Megjegyzés
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhat bejelentkezni vagy módosítani a címtárat.
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhatja módosítani a címtárat.
Ez a cikk az önálló összekötőkön keresztül betöltött riasztások és a Microsoft Sentinel Microsoft Defender XDR-összekötőn keresztül betöltött riasztások közötti különbségeket ismerteti.
Az önálló összekötők közvetlenül az eredeti biztonsági termékekből szerzik be a riasztásokat, míg a Microsoft Defender XDR összekötő a riasztásokat a Microsoft Defender XDR folyamaton keresztül betölti. Ilyenek például a Office 365-höz készült Microsoft Defender, Végponthoz készült Microsoft Defender, Microsoft Defender for Identity, információkockázat-kezelés (IRM), adatveszteség-megelőzés (DLP), Microsoft Defender for Cloud (MDC) és Microsoft Defender for Cloud Apps (MDA).
Ezek a különbségek hatással lehetnek a mezőleképezésekre, a származtatott mező viselkedésére, a sémaszerkezetre, a riasztások betöltésére és az összekötők viselkedésére, ami hatással lehet a meglévő lekérdezésekre, elemzési szabályokra, munkafüzetekre és automatizálásra. Tekintse át ezeket a különbségeket, mielőtt az XDR-összekötőre migrál, vagy Microsoft Sentinel Defender portálra Microsoft Defender XDR.
A teljes riasztási sémáért tekintse meg a biztonsági riasztási séma referenciáját.
Önálló összekötő viselkedése a Defender portálra való előkészítés után
Miután Microsoft Sentinel a Defender portálra Microsoft Defender XDR, Microsoft biztonsági termékek riasztásai a különálló Microsoft helyett a Microsoft Defender XDR összekötőn keresztül lesznek irányítva biztonsági termékriasztás-összekötők.
Egy munkaterületes környezetben az Microsoft biztonsági termékek riasztásai továbbra is elérhetők lesznek Microsoft Sentinel, de az Microsoft Defender XDR-összekötőn keresztül kerülnek be. Ez a változás hatással lehet a forrással kapcsolatos mezőkre, mezőleképezésekre, séma viselkedésére, lekérdezéseire, elemzési szabályaira, munkafüzeteire és automatizálására.
Több munkaterületes környezetben a Microsoft Defender XDR-összekötő csak az elsődleges munkaterülethez csatlakozik. A munkaterületeken ismétlődő bérlőalapú riasztások, különálló adatösszekötők Office 365-höz készült Microsoft Defender, Microsoft Entra ID-védelem, Microsoft Defender for Cloud Apps, Végponthoz készült Microsoft Defender és Microsoft Defender for Identity a rendszer automatikusan leválasztja a másodlagos munkaterületekről az előkészítés során.
Ennek eredményeképpen a Microsoft biztonsági termékek bérlőalapú riasztásai csak az elsődleges munkaterületen érhetők el. Minden olyan lekérdezés, elemzési szabály, munkafüzet, automatizálási szabály vagy integráció, amely a másodlagos munkaterületek különálló Microsoft biztonsági termékösszekötőinek riasztásaitól függ, már nem a várt módon működik az előkészítés után.
Ez a viselkedés nem érinti a nem Microsoft adatösszekötőket.
További információ: Több Microsoft Sentinel munkaterület a Defender portálon.
A CompromisedEntity viselkedése
A CompromisedEntity mező eltérően van kezelve a termékek között, ha a riasztások az XDR-összekötőn keresztül vannak betöltve.
| Termék | CompromisedEntity egyenértékű érték az XDR-riasztásokban |
|---|---|
| Végponthoz készült Microsoft Defender (MDE) | Az eszköz, ahol "LeadingHost": true a riasztási entitások JSON-t kapnak |
| Microsoft Entra ID (Identity Protection) | Mindig állítsa be a felhasználó UPN-jét |
| Microsoft Defender for Identity (MDI) | Rögzített sztring "CompromisedEntity" |
Megjegyzés:
A MDE riasztásokban a CompromisedEntity abból az eszközből származik, ahol "LeadingHost": true. Egyes riasztásokban előfordulhat, hogy ez a mező nem lesz kitöltve.
Az MDI-riasztásokban a CompromisedEntity nem jelöl gazdagépet vagy felhasználót, és mindig a literális sztring "CompromisedEntity".
Mezőleképezés változásai
Egyes mezőket átneveznek vagy különböző értékkészleteket használnak az XDR-összekötő riasztásaiban.
| Termék | Örökölt mező/tulajdonság | XDR-viselkedés |
|---|---|---|
| MDE | ExtendedProperties.MicrosoftDefenderAtp.Category | Megfeleltetve a ExtendedProperties.Category |
| Office Microsoft Defender (MDO) | ExtendedProperties.Status | Az örökölttől eltérő értékkészletet használ |
| Office Microsoft Defender (MDO) | ExtendedProperties.InvestigationName | Nem érhető el |
Szerkezetiséma-átalakítások (MDI)
Az önálló Microsoft Defender for Identity (MDI) összekötő néha helyőrző entitásokat használt további információk tárolására. Az XDR-összekötőben ezek az információk a gyűjtemény alatt lévő resourceAccessEvents tulajdonságokba vannak átadva.
| Örökölt entitás/tulajdonság | XDR-reprezentáció |
|---|---|
| ResourceAccessInfo.Time | resourceAccessEvents[].AccessDateTime |
| ResourceAccessInfo.IpAddress | resourceAccessEvents[].IpAddress |
| ResourceAccessInfo.ResourceIdentifier.AccountId | resourceAccessEvents[].AccountId |
| ResourceAccessInfo.ResourceIdentifier.ResourceName | resourceAccessEvents[].ResourceIdentifier |
| DomainResourceIdentifier | resourceAccessEvents[].ResourceIdentifier |
A ResourceAccessInfo.ComputerId már nem szükséges, mert megegyezik azzal a gazdagép-entitással, amelyben a ResourceAccessInfo definiálva van.
Riasztásbetöltés szűrése
Az önálló összekötőkön keresztül elérhető riasztások némelyike nem az XDR-összekötőn keresztül van betöltve.
| Termék | Szűrési viselkedés |
|---|---|
| Microsoft Defender for Cloud (MDC) | Az információs súlyossági riasztások nincsenek betöltve |
| Microsoft Entra ID | Alapértelmezés szerint a Magas súlyosság alatti riasztások nem lesznek betöltve; az ügyfelek úgy konfigurálhatják a betöltést, hogy tartalmazzák az összes súlyosságot |
Hatókörkezelési viselkedés (felhőbeli Microsoft Defender)
Microsoft Defender felhőbeli riasztások eltérő hatókörkezelést használnak az XDR-összekötőn keresztüli betöltéskor.
| Önálló összekötő hatóköre | XDR-összekötő hatóköre |
|---|---|
| Előfizetési szint | Bérlői szint |
Megjegyzés:
Az összes MDC-riasztás elérhető a bérlő elsődleges munkaterületén. A riasztások hatóköre az MDC-előfizetés hatóköreinek megfelelően van Defender XDR.