Freigeben über

Konfigurieren von Microsoft Defender für Endpunkt zum Streamen von Erweiterten Hunting-Ereignissen an Ihre Azure Event Hubs

  • Artikel

Gilt für:

Hinweis

Eine vollständige Datenstreamingerfahrung finden Sie unter Streamen von Microsoft Defender XDR-Ereignissen | Microsoft Learn.

Möchten Sie Defender für Endpunkt erfahren? Registrieren Sie sich für eine kostenlose Testversion

Bevor Sie beginnen

  1. Erstellen Sie einen Event Hub in Ihrem Mandanten.

  2. Melden Sie sich bei Ihrem Azure-Mandanten an, und wechseln Sie zu Abonnements>Ihr Abonnement>Ressourcenanbieter>Registrieren bei Microsoft.insights.

Wichtig

Microsoft empfiehlt die Verwendung von Rollen mit den geringsten Berechtigungen. Dies trägt zur Verbesserung der Sicherheit für Ihre Organisation bei. Globaler Administrator ist eine Rolle mit hohen Berechtigungen, die auf Notfallszenarien beschränkt werden sollte, wenn Sie keine vorhandene Rolle verwenden können.

Aktivieren des Rohdatenstreamings

  1. Melden Sie sich beim Microsoft Defender-Portal als Sicherheitsadministrator an.

  2. Wechseln Sie im Microsoft Defender-Portal zur Seite Datenexporteinstellungen .

  3. Wählen Sie Datenexporteinstellungen hinzufügen aus.

  4. Wählen Sie einen Namen für Ihre neuen Einstellungen aus.

  5. Wählen Sie Ereignisse an Azure Event Hubs weiterleiten aus.

  6. Geben Sie Ihren Event Hubs-Namen und Ihre Event Hubs-Ressourcen-ID ein.

Hinweis

Wenn Der Event Hubs-Name leer bleibt, wird ein Event Hub für jede Kategorie im ausgewählten Namespace erstellt. Event Hubs-Namespaces haben ein Limit von 10 Event Hubs, wenn Sie keinen dedizierten Event Hubs-Cluster verwenden.

Um Ihre Event Hubs-Ressourcen-ID abzurufen, wechseln Sie auf der Registerkarte >Azure-Eigenschaften> zur Seite Ihres Azure Event Hubs-Namespace, und kopieren Sie den Text unter Ressourcen-ID:

Die Event Hubs-Ressource ID-1

  1. Wählen Sie die Ereignisse aus, die Sie streamen möchten, und wählen Sie Speichern aus.

Das Schema der Ereignisse in Azure Event Hubs

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the tenant that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}

  • Jede Event Hub-Nachricht in Azure Event Hubs enthält eine Liste von Datensätzen.

  • Jeder Datensatz enthält den Ereignisnamen, den Zeitpunkt, zu dem Microsoft Defender für Endpunkt das Ereignis empfangen hat, den Mandanten, zu dem er gehört (Sie erhalten nur Ereignisse von Ihrem Mandanten) und das Ereignis im JSON-Format in einer Eigenschaft namens "properties".

  • Weitere Informationen zum Schema von Microsoft Defender für Endpunkt-Ereignissen finden Sie unter Übersicht über die erweiterte Suche.

  • In der erweiterten Suche enthält die Tabelle DeviceInfo eine Spalte mit dem Namen MachineGroup , die die Gruppe des Geräts enthält. Auch hier ist jede Veranstaltung mit dieser Spalte versehen. Weitere Informationen finden Sie unter Gerätegruppen.

    Hinweis

    Die Erstellung von Gerätegruppen wird in Defender für Endpunkt Plan 1 und Plan 2 unterstützt.

Datentypzuordnung

Gehen Sie wie folgt vor, um die Datentypen für Ereigniseigenschaften abzurufen:

  1. Melden Sie sich beim Microsoft Defender-Portal an, und wechseln Sie zur Seite Erweiterte Suche.

  2. Führen Sie die folgende Abfrage aus, um die Datentypzuordnung für jedes Ereignis abzurufen:

    {EventType}
| getschema
| project ColumnName, ColumnType

  • Hier sehen Sie ein Beispiel für das Device Info-Ereignis:

    Die Event Hubs-Ressource ID-2

Tipp

Möchten Sie mehr erfahren? Wenden Sie sich an die Microsoft-Sicherheitscommunity in unserer Tech Community: Microsoft Defender for Endpoint Tech Community.