Použijte federované zdroje dat v Microsoft Sentinel (Preview)

Po nastavení federovaných datových konektorů můžete k federovaným tabulkám přistupovat prostřednictvím několika rozhraní v Microsoft Sentinel. Federované tabulky se používají stejným způsobem jako jiné tabulky Data Lake. Tento článek vysvětluje, jak zobrazit federované tabulky, dotazovat se na ně pomocí KQL (dotazovací jazyk Kusto) a jak s nimi pracovat v poznámkových blocích Jupyter.

Požadavky

Než začnete, ujistěte se, že:

• Váš tenant musí být připojen k datovému jezeru Sentinel. Další informace najdete v tématu Onboarding do Microsoft Sentinel Data Lake.
• Máte příslušná oprávnění k dotazování na data v Sentinel Data Lake. Další informace najdete v tématu Role a oprávnění na platformě Microsoft Sentinel.

Pochopení pojmenování federovaných tabulek

Názvy federovaných tabulek se řídí vzorem <tableName>_<connectorInstanceName>. Příklady:

Původní název tabulky	Název instance konektoru	Název federované tabulky
widgets	ADLS01	widgets_ADLS01
sales_data	AzureDBX01	sales_data_AzureDBX01
inventory	Fabric01	inventory_Fabric01

Pokud má více tabulek v instanci konektoru stejný název tabulky, připojí se k názvu instance konektoru číselný identifikátor, například widgets_ADLS01_1 když se dvě tabulky v instanci konektoru ADLS01 nazývají widgets.

Při dotazování na data z Sentinel Data Lake použijte název federované tabulky.

Zobrazení federovaných tabulek ve správě tabulek

Zobrazení správy tabulek poskytuje přehled všech tabulek v Sentinel Data Lake, včetně federovaných tabulek.

1. Přejděte na Microsoft Sentinel>Konfigurace>Tabulky.
2. Vyberte filtr Typ .
3. Vyberte Federované a vyberte Použít.

Zobrazení podrobností tabulky

Výběrem řádku tabulky otevřete panel podrobností. Panel podrobností tabulky obsahuje tři karty:

Karta	Popis
Přehled	Základní informace o federované tabulce, včetně typu zdroje a stavu připojení
Zdroje dat	Ukazuje, které instance konektoru poskytují data pro tuto tabulku.
Schéma	Zobrazí sloupce, datové typy a popisy sloupců tabulky. Uživatelé s oprávněním zapisovat do systémových tabulek data lake můžou výběrem možnosti Aktualizovat schéma aktualizovat sloupce a další metadata schématu ze zdroje.

Dotazování federovaných tabulek pomocí KQL

Stránka dotazů KQL v Microsoft Sentinel umožňuje dotazování federovaných tabulek společně s nativními daty Sentinel. Federované tabulky jsou podporované pro úlohy KQL, interaktivní a asynchronní dotazy a nástroje MCP.

1. Přejděte na Microsoft Sentinel>Data lake exploration>KQL dotazy.

2. Na informačním panelu vyberte tlačítko Vybraný pracovní prostor .

3. Jako jeden z pracovních prostorů vyberte Systémové tabulky .

4. Na kartě Schéma rozbalte oddíl Systémové tabulky .

5. Rozbalte část Federované tabulky .

6. Vyhledejte typ federace pro zdroj dat, například Microsoft Fabric, Azure Databricks nebo Azure Data Lake Storage Gen2.

7. Rozbalte typ federace, abyste zobrazili federované tabulky.

8. Rozbalením tabulky zobrazíte její sloupce.

Poznámka

Kvůli optimalizaci výkonu dotazů v KQL může trvat až 15 minut, než se nová data ve federované tabulce zpřístupní pro dotazy.

Psaní a spouštění dotazů

Dotazy na federované tabulky fungují podobně jako dotazy na nativní tabulky Lake s několika důležitými rozdíly:

• Je možné, že dojde ke změně schématu tabulky v externím zdroji. To může mít za následek selhání při dotazu, který značí, že sloupec není k dispozici. Aktualizujte sloupce na stránce Správa tabulek tak, že vyberete federovanou tabulku, vyberete kartu Schéma a vyberete Aktualizovat schéma.

• Federované tabulky bez TimeGenerated sloupce nebo tam, kde TimeGenerated je sloupec s daty v nesprávném formátu, nejde v Průzkumníku data lake použít k výběru časových rozsahů pomocí časového výběru v uživatelském rozhraní. Definujte filtry kalendářních dat v těle KQL, které odpovídají formátu data federované tabulky.

Vytváření úloh KQL z federovaných dotazů

Úlohy KQL můžete vytvářet na základě dotazů, které používají federované tabulky:

1. Napište a otestujte dotaz KQL pomocí federovaných tabulek.
2. V pravém horním rohu panelu dotazů vyberte tlačítko Vytvořit úlohu .
3. Nakonfigurujte nastavení úlohy, včetně plánu a cíle výstupu.
4. Uložte úlohu.

Poznámka

• Zápis dat do federované tabulky se nepodporuje. Výstup KQL se vytváří na základě stejných kritérií, která se dnes používají při vytváření úlohy KQL, přičemž výstup lze podle zvoleného cíle zapsat do nové nebo existující tabulky.

• Pokud federované tabulky neobsahují TimeGenerated sloupce nebo pokud výstup neobsahuje TimeGenerated sloupec se správně naformátovanou hodnotou data pro každý řádek, nebudou dotazy KQL fungovat v tabulce po jejím vytvoření v jezeře.

Federované tabulky jsou plně podporované pro úlohy KQL, asynchronní dotazy a nástroje MCP.

