Osvědčené postupy pro shromažďování dat

  • Článek

Tato část popisuje osvědčené postupy pro shromažďování dat pomocí datových konektorů Microsoft Sentinelu. Další informace najdete v tématu Připojení zdroje dat, referenční informace k datovým konektorům Microsoft Sentinelu a katalogu řešení Microsoft Sentinel.

Určení priorit datových konektorů

Zjistěte, jak určit prioritu datových konektorů v rámci procesu nasazení Služby Microsoft Sentinel.

Filtrování protokolů před příjmem dat

Před ingestování dat do Služby Microsoft Sentinel můžete chtít filtrovat shromážděné protokoly nebo dokonce obsah protokolu. Můžete například chtít vyfiltrovat protokoly, které jsou pro operace zabezpečení irelevantní nebo nedůležité, nebo můžete chtít odebrat nežádoucí podrobnosti ze zpráv protokolu. Filtrování obsahu zpráv může být užitečné také při pokusu o snížení nákladů při práci s protokoly Syslog, CEF nebo Windows, které mají mnoho irelevantních podrobností.

Vyfiltrujte protokoly pomocí jedné z následujících metod:

  • Agent služby Azure Monitor. Podporuje se v systémech Windows i Linux k příjmu událostí zabezpečení Systému Windows. Vyfiltrujte protokoly shromážděné konfigurací agenta tak, aby shromažďovat pouze zadané události.

  • Logstash. Podporuje filtrování obsahu zpráv, včetně provádění změn zpráv protokolu. Další informace najdete v tématu Připojení s využitím Logstash.

Důležité

Použití Logstash k filtrování obsahu zprávy způsobí, že se protokoly ingestují jako vlastní protokoly, což způsobí, že všechny protokoly úrovně Free se stanou protokoly placené úrovně.

Vlastní protokoly je také potřeba pracovat na analytických pravidlech, proaktivním vyhledávání hrozeb a sešitech, protože se nepřidávají automaticky. Vlastní protokoly se také v současné době nepodporují pro možnosti strojového Učení.

Alternativní požadavky na příjem dat

Standardní konfigurace pro shromažďování dat nemusí pro vaši organizaci fungovat dobře, a to kvůli různým výzvám. Následující tabulky popisují běžné výzvy nebo požadavky a možná řešení a důležité informace.

Poznámka:

Řada řešení uvedených v následujících částech vyžaduje vlastní datový konektor. Další informace najdete v tématu Zdroje informací o vytváření vlastních konektorů Microsoft Sentinelu.

Místní shromažďování protokolů Windows

Výzva nebo požadavek Možná řešení Důležité informace
Vyžaduje filtrování protokolů. Použití Logstash

Použití Azure Functions

Použití LogicApps

Použití vlastního kódu (.NET, Python)		 Filtrování sice může vést k úsporám nákladů a ingestování jenom požadovaných dat, ale některé funkce Microsoft Sentinelu se nepodporují, například UEBA, stránky entit, strojové učení a fúzi.

Při konfiguraci filtrování protokolů proveďte aktualizace v prostředcích, jako jsou dotazy proaktivního vyhledávání hrozeb a analytická pravidla.
Agenta nelze nainstalovat. Použití předávání událostí Windows, podporované s agentem služby Azure Monitor Předávání událostí systému Windows snižuje události vyrovnávání zatížení za sekundu z kolekce událostí systému Windows z 10 000 událostí na 500–1000 událostí.
Servery se nepřipojí k internetu Použití brány Log Analytics Konfigurace proxy serveru pro vašeho agenta vyžaduje další pravidla brány firewall, aby brána fungovala.
Vyžaduje označování a rozšiřování při příjmu dat. Použití Logstash k vložení ID prostředku

Použití šablony ARM k vložení ID prostředku do místních počítačů

Ingestování ID prostředku do samostatných pracovních prostorů		 Log Analytics nepodporuje RBAC pro vlastní tabulky

Microsoft Sentinel nepodporuje řízení přístupu na úrovni řádků

Tip: Pro Microsoft Sentinel můžete chtít použít návrh a funkce napříč pracovními prostory.
Vyžaduje rozdělení operací a protokolů zabezpečení. Použití multi-home funkce agenta Microsoft Monitor nebo agenta Azure Monitor Vícedomátové funkce vyžadují pro agenta větší režii nasazení.
Vyžaduje vlastní protokoly. Shromažďování souborů z konkrétních cest ke složkám

Použití příjmu dat rozhraní API

Použití PowerShellu

Použití Logstash		 Možná máte problémy s filtrováním protokolů.

