Streamen von Warnungen in Überwachungslösungen

Microsoft Defender for Cloud kann Sicherheitswarnungen in verschiedene Lösungen für Security Information and Event Management (SIEM), Security Orchestration Automated Response (SOAR) und IT Service Management (ITSM) übertragen. Sicherheitswarnungen werden generiert, wenn Bedrohungen für Ihre Ressourcen erkannt werden. Defender for Cloud priorisiert und listet die Warnungen auf der Benachrichtigungsseite auf, zusammen mit Informationen, die benötigt werden, um das Problem schnell zu untersuchen. Detaillierte Schritte werden bereitgestellt, um Sie bei der Behebung der erkannten Bedrohung zu unterstützen. Sämtliche Warnungsdaten werden 90 Tage lang aufbewahrt.

Integrierte Azure-Tools sind verfügbar, um sicherzustellen, dass Sie Ihre Alarmdaten in den folgenden Lösungen einsehen können:

  • Microsoft Sentinel
  • Splunk Enterprise und Splunk Cloud
  • Power BI
  • ServiceNow
  • IBM QRadar
  • Palo Alto Networks
  • ArcSight
  • Dynatrace

Streamen von Warnungen an Defender XDR mit der Defender XDR-API

Defender for Cloud integriert sich nativ mit Microsoft Defender XDR, sodass Sie die Incidents and Alerts API von Defender XDR nutzen können, um Warnungen und Vorfälle in Nicht-Microsoft-Lösungen zu streamen. Defender for Cloud-Kunden können auf eine API für alle Microsoft-Sicherheitsprodukte zugreifen und diese Integration als einfachere Möglichkeit zum Exportieren von Warnungen und Vorfällen verwenden.

Erfahren Sie, wie Sie SIEM-Tools in Defender XDR integrieren.

Warnmeldungen an Microsoft Sentinel übertragen

Defender for Cloud integriert sich nativ mit Microsoft Sentinel, Azure cloud-nativer SIEM- und SOAR-Lösung.

Microsoft Sentinels Anschlüsse für Defender for Cloud

Microsoft Sentinel enthält integrierte Konnektoren für Microsoft Defender for Cloud auf Abonnement- und Mandantenebene.

Sie können:

Wenn Sie Defender für Cloud mit Microsoft Sentinel verbinden, wird der Status von Defender für Cloud-Warnungen, die in Microsoft Sentinel aufgenommen werden, zwischen den beiden Diensten synchronisiert. Wenn beispielsweise eine Warnung in Defender for Cloud geschlossen wird, wird diese Warnung auch in Microsoft Sentinel als geschlossen angezeigt. Wenn Sie den Status einer Warnung in Defender for Cloud ändern, wird der Status der Warnung in Microsoft Sentinel ebenfalls aktualisiert. Die Status aller Microsoft Sentinel-Vorfälle, welche die synchronisierte Microsoft Sentinel-Warnung enthalten, werden jedoch nicht aktualisiert.

Sie können das Feature Bidirektionale Synchronisierung von Warnungen aktivieren, um die Status der ursprünglichen Defender for Cloud-Warnungen automatisch mit Microsoft Sentinel-Vorfällen zu synchronisieren, die Kopien der Defender for Cloud-Warnungen enthalten. Wenn Sie beispielsweise einen Microsoft Sentinel-Vorfall schließen, der eine Defender for Cloud-Warnung enthält, schließt Defender for Cloud automatisch die entsprechende ursprüngliche Warnung.

Erfahren Sie, wie Sie Warnungen von Microsoft Defender for Cloud verbinden.

Konfigurieren Sie die Aufnahme aller Audit-Protokolle in Microsoft Sentinel

Sie können auch Defender for Cloud-Warnungen in Microsoft Sentinel untersuchen, indem Sie Ihre Audit-Logs in Microsoft Sentinel streamen:

Tipp

Microsoft Sentinel wird auf Grundlage des Datenvolumens abgerechnet, das zur Analyse in Microsoft Sentinel erfasst und im Azure Monitor Log Analytics-Arbeitsbereich gespeichert wird. Microsoft Sentinel bietet ein flexibles und vorhersehbares Preismodell. Weitere Informationen finden Sie auf der Microsoft Sentinel-Preisseite.

