Ingesta de datos en Microsoft Sentinel Data Lake

Ingiera datos de telemetría de ejemplo de IdentityDrift y tablas auxiliares en el lago de datos de Sentinel. Puede consultar estos datos en los artículos posteriores de esta serie.

Este artículo forma parte de una serie que le guía a través de la ingesta de datos de prueba en el lago de datos, el desarrollo de un agente y la publicación de la solución de plataforma IdentityDrift de ejemplo. La solución incluye un agente de Security Copilot que correlaciona señales de seguridad de identidad, de puntos de conexión y de la nube para automatizar las investigaciones de amenazas.

Enfoque de producción típico para los ISV

Los ISV deben usar el siguiente enfoque para ingerir datos en Sentinel:

  1. Desarrollo de un conector de datos
    • Cree un conector de datos de Sentinel mediante el agente del Generador de conectores de Sentinel en VS Code con GitHub Copilot. Este enfoque asistido por IA reduce el tiempo de desarrollo de semanas a horas y usa avisos de lenguaje natural para crear configuraciones de sondeo, reglas de recopilación de datos, definiciones de conector y esquemas.
    • Para orígenes de datos basados en extracción, use el Marco de conectores sin código (CCF).
    • Para los orígenes de datos de tipo push, utilice CCF Push.
  2. Ingesta de datos en Data Lake Transmisión de telemetría a través del conector al lago de datos de Sentinel
  3. Uso de la plataforma Sentinel Use las funcionalidades de la plataforma Sentinel para exploración de datos, Graph, servidor de MCP y agentes de Security Copilot.

Alternativa: Si ya existe un conector para el origen de datos, consulte la referencia de conectores de datos de Sentinel para habilitarlo e iniciar la ingesta de los datos.

Enfoque de laboratorio: ingerir datos de ejemplo mediante trabajos de KQL

Use KQL Jobs para poblar el lago de datos con registros de ejemplo. Este enfoque:

  • Refleja el esquema de datos real . Los datos de ejemplo se adhieren al mismo esquema que los datos ingeridos por conectores, lo que le permite rellenar la lógica del lago de datos y del agente de prueba inmediatamente.
  • Representa escenarios de ataque realistas Los datos ficticios reproducen los patrones de ataque y las correlaciones que investigaría en producción.

Prerequisites

Permisos necesarios

  • Debe tener el rol Administrador de seguridad o Operador de seguridad .

Creación de un trabajo de KQL

Para crear un nuevo trabajo de KQL, siga estos pasos:

  1. En el portal de Defender, vaya a Sentinel > Exploración del lago de datos > Trabajos.

  2. Seleccione Crear trabajo y, a continuación, Crear un nuevo trabajo de KQL.

  3. Nombre del trabajo : escriba un nombre de trabajo único, por ejemplo , CommonSecurity_ID_logs1

  4. Descripción del trabajo: proporcione el contexto y el propósito del trabajo, por ejemplo , Generar registros para el proveedor IdentityDrift para ingerir en CommonSecurity_ID_logs1

  5. Seleccionar área de trabajo : seleccione el área de trabajo de destino.

  6. En "Crear una nueva tabla" y escriba un nombre de tabla, por ejemplo , CommonSecurity_ID. Las tablas creadas por los trabajos de KQL tienen automáticamente el sufijo _KQL_CL anexado.

  7. Seleccione Siguiente.

  8. Copie la consulta KQL de la pestaña KQL de ingesta de datos correspondiente en el campo de consulta.

    Tip

    Si el botón Siguiente está atenuado, debe elegir un área de trabajo con el botón Área de trabajo seleccionada .

  9. Seleccione Siguiente para continuar con la página de programación.

Programación del trabajo

Para establecer una programación de ejecución para el trabajo:

  1. En la página Programar el trabajo de consulta , seleccione la opción de ejecución:
    • Trabajo programado : el trabajo se ejecuta según una programación que especifica e ingiere datos de ejemplo periódicamente.

Opción Programar trabajo para que se agreguen registros recurrentes a la tabla.

