Hantera data i Microsoft Sentinel och Defender

Microsoft Defender-portalen erbjuder en centraliserad upplevelse för att hantera Microsoft Sentinel och Microsoft Defender XDR-data. Data & connectors-upplevelsen samlar anslutningshantering, tabellhantering, transformationer och övervakning av inmatningsstatus i en enda vy, så att du kan förstå och optimera din säkerhetsdata utan att behöva navigera mellan separata sidor.

Den här artikeln introducerar upplevelsen Data & connectors och förklarar hur man använder den för att hantera data i Microsoft Sentinel och Microsoft Defender XDR. För relaterade uppgifter, se:

• Konfigurera datakopplingar för att skicka data till Microsoft Sentinel eller Microsoft Defender XDR.
• Hantera dina befintliga tabeller och data.

Data & kopplingar i Microsoft Defender-portalen (förhandsvisning)

Upplevelsen Data och anslutningsappar samlar anslutningshantering, tabellhantering, transformationer och övervakning av inmatningshälsa i en enda vy i Microsoft Defender-portalen. Använd den för att förstå och hantera din Microsoft Sentinel-data utan att behöva navigera mellan separata sidor.

För att öppna upplevelsen väljer du i Microsoft Defender-portalen Konfiguration och inställningarData och anslutningar. Sidan innehåller tre flikar:

• Fliken Översikt — Översikt över hälsotillståndet för datainhämtning för arbetsytan.
• Connectors-fliken — Centraliserad översikt över dataanslutningar, inklusive klassiska Sentinel-anslutningar och enhetliga anslutningar.
• Fliken Tabeller — Tabellhantering, schemautforskning, transformationer och lagringstid.

Prerequisites

För att använda Data & connectors i förhandsversion behöver du:

• Enhetlig rollbaserad åtkomstkontroll (URBAC) aktiverad i Microsoft Defender-portalen.
• Data (hantera) behörighet i Data Operations-behörighetsgruppen.
• Workspace-behörigheter motsvarar Log Analytics Contributor, inklusive:
  • Microsoft.OperationalInsights/workspaces/write
  • Microsoft.OperationalInsights/workspaces/tables/write

Kända begränsningar

Följande begränsningar gäller för förhandsvisningen:

• Fliken Data Sources i panelen för tabelldetaljer visas endast för federerade tabeller. Stöd för andra tabelltyper är planerat.
• Upplevelsen Data och anslutningar är endast tillgänglig i det kommersiella molnet. Suveräna molnmiljöer, inklusive US Government och Kina, stöds inte.

Fliken Översikt

Översiktfliken är en dashboard på arbetsytsnivå som visar hälsosignaler för datainhämtning så att du kan agera på problem innan de påverkar detekteringar. Filtrera efter tidsintervall och arbetsyta för att begränsa instrumentpanelen.

Fliken Översikt innehåller:

• Inmatningsvolym — Daglig inmatning uppdelad på Analytics-nivå och Data Lake-nivå för det valda tidsintervallet.
• Anslutningsprogram som kräver åtgärd — Anslutningsprogram med autentiseringsfel, inläsningsfel eller avbrott, tillsammans med feltypen, antal misslyckade inläsningar under de senaste 24 timmarna och den senaste lyckade inläsningen.
• Fluktuationer i tabellintag — Tabeller med oväntade volymförändringar jämfört med samma dag föregående vecka, grupperade som toppar och fall. Du kan justera fluktuationströsklarna.
• Datainmatningsvolym per tabell — Tabeller med högst datainmatning rankade efter daglig volym, så du kan identifiera högvolymstabeller som driver datainmatningskostnaderna.
• Inmatningslatens per tabell — Tiden mellan datagenerering och tillgänglighet i din miljö, så att du kan identifiera anslutningsbegränsningar eller fördröjningar på källsidan.

Anslutningar-fliken

Fliken Connectors samlar enhetliga datakopplingar och Sentinel classic datakopplingar i en och samma översikt. Använd den för att granska anslutningens status, lägga till nya anslutningar eller öppna en anslutnings detaljvy.

Fliken Connectors innehåller:

• Enhetligt register över anslutningsprogram — Alla anslutningsprogram som har lagts till, med status, leverantör, innehållskälla och tillgängliga uppdateringar.
• Växla mellan enhetliga och klassiska anslutningsprogram — Använd väljaren för klassiska anslutningsprogram för att växla mellan katalogen med enhetliga anslutningsprogram och listan över Sentinels klassiska dataanslutningsprogram, som innehåller anslutningsprogram som skapats med Codeless Connector Framework (CCF).
• Filtrera efter leverantör, datatyp och status — Begränsa listan för att snabbt hitta specifika kopplingar.
• Data onboarding assistant — Guidad flöde för att lägga till nya kopplingar.
• Skapa en anpassad anslutning — Starta en ny anpassad anslutning från fliken Anslutningar.

