Nastavení federovaných datových konektorů v data lake Microsoft Sentinel (Preview)

Tento článek vysvětluje, jak nakonfigurovat federované datové konektory tak, aby umožňovaly dotazování na externí zdroje dat z Microsoft Sentinel Data Lake. Federovat můžete pomocí Azure Databricks, Azure Data Lake Storage (ADLS) Gen2 a Microsoft Fabric. Tento článek vás provede vytvořením instančního objektu, uložením přihlašovacích údajů do Azure Key Vault a nastavením instance konektoru pro každý podporovaný zdroj dat. Tuto příručku použijte, pokud jste správce zabezpečení, který potřebuje přenést externí data do Microsoft Sentinel pro účely šetření a analýzy.

Požadavky

Před nastavením federace dat se ujistěte, že splňujete následující požadavky:

• Registrace do datového jezera Sentinel: Váš tenant musí být zaregistrován do datového jezera Sentinel. Další informace najdete v tématu Onboarding do Microsoft Sentinel Data Lake.

• Veřejná přístupnost: Externí zdroj musí být veřejně přístupný. Privátní koncové body se v současné době nepodporují.

• Instanční objekt: Pro Azure Databricks a zdroje Azure Data Lake Storage Gen2 se vyžaduje instanční objekt s příslušnými oprávněními ve zdroji dat, ke kterému se chcete připojit. Další informace najdete v tématu registrace aplikací v Microsoft Entra ID.

• Azure Key Vault: Vyžaduje se Azure Key Vault nakonfigurovaný s tajným klíčem klienta objektu služby. Identita aplikace Microsoft Sentinel potřebuje oprávnění přiřazená k trezoru klíčů. Další informace o konfiguraci trezorů Azure Key Vault najdete v článku Azure Key Vault.

• Oprávnění Microsoft Sentinel: Oprávnění Data (správa) pro systémové tabulky ke konfiguraci konektoru federace dat. Další informace najdete v tématu Role a oprávnění na platformě Microsoft Sentinel.

Vytvořit instanční objekt služby

Pro federaci Azure Databricks a ADLS Gen 2 potřebujete instanční objekt služby s přístupovými údaji uloženými v Azure Key Vault. Můžete použít existující instanční objekt nebo pomocí následujícího postupu vytvořit nový instanční objekt.

1. Vytvořte registraci Microsoft Entra ID aplikace:

   1. V Azure Portal přejděte na Microsoft Entra ID>Registrace aplikací.
   2. Vyberte Nová registrace.
   3. Zadejte název aplikace.
   4. Ponechte identifikátor URI přesměrování prázdný (pro tento scénář se nevyžaduje).
   5. Vyberte Zaregistrovat.

2. Vytvoření tajného klíče klienta:

   1. V registraci aplikace přejděte na Certifikáty & tajné kódy.
   2. Vyberte Nový tajný klíč klienta.
   3. Zadejte popis a vyberte období vypršení platnosti.
   4. Vyberte možnost Přidat.
   5. Okamžitě zkopírujte hodnotu klientského tajemství, protože ji později nemůžete získat. Tuto hodnotu potřebujete, když ukládáte tajemství do Azure Key Vault.

3. Poznamenejte si podrobnosti o aplikaci:

   • ID aplikace (klienta)
   • ID objektu
   • ID adresáře (tenanta)

Další informace o vytváření instančních objektů naleznete v článku Registrace aplikací v Microsoft Entra ID.

Vytvoření Azure Key Vault a uložení přihlašovacích údajů

Můžete použít existující Azure Key Vault a podle následujících kroků nakonfigurovat Key Vault přístup nebo pomocí následujícího postupu vytvořit nový Key Vault:

1. Vytvořte Azure Key Vault:

   1. V Azure Portal vytvořte nový Azure Key Vault.
   2. Použijte model oprávnění Azure pro řízení přístupu na základě role (doporučeno).
   3. Povolte pro trezor klíčů nastavení obnovitelného odstranění a ochrany před vymazáním.
   4. Poznamenejte si URI služby Key Vault po jeho vytvoření.

2. Konfigurace Key Vault přístupu:

   1. Roli uživatele tajných kódů Key Vault přiřaďte spravované identitě platformy Microsoft Sentinel. Identita má předponu msg-resources-.
   2. Pokud místo řízení přístupu na základě role v Azure používáte zásady přístupu pro Key Vaulty, udělte pro operace správy tajných kódů oprávnění Get a List.

