Erstellen von Watchlists in Microsoft Sentinel

2025-06-12
Gilt für: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Mit Watchlists in Microsoft Sentinel können Sie Daten aus einer Datenquelle korrelieren, die Sie mit den Ereignissen in Ihrer Microsoft Sentinel-Umgebung bereitstellen. Beispielsweise können Sie eine Watchlist mit einer Liste von hochwertigen Ressourcen, gekündigten Mitarbeiter*innen oder Dienstkonten in Ihrer Umgebung erstellen.

Hochladen eine Watchlistdatei aus einem lokalen Ordner oder aus Ihrem Azure Storage-Konto. Um eine Watchlistdatei zu erstellen, haben Sie die Möglichkeit, eine der Watchlistvorlagen von Microsoft Sentinel herunterzuladen, um sie mit Ihren Daten aufzufüllen. Laden Sie diese Datei dann hoch, wenn Sie die Watchlist in Microsoft Sentinel erstellen.

Lokale Dateiuploads sind aktuell auf Dateien mit einer Größe von bis zu 3,8 MB beschränkt. Eine Datei mit einer Größe von über 3,8 MB und bis zu 500 MB gilt als große Watchlist. Laden Sie die Datei in ein Azure Storage-Konto hoch. Bevor Sie eine Watchlist erstellen, überprüfen Sie die Einschränkungen von Watchlists.

Daten in der Log Analytics Watchlist-Tabelle werden 28 Tage lang aufbewahrt.

Wichtig

Die Features für Watchlist-Vorlagen und die Möglichkeit zum Erstellen einer Watchlist aus einer Datei in Azure Storage befinden sich derzeit in DER VORSCHAU. Die ergänzenden Bedingungen für Azure Preview enthalten zusätzliche rechtliche Bestimmungen, die für Azure-Features gelten, die sich in der Betaversion, Vorschau oder noch nicht in der allgemeinen Verfügbarkeit befinden.

Microsoft Sentinel ist im Microsoft Defender-Portal allgemein verfügbar, einschließlich für Kunden ohne Microsoft Defender XDR oder eine E5-Lizenz. Weitere Informationen finden Sie unter Microsoft Sentinel im Microsoft Defender-Portal.

Hochladen einer Watchlist aus einem lokalen Ordner

Sie haben zwei Möglichkeiten, um eine CSV-Datei von Ihrem lokalen Computer hochzuladen, um eine Watchlist zu erstellen.

Für eine Watchlist-Datei, die Sie ohne eine Watchlist-Vorlage erstellt haben: Wählen Sie "Neu hinzufügen" aus, und geben Sie die erforderlichen Informationen ein.
Für eine Watchlist-Datei, die aus einer Vorlage erstellt wurde, die von Microsoft Sentinel heruntergeladen wurde: Wechseln Sie zur Registerkarte " Watchlist-Vorlagen (Vorschau) ". Wählen Sie die Option "Aus Vorlage erstellen" aus. Azure füllt den Namen, die Beschreibung und den Watchlistalias vorab für Sie auf.

Hochladen einer Watchlist aus einer von Ihnen erstellten Datei

Wenn Sie ihre Datei nicht mithilfe einer Watchlistvorlage erstellt haben:

Wählen Sie für Microsoft Sentinel im Defender-Portal die Optionen Microsoft Sentinel, > und Überwachungsliste aus. Wählen Sie für Microsoft Sentinel im Azure-Portal unter "Konfiguration" die Option "Watchlist" aus.
Wählen Sie +Neu aus.
- Defender-Portal
- Azure-Portal
Geben Sie auf der Seite "Allgemein " den Namen, die Beschreibung und den Alias für die Watchlist an.
Wählen Sie "Weiter" aus: Quelle.

Verwenden Sie die Informationen in der folgenden Tabelle, um Ihre Watchlistdaten hochzuladen.

