Daten in Microsoft Sentinel Data Lake aufnehmen

Beispieltelemetriedaten von IdentityDrift und zugehörige Tabellen in den Sentinel Data Lake importieren. Sie können diese Daten in den nachfolgenden Artikeln dieser Reihe abfragen.

Dieser Artikel ist Teil einer Reihe, die Sie durch das Importieren von Testdaten in den Data Lake, die Entwicklung eines Agenten und die Veröffentlichung der Beispiel-Plattformlösung IdentityDrift führt. Die Lösung enthält eine Sicherheits-Copilot-Agent, die Identitäts-, Endpunkt- und Cloudsicherheitssignale korreliert, um Bedrohungsuntersuchungen zu automatisieren.

Typischer Produktionsansatz für ISVs

ISVs sollten den folgenden Ansatz verwenden, um Daten in Sentinel aufzunehmen:

  1. Entwickeln eines Datenconnectors
    • Erstellen Sie einen Sentinel-Datenconnector mit dem Sentinel Connector Builder Agent in VS Code mit GitHub Copilot. Dieser KI-unterstützte Ansatz reduziert die Entwicklungszeit von Wochen auf Stunden und verwendet Aufforderungen in natürlicher Sprache, um Abfragekonfigurationen, Datensammlungsregeln, Connectordefinitionen und Schemas zu erstellen.
    • Verwenden Sie für Pull-basierte Datenquellen Codeless Connector Framework (CCF).
    • Verwenden Sie für pushbasierte Datenquellen CCF-Push.
  2. Daten in den Data Lake aufnehmen Telemetriedaten durch den Connector in den Data Lake von Sentinel streamen
  3. Sentinel-Plattform verwenden Verwenden Sie die Sentinel-Plattformfunktionen für die Datenerkundung, Graph, MCP-Server und Security Copilot-Agenten.

Alternative: Wenn bereits ein Connector für Ihre Datenquelle vorhanden ist, lesen Sie die Referenz zu Sentinel-Datenconnectors, um ihn zu aktivieren und mit der Erfassung der Daten zu beginnen.

Lab-Ansatz: Erfassung von Beispieldaten über KQL-Jobs

Verwenden Sie KQL-Jobs, um den Data Lake mit Beispieldatensätzen aufzufüllen. Dieser Ansatz:

  • Spiegelt das tatsächliche Datenschema wider Beispieldaten entsprechen demselben Schema wie von Konnektoren erfasste Daten, sodass Sie den Data Lake befüllen und die Agentenlogik sofort testen können.
  • Stellt realistische Angriffsszenarien dar Simulierte Daten reproduzieren die Angriffsmuster und Korrelationen, die Sie in der Produktion untersuchen.

Voraussetzungen

Erforderliche Berechtigungen

  • Sie müssen über die Rolle "Sicherheitsadministrator " oder "Sicherheitsoperator " verfügen.

Erstellen Sie einen KQL-Auftrag

Führen Sie die folgenden Schritte aus, um einen neuen KQL-Auftrag zu erstellen:

  1. Navigieren Sie im Defender-Portal zu Sentinel > Data Lake-Erkundung > Aufträge.

  2. Wählen Sie " Auftrag erstellen" und dann einen neuen KQL-Auftrag erstellen

  3. Auftragsname – Geben Sie einen eindeutigen Auftragsnamen ein, z. B. CommonSecurity_ID_logs1

  4. Aufgabenbeschreibung – Kontext und Zweck der Aufgabe angeben, z. B. Protokolle generieren, damit der Anbieter IdentityDrift sie in CommonSecurity_ID_logs aufnehmen kann1

  5. Arbeitsbereich auswählen – Zielarbeitsbereich auswählen

  6. Geben Sie unter "Neue Tabelle erstellen" einen Tabellennamen ein, z. B. CommonSecurity_ID. An Tabellen, die durch KQL-Aufträge erstellt werden, wird automatisch das Suffix _KQL_CL angehängt.

  7. Klicken Sie auf Weiter.

  8. Kopieren Sie die KQL-Abfrage aus der relevanten Registerkarte "Daten aufnehmen" in das Abfragefeld.

    Tip

    Wenn die Schaltfläche "Weiter" abgeblenkt ist, müssen Sie einen Arbeitsbereich mit der Schaltfläche "Ausgewählter Arbeitsbereich " auswählen.

  9. Wählen Sie "Weiter" aus, um mit der Planungsseite fortzufahren.

Planen Sie den Auftrag

So legen Sie einen Ausführungszeitplan für den Auftrag fest:

  1. Wählen Sie auf der Seite " Abfrageauftrag planen " die Ausführungsoption aus:
    • Geplanter Job – Der Job wird nach einem von Ihnen festgelegten Zeitplan ausgeführt und erfasst in regelmäßigen Abständen Beispieldaten.

Option „Auftrag planen“ auswählen, um der Tabelle wiederkehrende Einträge hinzuzufügen.

