Централизованное управление несколькими рабочими областями Microsoft Sentinel с помощью диспетчера рабочих областей (предварительная версия)
Узнайте, как централизованно управлять несколькими рабочими областями Microsoft Sentinel в одном или нескольких клиентах Azure с помощью диспетчера рабочих областей. В этой статье описывается подготовка и использование диспетчера рабочих областей. Независимо от того, является ли вы глобальным предприятием или поставщиком управляемых служб безопасности (MSSP), диспетчер рабочих областей помогает эффективно работать в масштабе.
Ниже приведены активные типы контента, поддерживаемые диспетчером рабочих областей:
- Правила аналитики
- Правила автоматизации (за исключением сборников схем)
- Синтаксический анализ, сохраненные поиски и функции
- Запросы охоты и трансляции
- Workbooks
Внимание
Поддержка диспетчера рабочих областей в настоящее время доступна в предварительной версии. Предварительная версия дополнительных условий использования Azure включают дополнительные юридические условия, применимые к функциям Azure, которые находятся в бета-версии, предварительной версии или еще не общедоступны по другим причинам.
Необходимые компоненты
- Вам потребуется по крайней мере две рабочие области Microsoft Sentinel. Одна рабочая область для управления из одной рабочей области и по крайней мере одной другой рабочей области для управления.
- Назначение роли участника Microsoft Sentinel требуется в центральной рабочей области (где диспетчер рабочих областей включен), а также для рабочих областей-членов, которым необходимо управлять участник. Дополнительные сведения о ролях в Microsoft Sentinel см. в статье "Роли и разрешения" в Microsoft Sentinel.
- Включите Azure Lighthouse, если вы управляете рабочими областями в нескольких клиентах Microsoft Entra. Дополнительные сведения см. в статье "Управление рабочими областями Microsoft Sentinel в большом масштабе".
Рекомендации
Настройте центральную рабочую область, чтобы быть средой, в которой вы консолидируете элементы содержимого и конфигурации для публикации в масштабах рабочих областей-членов. Создайте новую рабочую область Microsoft Sentinel или используйте существующую для использования в качестве центральной рабочей области.
В зависимости от вашего сценария рассмотрите следующие архитектуры:
- Прямая ссылка — это наименее сложная настройка. Управление всеми рабочими областями-участниками с помощью только одной центральной рабочей области.
- Совместное управление поддерживает сценарии, в которых несколько центральных рабочих областей должны управлять рабочей областью-участником. Например, рабочие области одновременно управляются собственной командой SOC и MSSP.
- N-Уровень поддерживает сложные сценарии, в которых центральная рабочая область управляет другой центральной рабочей областью. Например, конгломерат, который управляет несколькими дочерними компаниями, где каждая дочерняя компания также управляет несколькими рабочими областями.
Включение диспетчера рабочих областей в центральной рабочей области
Включите центральную рабочую область после того, как вы решили, какая рабочая область Microsoft Sentinel должна быть диспетчером рабочих областей.
Перейдите в колонку Параметры в родительской рабочей области и переключите параметр конфигурации диспетчера рабочих областей на "Сделать эту рабочую область родительской".
После включения новый диспетчер рабочей области меню (предварительная версия) появится в разделе "Конфигурация".
Подключение рабочих областей участников
Рабочие области-члены — это набор рабочих областей, управляемых диспетчером рабочих областей. Подключение некоторых или всех рабочих областей в клиенте и нескольких клиентов (если Azure Lighthouse включен).
- Перейдите к диспетчеру рабочих областей и выберите "Добавить рабочие области"
- Выберите рабочие области участников, которые вы хотите подключить к диспетчеру рабочих областей.
- После успешного подключения число участников увеличивается, а рабочие области членов отражаются на вкладке "Рабочие области".
Создать группу
Группы диспетчеров рабочих областей позволяют организовать рабочие области вместе на основе бизнес-групп, вертикали, географии и т. д. Используйте группы для связывания элементов содержимого, относящихся к рабочим областям.
