Mengonfigurasi Microsoft Defender untuk Titik Akhir untuk mengalirkan peristiwa Perburuan Tingkat Lanjut ke akun Penyimpanan Anda

  • Berlaku untuk: Microsoft Defender for Endpoint, Microsoft Defender for Endpoint Plan 1

Note

Untuk pengalaman streaming data lengkap yang tersedia, silakan kunjungi Streaming Microsoft Defender XDR acara | Microsoft Learn.

Sebelum Anda mulai

  1. Buat akun penyimpanan di penyewa Anda.

  2. Masuk ke penyewa Azure Anda, buka Langganan> Langganan Yang DidaftarkanPenyedia> Sumber Dayalangganan> Andake Microsoft.insights.

Important

Microsoft menyarankan agar Anda menggunakan peran dengan izin terkecil. Ini membantu meningkatkan keamanan untuk organisasi Anda. Administrator Global adalah peran yang sangat istimewa yang harus dibatasi pada skenario darurat ketika Anda tidak dapat menggunakan peran yang ada.

Mengaktifkan streaming data mentah

  1. Masuk ke portal Microsoft Defender.

  2. Buka halaman Pengaturan ekspor data di Microsoft Defender XDR.

  3. Pilih Tambahkan pengaturan ekspor data.

  4. Pilih nama untuk pengaturan baru Anda.

  5. Pilih Teruskan peristiwa ke Azure Storage.

  6. Ketik ID Sumber Daya Akun Penyimpanan Anda. Untuk mendapatkan ID Sumber Daya Akun Penyimpanan Anda, buka halaman Akun penyimpanan Anda di tab properti >> Azure salin teks di bawah ID sumber daya akun penyimpanan:

    Event Hubs dengan ID sumber daya1

  7. Pilih peristiwa yang ingin Anda streaming dan pilih Simpan.

Skema peristiwa di akun Penyimpanan

  • Kontainer blob dibuat untuk setiap jenis peristiwa:

    Event Hubs dengan ID sumber daya2

  • Skema setiap baris dalam blob adalah JSON berikut:

    {
  "time": "<The time WDATP received the event>"
  "tenantId": "<Your tenant ID>"
  "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
  "properties": { <WDATP Advanced Hunting event as Json> }
}

  • Setiap blob berisi beberapa baris.

  • Setiap baris berisi nama peristiwa, waktu Defender untuk Titik Akhir menerima peristiwa, penyewa tempatnya (Anda mendapatkan peristiwa hanya dari penyewa Anda), dan peristiwa dalam format JSON dalam properti yang disebut properties.

  • Untuk informasi selengkapnya tentang skema peristiwa Microsoft Defender untuk Titik Akhir, lihat Gambaran umum Perburuan Tingkat Lanjut.

  • Dalam Perburuan Tingkat Lanjut, tabel DeviceInfo memiliki kolom bernama MachineGroup yang berisi grup perangkat. Di sini, setiap acara juga dihiasi dengan kolom ini. Untuk informasi selengkapnya, lihat Grup Perangkat.

    Note

    Pembuatan grup perangkat didukung pada Defender for Endpoint Plan 1 dan Plan 2.

Pemetaan jenis data

Untuk mendapatkan jenis data untuk properti peristiwa kami, lakukan langkah-langkah berikut:

  1. Masuk ke portal Microsoft Defender dan buka halaman Perburuan Tingkat Lanjut.

  2. Jalankan kueri berikut untuk mendapatkan pemetaan tipe data untuk setiap peristiwa:

    {EventType}
| getschema
| project ColumnName, ColumnType

    Berikut contoh peristiwa Informasi Perangkat:

    Event Hubs dengan ID sumber daya3

Tip

Apakah Anda ingin mempelajari lebih lanjut? Libatkan dengan komunitas Microsoft Security di Komunitas Teknologi kami: Microsoft Defender untuk Titik Akhir Tech Community.

  • Last updated on