3. Uložte tajný klíč klienta v Key Vault:

   1. V Key Vault přejděte na Tajné kódy>Generovat/importovat.
   2. Vytvořte nový tajný klíč obsahující tajný klíč klienta instančního objektu služby.
   3. Poznamenejte si název tajného kódu. Používá se při konfiguraci instance konektoru federace dat.

Další informace o konfiguraci trezorů Azure Key Vault najdete v článku Azure Key Vault.

Zobrazení a správa federovaných datových konektorů na portálu Defender

Federované konektory se spravují na stránce Datové konektory v Microsoft Sentinel na portálu Defender.

1. Přejděte na Microsoft Sentinel>Konfigurace>Datových konektorů.

2. V části Federace dat vyberte Katalog a zobrazte dostupné federované konektory.

   Na stránce katalogu se zobrazí:

   • Dostupné typy konektorů federace
   • Počet nakonfigurovaných instancí pro každý konektor
   • Informace o vydavateli a podpoře

   

3. Vyberte stránku Moje konektory a zobrazte všechny nakonfigurované instance konektorů. Stránka obsahuje seznam instancí konektoru federace dat vašeho tenanta spolu s jejich zobrazovaným názvem, verzí, stavem a poskytovatelem podpory.

4. Výběrem jednotlivých instancí zobrazíte podrobnosti, upravíte konfigurace nebo odstraníte instanci.

Vytvoření instance konektoru

Proces vytváření instance konektoru se liší v závislosti na tom, jestli se připojujete k Microsoft Fabric, Azure Data Lake Storage Gen 2 nebo Azure Databricks. Postupujte podle pokynů pro konkrétní typ zdroje dat.

Microsoft Fabric

Použijte následující kroky k vytvoření federované instance konektoru pro Microsoft Fabric.

Vytvoření instance konektoru Microsoft Fabric

Před konfigurací instance konektoru Fabric musíte v prostředí Microsoft Fabric nastavit oprávnění, aby Microsoft Sentinel měli přístup k datům.

• Nakonfigurujte nastavení správce v rámci Microsoft Fabric tak, aby byl tenant povolený pro sdílení externích dat. Další informace najdete v tématu Vytvoření externí sdílené složky dat.

• Nakonfigurujte nastavení správce v Microsoft Fabric tak, aby bylo povoleno nastavení Instanční objekty služby mohou volat veřejná rozhraní API Microsoft Fabric. Další informace najdete v tématu Instanční objekty můžou volat veřejná rozhraní API fabric.

• Přidejte identitu platformy Sentinel s prefixem msg-resources- jako člena pracovního prostoru v Lakehouse, ze kterého chcete federovat tabulky. Další informace najdete v tématu Udělení přístupu k pracovním prostorům.

Konfigurace instance konektoru Fabric:

1. Na stránce Federace dat>Katalog vyberte řádek Microsoft Fabric.

2. Na bočním panelu vyberte Připojit konektor.

3. Zadejte následující informace:

   :-----	Popis
   Název instance	Uživatelsky přívětivý název pro tuto instanci konektoru. Tento název instance se připojí k tabulkám reprezentovaným v jezeře z této instance.
   ID pracovního prostoru Fabric	ID pracovního prostoru Fabric určeného k federaci. Když přejdete do pracovního prostoru Fabric nebo Lakehouse, ID pracovního prostoru je v adrese URL za /groups/
   ID tabulky Lakehouse	ID tabulky Fabric Lakehouse, která se má federovat. Když přejdete do prostředí Fabric Lakehouse, v adrese URL se za /lakehouses/ zobrazí ID lakehouse.

4. Vyberte Další.

   

5. Vyberte tabulky, které chcete federovat.

6. Vyberte Další.

7. Zkontrolujte konfiguraci cíle federace.

8. Vyberte Připojit a vytvořte instanci připojení.

Azure Data Lake Storage Gen2

Použijte následující kroky k vytvoření federovaného konektoru pro Azure Data Lake Storage (ADLS) Gen 2.

Vytvoření instance konektoru ADLS Gen2

Před vytvořením konektoru připravte účet úložiště:

1. Pokud vytváříte nový účet úložiště, ujistěte se, že je povolené nastavení Hierarchické obory názvů .

2. Přiřaďte roli Čtenář dat v objektech blob služby Storage k instančnímu objektu služby, který jste vytvořili dříve. Další informace o udělení přístupu prostřednictvím Azure Portal najdete v tématu Přiřazení rolí Azure pomocí Azure Portal – Azure RBAC.