Feld	BESCHREIBUNG
Typ für das Dataset auswählen	Dies ist eine CSV-Datei mit Überschrift (.csv).
Anzahl von Zeilen vor der Überschriftenzeile	Geben Sie die Anzahl der Zeilen vor der Kopfzeile in der Datendatei ein.
Hochladen der Datei	Ziehen Sie Ihre Datendatei und legen Sie sie ab oder wählen Sie Nach Dateien suchen und wählen Sie die Datei aus, die hochgeladen werden soll.
Suchschlüssel	Geben Sie den Namen einer Spalte in Ihrer Watchlist ein, die Sie als Verknüpfung (Join) mit anderen Daten oder als häufiges Suchobjekt verwenden möchten. Wenn Ihre Serverüberwachungsliste beispielsweise Länder-/Regionsnamen und die entsprechenden länderspezifischen Ländercodes in zwei Buchstaben enthält und Sie erwarten, dass die Ländercodes häufig für Die Suche oder Verknüpfungen verwendet werden, verwenden Sie die Spalte "Code " als Suchschlüssel.

Hinweis

Wenn Ihre CSV-Datei größer als 3,8 MB ist, müssen Sie die Anweisungen zum Erstellen einer großen Watchlist aus der Datei in Azure Storage verwenden.

Wählen Sie "Weiter" aus: Überprüfen und Erstellen.
Überprüfen Sie die Informationen, überprüfen Sie, ob sie korrekt ist, warten Sie auf die nachricht "Überprüfung bestanden" , und wählen Sie dann "Erstellen" aus.

Sobald die Watchlist erstellt wurde, wird eine Benachrichtigung angezeigt.

Es kann einige Minuten dauern, bis die Watchlist erstellt und die neuen Daten in Abfragen verfügbar sind.

Hochladen einer aus einer Vorlage erstellten Watchlist (Vorschau)

So erstellen Sie die Watchlist aus einer von Ihnen aufgefüllten Vorlage

Wählen Sie für Microsoft Sentinel im Azure-Portal unter "Konfiguration" die Option "Watchlist" aus.
Wählen Sie für Microsoft Sentinel im Defender-Portal die Optionen Microsoft Sentinel, > und Überwachungsliste aus.
Wählen Sie die Registerkarte "Vorlagen" (Vorschau) aus.
Wählen Sie die entsprechende Vorlage aus der Liste aus, um Details der Vorlage im rechten Bereich anzuzeigen.
Wählen Sie "Aus Vorlage erstellen" aus.
Beachten Sie, dass auf der Registerkarte Allgemein die Felder Name, Beschreibung und Watchlistalias schreibgeschützt sind.
Wählen Sie auf der Registerkarte " Quelle " die Option " Nach Dateien suchen " und dann die Datei aus, die Sie aus der Vorlage erstellt haben.
Wählen Sie "Weiter" aus: Überprüfen und Erstellen>.
Achten Sie darauf, ob eine Azure-Benachrichtigung angezeigt wird, wenn die Watchlist erstellt wird.

Es kann einige Minuten dauern, bis die Watchlist erstellt und die neuen Daten in Abfragen verfügbar sind.

Erstellen einer großen Watchlist aus einer Datei in Azure Storage (Vorschau)

Wenn Sie eine große Watchlistdatei mit einer Größe von bis zu 500 MB haben, laden Sie Ihre Watchlistdatei in Ihr Azure Storage-Konto hoch. Erstellen Sie dann eine SAS-URL (Shared Access Signature), über die Microsoft Sentinel die Watchlistdaten abrufen kann. Eine SAS-URL (Shared Access Signature) ist ein URI, der sowohl den Ressourcen-URI als auch das Shared Access Signature-Token einer Ressource wie einer CSV-Datei in Ihrem Speicherkonto enthält. Fügen Sie schließlich die Watchlist Ihrem Arbeitsbereich in Microsoft Sentinel hinzu.

Weitere Informationen zu freigegebenen Zugriffssignaturen finden Sie unter Azure Storage shared access signature token.

Schritt 1: Hochladen einer Watchlistdatei in Azure Storage

Um eine große Watchlistdatei in Ihr Azure Storage-Konto hochzuladen, verwenden Sie AzCopy oder das Azure-Portal.

Wenn Sie noch nicht über ein Azure Storage-Konto verfügen, erstellen Sie ein Speicherkonto. Das Speicherkonto kann sich in einer anderen Ressourcengruppe oder Region als Ihr Arbeitsbereich in Microsoft Sentinel befinden.
Verwenden Sie AzCopy oder das Azure-Portal, um Ihre CSV-Datei mit Ihren Watchlistdaten in das Speicherkonto hochzuladen.

