Microsoft Sentinel データ レイクは、Microsoft Sentinel ワークスペースからのデータをミラー化します。 data lake Microsoft Sentinelにオンボードすると、既存のMicrosoft Sentinel データ コネクタは、分析層 (Microsoft Sentinel ワークスペース) と、データをデータ レイク層にミラーして長期的なストレージの両方にデータを送信するように構成されます。 オンボード後、要件に従って各層のデータを保持するようにコネクタを構成します。
この記事では、Microsoft Sentinel データ レイクのコネクタを設定し、リテンション期間を構成する方法について説明します。 オンボードの詳細については、「Microsoft Sentinel data lake へのオンボード」を参照してください。
リテンション期間とデータ階層化を構成する
オンボード後、新しいコネクタを有効にし、既存のコネクタのリテンション期間を構成できます。 データを分析層に送信し、データをデータ レイク層にミラーするか、データ レイク層にのみデータを送信することを選択できます。 保持と階層化は、コネクタのセットアップ ページから管理するか、Defender ポータルの [テーブル管理 ] ページを使用して管理します。 テーブルの管理と保持の詳細については、「Microsoft Defender ポータルでのデータ層と保持の管理」を参照してください。
コネクタを有効にすると、既定では、データは分析層に送信され、データ レイク層にミラー化されます。 データ レイクMicrosoft Sentinel有効にすると、すべてのテーブルのミラーリングが自動的にオンボーディングから順に有効になります。 分析レベルと同じ保持期間を持つデータ レイク内のミラー化されたデータでは、追加の課金料金は発生しません。 テーブル内の既存のデータはミラー化されません。 データ レイク層のリテンション期間は、分析層と同じ値に設定されます。 データをデータ レイク層にのみ取り込むよう切り替えることができます。 データ レイク層にのみ取り込むよう構成すると、分析層へのインジェストが停止し、保持設定に従って分析層内の既存のデータが保持されます。
アーカイブに保持されているデータは引き続き使用でき、検索と復元の機能を使用して復元できます。
データ コネクタのリテンション期間と階層化を構成するには、「データ コネクタの構成」を参照してください。
XDR データのMicrosoft Sentinel
既定では、Microsoft Defender XDRでは、脅威ハンティング データが Analytics レベルに 30 日間保持されます。 このデータは常に使用できます。 一部の XDR テーブルは、リテンション期間を 30 日以上に増やすことで、分析層とデータ レイク層に取り込むことができます。 分析層を使用せずに、XDR データをデータ レイク層に直接取り込むこともできます。 詳細については、「Microsoft Sentinelでの XDR データの管理」を参照してください。
カスタム ログ テーブル
Microsoft Monitoring Agent(MMA) と Log Analytics Agent (CLV1) のカスタム テーブルは、データ レイクにミラー化されません。
ログ インジェスト API または Azure Monitor Agent (AMA) と DCR ベースのカスタム テーブルを使用して作成されたテーブルがミラー化されます。 詳細については、「Azure Monitor でのログ インジェスト API」を参照してください。
補助ログ テーブル
Microsoft DefenderとMicrosoft Sentinelの両方にオンボードしてからデータ レイクにオンボードすると、Microsoft Defenderの Advanced ハンティングやMicrosoft Sentinel Azure portalに補助ログ テーブルが表示されなくなります。 補助テーブル データは Data Lake で使用でき、KQL クエリまたは Jupyter ノートブックを使用してクエリを実行できます。 Defender ポータルの [Microsoft Sentinel>Data lake exploration] で KQL クエリを検索します。
データ レイクへの直接インジェスト
分析レベルを介してデータをルーティングすることなく、Microsoft Sentinel データ レイクにデータを直接取り込むことができます。 この方法は、関連する分析レベルのコストなしで長期的な分析のためにセキュリティ データを格納する場合に便利です。 詳細については、「Microsoft Sentinel データ レイクへの直接ログ インジェスト」を参照してください。