Vytvoření nástroje MCP s dotazy federovaných tabulek

Nástroje MCP můžete vytvářet na základě dotazů, které používají federované tabulky:

1. Napište a otestujte dotaz KQL pomocí federovaných tabulek.

2. Vyberte tlačítko Uložit jako nástroj nad editorem dotazů.

3. Upravte dotaz podle potřeby, například parametrizujte hodnoty.

4. Pokud chcete odkazovat na federovanou tabulku, ujistěte se, že máte před název tabulky předponu workspace("default").. Pokud byla vaše tabulka například widgets_ADLS01, váš kód pro tuto tabulku zobrazí workspace("default").widgets_ADLS01.

5. Uložte nástroj.

Použití federovaných tabulek v poznámkových blocích Jupyter

Federované tabulky jsou přístupné v poznámkových blocích Jupyter prostřednictvím rozšíření Microsoft Sentinel VS Code.

V rozšíření Microsoft Sentinel VS Code se federované tabulky zobrazují v části Tabulky Lake>Systémové tabulky>Federované tabulky.

Práce s federovanými tabulkami v poznámkových blocích Jupyter se řídí stejnými vzory jako nativní systémové tabulky:

1. Použijte úplný název tabulky: Referenční tabulky ve <tableName>_<connectorInstance> formátu .
2. Nezadávejte název pracovního prostoru: Operace čtení nevyžadují specifikaci pracovního prostoru.
3. Přístup jen pro čtení: Federované tabulky jsou jen pro čtení; nemůžete zapisovat data zpět do federovaných zdrojů.

Poznámka

Po prvním povolení federace dat může trvat až 24 hodin, než se v poznámkových blocích Jupyter zobrazí federované tabulky.

Úlohy poznámkového bloku Jupyter

Naplánované úlohy poznámkového bloku Jupyter, které využívají federované tabulky, můžete vytvářet stejným způsobem, jakým byste vytvořili úlohu poznámkového bloku pro nativní tabulky Data Lake:

1. Vytvářejte svůj poznámkový blok pomocí federovaných dotazů na tabulky
2. Otestujte poznámkový blok a ujistěte se, že se federované dotazy spouští správně.
3. Vytvořte úlohu z poznámkového bloku.
4. Nakonfigurujte plán a parametry úloh.

Poznámka

Úlohy poznámkových bloků můžou zapisovat pouze do pracovních prostorů Sentinel nebo systémových tabulek jako cílového umístění. Do federované tabulky nemůžete zapisovat data.

Osvědčené postupy

Dodržujte tyto pokyny pro optimalizaci dotazů, strategii spojení a řešení chyb, abyste získali nejlepší výkon z federovaných tabulek.

Optimalizace dotazů

K vylepšení výkonu federovaných dotazů použijte následující postupy.

• Použijte filtry včas: Pokud je to možné, filtrujte data ve zdroji, abyste omezili přenos dat.
• Omezit sady výsledků: Během vývoje používejte take klauzule nebo limit .
• Použít projekce: Vyberte jenom sloupce, které potřebujete ke zlepšení výkonu.

Příklad: Optimalizovaný dotaz

Následující dotaz předvádí filtrování velké federované datové sady na začátku, aby se snížil objem dat, a výběr pouze potřebných sloupců pro zlepšení výkonu dotazů.

large_dataset_adls_connector
| where EventTime >= ago(1h)           // Filter early
| where EventType == "Login"           // Reduce data volume
| project EventTime, UserId, SourceIP  // Select needed columns
| take 10000                           // Limit results

Strategie spojení

Při spojování federovaných a nativních tabulek použijte následující postupy výkonu dotazů.

• Použijte vhodné typy spojení: Zvolte inner, leftouternebo rightouter podle svých potřeb.
• Před připojením filtrovat: Snižte objem dat před operacemi spojení.
• Zvažte velikosti dat: Umístěte menší tabulku na pravou stranu spojení.

Zpracování chyb

Při diagnostice a zpracování běžných problémů s federovanými dotazy zvažte následující postupy.

• Zkontrolujte stav připojení: Před dotazováním ověřte, že jsou instance federovaného konektoru připojené.
• Práce s hodnotami null: Externí data mohou obsahovat neočekávané hodnoty null; použijte funkce coalesce() nebo isnull().
• Monitorování výkonu dotazů: Sledujte doby provádění federovaných dotazů a identifikujte problémy s výkonem.

Řešení problémů

Dotaz nevrací žádné výsledky.

• Ověřte, že je instance konektoru v připojeném stavu.
• Ověřte dostupnost externího zdroje dat spolu s tabulkami, na které dotaz cílí.
• Ověřte, zda z instančního objektu nebo spravované identity Sentinelu nebyla odebrána oprávnění pro daný cílový zdroj dat.
• Zkontrolujte, že používáte správný formát názvu federované tabulky.
• Ujistěte se, že jsou systémové tabulky dostupné v navigačním podokně pro dotazy KQL nebo relaci poznámkového bloku.

Dotaz je pomalý

• Pomocí filtrů snižte objem dat dotazovaných z externích zdrojů.
• Zkontrolujte výkon a dostupnost externího zdroje.
• Zvažte vytvoření souhrnných tabulek pro často přístupná data.

Nesoulad schématu

• Zkontrolujte schéma tabulky v zobrazení správy tabulek.
• Upravte dotaz tak, aby zpracovával rozdíly ve schématu.
• Zkontrolujte, jestli se od vytvoření konektoru nezměnilo schéma externí tabulky.

Nejde spustit nástroje MCP pro federované tabulky

Ujistěte se, že jste před název tabulky přidali předponu workspace("default"). všude, kde v nástroji MCP odkazujete na federovanou tabulku.

Související obsah

• Přehled federace dat
• Nastavení federovaných datových konektorů
• Referenční informace k dotazům KQL