Microsoft Sentinel-Bereichsbestimmung konfigurieren (zeilenbasierte RBAC)

Die Bereichsbestimmung in Microsoft Sentinel bietet rollenbasierte Zugriffssteuerung (RBAC) auf Zeilenebene und ermöglicht granularen Zugriff auf Zeilenebene, ohne dass eine Trennung von Arbeitsbereichen erforderlich ist. Microsoft Sentinel-Bereichseingrenzung ermöglicht es mehreren Teams, in einer gemeinsamen Microsoft Sentinel-Umgebung sicher zu arbeiten und dabei konsistente und wiederverwendbare Bereichsdefinitionen über Tabellen und Benutzeroberflächen hinweg zu verwenden.

Konfigurieren Sie die Bereichsdefinition im Microsoft Defender-Portal. Sentinel im Azure-Portal (Ibiza) unterstützt keine Bereichseingrenzung. Bevor Sie beginnen, stellen Sie sicher, dass Sie die Voraussetzungen für die Konfiguration von Scoping erfüllen.

Was ist die Bereichsdefinition in Microsoft Sentinel?

Die Bereichsdefinition in Microsoft Sentinel erweitert die Berechtigungsverwaltung im Defender-Portal, sodass der Administrator Berechtigungen für bestimmte Datenteilmengen in Sentinel-Tabellen erteilen kann. Führen Sie die folgenden Schritte aus, um Bereiche zu erstellen:

• Definieren logischer Bereiche: Erstellen Sie Bereichsdefinitionen, die an Ihrer Organisationsstruktur (nach Geschäftseinheit, Region oder Datenempfindlichkeit) ausgerichtet sind.
• Zuweisen von Benutzern oder Gruppen zu Bereichen: Zuweisen bestimmter Benutzer oder Gruppen zu einem oder mehreren Bereichen mithilfe von Unified RBAC (rollenbasierte Zugriffssteuerung)
• Datenzeilen bei der Erfassung taggen: Wenden Sie Scope-Tags mithilfe der Tabellenverwaltung auf Zeilen in Tabellen an, sodass Sie Regeln erstellen können, die neu erfasste Daten automatisch mit Tags versehen
• Zugriff nach Bereich einschränken: Einschränken des Benutzerzugriffs auf Warnungen, Incidents, Huntingabfragen und Data Lake-Erkundung basierend auf dem zugewiesenen Bereich

Hinweis

Bereiche sind additiv. Benutzer, denen mehrere Rollen zugewiesen sind, erhalten die weitestgehenden Berechtigungen aus all ihren Zuweisungen. Wenn du zum Beispiel sowohl eine Entra-Global-Leserrolle als auch eine Defender-URBAC-Rolle besitzt, die Scoped-Berechtigungen auf Systemtabellen bietet, bist du aufgrund der Entra-Rolle nicht durch Scopes auf Systemtabellen eingeschränkt. Ein weiteres Beispiel ist, wenn du dieselben Rollenberechtigungen in Microsoft Defender für einen Arbeitsbereich mit zwei verschiedenen Scopes hast, hast du diese Berechtigung für beide Scopes.

Bereiche gelten für Sentinel-Tabellen, die Transformationen zur Einbindungszeit unterstützen.

Anwendungsfälle für die Eingrenzung in Microsoft Sentinel

Die Bereichseingrenzung in Microsoft Sentinel ist in den folgenden Szenarien nützlich:

• Verteilte oder verbundene SOC-Teams: Große Unternehmen und MSSPs betreiben häufig Verbund-SOC-Modelle, bei denen unterschiedliche Teams für bestimmte Regionen, Geschäftseinheiten oder Kunden verantwortlich sind. Die Bereichsdefinition ermöglicht es jedem SOC-Team, unabhängig innerhalb eines freigegebenen Sentinel-Arbeitsbereichs zu arbeiten, um sicherzustellen, dass sie Bedrohungen in ihrer Domäne untersuchen und darauf reagieren können, ohne auf nicht verknüpfte Daten zuzugreifen.
• Bereichsbezogener Zugriff für externe, nicht sicherheitsrelevante Teams: Teams wie Netzwerk, IT-Vorgänge oder Compliance erfordern häufig Zugriff auf bestimmte Rohdatenquellen, ohne dass Sie Mehrsicht auf breitere Sicherheitsinhalte benötigen. Die Bereichsdefinition auf Zeilenebene ermöglicht es diesen externen Teams, sicher nur auf die Daten zuzugreifen, die für ihre Funktion relevant sind.
• Schutz vertraulicher Daten: Schützen Sie bestimmte Daten oder Tabellen, indem Sie einen Ansatz mit geringsten Berechtigungen für den Datenzugriff anwenden, um sicherzustellen, dass vertrauliche Informationen nur für autorisierte Benutzer zugänglich sind.

