Ansluta Microsoft Sentinel till andra Microsoft-tjänster med en Windows-agentbaserad dataanslutning

Den här artikeln beskriver hur du ansluter Microsoft Sentinel till andra Microsoft-tjänster Windows-agentbaserade anslutningar. Microsoft Sentinel använder Azure Monitor-agenten för att tillhandahålla inbyggt service-till-tjänst-stöd för datainmatning från många Azure- och Microsoft 365-tjänster, Amazon Web Services och olika Windows Server tjänster.

Azure Monitor-agenten använder datainsamlingsregler (DCR) för att definiera de data som ska samlas in från varje agent. Regler för datainsamling ger dig två olika fördelar:

• Hantera samlingsinställningar i stor skala samtidigt som unika, begränsade konfigurationer tillåts för delmängder av datorer. De är oberoende av arbetsytan och oberoende av den virtuella datorn, vilket innebär att de kan definieras en gång och återanvändas mellan datorer och miljöer. Se Konfigurera datainsamling för Azure Monitor-agenten.

• Skapa anpassade filter för att välja de exakta händelser som du vill mata in. Azure Monitor-agenten använder dessa regler för att filtrera data vid källan och mata endast in de händelser som du vill ha, samtidigt som allt annat lämnas kvar. Detta kan spara mycket pengar i kostnader för datainmatning!

Förhandskrav

• Du måste ha läs- och skrivbehörighet på Microsoft Sentinel arbetsyta.

• Om du vill samla in händelser från ett system som inte är en Azure virtuell dator måste systemet ha Azure Arc installerat och aktiverat innan du aktiverar Azure Monitor Agent-baserad anslutningsapp.

  Detta omfattar följande:

  • Windows-servrar installerade på fysiska datorer
  • Windows-servrar installerade på lokala virtuella datorer
  • Windows-servrar installerade på virtuella datorer i moln som inte Azure

• För dataanslutningen Vidarebefordrade Windows-händelser:

  • Du måste ha Windows Event Collection (WEC) aktiverat och igång med Azure Monitor Agent installerat på WEC-datorn.
  • Vi rekommenderar att du installerar ASIM-parsers (Advanced Security Information Model) för att säkerställa fullt stöd för datanormalisering. Du kan distribuera dessa parsers från Azure-Sentinel GitHub-lagringsplatsen med hjälp av knappen Distribuera till Azure där.
  • Händelser som samlas in via Windows Event Forwarding skrivs till tabellenWindowsEvent, inklusive händelser som vidarebefordras från Windows Zabezpečenie-loggen. De är inte skrivna till bordet SecurityEvent .

• Installera den relaterade Microsoft Sentinel lösningen från innehållshubben i Microsoft Sentinel. Mer information finns i Upptäck och hantera färdigt innehåll i Microsoft Sentinel.

Skapa regler för datainsamling via användargränssnittet

Utför följande steg för att skapa en datainsamlingsregel i Microsoft Sentinel portalen.

1. Från Microsoft Sentinel väljer du Konfiguration>Datakopplingar. Välj din anslutning i listan och välj sedan Öppna sidan för anslutningen i informationspanelen. Följ sedan instruktionerna på skärmen under fliken Instruktioner och slutför de återstående stegen i denna procedur.

2. Kontrollera att du har rätt behörigheter enligt beskrivningen i avsnittet Förutsättningar på anslutningssidan. Du behöver minst läs- och skrivbehörigheter på Microsoft Sentinel-arbetsytan.

3. Under Konfiguration väljer du +Lägg till datainsamlingsregel. Guiden Skapa regel för datainsamling öppnas till höger.

4. Under Grundläggande anger du ett regelnamn och anger en prenumeration och resursgrupp där datainsamlingsregeln (DCR) ska skapas. Detta behöver inte vara samma resursgrupp eller prenumeration som de övervakade datorerna och deras associationer finns i, så länge de finns i samma klientorganisation.

5. På fliken Resurser väljer du +Lägg till resurser för att lägga till datorer som datainsamlingsregeln ska tillämpas på. Dialogrutan Välj ett omfång öppnas och du ser en lista över tillgängliga prenumerationer. Expandera en prenumeration för att se dess resursgrupper och expandera en resursgrupp för att se de tillgängliga datorerna. Du ser Azure virtuella datorer och Azure Arc-aktiverade servrar i listan. Du kan markera kryssrutorna för prenumerationer eller resursgrupper för att markera alla datorer som de innehåller, eller så kan du välja enskilda datorer. Välj Använd när du har valt alla dina datorer. I slutet av den här processen installeras Azure Monitor-agenten på alla valda datorer som inte redan har den installerad.