Für geplante Aufträge:

  1. Option "Zeitplan auswählen"
  2. Geben Sie die folgenden Details ein:
    • Wiederholungshäufigkeit – Auswählen: Nach Minute, Stündlich, täglich, wöchentlich oder monatlich
    • Wiederholen alle – Wie oft der Auftrag basierend auf der ausgewählten Häufigkeit ausgeführt wird
    • Startdatum - Datum auswählen und Uhrzeit eingeben, zu der der Auftrag starten soll.
    • Enddatum – Legen Sie fest, wann der Zeitplan endet. Wählen Sie "Auftrag festlegen" aus, der unbegrenzt ausgeführt werden soll , um ohne Enddatum fortzufahren.

Überprüfen und Einreichen

So prüfen und senden Sie den Auftrag ab:

  1. Wählen Sie "Weiter" aus, um Die Auftragsdetails zu überprüfen.
  2. Überprüfen Sie alle Einstellungen.
  3. Wählen Sie "Absenden" aus, um den Auftrag zu erstellen.

KQL für Datenerfassung

Wenn Sie Daten in die Tabellen "SigninLogs", "AADRiskyUsers", "CommonSecurity_ID_Logs", "DeviceProcessEvents" und "SecurityAlerts" aufnehmen möchten, wiederholen Sie die Schritte zum Erstellen eines KQL-Auftrags mithilfe der KQL-Abfragen auf jeder registerkarte unten.

Verwenden Sie die folgende Abfrage in Ihrem KQL-Auftrag, um riskante Beispielbenutzerdaten in die Tabelle "AADRiskyUsers" im Sentinel-Datensee aufzunehmen.

datatable(
    TimeGenerated:datetime,
    CorrelationId:string,
    Id:string,
    IsDeleted:bool,
    IsProcessing:bool,
    OperationName:string,
    RiskDetail:string,
    RiskLastUpdatedDateTime:datetime,
    RiskLevel:string,
    RiskState:string,
    UserDisplayName:string,
    UserPrincipalName:string
)
[
    datetime(2026-03-05T14:22:00Z), "riskcorr-identity-047", "a7d2f8c1-4e2b-48f3-9a06-2e5c7b3d9f1a", false, false, "RiskyUserDetected", "adminConfirmedUserCompromised", datetime(2026-02-28T10:15:00Z), "high", "confirmedCompromised", "U1291", "u1291@contoso.onmicrosoft.com",
    datetime(2026-03-05T15:18:00Z), "riskcorr-identity-052", "b9e4a6d2-7f3c-41b8-a2e5-3f6c8d1e2b4a", false, false, "RiskyUserUpdated",  "anonymousIpAddress",             datetime(2026-02-27T14:42:00Z), "medium", "atRisk",              "U3415", "u3415@contoso.onmicrosoft.com",
    datetime(2026-03-05T16:33:00Z), "riskcorr-identity-059", "c5f1b7e3-9d4a-42c1-b8f6-5e7d9c2a3f5b", false, false, "RiskyUserUpdated",  "userPerformedSecuredPasswordReset", datetime(2026-02-26T11:20:00Z), "medium", "remediated",          "U2847",   "u2847@contoso.onmicrosoft.com",
];

Nächste Schritte

Ihr Datensee wird jetzt mit Beispieltelemetrie aus IdentityDrift, Microsoft Entra ID und Microsoft Defender aufgefüllt. Verwenden Sie diese Daten, um Ihre Security Copilot-Agent zu testen und zu entwickeln. Siehe Verwenden eines MCP-Tools in Visual Studio Code, um Sentinel MCP Server-Tools zu erkunden und die Daten mithilfe von Eingabeaufforderungen abzufragen.

Bevor Sie mit der Erstellung des Security Copilot Agent für den IdentityDrift-Anwendungsfall fortfahren, erkunden Sie den MCP-Server mit den folgenden Aufforderungen, um die in diesem Schritt aufgenommenen Beispieldaten abzufragen und zu erfahren, wie Daten mit Sentinel MCP aus dem Sentinel Data Lake abgefragt werden.

Beispielaufforderungen für Sentinel MCP über VS Code Chat:

  • Suchen Sie in meinem Arbeitsbereich nach Tabellen im Zusammenhang mit "Identität" oder "Anmelden".
  • Zeig mir Prozessausführungsereignisse für den Benutzer u1291 in DeviceProcessEvents_KQL_CL – welche Befehle hat er ausgeführt?
  • Korrelieren Sie Aktivitäten für u1291@contoso.onmicrosoft.com: überprüfen Sie ihr Anmelderisiko in SigninLogs_KQL_CL, ihren Zugriff in CommonSecurity_ID_KQL_CL und jede Prozessausführung in DeviceProcessEvents_KQL_CL. Fassen Sie die Angriffskette zusammen.

Weiter zu Sicherheits-Copilot-Agent erstellen

  • Zuletzt aktualisiert um