Inserire dati da Microsoft Sentinel Data Lake

Inserire i dati di telemetria IdentityDrift di esempio e le tabelle di supporto nel data lake sentinel. È possibile eseguire query su questi dati negli articoli successivi di questa serie.

Questo articolo fa parte di una serie che illustra l'inserimento di dati di test nel data lake, lo sviluppo di un agente e la pubblicazione della soluzione di piattaforma IdentityDrift di esempio. La soluzione comprende un agente di Security Copilot che correla i segnali relativi a identità, endpoint e sicurezza cloud per automatizzare le indagini relative alle minacce.

Approccio tipico di produzione per gli ISVs

Gli ISV devono usare l'approccio seguente per inserire i dati in Sentinel:

1. Sviluppare un connettore dati
   • Crea un connettore dati di Sentinel usando il Sentinel Connector Builder Agent in VS Code con GitHub Copilot. Questo approccio assistito dall'intelligenza artificiale riduce i tempi di sviluppo da settimane a ore e usa i prompt del linguaggio naturale per creare configurazioni di polling, regole di raccolta dati, definizioni dei connettori e schemi.
   • Per le origini dati basate sul pull, usare Codeless Connector Framework (CCF).
   • Per le fonti di dati basate su push, usa CCF Push.
2. Inserire dati nel data lake Trasmettere i dati di telemetria tramite il connettore nel data lake di Sentinel
3. Usare la piattaforma Sentinel Usare le funzionalità della piattaforma Sentinel per l'esplorazione dei dati, Graph, il server MCP e gli agenti Security Copilot.

Alternativa: Se esiste già un connettore per l'origine dati, consulta il riferimento dei connettori dati di Sentinel per abilitarlo e iniziare ad acquisire i dati.

Approccio del lab: acquisire dati di esempio tramite job KQL

Usare KQL Jobs per popolare il data lake con record di esempio. Questo approccio:

• Rispecchia lo schema dei dati effettivo I dati di esempio rispettano lo stesso schema dei dati inseriti dal connettore, consentendo di popolare immediatamente la logica dell'agente di test e del data lake.
• Rappresenta scenari di attacco realistici I dati fittizi riproducono i modelli di attacco e le correlazioni da analizzare nell'ambiente di produzione.

Prerequisiti

• Devi prima effettuare l’accesso al data lake. Vedi la guida introduttiva a Sentinel data lake.

Autorizzazioni necessarie

• È necessario avere il ruolo Amministratore della sicurezza o Operatore di sicurezza .

Crea un processo KQL

Per creare un nuovo job KQL, segui questi passaggi:

1. Nel portale di Defender passare a Processi di esplorazione > di Sentinel > Data Lake.

2. Selezionare Crea processo e quindi Crea un nuovo processo KQL

3. Nome processo : immettere un nome di processo univoco, ad esempio CommonSecurity_ID_logs1

4. Descrizione processo: specificare il contesto e lo scopo del processo, ad esempio Generare log per il fornitore IdentityDrift da inserire in CommonSecurity_ID_logs1

5. Selezionare l'area di lavoro - Selezionare l'area di lavoro di destinazione

6. In "Crea una nuova tabella" e immettere un nome di tabella, ad esempio CommonSecurity_ID. Alle tabelle create dai processi KQL viene aggiunto automaticamente il suffisso _KQL_CL .

7. Seleziona Avanti.

8. Copia la query KQL dalla scheda KQL di inserimento dati appropriata nel campo di query.

   Tip

   Se il pulsante Avanti è disattivato, è necessario scegliere un'area di lavoro usando il pulsante Area di lavoro selezionata .

9. Selezionare Avanti per passare alla pagina di pianificazione.

Pianifica l'attività

Per impostare una programmazione di esecuzione per l'attività:

1. Nella pagina Pianificare il processo di query, seleziona l'opzione di esecuzione:
   • Processo pianificato - Il processo viene eseguito in base alla pianificazione specificata e acquisisce periodicamente dati di esempio.

Utilizza l'opzione Pianifica processo per aggiungere i record ricorrenti alla tabella.

Per i processi programmati:

1. Selezionare l'opzione Pianifica
2. Immetti i dettagli seguenti:
   • Frequenza di ripetizione - Selezionare: per minuto, ogni ora, giornaliera, settimanale o mensile
   • Ripetere ogni - Frequenza con cui il processo viene eseguito in base alla frequenza selezionata
   • Data di inizio - Selezionare la data e inserire l'ora di inizio dell'attività.
   • Fino alla data: selezionare quando termina la pianificazione. Selezionare Imposta processo da eseguire a tempo indeterminato per continuare senza data di fine

Esaminare e inviare

Per rivedere e inviare il processo:

1. Selezionare Avanti per esaminare i dettagli del processo.
2. Esaminare tutte le impostazioni.
3. Selezionare Invia per creare l'attività.