Voraussetzungen

Bevor Sie beginnen, überprüfen Sie die folgenden Voraussetzungen:

• Zugriff auf das Microsoft Defender-Portal:https://security.microsoft.com
• Microsoft Sentinel Arbeitsbereiche, die in das Defender Portal integriert sind: Sentinel-Arbeitsbereiche müssen im Defender Portal verfügbar sein, bevor Sie Rollen und Berechtigungen zuweisen können.
• Sentinel in Unified RBAC aktiviert: Sie müssen Microsoft Sentinel in URBAC aktivieren, bevor Sie dieses Feature verwenden können.
• Erforderliche Berechtigungen für die Person, die Bereichs- und Taggingtabellen zuweist:
  • „Sicherheitsautorisierung (Verwalten)“-Berechtigung (URBAC) zum Erstellen von Bereichen und Zuweisungen
  • Datenoperationen (verwalten) und Warnungen (verwalten) Berechtigungen (URBAC) für die Tabellenverwaltung
  • Besitzer des Abonnements oder zugewiesen mit der Berechtigung Microsoft.Insights/DataCollectionRules/Write zum Erstellen von Datenerfassungsregeln (DCRs)

Schritt 1: Erstellen eines Sentinel-Bereichs

Führen Sie die folgenden Schritte aus, um einen Sentinel-Bereich zu erstellen:

1. Wechseln Sie im Microsoft Defender-Portal zuSystemberechtigungen>.
2. Wählen Sie Microsoft Defender XDR aus.
3. Öffnen Sie die Registerkarte Scopes.
4. Wählen Sie Sentinel-Bereich hinzufügen aus.
5. Geben Sie einen Bereichsnamen und eine optionale Beschreibung ein.
6. Wählen Sie Bereich erstellen aus.

Sie können mehrere Bereiche erstellen und benutzerdefinierte Bereichsnamen und Beschreibungen für jeden Bereich definieren, um Ihre Organisationsstruktur und -richtlinien widerzuspiegeln.

Hinweis

Sie können bis zu 100 eindeutige Sentinel-Bereiche pro Mandant erstellen.

Schritt 2: Weisen Sie Benutzern oder Gruppen Bereichskennzeichnungen zu.

Führen Sie die folgenden Schritte aus, um Benutzern oder Gruppen Bereichstags zuzuweisen:

1. Öffnen Sie in Berechtigungen die Registerkarte Rollen.

2. Wählen Sie Benutzerdefinierte Rolle erstellen aus.

3. Geben Sie den Rollennamen und die Beschreibung ein, und wählen Sie "Weiter" aus.

   

4. Weisen Sie der Rolle die erforderlichen Berechtigungen zu und wählen Sie Anwenden.

   

5. Geben Sie in "Aufgaben" einen Namen ein, und wählen Sie folgendes aus:

   • Benutzer oder Benutzergruppen (Microsoft Entra ID-Gruppen)
   • Datenquellen und Datensammlungen (Sentinel Arbeitsbereiche)

6. Wählen Sie unter Bereich die Option Bearbeiten aus.

7. Wählen Sie einen oder mehrere Bereiche aus, die dieser Rolle zugewiesen werden sollen.

8. Speichern Sie die Rolle.

Sie können Benutzern mehrere Bereiche gleichzeitig über mehrere Arbeitsbereiche zuweisen und Zugriffsberechtigungen aus allen zugewiesenen Bereichen aggregieren. Eingeschränkte Benutzer können nur auf SIEM-Daten zugreifen, die ihren zugewiesenen Bereichen zugeordnet sind.