Fliken Tabeller

Data som du samlar in i Microsoft Sentinel och Microsoft Defender XDR lagras i tabeller. Tabeller-fliken är där du kan se dina tabeller, granska deras hälsa för datainhämtning, inspektera deras schema och transformationer samt hantera lagringstiden och lagringskostnaderna kopplade till dina data.

Vilka tabeller kan du hantera i Microsoft Defender portalen?

I det här avsnittet beskrivs de tabelltyper som du kan hantera i Microsoft Defender-portalen.

Så här fungerar datanivåer och lagringstid

För regionalt stöd, se Data Lake retention availability.

Du kan behålla data i Microsoft Sentinel på någon av två nivåer:

• Analytics-nivå: Denna nivå gör data tillgänglig för aviseringar, jakt, arbetsböcker och alla Microsoft Sentinel-funktioner. Den behåller data i två tillstånd:

  • Analyslagringstid: I detta "heta" tillstånd är data fullt tillgänglig för realtidsanalys, inklusive högpresterande frågor, analysregler och hotjakt. Som standard behåller Microsoft Sentinel och Microsoft Defender XDR data på den här nivån i 30 dagar. Du kan utöka kvarhållningsperioden för alla tabeller till upp till två år med en proportionell månatlig långsiktig kvarhållningsavgift. Du kan utöka kvarhållningsperioden för Microsoft Sentinel lösningstabeller till 90 dagar utan kostnad.
  • Total retention: Som standard speglas all data i analysnivån till Data Lake under samma lagringsperiod. Du kan utöka kvarhållningen av dina data i sjön utöver analyskvarhållningen i upp till 12 års total kvarhållning till en låg kostnad.

• Data Lake-nivån: På denna billiga "kalla" nivå lagrar Microsoft Sentinel dina data endast i Data Lake. Data på Data Lake-nivån är inte tillgängliga för realtidsanalysfunktioner och hotjakt. Du kan dock komma åt data i sjön när du behöver dem via KQL-jobb, analysera trender över tid genom att köra schemalagda KQL- eller Spark-jobb och aggregera insikter från inkommande data med jämna mellanrum med hjälp av sammanfattningsregler.

• XDR-data: Som standard är Microsoft Defender XDR hotjaktsdata alltid tillgänglig i Analytics-nivån i 30 dagar. Du kan utöka kvarhållningen av dessa data på analysnivån upp till 90 dagar, vilket medför inmatningskostnader, medan lagringen förblir kostnadsfri. Att utöka kvarhållningen längre än 90 dagar på analysnivån medför också lagringskostnader. Du kan också mata in exklusivt på Data Lake-nivån, men data förblir tillgängliga på analysnivån i 30 dagar. Att mata in XDR-data direkt på Data Lake-nivån är mer kostnadseffektivt, men det innebär kostnader för inmatning, lagring och bearbetning. I det här alternativet får kunderna fortfarande 30 dagars data på analysnivån utan extra kostnad.

För mer information om skillnaderna mellan Analytics-nivån och Data Lake-nivån, se Jämför analytics- och data lake-nivåerna.

Följande diagram illustrerar lagringstidskomponenterna för standardnivåerna Analytics, Data Lake och XDR, samt tabelltyperna som gäller för varje nivå:

Mer information om Microsoft Sentinel-datasjön finns i Vad är Microsoft Sentinel-datasjön?.

Använda Tabellinsikter för observerbarhet på tabellnivå

Insikter om tabeller på fliken Tabeller hjälper dig att förstå intagningshälsan på tabellnivå för det valda Microsoft Sentinel-arbetsområdet. Det ger dig snabba observerbarhetssignaler så att du kan identifiera inmatnings- och kostnadsmönster innan du ändrar nivå- eller kvarhållningsinställningar.

Signaler för tabellinsikter visas på två ställen under fliken Tabeller :

• Sammanfattningsplattor högst upp på sidan visar antal arbetsytsnivåer, inklusive antalet tabeller och hur de är fördelade över Analytics-nivån, Data Lake-nivån och XDR-standardnivån.
• Kolumner i tabellrutnätet visar hälsosignaler per tabell för varje tabell, inklusive:
  • Senast mottagna data
  • Genomsnittlig daglig intagsvolym
  • Beräknad kostnad för daglig inmatning
  • Volymavvikelse (dag-för-vecka-variation i inmatning)

Använd rutnätskolumnerna för att sortera, filtrera och jämföra tabeller sida vid sida. Kombinera dessa signaler för att upptäcka fel i anslutningar, undersöka kostnadstoppar, validera driftsättningen av nya anslutningar och identifiera kandidater för rätt dimensionering av lagringstid och nivå.