Inserimento dati KQL

Per inserire i dati nelle tabelle SigninLogs, AADRiskyUsers, CommonSecurity_ID_Logs, DeviceProcessEvents e SecurityAlerts, ripetere i passaggi per creare un processo KQL usando le query KQL in ogni scheda seguente.

AADRiskyUsers

Usa la query seguente nel job KQL per acquisire dati di esempio sugli utenti a rischio nella tabella AADRiskyUsers nel data lake di Sentinel.

datatable(
    TimeGenerated:datetime,
    CorrelationId:string,
    Id:string,
    IsDeleted:bool,
    IsProcessing:bool,
    OperationName:string,
    RiskDetail:string,
    RiskLastUpdatedDateTime:datetime,
    RiskLevel:string,
    RiskState:string,
    UserDisplayName:string,
    UserPrincipalName:string
)
[
    datetime(2026-03-05T14:22:00Z), "riskcorr-identity-047", "a7d2f8c1-4e2b-48f3-9a06-2e5c7b3d9f1a", false, false, "RiskyUserDetected", "adminConfirmedUserCompromised", datetime(2026-02-28T10:15:00Z), "high", "confirmedCompromised", "U1291", "u1291@contoso.onmicrosoft.com",
    datetime(2026-03-05T15:18:00Z), "riskcorr-identity-052", "b9e4a6d2-7f3c-41b8-a2e5-3f6c8d1e2b4a", false, false, "RiskyUserUpdated",  "anonymousIpAddress",             datetime(2026-02-27T14:42:00Z), "medium", "atRisk",              "U3415", "u3415@contoso.onmicrosoft.com",
    datetime(2026-03-05T16:33:00Z), "riskcorr-identity-059", "c5f1b7e3-9d4a-42c1-b8f6-5e7d9c2a3f5b", false, false, "RiskyUserUpdated",  "userPerformedSecuredPasswordReset", datetime(2026-02-26T11:20:00Z), "medium", "remediated",          "U2847",   "u2847@contoso.onmicrosoft.com",
];

CommonSecurity_ID_Logs

Usa la query seguente nel tuo processo KQL per acquisire log di esempio relativi alla deriva delle identità nella tabella CommonSecurity_ID_Logs nel data lake di Sentinel.

datatable(
    TimeGenerated: datetime,
    SourceUserName: string,
    SourceIP: string,
    DestinationHostName: string,
    DeviceCustomString1: string,
    DeviceCustomString1Label: string,
    AdditionalExtensions: string
)
[
    // u1291 – MFA-approved privileged access to AKS
    datetime(2026-03-05T09:20:48Z),
    "u1291@contoso.onmicrosoft.com",
    "185.92.44.17",
    "prod-aks-eastus",
    "MFA Approved",
    "Authentication Status",
    "User accessed Kubernetes cluster with ClusterAdmin role",
    // u1291 – privilege escalation detected
    datetime(2026-03-05T09:22:36Z),
    "u1291@contoso.onmicrosoft.com",
    "185.92.44.17",
    "prod-aks-eastus",
    "Privilege Escalation",
    "Authentication Status",
    "RoleBinding created granting cluster-admin privileges",
    // u2847 – sensitive workload interaction
    datetime(2026-03-05T11:50:14Z),
    "u2847@contoso.onmicrosoft.com",
    "185.92.44.17",
    "prod-aks-eastus",
    "Sensitive Access",
    "Authentication Status", 	
    "kubectl exec executed on workload with known ingress vulnerability",
    // u3415 – service-level access to backup storage
    datetime(2026-03-05T10:45:02Z),
    "u3415@contoso.onmicrosoft.com",
    "10.10.5.24",
    "stgprodbackup01",
    "Access Allowed",
    "Authentication Status",
    "Service account accessed production backup storage"
]

DeviceProcessEvents

Usare la query seguente nel processo KQL per inserire eventi del processo del dispositivo di esempio nella tabella DeviceProcessEvents nel data lake di Sentinel.