Hinweis

Sie können Sentinel-Bereiche nur Defender XDR-RBAC-Rollen zuweisen. Azure RBAC-Berechtigungen für Arbeitsbereiche und globale Entra-Rollenberechtigungen werden nicht unterstützt. Umgebungen, die keine RBAC auf Zeilenebene verwenden können, z. B. Jupyter Notebooks, lassen nicht zu, dass bereichsbezogene Benutzer Daten für diese Arbeitsbereiche anzeigen.

Schritt 3: Tabellen mit Bereich taggen

Erzwingen von Bereichen durch Taggen von Daten während der Erfassung. Mit diesem Taggingprozess wird eine Datensammlungsregel (Data Collection Rule, DCR) erstellt, die Bereichstags auf neu aufgenommene Daten anwendet.

Beachten Sie die folgenden Grenzwerte, bevor Sie eine Tabelle kategorisieren:

• Nur Tabellen, die Aufnahmezeittransformationen unterstützen, können markiert werden. Benutzerdefinierte Tabellen, die auf CLv1 basieren, werden nicht unterstützt. CLv2-Tabellen werden unterstützt.
• XDR-Tabellen werden nicht unterstützt, einschließlich der erweiterten Aufbewahrung von XDR-Tabellen im Lake.
• Man kann Transformationen nur im selben Azure-Abonnement hinzufügen, das den Zielarbeitsbereich enthält.
• Sie können nur neu aufgenommene Daten kategorisieren. Zuvor erfasste Daten sind nicht enthalten und können nicht rückwirkend erfasst werden.
• Die Log Analytics-Tabellen SecurityAlerts und SecurityIncidents übernehmen den Geltungsbereich nicht automatisch von den Rohdaten-Tabellen, aus denen sie generiert wurden, sodass Benutzer mit eingeschränktem Geltungsbereich standardmäßig nicht darauf zugreifen können. Als Problemumgehung können Sie entweder:
  • Verwenden Sie die XDR AlertsInfo- und AlertsEvidence-Tabellen, bei denen der Geltungsbereich automatisch vererbt wird, oder
  • Wenden Sie den Geltungsbereich manuell auf diese Log Analytics-Tabellen an. Diese Methode ist auf die Attribute in der Tabelle beschränkt und entspricht möglicherweise nicht der Vererbung aus den Quelldatentabellen.

So markieren Sie eine Tabelle:

1. Navigieren Sie in Microsoft Sentinel zu Konfiguration>Tabellen.

2. Wählen Sie eine Tabelle aus, die Erfassungszeittransformationen unterstützt.

3. Wählen Sie Regel für Bereichstags aus.

   

4. Aktivieren Sie den Schalter Verwendung von Bereichsmarkierungen für RBAC zulassen.

5. Aktivieren Sie den Schalter Bereichs-Tag-Regel.

6. Definieren Sie einen KQL-Ausdruck, der Zeilen mit von transformKQL unterstützten Operatoren und Grenzwerten auswählt.

   Beispiel zum Eingrenzen nach Standort:

   Location == 'Spain'
   

7. Wählen Sie den Bereich aus, der auf Zeilen angewendet werden soll, die dem Ausdruck entsprechen.

8. Speichern Sie die Regel.

Sie können nur neu aufgenommene Daten kategorisieren. Zuvor erfasste Daten sind nicht enthalten. Nachdem du eine Scope-Tag-Regel gespeichert hast, kann es bis zu einer Stunde dauern, bis diese Regel in Kraft tritt.

Tipp

Sie können mehrere Regeln für Bereichstags in derselben Tabelle erstellen, um verschiedene Zeilen mit unterschiedlichen Bereichstags zu versehen. Datensätze können gleichzeitig zu mehreren Bereichen gehören.

Daten manuell mit einem DCR taggen

Wenn Ihre Organisation Tabellenschemata und Eingabezeittransformationen außerhalb des Microsoft Defender-Portals verwaltet, können Sie Scope-Tags direkt in Azure Monitor anwenden. Diese Option unterstützt sowohl direkte Konfiguration als auch automatisierte Deployment-Workflows, einschließlich CI/CD. Schließen Sie das Tabellenschema und die DCR-Konfiguration ab, bevor Sie den scoped Access für die Tabelle in Microsoft Sentinel aktivieren.

