Använda API:et för direktuppspelning med Microsoft Defender för företag

Om din organisation har ett Security Operations Center (SOC) kan du använda Microsoft Defender för Endpoint streaming-API med Defender för företag och Microsoft 365 Business Premium. Med Microsoft Defender för Endpoint strömmande API kan du strömma data, till exempel enhetsfil, register, nätverk, inloggningshändelser och mer till någon av följande tjänster:

• Microsoft Sentinel: En skalbar, molnbaserad lösning som tillhandahåller funktioner för säkerhetsinformation och händelsehantering (SIEM) och säkerhetsorkestrering, automatisering och svar (SOAR).
• Azure Event Hubs: En modern plattform för stordataströmning och händelseinmatning som sömlöst kan integreras med andra Azure- och Microsoft-tjänster. Till exempel Azure Stream Analytics, Power BI och Azure Event Grid, tillsammans med externa tjänster som Apache Spark.
• Azure Storage: Microsofts molnlagringslösning för moderna datalagringsscenarier med hög tillgänglighet, massivt skalbar, beständig och säker lagring för en mängd olika dataobjekt i molnet.

Genom att använda Defender for Endpoint streaming-API kan du använda avancerad hotjakt och identifiering av attacker med Defender för företag och Microsoft 365 Business Premium. Api:et för direktuppspelning gör det möjligt för säkerhetsåtgärdscenter att visa mer data om enheter, bättre förstå hur en attack inträffade och vidta åtgärder för att förbättra enhetssäkerheten.

Använda API:et för direktuppspelning med Microsoft Sentinel

Utför följande steg för att strömma Defender för företag data till Microsoft Sentinel.

1. Se till att du sätter upp och konfigurerar Defender för företag, och att du ansluter enheter. Se Konfigurera och installera Microsoft Defender för företag.

2. Skapa en Log Analytics-arbetsyta som ska användas med Microsoft Sentinel. Se Skapa en Log Analytics-arbetsyta.

3. Anslut till Microsoft Sentinel. Se Snabbstart: Kom igång med Microsoft Sentinel.

4. Aktivera Microsoft Defender-anslutningsappen. Se Ansluta data från Microsoft Defender till Microsoft Sentinel.

Använda API:et för direktuppspelning med Event Hubs

För att använda Azure Event Hubs behöver du en Azure-prenumeration. Innan du börjar, se till att skapa en eventhub i din organisation. Logga sedan in i Azure-portalen och gå till Prenumerationer>Din prenumeration>Resursleverantörer>Registrera Microsoft.Insights.

Utför följande steg för att konfigurera strömning till Azure Event Hubs.

1. Gå till Microsoft Defender-portalen och logga in.

2. Gå till sidan Inställningar för dataexport.

3. Välj Lägg till inställningar för dataexport.

4. Välj ett namn för de nya inställningarna.

5. Välj Vidarebefordra händelser till Azure Event Hubs.

6. Ange ditt Event Hubs-namn och ditt Event Hubs-ID.

   Obs!

   Om du lämnar fältet Event Hubs-namn tomt skapar systemet en händelsehubb för varje kategori i den valda namnrymden. Om du inte använder ett dedikerat Event Hubs-kluster, som är en driftsättning för en enda klientorganisation med dedikerad kapacitet, kom ihåg att det finns en gräns på 10 Event Hubs-namnrymder.

   För att få ditt Event Hubs-ID, gå till din Event Hubs-namnrymdssida i Azure-portalen. På fliken Egenskaper kopierar du texten under ID.

7. Välj de händelser som du vill strömma och välj sedan Spara.

Visa händelseschemat i Azure Event Hubs

Följande JSON-exempel visar formatet för varje händelsehubbsmeddelande som Event Hubs får när händelsevidarebefordran är aktiverad. Varje meddelande innehåller en records matris med en eller flera händelseposter:

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the organization that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}

Varje händelsehubbmeddelande i Azure Event Hubs innehåller en lista med poster. Varje post innehåller händelsens namn, tiden då Defender för företag tog emot händelsen, vilken organisation den tillhör (du får endast händelser från din organisation), och händelsen i JSON-format i en egenskap som heter properties. Mer information om schemat för avancerade jakthändelser som strömmas till Azure Event Hubs finns i Proaktiv jakt efter hot med avancerad jakt i Microsoft Defender.

Använda API:et för direktuppspelning med Azure Storage

Utför följande steg för att konfigurera strömning till Azure Storage.

Aktivera direktuppspelning av rådata

Strömning av rådata skickar vidare säkerhetshändelsedata från Defender för företag direkt till ditt Azure Storage-konto, där du kan lagra och analysera data. Utför följande steg för att aktivera direktuppspelning av rådata till Azure Storage.

1. Gå till Microsoft Defender-portalen och logga in.

2. Gå till sidan Inställningar för dataexport i Microsoft Defender XDR.

3. Välj Lägg till inställningar för dataexport.

4. Välj ett namn för de nya inställningarna.

5. Välj Vidarebefordra händelser till Azure Storage.

6. Skriv ditt resurs-ID för lagringskontot. För att hämta ditt Storage Account Resource ID, gå till din Storage-kontosida i Azure-portalen. På fliken Egenskaper kopierar du sedan texten under Resurs-ID för lagringskonto.

7. Välj de händelser som du vill strömma och välj sedan Spara.

Visa händelseschemat i Azure Storage

En blobcontainer skapas för varje händelsetyp. Följande JSON-exempel visar schemat för en enskild händelserad som skrivits till Azure Storage. Varje rad innehåller händelsetidsstämpeln, klientidentifieraren, kategorin Avancerad jakt och händelsedata i JSON-format:

{
  "time": "<The time WDATP received the event>"
  "tenantId": "<Your tenant ID>"
  "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
  "properties": { <WDATP Advanced Hunting event as Json> }
}

Varje blob innehåller flera rader. Varje rad innehåller händelsenamnet, den tid Defender för företag tog emot händelsen, den organisation som händelsen tillhör (du får endast händelser från din organisation) och händelsen i JSON-formategenskaper. Mer information om avancerade jakthändelsedata som strömmas till Azure Storage finns i Proaktiv jakt efter hot med avancerad jakt i Microsoft Defender.

Relaterat innehåll

• API för direktuppspelning av rådata i Defender för Endpoint
• Översikt över hantering och API:er