6. På fliken Samla in väljer du de händelser som du vill samla in: välj Alla händelser eller Anpassad för att ange andra loggar eller filtrera händelser med hjälp av XPath-frågor. Ange uttryck i rutan som utvärderas till specifika XML-villkor för händelser som ska samlas in och välj sedan Lägg till. Du kan ange upp till 20 uttryck i en enda ruta och upp till 100 rutor i en regel.

   Mer information finns i dokumentationen om Azure Monitor.

   Obs!

   • Windows Zabezpečenie Events-anslutningsprogrammet erbjuder två andra fördefinierade händelseuppsättningar som du kan välja att samla in: Common och Minimal.

   • Azure Monitor-agenten stöder endast XPath-frågor för XPath version 1.0.

   Om du vill testa giltigheten för en XPath-fråga använder du PowerShell-cmdleten Get-WinEvent med parametern -FilterXPath . Till exempel:

   $XPath = '*[System[EventID=1035]]'
   Get-WinEvent -LogName 'Application' -FilterXPath $XPath
   

   • Om händelser returneras är frågan giltig.
   • Om du får meddelandet "Inga händelser hittades som matchar de angivna urvalskriterierna" kan frågan vara giltig, men det finns inga matchande händelser på den lokala datorn.
   • Om du får meddelandet "Den angivna frågan är ogiltig" är frågesyntaxen ogiltig.

7. När du har lagt till alla filteruttryck som du vill använda väljer du Nästa: Granska + skapa.

8. När du ser meddelandet Validering har skickats väljer du Skapa.

Du ser alla dina regler för datainsamling, inklusive de som du skapar med hjälp av API:et, under Konfiguration på anslutningssidan. Därifrån kan du redigera eller ta bort befintliga regler.

Skapa regler för datainsamling med hjälp av API:et

Du kan också skapa datainsamlingsregler med API:et, vilket kan göra livet enklare om du skapar många regler, till exempel om du är en leverantör av hanterade säkerhetstjänster (MSSP). Här är ett exempel (för Windows-säkerhetshändelser via AMA-anslutningsappen) som du kan använda som mall för att skapa en regel:

Skicka följande PUT-begäran för att skapa eller uppdatera en datainsamlingsregel som definierar händelsekällorna, målet Log Analytics arbetsytan och dataflödet mellan dem.

Begärande-URL och sidhuvud

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.Insights/dataCollectionRules/myCollectionRule?api-version=2019-11-01-preview

Begärandetext

Följande JSON-text definierar DCR-konfigurationen, inklusive datakällorna för Windows-händelseloggen, Log Analytics-arbetsytan som mål och de dataflöden som dirigerar de insamlade händelserna till den arbetsytan.

{
    "location": "eastus",
    "properties": {
        "dataSources": {
            "windowsEventLogs": [
                {
                    "streams": [
                        "Microsoft-SecurityEvent"
                    ],
                    "xPathQueries": [
                        "Security!*[System[(EventID=) or (EventID=4688) or (EventID=4663) or (EventID=4624) or (EventID=4657) or (EventID=4100) or (EventID=4104) or (EventID=5140) or (EventID=5145) or (EventID=5156)]]"
                    ],
                    "name": "eventLogsDataSource"
                }
            ]
        },
        "destinations": {
            "logAnalytics": [
                {
                    "workspaceResourceId": "/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.OperationalInsights/workspaces/centralTeamWorkspace",
                    "name": "centralWorkspace"
                }
            ]
        },
        "dataFlows": [
            {
                "streams": [
                    "Microsoft-SecurityEvent"
                ],
                "destinations": [
                    "centralWorkspace"
                ]
            }
        ]
    }
}

Mer information finns i:

• Datainsamlingsregler (DCR) i Azure Monitor
• API-schema för datainsamlingsregler

Nästa steg

Mer information finns i:

• Microsoft Sentinel lösningskatalog
• Integrering av hotinformation i Microsoft Sentinel