1. Füge dem Tabellenschema eine benutzerdefinierte Spalte mit dem Datentyp SentinelScope_CF hinzustring. Weitere Informationen finden Sie unter Verwalten von Tabellen in einem Log Analytics-Arbeitsbereich.

2. Erstellen oder aktualisieren Sie einen DCR für die Tabelle. Fügen Sie eine Transformation hinzu, die für jede Zeile mit den Microsoft Sentinel-Scope-Werten gefüllt wirdSentinelScope_CF. Für Hinweise zur Auswahl und Konfiguration des DCR siehe Konfigurieren Ihrer Datentransformation.

3. Wechseln Sie im Microsoft Defender-Portal zu Microsoft Sentinel>Konfiguration>Tabellen.

4. Wählen Sie die Tabelle und wählen Sie dann die Scope-Tag-Regel.

5. Kontrollzugriff mit Scope-Tags auf An setzen. Lass den Regelstatus auf Aus stehen, weil der DCR die Tags anwendet.

   

6. Wählen Sie "Speichern" aus.

Hinweis

Das Aktivieren des Control-Zugriffs mit Scope-Tags ermöglicht scoped-Zugriff auf Zeilen, die vom DCR markiert sind. Es erstellt die Spalte SentinelScope_CF nicht und aktualisiert das DCR nicht.

Schritt 4: Zugreifen auf bereichsbezogene Daten

Nachdem Sie Bereiche für Tabellen erstellt, zugewiesen und angewendet haben, können bereichsbezogene Benutzer auf Microsoft Sentinel Erfahrungen basierend auf ihrem zugewiesenen Bereich zugreifen. Alle neu erfassten Daten werden automatisch mit dem Bereich getaggt. Historische (zuvor erfasste) Daten sind nicht enthalten. Benutzer mit festgelegtem Bereich können keine Daten sehen, die nicht ausdrücklich diesem Bereich zugewiesen sind. Benutzer ohne Bereichseinschränkung können alle Daten im Arbeitsbereich sehen.

Bereichsbezogene Benutzer können Folgendes tun:

• Anzeigen von Warnungen, die aus bereichsbezogenen Daten generiert wurden.
• Verwalten Sie Warnungen, wenn sie Zugriff auf alle Ereignisse haben, die mit dieser Warnung verknüpft sind.
• Vorfälle anzeigen, die mindestens eine bereichsbezogene Warnung enthalten.
• Verwalten Sie Vorfälle, wenn sie Zugriff auf alle zugrunde liegenden Warnungen haben und über die erforderliche Berechtigung verfügen.
• Ausführen von Abfragen der erweiterten Suche nur über bereichsbezogene Zeilen.
• Abfragen und Untersuchen von Daten im Sentinel-Lake (Tabellen mit Bereich).
• Filtern Sie Warnungen und Vorfälle nach ihrem Sentinel-Bereich.

Warnungen erben den Geltungsbereich der zugrunde liegenden Daten. Incidents sind sichtbar, wenn mindestens eine Warnung im Geltungsbereich liegt.

Verwenden Sie das SentinelScope_CF benutzerdefinierte Feld in Abfragen und Erkennungsregeln, um in Ihrer Analyse auf den Bereich zu verweisen.

Hinweis

Wenn du benutzerdefinierte Erkennungs- und Analyseregeln erstellst, musst du die Spalte SentinelScope_CF im KQL für diese Regeln projizieren, damit Warnungen den Umfang korrekt erben. Wenn Sie diese Spalte nicht projizieren, erzeugen selbst bereichsbezogene Regeln Warnungen ohne Bereich, die für bereichsbezogene Benutzer nicht sichtbar sind.

Einschränkungen der Microsoft Sentinel Bereichsdefinition

1. Wenn Sie ein Benutzer ohne Bereichszuordnung sind, können Sie auch Alle Daten auswählen. Indem man Alle Daten auswählt, ist die Regel unscoped, läuft über alle Daten und ist nur für unscoped Nutzer sichtbar und bearbeitbar.