3. Na stránce Federace dat>Katalog vyberte Azure Data Lake Storage.

4. Vyberte Připojit konektor.

5. Nakonfigurujte následující název a podrobnosti o připojení:

   :-----	Popis
   Název instance	Uživatelsky přívětivý název pro tuto instanci konektoru. Název instance se připojí k názvům tabulek v jezeře.
   ID aplikace (klienta)	Identifikátor GUID instančního objektu služby s přístupem ke Key Vaultu a cílovému zdroji dat.
   URI Azure Key Vault	Identifikátor URI trezoru klíčů obsahujícího ověřovací tajný klíč pro instanční objekt služby.
   Název tajného kódu	Název tajného klíče v Key Vault, který obsahuje tajný klíč klienta instančního objektu služby
   URL služby Azure Data Lake Storage	Adresa URL koncového bodu ADLS Gen2 (musí být veřejně přístupná)

6. Pokračujte výběrem možnosti Další.

   

7. Vyberte tabulky, které chcete federovat z účtu úložiště ADLS Gen2.

8. Projděte si dostupné tabulky v úložišti ADLS Gen2.

9. Vyberte alespoň jednu tabulku pro federaci.

10. Pokračujte výběrem možnosti Další.

    

11. Po výběru tabulek zkontrolujte nastavení konfigurace.

12. Vyberte Připojit a vytvořte instanci konektoru.

13. Pokud potřebujete provést změny, vyberte Zpět a vraťte se k předchozím krokům.

    

Vyberte Připojit a dokončete nastavení instance konektoru ADLS Gen2. Průvodce se zavře a počet instancí služby Azure Data Lake Storage Gen2 se zvýší.

Azure Databricks

Použijte následující kroky k vytvoření federované instance konektoru pro Azure Databricks.

Připravte prostředí Azure Databricks

Před vytvořením konektoru nakonfigurujte přístup v prostředí Databricks následujícím způsobem:

1. V Azure Databricks vyberte katalog, ke kterému se chcete připojit z Microsoft Sentinel Data Lake.

2. Vyberte ikonu ozubeného kola u katalogu a potom vyberte Metastore.

3. Na stránce s podrobnostmi metastoru nastavte Přístup k externím datům na Povoleno.

4. V katalogu, se kterým federujete, vyberte Oprávnění a pak vyberte Udělit.

5. Vyhledejte instanční objekt, který jste předtím vytvořili.

6. U instančního objektu služby nastavte předvolbu oprávnění Data Reader, vyberte oprávnění External Use Schema a potom vyberte Confirm.

7. V pravém horním rohu obrazovky Azure Databricks vyberte svůj účet a vyberte Nastavení.

8. V části Identita a přístup vedle instančních objektů vyberte tlačítko Spravovat.

9. Vyberte „Přidat instanční objekt“.

10. V poli Instanční objekt vyberte existující instanční objekt.

11. Vyberte instanční objekt, který jste vytvořili dříve, a vyberte Přidat.

Vytvoření instance konektoru Azure Databricks

Postupujte podle těchto kroků k vytvoření instance konektoru Azure Databricks v portálu Defender:

1. Na stránce Federace dat>Katalog vyberte řádek Azure Databricks.

2. Na bočním panelu vyberte Připojit konektor.

3. Zadejte následující podrobnosti:

   :-----	Popis
   Název instance	Uživatelsky přívětivý název pro tuto instanci konektoru
   ID objektu zabezpečení	GUID instančního objektu služby s přístupem ke službě Key Vault
   URI Azure Key Vault	URI trezoru Key Vault obsahujícího tajný klíč pro ověřování
   Název tajného kódu	Název tajného kódu v Key Vault obsahující informace o připojení Databricks
   Databricks URL	Adresa URL instance Azure Databricks (musí být veřejně přístupná)
   Název katalogu	Název katalogu v Azure Databricks pro federaci
   Název schématu	Název schématu v Azure Databricks určeného pro federaci

   

4. Vyberte Další.

5. Vyberte tabulky, které chcete federovat z instance Azure Databricks.

6. Pokračujte výběrem možnosti Další.

   

7. Zkontrolujte nastavení konfigurace.

8. Vyberte Připojit a vytvořte instanci konektoru.

9. Pokud potřebujete provést změny, vyberte Zpět a vraťte se k předchozím krokům.

Po výběru možnosti Připojit se průvodce zavře a počet instancí pro Databricks se zvýší.

Ověření tabulek z instance konektoru

Po vytvoření instance konektoru zkontrolujte, jestli jsou federované tabulky dostupné v Microsoft Sentinel.