Streamen von Warnungen an QRadar und Splunk

Um Sicherheitswarnungen nach Splunk und QRadar zu exportieren, müssen Sie Event Hubs und einen integrierten Connector verwenden. Sie können entweder ein PowerShell-Skript oder das Azure-Portal verwenden, um die Anforderungen zum Exportieren von Sicherheitswarnungen für Ihr Abonnement oder Ihren Mandanten einzurichten. Nachdem Sie die Anforderungen festgelegt haben, installieren Sie den Anschluss in Ihrer SIEM-Plattform, indem Sie den später in diesem Artikel beschriebenen QRadar- oder Splunk-Schritte folgen.

Voraussetzungen

Bevor Sie die Azure-Dienste zum Export von Warnungen einrichten, stellen Sie sicher, dass Sie Folgendes haben:

  • Azure-Abonnement (Erstellen eines kostenlosen Kontos)

  • Azure-Ressourcengruppe (Erstellen einer Ressourcengruppe)

  • Eigentümerrolle im Benachrichtigungsumfang (Abonnement, Managementgruppe oder Mieter) oder diese spezifischen Berechtigungen:

    • Schreibberechtigungen für Event Hubs und die Event Hubs-Richtlinie
    • Erstellen-Berechtigungen für Microsoft Entra-Anwendungen, wenn Sie keine vorhandene Microsoft Entra Anwendung verwenden
    • Zuweisen-Berechtigungen für Richtlinien bei Verwendung der Azure-Richtlinie „DeployIfNotExist“

Einrichten der Azure-Dienste

Richten Sie Ihre Azure-Umgebung so ein, dass sie kontinuierlichen Export unterstützt, indem Sie entweder ein PowerShell-Skript oder das Azure-Portal verwenden.

Um die Azure-Dienste mit einem PowerShell-Skript einzurichten, folgen Sie diesen Schritten:

  1. Laden Sie die PowerShell-Skripte für die Integration von Defender for Cloud mit Drittanbieter-SIEM-Integration herunter und starten Sie.

  2. Geben Sie die erforderlichen Parameter ein.

  3. Führen Sie das Skript aus.

Das Skript führt alle Schritte für Sie aus. Wenn das Skript abgeschlossen ist, verwenden Sie die Ausgabe, um die Lösung auf der SIEM-Plattform zu installieren.

Verwenden des Azure-Portals

Um die erforderlichen Ressourcen im Azure-Portal zu erstellen, folgen Sie diesen Schritten:

  1. Melden Sie sich im Azure-Portal an.

  2. Suchen Sie nach Event Hubs und wählen Sie es aus.

  3. Erstellen Sie einen Event Hubs-Namespace und einen Event Hub.

  4. Definieren Sie eine Richtlinie für den Event Hub mit Send-Berechtigungen.

    • Wenn Sie Benachrichtigungen an QRadar streamen:

      1. Erstellen Sie eine Event Hub-Richtlinie Listen.
      2. Kopieren und speichern Sie die Verbindungszeichenfolge der Richtlinie zur Verwendung in QRadar.
      3. Erstellen Sie eine Consumergruppe.
      4. Kopieren und speichern Sie den Namen zur Verwendung in der SIEM-Plattform.
      5. Aktivieren Sie den fortlaufenden Export von Sicherheitswarnungen an den definierten Event Hub.
      6. Erstellen Sie ein Speicherkonto.
      7. Kopieren Sie die Verbindungszeichenfolge, und speichern Sie diese im Konto zur Verwendung in QRadar.

      Weitere Informationen zur QRadar-Einrichtung finden Sie unter Azure-Ressourcen für den Export an Splunk und QRadar vorbereiten.

    • Wenn du Benachrichtigungen an Splunk streamst:

      1. Erstellen Sie eine Entra-Anwendung.
      2. Speichern Sie das Mandanten-, App-ID- und App-Kennwort.
      3. Gib der Entra-Anwendung Berechtigungen, aus dem zuvor erstellten Event Hub zu lesen.

      Weitere Informationen zur Einrichtung von Splunk finden Sie unter Azure-Ressourcen für den Export an Splunk und QRadar vorbereiten.

Herstellen einer Verbindung zwischen dem Event Hub und Ihrer bevorzugten Lösung mithilfe der integrierten Connectors

Jede SIEM-Plattform verfügt über ein Tool, das es ihr ermöglicht, Benachrichtigungen von Event Hubs zu empfangen. Installieren Sie das Tool für Ihre Plattform, um mit dem Empfangen von Warnungen zu beginnen.