2. Schließen Sie den Assistenten ab, und speichern Sie die Regel.

   

Beachten Sie die folgenden Grenzwerte für bereichsbezogene benutzerdefinierte Erkennungen:

• Benutzerdefinierte Erkennungen über AlertInfo und AlertEvidence ignorieren Scopes und laufen alle Daten aus.
• Erstellen Sie keine bereichsbezogenen Erkennungen für Tabellen ohne Bereich. Diese Erkennungen liefern immer keine Ergebnisse.
• Scoped-Erkennungen können mit XDR-Tabellen keine benutzerdefinierte Frequenz verwenden. XDR-Tabellen sind in Sentinel unscoped, daher können nur unscoped Detection diese abfragen.

Erstellen von Regeln für die bereichsbezogene Automatisierung

Führen Sie die folgenden Schritte aus, um bereichsbezogene Automatisierungsregeln zu erstellen:

1. Navigieren Sie im Microsoft Defender-Portal zu Microsoft Sentinel>Konfiguration>Automatisierung.

2. Öffnen Sie die Registerkarte "Erweiterte Regeln ".

   

3. Wählen Sie "Erstellen" aus, um eine neue Automatisierungsregel hinzuzufügen, und geben Sie dann die Details für Ihre Automatisierungsregel ein.

   

4. Wählen Sie den Sentinel-Bereich aus, der auf die Regel angewendet werden soll:

   • Wenn Sie ein bereichsbezogener Benutzer sind (Sie haben mindestens einen Sentinel-Bereich zugewiesen), müssen Sie einen Bereich auswählen.
   • Wenn Sie ein Benutzer ohne Bereichszuweisung sind, können Sie Alle verfügbaren und zukünftigen Sentinel-Bereiche auswählen.

   

5. Speichern Sie die Regel.

Die Automatisierungsregel gilt für die Daten, die mit dem Sentinel-Scope verknüpft sind, den du für die Regel ausgewählt hast, und ist nur für Benutzer sichtbar, die diesem Scope zugeordnet sind.

Hinweis

Playbooks und Integrationen unterstützen die Sentinel-Bereichsdefinition noch nicht.

So funktionieren Berechtigungen und Zugriff bei bereichsbezogenen Daten

In den folgenden Punkten wird beschrieben, wie sich Berechtigungen und bereichsbezogener Zugriff in Microsoft Sentinel verhalten:

• Benutzer können einen Vorfall anzeigen, wenn sie Zugriff auf mindestens eine Warnung im Vorfall haben. Sie können den Incident nur verwalten, wenn sie Zugriff auf alle Warnungen im Incident haben und über die erforderliche Berechtigung verfügen.
• Der bereichsbezogene Benutzer kann nur die Daten sehen, die mit ihrem Bereich verknüpft sind. Wenn die Warnung Entitäten enthält, auf die der Benutzer keinen Zugriff hat, kann der Benutzer diese Entitäten nicht sehen. Wenn der Benutzer Zugriff auf mindestens eine der zugeordneten Entitäten hat, kann er die Warnung selbst sehen.
• Verwenden Sie zum Festlegen des Bereichs für eine ganze Tabelle eine Regel, die allen Zeilen entspricht (z. B. mit einer Bedingung, die immer true ist). Bereits importierte Daten können nicht nachträglich einem Bereich zugeordnet werden.
• Benutzer mit Bereichseinschränkung können Ressourcen (z. B. Erkennungsregeln, Playbooks und Automatisierungsregeln) nicht verwalten, es sei denn, ihnen werden die entsprechenden Berechtigungen über eine separate Rollenzuweisung zugewiesen.

Nächste Schritte

Verwenden Sie die folgenden Ressourcen, um die Planung Ihrer Bereichsbereitstellung fortzusetzen:

• Überprüfen Sie die Liste der Tabellen, die Erfassungszeittransformationen unterstützen.
• Planen Sie Bereichsnamen und die Logik, bevor Sie Daten kennzeichnen.
• Beginnen Sie mit einem Pilotbereich für ein kleines Team oder eine Datenteilmenge.
• Erfahren Sie mehr über Unified RBAC in Microsoft Defender