Configuración de Event Hubs

Se aplica a:

• Microsoft Defender XDR

Nota:

Pruebe nuestras nuevas API mediante la API de seguridad de MS Graph. Obtenga más información en: Uso de la API de seguridad de Microsoft Graph: Microsoft Graph | Microsoft Learn.

Obtenga información sobre cómo configurar Event Hubs para que pueda ingerir eventos de Microsoft Defender XDR.

Configuración del proveedor de recursos necesario en la suscripción de Event Hubs

1. Inicie sesión en el portal de Azure.
2. Seleccione Suscripciones>{ Seleccione la suscripción a la que se implementarán los centros de eventos en }>Proveedores de recursos.
3. Compruebe si el proveedor Microsoft.Insights está registrado. De lo contrario, regístrelo.

Configurar Microsoft Entra registro de aplicaciones

Nota:

Debe tener el rol Administrador o Microsoft Entra ID debe establecerse para permitir que los usuarios que no son administradores registren aplicaciones. También debe tener un rol propietario o administrador de acceso de usuario para asignar un rol a la entidad de servicio. Para obtener más información, vea Create una aplicación de Microsoft Entra & entidad de servicio en el portal: Plataforma de identidad de Microsoft | Microsoft Docs.

1. Create un nuevo registro (que crea inherentemente una entidad de servicio) en Microsoft Entra ID>Registros de aplicaciones>Nuevo registro.

2. Rellene el formulario con solo el nombre (no se requiere ningún URI de redirección).

   

   

3. Create un secreto haciendo clic en Certificados & secretos>Nuevo secreto de cliente:

   

Las API de Microsoft Graph usan este valor de secreto de cliente para autenticar esta aplicación que se está registrando.

Advertencia

No podrá acceder al secreto de cliente de nuevo, así que asegúrese de guardarlo.

Configuración del espacio de nombres de Event Hubs

1. Create un espacio de nombres de Event Hubs:

   Vaya a Agregar centro > de eventos y seleccione el plan de tarifa, las unidades de rendimiento y el inflado automático (requiere precios estándar y en características) adecuados para la carga que espera. Para obtener más información, vea Precios : Event Hubs | Microsoft Azure.

   Nota:

   Puede usar un centro de eventos existente, pero el rendimiento y el escalado se establecen en el nivel de espacio de nombres, por lo que se recomienda colocar un centro de eventos en su propio espacio de nombres.

   

2. También necesitará el identificador de recurso de este espacio de nombres de Event Hubs. Vaya a la página > del espacio de nombres Azure Event Hubs Propiedades. Copie el texto en Id. de recurso y anote el texto para usarlo durante la sección Configuración de Microsoft 365 que aparece a continuación.

   

Agregar permisos

Debe agregar permisos a los siguientes roles a las entidades que participan en la administración de datos de Event Hubs:

• Colaborador: los permisos relacionados con este rol se agregan a la entidad que inicia sesión en el portal de Microsoft Defender.
• Lector y receptor de datos de Azure Event Hub: los permisos relacionados con estos roles se asignan a la entidad a la que ya se ha asignado el rol de entidad de servicio e inicia sesión en la aplicación Microsoft Entra.

Para asegurarse de que se han agregado estos roles, realice el paso siguiente:

Vaya a Espacio de nombres> del centro de eventos Access Control (IAM)>Agregar y comprobar en Asignaciones de roles.

Configuración de Event Hubs

Opción 1:

Puede crear un centro de eventos dentro del espacio de nombres y todos los tipos de eventos (tablas) que seleccione exportar se escribirán en este centro de eventos.

Opción 2:

En lugar de exportar todos los tipos de eventos (tablas) a un centro de eventos, puede exportar cada tabla a diferentes centros de eventos dentro del espacio de nombres de Event Hubs (un centro de eventos por tipo de evento).

En esta opción, Microsoft Defender XDR creará Event Hubs automáticamente.

Nota:

Si usa un espacio de nombres de Centro de eventos que no forma parte de un clúster de Event Hubs, solo podrá elegir hasta 10 tipos de eventos (tablas) para exportar en cada configuración de exportación que defina, debido a una limitación de Azure de 10 tipos de eventos por espacio de nombres del centro de eventos.

Por ejemplo:

Si elige esta opción, puede ir a la sección Configurar Microsoft Defender XDR para enviar tablas de correo electrónico.

