Konfigurera Microsoft Sentinel integrering för Defender for Cloud Apps (förhandsversion)

Integrera Microsoft Defender for Cloud Apps med Microsoft Sentinel

Du kan integrera Microsoft Defender for Cloud Apps med Microsoft Sentinel (en skalbar, molnbaserad SIEM och SOAR) för att möjliggöra centraliserad övervakning av aviseringar och identifieringsdata. Genom att integrera med Microsoft Sentinel kan du bättre skydda dina molnprogram samtidigt som du underhåller ditt vanliga säkerhetsarbetsflöde, automatiserar säkerhetsprocedurer och korrelerar mellan molnbaserade och lokala händelser.

Fördelarna med att använda Microsoft Sentinel är:

• Längre lagringstid för data med Log Analytics.
• Färdiga visualiseringar.
• Använd verktyg som Microsoft Power BI eller arbetsböcker i Microsoft Sentinel för att skapa egna datavisualiseringar för identifiering som passar din organisations behov.

Andra integreringslösningar som stöds för Defender for Cloud Apps är:

• Allmänna SIEM:er – Integrera Defender for Cloud Apps med den allmänna SIEM-servern. Information om hur du integrerar med en allmän SIEM finns i Allmän SIEM-integrering.
• Microsoft security graph API – en mellanliggande tjänst (eller förmedlare) som tillhandahåller ett enda programmeringsgränssnitt för att ansluta till flera säkerhetsleverantörer. Mer information finns i Integrering av säkerhetslösningar med hjälp av Microsoft Graph-API för säkerhet.

Integrering med Microsoft Sentinel omfattar konfiguration i både Defender for Cloud Apps och Microsoft Sentinel.

Förhandskrav

Så här integrerar du med Microsoft Sentinel:

• Du måste ha en giltig Microsoft Sentinel licens
• Du måste vara minst säkerhetsadministratör i din klientorganisation.

Stöd för amerikanska myndigheter

Den direkta Defender for Cloud Apps–Microsoft Sentinel-integrationen är endast tillgänglig för kommersiella kunder.

Alla Defender for Cloud Apps data är dock tillgängliga i Microsoft Defender XDR och är därför tillgängliga i Microsoft Sentinel via Microsoft Defender XDR-anslutningsappen.

Vi rekommenderar att GCC-, GCC High- och DoD-kunder som är intresserade av att se Defender for Cloud Apps data i Microsoft Sentinel installera den Microsoft Defender XDR lösningen.

Mer information finns i:

• Microsoft Defender XDR integrering med Microsoft Sentinel
• Microsoft Defender for Cloud Apps för erbjudanden från amerikanska myndigheter

Integrera med Microsoft Sentinel

Använd följande steg för att integrera Defender for Cloud Apps med Microsoft Sentinel.

1. I Microsoft Defender-portalen väljer du Inställningar > Molnappar.

2. Under System väljer du SIEM-agenter > Lägg till SIEM-agent > Sentinel. Till exempel:

   

   Obs!

   Alternativet att lägga till Microsoft Sentinel är inte tillgängligt om du tidigare har utfört integreringen.

3. I guiden väljer du de datatyper som du vill vidarebefordra till Microsoft Sentinel. Du kan konfigurera integreringen på följande sätt:

   • Aviseringar: Aviseringar aktiveras automatiskt när Microsoft Sentinel har aktiverats.
   • Identifieringsloggar: Använd skjutreglaget för att aktivera och inaktivera dem, som standard är allt markerat och använd sedan listrutan Tillämpa på för att filtrera vilka identifieringsloggar som skickas till Microsoft Sentinel.

   Till exempel:

   

4. Välj Nästa och fortsätt att Microsoft Sentinel för att slutföra integreringen. Information om hur du konfigurerar Microsoft Sentinel finns i Microsoft Sentinel dataanslutning för Defender for Cloud Apps. Till exempel:

   

Aviseringar och identifieringsloggar i Microsoft Sentinel

När integreringen är klar kan du visa Defender for Cloud Apps aviseringar och identifieringsloggar i Microsoft Sentinel.

I Microsoft Sentinel, under Loggar, under Security Insights, hittar du loggarna för de Defender for Cloud Apps datatyperna enligt följande:

I följande tabell beskrivs varje fält i schemat McasShadowItReporting :

Använd Power BI med Defender for Cloud Apps-data i Microsoft Sentinel

När integreringen är klar kan du också använda Defender for Cloud Apps data som lagras i Microsoft Sentinel i andra verktyg.

Du kan använda Microsoft Power BI med Defender for Cloud Apps data i Microsoft Sentinel för att forma och kombinera data och skapa rapporter och instrumentpaneler som uppfyller organisationens behov.

Så här kommer du igång:

1. I Power BI importerar du frågor från Microsoft Sentinel för Defender for Cloud Apps data. Mer information finns i Importera loggdata från Azure Monitor i Power BI.

2. Installera appen Defender for Cloud Apps Shadow IT Discovery och anslut den till dina loggdata för identifiering så att du kan visa den inbyggda instrumentpanelen för Shadow IT Discovery. Om du vill ansluta appen öppnar du den i Power BI, väljer Anslut, anger ditt Microsoft Sentinel arbetsyte-ID och loggar sedan in. För detaljerade steg, se Connect the Defender for Cloud Apps Shadow IT Discovery app.

   Obs!

   För närvarande publiceras inte appen på Microsoft AppSource. Därför kan du behöva kontakta Power BI-administratören för att få behörighet att installera appen.

   Till exempel:

   

3. Du kan också skapa anpassade instrumentpaneler i Power BI Desktop och justera dem så att de passar organisationens krav på visuell analys och rapportering.

Anslut Defender for Cloud Apps-appen

Använd följande steg för att ansluta appen Defender for Cloud Apps Shadow IT Discovery i Power BI.

1. I Power BI väljer du appen Apps > Shadow IT Discovery.

2. På sidan Kom igång med din nya app väljer du Anslut. Till exempel:

   

3. På arbetsytans ID-sida anger du ditt Microsoft Sentinel arbetsyte-ID som visas på översiktssidan för Log Analytics och väljer sedan Nästa. Till exempel:

   

4. På autentiseringssidan anger du autentiseringsmetod och sekretessnivå och väljer sedan Logga in. Till exempel:

   

5. När du har anslutit dina data går du till fliken Datauppsättningar för arbetsytan och väljer Uppdatera. Då uppdateras rapporten med dina egna data.

Om du stöter på problem är vi här för att hjälpa till. Om du vill ha hjälp eller support för ditt produktproblem öppnar du ett supportärende.