Hochladen Ihrer Datei mit AzCopy

Verwenden Sie das Befehlszeilenprogramm AzCopy v10, um Dateien und Verzeichnisse in Blob Storage hochzuladen. Weitere Informationen finden Sie unter Hochladen von Dateien in Azure Blob Storage mithilfe von AzCopy.

Wenn Sie noch über keinen Storage-Container verfügen, erstellen Sie einen, indem Sie den folgenden Befehl ausführen.
```
azcopy make 
https://<storage-account-name>.<blob or dfs>.core.windows.net/<container-name>
```

Führen Sie als Nächstes den folgenden Befehl aus, um die Datei hochzuladen.

azcopy copy '<local-file-path>' 'https://<storage-account-name>.<blob or dfs>.core.windows.net/<container-name>/<blob-name>'

Hochladen Ihrer Datei in das Azure-Portal

Wenn Sie nicht AzCopy verwenden, laden Sie Ihre Datei mithilfe des Azure-Portals hoch. Wechseln Sie zu Ihrem Speicherkonto im Azure-Portal, um die CSV-Datei mit Ihren Watchlistdaten hochzuladen.

Wenn Sie noch nicht über einen vorhandenen Speichercontainer verfügen, erstellen Sie einen Container. Für die Ebene des öffentlichen Zugriffs auf den Container empfehlen wir die Standardeinstellung, bei der die Ebene auf „Privat“ (kein anonymer Zugriff) festgelegt ist.
Laden Sie Ihre CSV-Datei in das Speicherkonto hoch, indem Sie ein Block-BLOB hochladen.

Schritt 2: Erstellen einer SAS-URL (Shared Access Signature)

Erstellen Sie eine SAS-URL (Shared Access Signature), über die Microsoft Sentinel die Watchlistdaten abrufen kann.

Führen Sie die Schritte unter Erstellen von SAS-Token für Blobs im Azure-Portal aus.
Legen Sie die Ablaufzeit des Shared Access Signature-Tokens auf mindestens 6 Stunden fest.
Behalten Sie den Standardwert für zulässige IP-Adressen leer.
Kopieren Sie den Wert für blob SAS-URL.

Schritt 3: Hinzufügen von Azure zur CORS-Registerkarte

Bevor Sie einen SAS-URI verwenden, fügen Sie das Azure-Portal zur ursprungsübergreifenden Ressourcenfreigabe (Cross Origin Resource Sharing, CORS) hinzu.

Wechseln Sie zu den Einstellungen für das Speicherkonto, Seite „Ressourcenfreigabe“.
Wählen Sie die Registerkarte Blob-Dienst aus.
Fügen Sie https://*.portal.azure.net zur Tabelle der zulässigen Ursprünge hinzu.
Wählen Sie die geeigneten zulässigen Methoden von GET und OPTIONSaus.
Speichern Sie die Konfiguration.

Weitere Informationen finden Sie unter CORS-Unterstützung für Azure Storage.

Schritt 4: Hinzufügen der Watchlist zu einem Arbeitsbereich

Wählen Sie für Microsoft Sentinel im Azure-Portal unter "Konfiguration" die Option "Watchlist" aus.
Wählen Sie für Microsoft Sentinel im Defender-Portal die Optionen Microsoft Sentinel, > und Überwachungsliste aus.
Wählen Sie +Neu aus.
Geben Sie auf der Seite "Allgemein " den Namen, die Beschreibung und den Alias für die Watchlist an.
Wählen Sie "Weiter" aus: Quelle.

Verwenden Sie die Informationen in der folgenden Tabelle, um Ihre Watchlistdaten hochzuladen.

Feld	BESCHREIBUNG
Quellentyp	Azure Storage (Vorschau)
Typ für das Dataset auswählen	Dies ist eine CSV-Datei mit Überschrift (.csv).
Anzahl von Zeilen vor der Überschriftenzeile	Geben Sie die Anzahl der Zeilen vor der Kopfzeile in der Datendatei ein.
Blob-SAS-URL (Vorschau)	Fügen Sie die SAS-URL ein, die Sie erstellt haben.
Suchschlüssel	Geben Sie den Namen einer Spalte in Ihrer Watchlist ein, die Sie als Verknüpfung (Join) mit anderen Daten oder als häufiges Suchobjekt verwenden möchten. Wenn Ihre Serverüberwachungsliste beispielsweise Länder-/Regionsnamen und die entsprechenden länderspezifischen Ländercodes in zwei Buchstaben enthält und Sie erwarten, dass die Ländercodes häufig für Die Suche oder Verknüpfungen verwendet werden, verwenden Sie die Spalte "Code " als Suchschlüssel.