Information om konfiguration, åtkomst och tolkning finns i Konfigurera tabellinställningar i Microsoft Sentinel.

Tabelldetaljpanel

Välj en tabell under fliken Tabeller för att öppna panelen för tabelldetaljer. Panelen samlar schema, transformationer och bevarandeinformation för den valda tabellen. Följande flikar finns:

Jämför nivåerna för analys och datasjö

I den här tabellen jämförs nivåerna Analys och Data Lake och deras viktigaste egenskaper:

Vad händer när du ändrar tabellinställningarna

Du kan växla nivå- och kvarhållningsinställningar för en tabell när som helst.

När du ändrar en tabells nivå från Analys till Data Lake slutar alla realtidsanalys- och jaktfrågor att fungera.

När du förkortar en tabells totala kvarhållning väntar Microsoft 30 dagar innan du tar bort data, så att du kan återställa ändringen och undvika dataförlust om du gjorde ett konfigurationsfel.

När du ökar den totala kvarhållningen gäller den nya kvarhållningsperioden för alla data som redan har matats in i tabellen och som ännu inte har tagits bort.

När du ändrar kvarhållningsinställningarna för analys för en tabell med befintliga data börjar ändringen gälla omedelbart.

Exempel:

• Du har en tabell i Analytics-nivån med 180 dagars lagringstid för analysdata. Som standard är den totala lagringstiden också inställd på 180 dagar.
• Du ändrar kvarhållning av analys till 90 dagar utan att ändra den totala kvarhållningen, som förblir 180 dagar.
• Microsoft Sentinel tar automatiskt bort de senaste 90 dagarna av data från analyslagringen, men fortsätter att lagra data som är 90–180 dagar gamla i Data Lake-nivån.

Hantera XDR-data i Microsoft Sentinel

Som standard behåller Microsoft Defender XDR hotjaktdata på XDR-standardnivån i 30 dagar. Dessa data matas inte in på analys- eller Data Lake-nivåerna som standard. Om du förlänger kvarhållningsperioden för XDR-tabeller som stöds längre än 30 dagar och upp till 90 dagar tillämpas Sentinel-inmatningskostnader, men det finns inga ytterligare lagringskostnader. Tabellerna skapas i din Microsoft Sentinel arbetsyta på analysnivån och speglas till Data Lake-nivån.

Om du aktiverar Microsoft Sentinel XDR-anslutningsprogrammet i Azure-portalen matas de tabeller som du väljer under installationen automatiskt in på analysnivån och speglas på Data Lake-nivån. Standardkvarhållningen är 30 dagar och du kan utöka den till upp till 12 år. En lista över tabeller finns i Microsoft Defender XDR integrering med Microsoft Sentinel. Du kan importera XDR-tabeller som stöds och som du inte valde under distributionen av anslutningsappen till Analytics-nivån och spegla dem till Data Lake-nivån genom att ställa in kvarhållningstiden på mer än 30 dagar.

Om du inte aktiverar Microsoft Sentinel XDR-anslutningsappen importeras inte XDR-tabeller automatiskt, men du kan fortfarande importera dem genom att ange lagringsprincipen för Analytics- eller Data Lake-nivån till över 30 dagar i Microsoft Defender-portalen.

Du kan välja att endast mata in XDR-tabeller som stöds på den Data Lake nivån genom att välja alternativet Data Lake nivå när du konfigurerar kvarhållningsinställningar. Mer information finns i Konfigurera datakvarhållning och nivåindelning.

För att sluta importera data till Analytics-nivån återställer du analyslagringstid och total lagringstid till standardvärdet 30 dagar.

Mer information om hur du hanterar tabeller och data finns i Hantera dina befintliga tabeller och data.

XDR-datakvarhållning och kostnader

I följande tabeller sammanfattas de kostnadsfria kvarhållningsperioderna och kostnadskonsekvenserna för de olika nivåerna i Microsoft Sentinel:

Mer information om fakturering och kostnader finns i Förstå den fullständiga faktureringsmodellen för Microsoft Sentinel.

I exemplen nedan finns XDR-data tillgängliga via Advanced hunting i minst 30 dagar, oavsett lagringsinställningarna i analys- eller data lake-nivåerna.

Nästa steg

Läs mer om:

• Konfigurera loggtabellsnivåer och inställningar för bevarandetid
• Skapa ett sökjobb för att hämta data som matchar särskilda kriterier