datatable(
    TimeGenerated:datetime,
    DeviceName:string,
    DeviceId:string,
    ActionType:string,
    FileName:string,
    FolderPath:string,
    ProcessId:long,
    ProcessCommandLine:string,
    ProcessIntegrityLevel:string,
    AccountName:string,
    AccountDomain:string,
    InitiatingProcessFileName:string,
    InitiatingProcessCommandLine:string,
    InitiatingProcessAccountName:string,
    InitiatingProcessAccountDomain:string
)
[
    // Record 1 – Azure CLI authentication and subscription context
    datetime(2026-03-05T09:23:15.445Z),
    "WIN-DESKTOP-CONTOSO-401",
    "d7e2f9c3a5b1e8d4c6f2",
    "ProcessCreated",
    "az.exe",
    @"C:\Program Files (x86)\Microsoft SDKs\Azure\CLI2\wbin\",
    4156,
    "az login",
    "Medium",
    "u1291",
    "contoso.onmicrosoft.com",
    "powershell.exe",
    "powershell.exe -Command az login",
    "u1291",
    "contoso.onmicrosoft.com",
    // Record 2 – AKS credential retrieval (kubectl context setup)
    datetime(2026-03-05T10:47:22.831Z),
    "WIN-DESKTOP-CONTOSO-502",
    "c3a4b8d2e7f1a5c9e6d4",
    "ProcessCreated",
    "az.exe",
    @"C:\Program Files (x86)\Microsoft SDKs\Azure\CLI2\wbin\",
    5843,
    "az aks get-credentials --resource-group rg-prod --name prod-aks-eastus",
    "Medium",
    "u3415",
    "contoso.onmicrosoft.com",
    "cmd.exe",
    "cmd.exe /c az aks get-credentials --resource-group rg-prod --name prod-aks-eastus",
    "u3415",
    "contoso.onmicrosoft.com",
    // Record 3 – Kubernetes workload inspection
    datetime(2026-03-05T11:52:09.567Z),
    "WIN-DESKTOP-CONTOSO-603",
    "b9c1d5e8f2a4c6d9e1f3",
    "ProcessCreated",
    "kubectl.exe",
    @"C:\Program Files\Kubernetes\",
    6521,
    "kubectl get pods -A",
    "High",
    "u2847",
    "contoso.onmicrosoft.com",
    "explorer.exe",
    "explorer.exe",
    "u2847",
    "contoso.onmicrosoft.com"
]

SecurityAlerts

Usare la query seguente nel processo KQL per inserire avvisi di sicurezza di esempio nella tabella SecurityAlerts nel data lake di Sentinel.

datatable(
    TimeGenerated: datetime,
    DisplayName: string,
    AlertName: string,
    AlertSeverity: string,
    Description: string,
    ProviderName: string,
    VendorName: string,
    AlertType: string,
    ConfidenceLevel: string,
    IsIncident: bool,
    CompromisedEntity: string,
    ExtendedProperties: dynamic,
    Entities: dynamic,
    ProductName: string
)
[
    // AKS – malware execution blocked after privilege escalation activity
    datetime(2026-03-05T09:24:10Z),
    "Microsoft Defender for Cloud Kubernetes malware execution blocked",
    "Kubernetes malware execution blocked on node",
    "High",
    "Malware execution was detected and blocked on a Kubernetes node. The activity occurred shortly after privileged access and RBAC changes were performed on the cluster, increasing confidence of malicious intent.",
    "Azure Security Center",
    "Microsoft",
    "K8S.NODE_MalwareBlocked",
    "High",
    true,
    "prod-aks-eastus",
    dynamic({
        "ClusterName": "prod-aks-eastus",
        "Namespace": "prod",
        "NodeRole": "Worker",
        "DetectionSource": "microsoftDefenderForContainers",
        "SuspiciousActivity": "Malware execution in container runtime",
        "RelatedContext": "Recent ClusterAdmin access and RoleBinding creation detected"
    }),
    dynamic([
        {
            "Type": "KubernetesCluster",
            "Name": "prod-aks-eastus",
            "CloudPlatform": "Azure"
        },
        {
            "Type": "Host",
            "HostName": "prod-aks-eastus"
        }
    ]),
    "Azure Security Center",
    // AKS – binary drift blocked on vulnerable workload
    datetime(2026-03-05T11:51:58Z),
    "Microsoft Defender for Cloud Kubernetes binary drift blocked",
    "Kubernetes workload binary drift blocked",
    "Medium",
    "Execution of a workload binary that drifted from the original container image was detected and blocked. The affected workload resides in a production Kubernetes cluster and is associated with a workload previously accessed via kubectl exec.",
    "Azure Security Center",
    "Microsoft",
    "K8S.NODE_DriftBlocked",
    "Medium",
    true,
    "prod-aks-eastus",
    dynamic({
        "ClusterName": "prod-aks-eastus",
        "Namespace": "prod",
        "Workload": "ingress-controller",
        "DriftType": "Binary drift from image baseline",
        "DetectionSource": "microsoftDefenderForContainers"
    }),
    dynamic([
        {
            "Type": "KubernetesCluster",
            "Name": "prod-aks-eastus",
            "CloudPlatform": "Azure"
        },
        {
            "Type": "Host",
            "HostName": "prod-aks-eastus"
        }
    ]),
    "Azure Security Center"
];

SigninLogs

Usare la query seguente nel processo KQL per inserire log di accesso di esempio nella tabella SigninLogs nel data lake di Sentinel.