Nachdem Sie alle Informationen eingegeben haben, sieht Ihre Seite in etwa wie in der folgenden Abbildung aus.

Wählen Sie "Weiter" aus: Überprüfen und Erstellen.
Überprüfen Sie die Informationen, stellen Sie sicher, dass sie korrekt sind, und warten Sie auf die Nachricht 'Validierung bestanden'.
Wählen Sie "Erstellen" aus.

Bei einer großen Watchlicht kann es etwas dauern, bis sie erstellt ist und die neuen Daten in Abfragen verfügbar sind.

Anzeigen des Watchliststatus

Sie können den Status anzeigen, indem Sie die Watchlist in Ihrem Arbeitsbereich auswählen.

Wählen Sie für Microsoft Sentinel im Azure-Portal unter "Konfiguration" die Option "Watchlist" aus.
Wählen Sie für Microsoft Sentinel im Defender-Portal die Optionen Microsoft Sentinel, > und Überwachungsliste aus.
Wählen Sie auf der Registerkarte "Meine Watchlists " die Watchlist aus.
Überprüfen Sie auf der Detailseite den Status (Vorschau).
Wenn der Status erfolgreich ist, wählen Sie "In Log Analytics anzeigen " aus, um die Watchlist in einer Abfrage zu verwenden. Es kann mehrere Minuten dauern, bis die Watchlist in Log Analytics angezeigt wird.

Herunterladen der Watchlistvorlage (Vorschau)

Laden Sie eine der Watchlistvorlagen von Microsoft Sentinel herunter, um sie mit Ihren Daten auszufüllen. Laden Sie diese Datei dann hoch, wenn Sie die Watchlist in Microsoft Sentinel erstellen.

Jede integrierte Watchlistvorlage verfügt über eigene Daten, die in der CSV-Datei aufgeführt sind, die an die Vorlage angefügt ist. Weitere Informationen finden Sie unter den integrierten Watchlist-Schemas.

So laden Sie eine der Watchlistvorlagen herunter:

Wählen Sie für Microsoft Sentinel im Azure-Portal unter "Konfiguration" die Option "Watchlist" aus.
Wählen Sie für Microsoft Sentinel im Defender-Portal die Optionen Microsoft Sentinel, > und Überwachungsliste aus.
Wählen Sie die Registerkarte "Vorlagen" (Vorschau) aus.
Wählen Sie eine Vorlage aus der Liste aus, um Details der Vorlage im rechten Bereich anzuzeigen.
Wählen Sie die Auslassungspunkte ... am Ende der Zeile aus.
Wählen Sie "Schema herunterladen" aus.
Füllen Sie Ihre lokale Version der Datei auf, und speichern Sie sie lokal als CSV-Datei.
Führen Sie die Schritte aus, um die Watchlist hochzuladen, die aus einer Vorlage (Vorschau) erstellt wurde.

Gelöschte und neu erstellte Watchlists in der Log Analytics-Ansicht

Wenn Sie eine Watchlist löschen und neu erstellen, werden innerhalb der SLA von fünf Minuten für die Datenerfassung möglicherweise sowohl die gelöschten als auch die neu erstellten Einträge in Log Analytics angezeigt. Wenn diese Einträge zusammen für einen längeren Zeitraum in Log Analytics angezeigt werden, übermitteln Sie ein Supportticket.

Weitere Informationen zu Microsoft Sentinel finden Sie in den folgenden Artikeln:

Erfahren Sie, wie Sie Einblicke in Ihre Daten und potenzielle Bedrohungen erhalten.
Erste Schritte beim Erkennen von Bedrohungen mit Microsoft Sentinel
Verwenden Sie Arbeitsmappen , um Ihre Daten zu überwachen.
Verwalten von Watchlists
Erstellen von Abfragen und Erkennungsregeln mit Watchlists