Para los trabajos programados:

  1. Seleccione la opción Programación
  2. Escriba los siguientes datos:
    • Frecuencia de repetición : Seleccionar: Por minuto, Hora, Diaria, Semanal o Mensual
    • Repetir cada : frecuencia con la que se ejecuta el trabajo en función de la frecuencia seleccionada
    • Fecha de inicio - Seleccione la fecha e introduzca la hora para iniciar la tarea.
    • Hasta la fecha : seleccione cuando finalice la programación. Seleccione Establecer trabajo para que se ejecute indefinidamente para continuar sin fecha de finalización.

Revisión y envío

Para revisar y enviar el trabajo:

  1. Seleccione Siguiente para revisar los detalles del trabajo.
  2. Revise toda la configuración.
  3. Seleccione Enviar para crear el trabajo.

Ingerir datos KQL

Para ingerir datos en las tablas SigninLogs, AADRiskyUsers, CommonSecurity_ID_Logs, DeviceProcessEvents y SecurityAlerts, repita los pasos para crear un trabajo de KQL mediante las consultas KQL de cada pestaña siguiente.

Use la siguiente consulta en su trabajo de KQL para ingerir datos de ejemplo de usuarios de riesgo en la tabla AADRiskyUsers del lago de datos de Sentinel.

datatable(
    TimeGenerated:datetime,
    CorrelationId:string,
    Id:string,
    IsDeleted:bool,
    IsProcessing:bool,
    OperationName:string,
    RiskDetail:string,
    RiskLastUpdatedDateTime:datetime,
    RiskLevel:string,
    RiskState:string,
    UserDisplayName:string,
    UserPrincipalName:string
)
[
    datetime(2026-03-05T14:22:00Z), "riskcorr-identity-047", "a7d2f8c1-4e2b-48f3-9a06-2e5c7b3d9f1a", false, false, "RiskyUserDetected", "adminConfirmedUserCompromised", datetime(2026-02-28T10:15:00Z), "high", "confirmedCompromised", "U1291", "u1291@contoso.onmicrosoft.com",
    datetime(2026-03-05T15:18:00Z), "riskcorr-identity-052", "b9e4a6d2-7f3c-41b8-a2e5-3f6c8d1e2b4a", false, false, "RiskyUserUpdated",  "anonymousIpAddress",             datetime(2026-02-27T14:42:00Z), "medium", "atRisk",              "U3415", "u3415@contoso.onmicrosoft.com",
    datetime(2026-03-05T16:33:00Z), "riskcorr-identity-059", "c5f1b7e3-9d4a-42c1-b8f6-5e7d9c2a3f5b", false, false, "RiskyUserUpdated",  "userPerformedSecuredPasswordReset", datetime(2026-02-26T11:20:00Z), "medium", "remediated",          "U2847",   "u2847@contoso.onmicrosoft.com",
];

Pasos siguientes

Su lago de datos ya está rellenado con datos de telemetría de ejemplo de IdentityDrift, Microsoft Entra ID y Microsoft Defender. Usa estos datos para probar y desarrollar tu agente de Security Copilot. Consulte Uso de una herramienta MCP en Visual Studio Code para explorar las herramientas del servidor MCP de Sentinel y consultar los datos mediante avisos.

Antes de continuar con la compilación del caso de uso del agente de Security Copilot para IdentityDrift, explore el servidor MCP con las siguientes indicaciones para consultar los datos de ejemplo ingeridos en este paso para obtener información sobre cómo consultar los datos del lago de datos de Sentinel mediante Sentinel MCP.

Prompts de ejemplo para Sentinel MCP en VS Code Chat:

  • Busque tablas relacionadas con "identidad" o "inicio de sesión" en mi área de trabajo.
  • Mostrar eventos de ejecución de procesos para el usuario u1291 en DeviceProcessEvents_KQL_CL: ¿qué comandos ejecutaron?
  • Correlacione la actividad de u1291@contoso.onmicrosoft.com: consulte su riesgo de inicio de sesión en SigninLogs_KQL_CL, sus accesos en CommonSecurity_ID_KQL_CL y cualquier ejecución de procesos en DeviceProcessEvents_KQL_CL. Resumir la cadena de ataques.

Continuar con Crear un agente de Security Copilot

  • Se actualizó por última vez el