.

Datatransformering vid inmatning ger kunderna mer kontroll över den data som matas in. Genom att komplettera de förkonfigurerade, hårdkodade arbetsflöden som skapar standardiserade tabeller lägger inmatningstidstransformering till möjligheten att filtrera och utöka utdatatabellerna, även innan du kör några frågor. Anpassad logginmatning använder API:et för anpassad logg för att normalisera loggar i anpassat format så att de kan matas in i vissa standardtabeller, eller alternativt för att skapa anpassade utdatatabeller med användardefinierade scheman för inmatning av dessa anpassade loggar.

Dessa två mekanismer konfigureras med hjälp av datainsamlingsregler (DCR), antingen i Log Analytics-portalen eller via EN API- eller ARM-mall. Den här artikeln hjälper dig att välja vilken typ av DCR du behöver för din specifika dataanslutning och dirigera dig till instruktionerna för varje scenario.

Förhandskrav

Innan du börjar konfigurera DCR:er för datatransformering:

• Läs mer om datatransformering och DCR i Azure Övervaka och Microsoft Sentinel. Mer information finns i:

  • Regler för datainsamling i Azure Monitor
  • API för logginmatning i Azure Monitor Logs (förhandsversion)
  • Transformationer i Azure Monitor Logs (förhandsversion)
  • Datatransformering i Microsoft Sentinel (förhandsversion)

• Kontrollera stöd för dataanslutning. Kontrollera att dina dataanslutningar stöds för datatransformering.

  I vår referensartikel om dataanslutningar kan du läsa avsnittet för din dataanslutning för att förstå vilka typer av DCR:er som stöds. Fortsätt i den här artikeln för att förstå hur den DCR-typ du väljer påverkar de återstående stegen för att konfigurera och transformera dina data.

Fastställ dina krav

Använd följande tabell för att avgöra vilken DCR-typ du behöver baserat på ditt inmatningsscenario.

Konfigurera datatransformeringen

Använd följande procedurer från dokumentationen för Log Analytics och Azure Monitor för att konfigurera dcR:er för datatransformering.

Direkt inmatning via API:et för logginmatning

Använd följande självstudier för direkt inmatning via API:et för logginmatning:

• Gå igenom en självstudiekurs för att mata in loggar med hjälp av Azure Portal.
• Gå igenom en självstudie om att importera loggar med hjälp av Azure Resource Manager-mallar (ARM) och REST API.

Omvandlingar av arbetsytor

Använd följande självstudier för transformationer av arbetsytor:

• Gå igenom en självstudiekurs för att konfigurera arbetsytetransformering med hjälp av Azure Portal.
• Gå igenom en självstudiekurs för att konfigurera omvandling av arbetsytor med hjälp av arm-mallar (Azure Resource Manager) och REST API.

Datainsamlingsregelstruktur och transformationsreferens

Mer information finns i regler för datainsamling:

• Strukturen för en datainsamlingsregel i Azure Monitor (förhandsversion)
• Datainsamlingstransformeringar i Azure Monitor (förhandsversion)

Efter att du har slutfört en Log Ingestion API eller en DCR-konfigurationsprocedur för arbetsytomvandling, återgå till Microsoft Sentinel för att verifiera att din data tas in baserat på den transformation du konfigurerade. Det kan ta upp till 60 minuter innan konfigurationerna för datatransformering tillämpas.

Migrera till datatransformering vid datainmatning

Om du för närvarande har anpassade Microsoft Sentinel-dataanslutningar eller inbyggda API-baserade dataanslutningar kanske du vill gå över till att använda datatransformering vid inmatning.

Detta gör du genom att använda någon av följande metoder.

• Konfigurera en DCR för att från grunden definiera den anpassade inmatningen från din datakälla till en ny tabell. Du kan använda det här alternativet om du vill använda ett nytt schema som inte har de aktuella kolumnsuffixen och inte kräver KQL-funktioner (Query Time Kusto Query Language) för att standardisera dina data.

  Varning

  Att ta bort den äldre tabellen och den anpassade datakopplaren är irreversibel och kan påverka befintliga frågor, arbetsböcker eller integrationer som refererar till dem.

  När du har kontrollerat att dina data har matats in korrekt i den nya tabellen kan du ta bort den äldre tabellen samt din äldre anpassade dataanslutning.

• Fortsätt att använda den anpassade tabellen som skapats av din anpassade dataanslutning. Du kan använda det här alternativet om du har skapat mycket anpassat säkerhetsinnehåll för din befintliga tabell. I sådana fall kan du läsa Migrera från API för datainsamlare och anpassade fältaktiverade tabeller till DCR-baserade anpassade loggar i dokumentationen för Azure Monitor.

Nästa steg

Mer information om datatransformering och DCR finns i:

• Anpassad datainmatning och transformering i Microsoft Sentinel (förhandsversion)
• Transformeringar för datainsamling i Azure Monitor Logs (förhandsversion)
• API för logginmatning i Azure Monitor Logs (förhandsversion)
• Strukturen för en datainsamlingsregel i Azure Monitor (förhandsversion)
• Konfigurera datainsamling för Azure Monitor-agenten