1. Přejděte do Microsoft Sentinel > konfiguračních > tabulek.
2. Pokud chcete zobrazit všechny federované tabulky, můžete filtrovat podle typu Federované .
3. Vyhledejte podle názvu instance konektoru.
4. Tabulky z vaší instance konektoru jsou uvedené s názvem, za kterým _instance namenásleduje . Pokud byl GlobalHRData například název instance datového konektoru a vaše tabulka se jmenovala hrlogs, zobrazí se název tabulky jako hrlogs_GlobalHRData.
5. Výběrem tabulky ze seznamu otevřete panel podrobností.
6. Vyberte kartu Přehled a zobrazte typ tabulky a zprostředkovatele federace.
7. Vyberte kartu Zdroj dat, chcete-li zobrazit zprostředkovatele dat instance konektoru a zdrojový produkt pro tabulku. Výběrem názvu instance konektoru přejdete na tuto instanci v části Moje konektory v rámci datových konektorů.
8. Výběrem karty Schéma zobrazíte schéma tabulky.
9. Na kartě Schéma vyberte Aktualizovat a aktualizujte schéma tabulky přidružené k federované tabulce.

Správa instancí konektoru

Úprava nebo odstranění instance konektoru:

1. Přejděte na stránku Federace dat>Moje konektory.
2. Vyberte instanci konektoru, kterou chcete spravovat.
3. Na panelu podrobností použijte dostupné možnosti pro:
   • Úprava nastavení připojení
   • Přidání nebo odebrání federovaných tabulek
   • Odstranění instance konektoru

Poznámka

Instance připojení Microsoft Fabric nepodporují úpravy. Můžete vytvořit nové federované připojení a přidat další tabulky, nebo můžete odstranit instanci připojení Fabric a znovu ji vytvořit se stejným názvem instance a vybranou jinou sadou tabulek.

Řešení problémů

Při diagnostice běžných problémů s nastavením a provozem federovaného datového konektoru využijte následující kontroly.

Selhání připojení

• Ověřte, že spravovaná identita platformy Sentinel s předponou msg-resources- má správná oprávnění k Azure Key Vault.

• Pokud je zdrojem vašeho připojení Azure Databricks nebo Azure Data Lake Storage Gen2, ujistěte se, že tajný kód v Key Vaultu obsahuje správný tajný kód klienta pro váš instanční objekt služby.

• Pokud je vaším zdrojem připojení Azure Databricks, potvrďte, že cílová skupina používá hybridní typ pracovního prostoru a že pro tento prostor byl povolen externí přístup k datům.

• Key Vault sítě musí být během konfigurace konektoru nastavená na Povolit veřejný přístup ze všech sítí, což je výchozí konfigurace Key Vault. Po vytvoření nebo úpravách konektoru je možné ho změnit.

• Ověřte, že je externí zdroj dat veřejně přístupný.

• Zkontrolujte, jestli má instanční objekt příslušná oprávnění u cílového zdroje dat pro služby Azure Databricks a ADLS.

• Pokud je cílovým zdrojem dat Fabric, zkontrolujte, zda byla identitě pro Microsoft Sentinel s předponou msg-resources- udělena oprávnění role Člen pracovního prostoru.

• Zkontrolujte, že nemáte více než 100 instancí připojení.

Poznámka

ADLS a Azure Databricks používají jednu instanci připojení na jedno federované připojení. Fabric může používat více instancí na každé federované připojení. V případě Fabric se každé schéma lakehouse ve vašem federovaném připojení započítává do limitu 100 instancí.

Tabulky se nezobrazují

• Ověřte, že instanční objekt má přístup ke čtení cílových tabulek pro ADLS a Azure Databricks a že je instanční objekt ve stejném tenantovi jako tyto zdroje dat.
• Ověřte, že cílové tabulky jsou ve formátu Delta Parquet.
• V případě Databricks se ujistěte, že jste instančnímu objektu služby udělili jak předdefinovanou sadu oprávnění Data Reader, tak i oprávnění External Use Schema.
• Pro ADLS Gen 2 ověřte, že je role Čtenář dat objektů blob v úložišti přiřazena instančnímu objektu služby.

Problémy s výkonem dotazů

• Vezměte v úvahu velikost dat dotazovaných z externích zdrojů.
• Optimalizujte dotazy pro včasné filtrování dat.
• Zkontrolujte síťové připojení mezi Sentinel a externím zdrojem.

Související obsah

• Přehled federace dat
• Dotazování federovaných tabulek pomocí KQL