datatable(
    TimeGenerated: datetime,
    UserPrincipalName: string,
    UserId: string,
    AppDisplayName: string,
    ClientAppUsed: string,
    AuthenticationRequirement: string,
    ConditionalAccessStatus: string,
    RiskLevelAggregated: string,
    RiskState: string,
    RiskDetail: string,
    Location: dynamic,
    IPAddress: string,
    DeviceDetail: dynamic,
    Status: dynamic
)
[
    // Normal sign-in from known device and location (baseline)
    datetime(2026-03-08T14:10:00Z),
    "u1291@contoso.onmicrosoft.com",
    "9214593d-65f8-43fd-c4a5-f80aty691141",
    "Microsoft Teams",
    "Browser",
    "singleFactorAuthentication",
    "success",
    "low",
    "none",
    "noRiskDetected",
    dynamic({"countryOrRegion":"US","state":"Texas","city":"Dallas"}),
    "20.81.45.10",
    dynamic({"deviceId":"device-jm-001","operatingSystem":"Windows 11","browser":"Edge","isCompliant":true,"isManaged":true}),
    dynamic({"errorCode":0,"failureReason":"None"}),
    // Identity drift: new device and new geographic location
    datetime(2026-03-08T14:18:00Z),
    "u1291@contoso.onmicrosoft.com",
    "9214593d-65f8-43fd-c4a5-f80aty691141",
    "Azure Portal",
    "Browser",
    "multiFactorAuthentication",
    "success",
    "medium",
    "atRisk",
    "newDevice",
    dynamic({"countryOrRegion":"Germany","state":"Berlin","city":"Berlin"}),
    "91.198.174.22",
    dynamic({"deviceId":"unknown","operatingSystem":"Linux","browser":"Chrome","isCompliant":false,"isManaged":false}),
    dynamic({"errorCode":0,"failureReason":"MFA required due to unfamiliar sign-in"}),
    // Identity drift: impossible travel detected
    datetime(2026-03-08T14:21:00Z),
    "u3415@contoso.onmicrosoft.com",
    "8214593d-75e8-4efd-c4a5-f80aty691131",
    "Microsoft 365",
    "Browser",
    "multiFactorAuthentication",
    "success",
    "high",
    "confirmedCompromised",
    "impossibleTravel",
    dynamic({"countryOrRegion":"China","state":"Beijing","city":"Beijing"}),
    "101.226.4.6",
    dynamic({"deviceId":"unknown","operatingSystem":"macOS","browser":"Safari","isCompliant":false,"isManaged":false}),
    dynamic({"errorCode":0,"failureReason":"Impossible travel detected"}),
    // Identity drift: sign-in blocked by Conditional Access
    datetime(2026-03-08T14:25:00Z),
    "u1291@contoso.onmicrosoft.com",
    "3214593d-65f8-53fd-c4a5-c80aty691441",
    "Azure DevOps",
    "Browser",
    "singleFactorAuthentication",
    "failure",
    "high",
    "atRisk",
    "anomalousToken",
    dynamic({"countryOrRegion":"Russia","state":"Moscow","city":"Moscow"}),
    "185.199.108.153",
    dynamic({"deviceId":"unknown","operatingSystem":"Windows 10","browser":"Firefox","isCompliant":false,"isManaged":false}),
    dynamic({"errorCode":53003,"failureReason":"Access blocked by Conditional Access policy"})
];

Passaggi successivi

Il data lake è ora popolato con dati di telemetria di esempio da IdentityDrift, Microsoft Entra ID e Microsoft Defender. Usa questi dati per testare e sviluppare il tuo agente Security Copilot. Vedere Usare uno strumento MCP in Visual Studio Code per esplorare gli strumenti di Sentinel MCP Server e interrogare i dati tramite prompt.

Prima di procedere con la creazione del caso d'uso Security Copilot Agent per IdentityDrift, esplora il server MCP con i prompt seguenti per interrogare i dati di esempio acquisiti in questo passaggio e capire come interrogare i dati nel data lake di Sentinel usando Sentinel MCP.

Prompt di esempio per Sentinel MCP tramite VS Code Chat:

• Cerca tabelle relative a "identity" o "signin" nella mia area di lavoro.
• Mostra gli eventi di esecuzione dei processi per l'utente u1291 in DeviceProcessEvents_KQL_CL: quali comandi sono stati eseguiti?
• Correlare le attività di u1291@contoso.onmicrosoft.com: verificare il relativo rischio di accesso in SigninLogs_KQL_CL, i relativi accessi in CommonSecurity_ID_KQL_CL ed eventuali esecuzioni di processi in DeviceProcessEvents_KQL_CL. Riepilogare la catena di attacchi.

Continua a creare un agente di Security Copilot