Совет
Убедитесь, что у вас есть хотя бы один активный элемент содержимого, развернутый в центральной рабочей области. Это позволяет выбрать элементы содержимого из центральной рабочей области, которые будут опубликованы в рабочих областях-членах в последующих шагах.
Чтобы создать группу, выполните приведенные действия.
- Чтобы добавить одну рабочую область, нажмите кнопку "Добавить>группу".
- Чтобы добавить несколько рабочих областей, выберите рабочие области и добавьте>группу из выбранной области.
На странице "Создание или обновление группы" введите имя и описание группы.
На вкладке "Выбор рабочих областей" нажмите кнопку "Добавить " и выберите рабочие области участников, которые вы хотите добавить в группу.
На вкладке "Выбор содержимого" есть 2 способа добавления элементов контента.
- Метод 1. Выберите меню "Добавить " и выберите "Все содержимое". Добавляется все активное содержимое, развернутые в центральной рабочей области. Этот список — это моментальный снимок, который выбирает только активное содержимое, а не шаблоны.
- Метод 2. Выберите меню "Добавить " и выберите "Содержимое". Откроется окно выбора содержимого , чтобы выбрать добавленное содержимое.
Отфильтруйте содержимое по мере необходимости перед просмотром и созданием.
После создания число групп увеличивается, а группы отражаются на вкладке "Группы".
Публикация определения группы
На этом этапе выбранные элементы содержимого еще не были опубликованы в рабочих областях-членах.
Примечание.
Действие публикации завершится ошибкой, если превышено максимальное количество операций публикации. При подходе к этому ограничению рекомендуется разделить рабочие области членов на дополнительные группы.
Выберите содержимое группы >публикации.
Чтобы выполнить массовую публикацию, выберите нужные группы и выберите "Опубликовать".
Столбец состояния последней публикации обновляется, чтобы отразить ход выполнения.
При успешном выполнении обновление состояния последней публикации отражается успешно. Выбранные элементы содержимого теперь существуют в рабочих областях элементов.
Если для всей группы не удается опубликовать только один элемент содержимого, состояние последней публикации обновляется в соответствии с ошибкой.
Устранение неполадок
Каждая попытка публикации содержит ссылку для устранения неполадок при сбое публикации элементов содержимого.
Выберите гиперссылку "Сбой", чтобы открыть окно сведений о сбое задания. Отображается состояние каждого элемента содержимого и целевой пары рабочей области.
Отфильтруйте состояние для пар элементов с ошибкой.
Обычные причины сбоев перечислены ниже.
- Элементы содержимого, на которые ссылается определение группы, больше не существуют во время публикации (удалены).
- Разрешения изменились во время публикации. Например, пользователь больше не является участником Microsoft Sentinel или больше не имеет достаточных разрешений на рабочую область члена.
- Рабочая область члена удалена.
Известные ограничения
- Максимальное число опубликованных операций для каждой группы — 2000. Опубликованные операции = (рабочие области-члены) * (элементы содержимого).
Например, если в группе есть 10 рабочих областей участников и вы публикуете 20 элементов содержимого в этой группе,
опубликованные операции = 10 * 20 200. = - Сборники схем, которые приписываются или присоединены к правилам аналитики и автоматизации, в настоящее время не поддерживаются.
- Книги, хранящиеся в собственном хранилище, в настоящее время не поддерживаются.
- Диспетчер рабочих областей управляет только элементами содержимого, опубликованными из центральной рабочей области. Он не управляет контентом, созданным локально из рабочих областей участников.
- В настоящее время удаление содержимого, размещенного в рабочих областях-членах, централизованно с помощью диспетчера рабочих областей, не поддерживается.
Справочники по API
- Задания назначений диспетчера рабочих областей
- Назначения диспетчера рабочих областей
- Конфигурации Диспетчера рабочих областей
- Группы диспетчера рабочих областей
- Участники диспетчера рабочих областей