Vlastní metody nejsou podporované.

Vlastní konektory můžou vyžadovat dovednosti vývojářů.

Místní shromažďování protokolů Linuxu

Výzva nebo požadavek Možná řešení Důležité informace
Vyžaduje filtrování protokolů. Použití syslog-NG

Použití Rsyslogu

Použití konfigurace FluentD pro agenta

Použití agenta Azure Monitoru nebo agenta Microsoft Monitoring Agent

Použití Logstash		 Některé linuxové distribuce nemusí agent podporovat.

Použití Syslogu nebo FluentD vyžaduje znalosti vývojáře.

Další informace najdete v tématu Připojení serverům s Windows za účelem shromažďování událostí zabezpečení a prostředků pro vytváření vlastních konektorů Microsoft Sentinelu.
Agenta nelze nainstalovat. Použijte nástroj pro předávání Syslog, například syslog-ng nebo rsyslog.
Servery se nepřipojí k internetu Použití brány Log Analytics Konfigurace proxy serveru pro vašeho agenta vyžaduje další pravidla brány firewall, aby brána fungovala.
Vyžaduje označování a rozšiřování při příjmu dat. Protokoly použijte k rozšiřování nebo k vlastním metodám, jako je rozhraní API nebo Event Hubs. Je možné, že se vyžaduje další úsilí pro filtrování.
Vyžaduje rozdělení operací a protokolů zabezpečení. Použijte agenta Azure Monitoru s konfigurací vícenásobného navádění.
Vyžaduje vlastní protokoly. Vytvořte vlastní kolektor pomocí agenta Microsoft Monitoring (Log Analytics).

Řešení koncových bodů

Pokud potřebujete shromažďovat protokoly z řešení koncových bodů, jako je EDR, další události zabezpečení, Sysmon atd., použijte jednu z následujících metod:

  • Konektor XDR v programu Microsoft Defender ke shromažďování protokolů z programu Microsoft Defender for Endpoint Tato možnost nese dodatečné náklady na příjem dat.
  • Předávání událostí systému Windows

Poznámka:

Vyrovnávání zatížení snižuje počet událostí za sekundu, které je možné zpracovat do pracovního prostoru.

Data Office

Pokud potřebujete shromažďovat systém Microsoft Office data mimo standardní data konektoru, použijte jedno z následujících řešení:

Výzva nebo požadavek Možná řešení Důležité informace
Shromažďování nezpracovaných dat z Teams, trasování zpráv, phishingových dat atd. Použijte integrované funkce konektoru Office 365 a pak vytvořte vlastní konektor pro jiná nezpracovaná data. Mapování událostí na odpovídající ID záznamu může být náročné.
Vyžaduje RBAC pro rozdělení zemí/oblastí, oddělení atd. Přizpůsobte si shromažďování dat přidáním značek k datům a vytvořením vyhrazených pracovních prostorů pro každé potřebné oddělení. Vlastní shromažďování dat má dodatečné náklady na příjem dat.
Vyžaduje více tenantů v jednom pracovním prostoru. Přizpůsobte shromažďování dat pomocí Azure LightHouse a jednotného zobrazení incidentu. Vlastní shromažďování dat má dodatečné náklady na příjem dat.

Další informace najdete v tématu Rozšíření služby Microsoft Sentinel mezi pracovními prostory a tenanty.

Data cloudové platformy

Výzva nebo požadavek Možná řešení Důležité informace
Filtrování protokolů z jiných platforem Použití Logstash

Použití agenta Azure Monitoru / agenta Microsoft Monitoring (Log Analytics)		 Vlastní kolekce má dodatečné náklady na příjem dat.

Možná budete mít potíže se shromažďováním všech událostí Windows vs. Pouze události zabezpečení.
Agenta nelze použít. Použití předávání událostí systému Windows Možná budete muset vyrovnávat zatížení prostředků.
Servery jsou v síti s mezerami vzduchu Použití brány Log Analytics Konfigurace proxy serveru pro vašeho agenta vyžaduje pravidla brány firewall, aby brána fungovala.
RBAC, označování a rozšiřování při příjmu dat Vytvořte vlastní kolekci přes Logstash nebo rozhraní LOG Analytics API. RBAC se nepodporuje pro vlastní tabulky.

Řízení přístupu na úrovni řádků není podporováno pro žádné tabulky.

Další kroky

Další informace naleznete v tématu: