Freigeben über


Konfigurieren von Microsoft Defender for Endpoint zum Streamen von Erweiterten Hunting-Ereignissen an Ihre Azure Event Hubs

Gilt für:

Hinweis

Eine vollständige Datenstreamingerfahrung finden Sie unter Stream Microsoft Defender XDR Veranstaltungen | Microsoft Learn.

Möchten Sie Defender für Endpunkt erfahren? Registrieren Sie sich für eine kostenlose Testversion

Bevor Sie beginnen:

  1. Create einen Event Hub in Ihrem Mandanten.

  2. Melden Sie sich bei Ihrem Azure-Mandanten an, und wechseln Sie zu Abonnements > Ihr Abonnement > Ressourcenanbieter > Registrieren bei Microsoft.insights.

Aktivieren des Rohdatenstreamings

  1. Melden Sie sich beim Microsoft Defender XDR als globaler Administrator oder Sicherheitsadministrator an.

  2. Wechseln Sie im Microsoft Defender-Portal zur Seite Datenexporteinstellungen.

  3. Klicken Sie auf Datenexporteinstellungen hinzufügen.

  4. Wählen Sie einen Namen für Ihre neuen Einstellungen aus.

  5. Wählen Sie Ereignisse an Azure Event Hubs weiterleiten aus.

  6. Geben Sie Ihren Event Hubs-Namen und Ihre Event Hubs-Ressourcen-ID ein.

Hinweis

Wenn Der Event Hubs-Name leer bleibt, wird ein Event Hub für jede Kategorie im ausgewählten Namespace erstellt. Event Hubs-Namespaces haben ein Limit von 10 Event Hubs, wenn Sie keinen dedizierten Event Hubs-Cluster verwenden.

Um Ihre Event Hubs-Ressourcen-ID abzurufen, wechseln Sie zur Seite Azure Event Hubs Namespace auf der Registerkarte >Azure-Eigenschaften>. Kopieren Sie den Text unter Ressourcen-ID:

Die Event Hubs-Ressource ID-1

  1. Wählen Sie die Ereignisse aus, die Sie streamen möchten, und klicken Sie auf Speichern.

Das Schema der Ereignisse in Azure Event Hubs

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the tenant that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}
  • Jede Event Hub-Nachricht in Azure Event Hubs enthält eine Liste von Datensätzen.

  • Jeder Datensatz enthält den Ereignisnamen, die Zeit, Microsoft Defender for Endpoint das Ereignis empfangen hat, den Mandanten, zu dem er gehört (Sie erhalten nur Ereignisse von Ihrem Mandanten) und das Ereignis im JSON-Format in einer Eigenschaft namens "properties".

  • Weitere Informationen zum Schema von Microsoft Defender for Endpoint Ereignissen finden Sie unter Übersicht über die erweiterte Suche.

  • In der erweiterten Suche enthält die Tabelle DeviceInfo eine Spalte mit dem Namen MachineGroup , die die Gruppe des Geräts enthält. Hier wird jede Veranstaltung auch mit dieser Spalte ergänzt. Weitere Informationen finden Sie unter Device Gruppen.

    Hinweis

    Die Erstellung von Gerätegruppen wird in Defender für Endpunkt Plan 1 und Plan 2 unterstützt.

Datentypzuordnung

Gehen Sie wie folgt vor, um die Datentypen für Ereigniseigenschaften abzurufen:

  1. Melden Sie sich bei Microsoft Defender XDR an, und wechseln Sie zur Seite Erweiterte Suche.

  2. Führen Sie die folgende Abfrage aus, um die Datentypzuordnung für jedes Ereignis abzurufen:

    {EventType}
    | getschema
    | project ColumnName, ColumnType 
    
  • Hier sehen Sie ein Beispiel für das Device Info-Ereignis:

    Die Event Hubs-Ressource ID-2

Tipp

Möchten Sie mehr erfahren? Engage mit der Microsoft-Sicherheitscommunity in unserer Tech Community: Microsoft Defender for Endpoint Tech Community.