Create Event Hubs dentro del espacio de nombres seleccionando Centro de eventos>+ Centro de eventos.

El recuento de particiones permite un mayor rendimiento a través del paralelismo, por lo que se recomienda aumentar este número en función de la carga que espera. Se recomiendan los valores predeterminados de retención de mensajes y captura de 1 y Desactivado.

Para estos Event Hubs (no espacio de nombres), deberá configurar una directiva de acceso compartido con notificaciones de envío y escucha. Haga clic en lasdirectivas> de acceso compartido del centro> de eventos+ Agregar y, a continuación, asígnele un nombre de directiva (no usado en otro lugar) y active Enviar y escuchar.

Configuración de Microsoft Defender XDR para enviar tablas de correo electrónico

Configurar Microsoft Defender XDR enviar tablas de Email a Splunk a través de Event Hubs

1. Inicie sesión en Microsoft Defender XDR con una cuenta que cumpla todos los siguientes requisitos de rol:

   • Rol colaborador en el nivel de recurso de espacio de nombres de Event Hubs o superior para Event Hubs al que va a exportar. Sin este permiso, recibirá un error de exportación al intentar guardar la configuración.

   • Rol de Administración global o Administración de seguridad en el inquilino vinculado a Microsoft Defender XDR y Azure.

     

2. Haga clic en Exportación de > datos sin procesar +Agregar.

   Ahora usará los datos que registró anteriormente.

   Nombre: este valor es local y debe ser lo que funcione en su entorno.

   Reenviar eventos al centro de eventos: active esta casilla.

   Identificador de recurso del centro de eventos: este valor es el identificador de recurso de espacio de nombres de Event Hubs que registró al configurar Event Hubs.

   Nombre del centro de eventos: si creó un centro de eventos dentro del espacio de nombres de Event Hubs, pegue el nombre de Event Hubs que registró anteriormente.

   Si decide permitir que Microsoft Defender XDR cree Event Hubs por tipo de evento (tablas), deje este campo vacío.

   Tipos de eventos: seleccione las tablas de búsqueda avanzada que desea reenviar a Event Hubs y, a continuación, a la aplicación personalizada. Las tablas de alertas proceden de Microsoft Defender XDR, las tablas de dispositivos proceden de Microsoft Defender para punto de conexión (EDR) y las tablas de Email son de Microsoft Defender para Office 365. Email Eventos registra todas las transacciones de Email. La dirección URL (vínculos seguros), los datos adjuntos (datos adjuntos seguros) y los eventos posteriores a la entrega (ZAP) también se registran y se pueden unir a los eventos de Email en el campo NetworkMessageId.

   

3. Asegúrese de hacer clic en Enviar.

Compruebe que los eventos se exportan a Event Hubs.

Puede comprobar que los eventos se envían a Event Hubs mediante la ejecución de una consulta de búsqueda avanzada básica. Seleccione Hunting Advanced HuntingQuery (Consultade búsqueda> avanzada de búsqueda>) y escriba la consulta siguiente:

EmailEvents
|join kind=fullouter EmailAttachmentInfo on NetworkMessageId
|join kind=fullouter EmailUrlInfo on NetworkMessageId
|join kind=fullouter EmailPostDeliveryEvents on NetworkMessageId
|where Timestamp > ago(1h)
|count

Esta consulta le mostrará cuántos correos electrónicos se recibieron en la última hora unidos en todas las demás tablas. También le mostrará si ve eventos que se pueden exportar a los centros de eventos. Si este recuento muestra 0, no verá ningún dato que salga a Event Hubs.

Una vez que haya comprobado que hay datos que exportar, puede ver la página de Event Hubs para comprobar que los mensajes son entrantes. Este proceso puede tardar hasta una hora.

1. En Azure, vaya a Centro de eventos> Haga clic en elcentro de eventos> espacio de nombres> Haga clic en el centro de eventos.
2. En Información general, desplácese hacia abajo y, en el gráfico Mensajes, debería ver Mensajes entrantes. Si no ves ningún resultado, no habrá mensajes para que la aplicación personalizada la ingiera.

Temas relacionados

Uso de la API de seguridad de Microsoft Graph: Microsoft Graph | Microsoft Learn

Sugerencia

¿Desea obtener más información? Engage con la comunidad de seguridad de Microsoft en nuestra comunidad tecnológica: Microsoft Defender XDR Tech Community.