Werkzeug Gehostet in Azure Description
IBM QRadar No Das Microsoft Azure DSM und das Microsoft Azure Event Hubs Protocol sind zum Download aus dem IBM QRadar DSM-Leitfaden für die Microsoft Azure-Plattform verfügbar.
Splunk No Das Splunk-Add-On für Microsoft Cloud Services ist ein Open Source-Projekt, das in Splunkbase verfügbar ist.

Falls Sie kein Add-On in Ihrer Splunk-Instanz installieren können, z. B. bei Verwendung eines Proxys oder bei Ausführung in Splunk Cloud, können Sie diese Ereignisse an die HTTP-Ereignissammlung von Splunk weiterleiten. Verwenden Sie dazu die Azure-Funktion für Splunk, die durch neue Nachrichten im Event Hub ausgelöst wird.

Streamen von Warnungen mit fortlaufendem Export

Um Warnungen in ArcSight, SumoLogic, Syslog-Server, LogRhythm, Logz.io Cloud Observability Platform, Dynatrace und andere Überwachungslösungen zu streamen, verbinden Sie Defender für Cloud mit fortlaufendem Export und Azure Event Hubs.

Note

Verwenden Sie zum Streamen von Warnungen auf Mandantenebene diese Azure-Richtlinie, und legen Sie den Bereich in der Stammverwaltungsgruppe fest. Sie benötigen Berechtigungen für die Stammverwaltungsgruppe, wie in Defender für Cloud-Berechtigungen erläutert: Bereitstellen des Exports auf einem Event Hub für Microsoft Defender für Cloud-Warnungen und -Empfehlungen.

So streamen Sie Warnungen mit fortlaufendem Export:

  1. Aktivieren Sie den fortlaufenden Export:

  2. Stellen Sie eine Verbindung zwischen dem Event Hub und Ihrer bevorzugten Lösung mithilfe der integrierten Connectors her:

    Werkzeug Gehostet in Azure Description
    SumoLogic No Anweisungen zum Einrichten von SumoLogic für die Nutzung von Daten aus einem Event Hub finden Sie unter Collect Logs for the Azure Audit App from Event Hubs (Sammeln von Protokollen für die Azure Audit App aus Event Hubs).
    ArcSight No Der intelligente Azure Event Hubs-Connector von ArcSight wird im Rahmen dieser ArcSight-Sammlung von intelligenten Connectors zur Verfügung gestellt.
    Syslog-Server No Wenn Sie Azure Monitor-Daten direkt an einen Syslog-Server streamen möchten, können Sie eine auf einer Azure-Funktion basierende Lösung nutzen.
    LogRhythm No Anleitungen zur Einrichtung von LogRhythm zur Erfassung von Logs aus einem Event Hub sind unter Six tips zur Sicherung Ihrer Azure-Cloud-Umgebung verfügbar.
    Logz.io Ja Weitere Informationen finden Sie unter Erste Schritte bei der Überwachung und Protokollierung mithilfe von Logz.io für in Azure ausgeführte Java-Apps.
    Dynatrace No Lesen Sie die Anweisungen zum Einrichten der Integration in Dynatrace unter Erfassen von Sicherheitsereignissen mit Microsoft Defender for Cloud.

  3. (Optional) Streamen Sie unformatierte Protokolle an den Event Hub, und stellen Sie eine Verbindung mit Ihrer bevorzugten Lösung her. Weitere Informationen finden Sie unter Verfügbare Überwachungsdaten.

Um die Ereignisschemas der exportierten Datentypen anzuzeigen, besuchen Sie die Event Hubs-Ereignisschemas.

Verwenden der Microsoft Graph-Sicherheits-API zum Streamen von Warnungen an Nicht-Microsoft-Anwendungen

Defender for Cloud beinhaltet eine integrierte Integration mit der Microsoft Graph-Sicherheits-API, mit der Sie Warnungen streamen können, ohne weitere Konfigurationsaufforderungen.

Nutzen Sie diese API, um Warnungen von Ihrem gesamten Tenant und Daten von vielen Microsoft Security-Produkten in Nicht-Microsoft SIEMs und andere beliebte Plattformen zu streamen:

Note

Die bevorzugte Methode zum Exportieren von Warnungen besteht im fortlaufenden Exportieren von Microsoft Defender for Cloud-Daten.

Verwandte Inhalte

  • Zuletzt aktualisiert um