Skillnader i aviseringsschema: Fristående jämfört med Microsoft Defender XDR anslutningsapp

Den här artikeln förklarar skillnaderna mellan aviseringar som matas in via fristående anslutningsappar och aviseringar som matas in via Microsoft Defender XDR-anslutningsappen i Microsoft Sentinel.

Fristående anslutningsappar matar in aviseringar direkt från de ursprungliga säkerhetsprodukterna, medan Microsoft Defender XDR-anslutningsappen matar in aviseringar via Microsoft Defender XDR pipeline. Detta omfattar anslutningsappar som Microsoft Defender för Office 365, Microsoft Defender för Endpoint, Microsoft Defender for Identity, Information Risk Management (IRM), Data Loss Prevention (DLP), Microsoft Defender för molnet (MDC) och Microsoft Defender for Cloud Apps (MDA).

Dessa skillnader kan påverka fältmappningar, beteende för härledda fält, schemastruktur, aviseringsinmatning och anslutningsbeteende, vilket kan påverka dina befintliga frågor, analysregler, arbetsböcker och automatisering. Granska dessa skillnader innan du migrerar till XDR-anslutningsappen eller registrerar Microsoft Sentinel till Defender-portalen med Microsoft Defender XDR.

Det fullständiga aviseringsschemat finns i schemareferensen för säkerhetsaviseringar.

Fristående anslutningsbeteende efter registrering i Defender-portalen

När du har registrerat Microsoft Sentinel till Defender-portalen med Microsoft Defender XDR dirigeras aviseringar från Microsoft säkerhetsprodukter via Microsoft Defender XDR-anslutningsappen i stället för fristående Microsoft aviseringsanslutningar för säkerhetsprodukter.

I en miljö med en enda arbetsyta fortsätter aviseringar från Microsoft säkerhetsprodukter att vara tillgängliga i Microsoft Sentinel, men matas in via Microsoft Defender XDR-anslutningsappen. Den här ändringen kan påverka källrelaterade fält, fältmappningar, schemabeteende, frågor, analysregler, arbetsböcker och automatisering.

I en miljö med flera arbetsytor är Microsoft Defender XDR-anslutningsappen endast ansluten till den primära arbetsytan. För att förhindra duplicerade klientbaserade aviseringar mellan arbetsytor, fristående dataanslutningar för Microsoft Defender för Office 365, Microsoft Entra ID Protection, Microsoft Defender for Cloud Apps, Microsoft Defender för Endpoint och Microsoft Defender for Identity kopplas automatiskt från på sekundära arbetsytor under registrering.

Därför är klientbaserade aviseringar från dessa Microsoft säkerhetsprodukter endast tillgängliga på den primära arbetsytan. Frågor, analysregler, arbetsböcker, automatiseringsregler eller integreringar som är beroende av aviseringar från fristående Microsoft säkerhetsproduktanslutningar på sekundära arbetsytor fungerar inte längre som förväntat efter registrering.

Icke-Microsoft dataanslutningar påverkas inte av det här beteendet.

Mer information finns i Flera Microsoft Sentinel-arbetsytor i Defender-portalen.

CompromisedEntity-beteende

Fältet CompromisedEntity hanteras på olika sätt mellan produkter när aviseringar matas in via XDR-anslutningsappen.

I MDI-aviseringar representerar CompromisedEntity inte en värd eller användare och är alltid literalsträngen "CompromisedEntity".

Ändringar i fältmappning

Vissa fält har bytt namn eller använder olika värdeuppsättningar i aviseringar från XDR-anslutningsappen.

Strukturschematransformeringar (MDI)

Den fristående Microsoft Defender for Identity-anslutningsappen (MDI) använde ibland platshållarentiteter för att lagra ytterligare information. I XDR-anslutningsappen viks den här informationen in i egenskaper under resourceAccessEvents samlingen.

ResourceAccessInfo.ComputerId krävs inte längre eftersom det är identiskt med den värdentitet som ResourceAccessInfo har definierats i.

Aviseringsinmatningsfiltrering

Vissa aviseringar som är tillgängliga via fristående anslutningsappar matas inte in via XDR-anslutningstjänsten.

Omfångsbeteende (Microsoft Defender för molnet)

Microsoft Defender för molnaviseringar använder olika omfång när de matas in via XDR-anslutningsappen.

Nästa steg

• Skapa och hantera analysregler
• Använda arbetsböcker i Microsoft Sentinel