Share via


Quickstart: Onboarding van Microsoft Sentinel

In deze quickstart schakelt u Microsoft Sentinel in en installeert u een oplossing vanuit de inhoudshub. Vervolgens stelt u een gegevensconnector in om gegevens op te nemen in Microsoft Sentinel.

Microsoft Sentinel wordt geleverd met veel gegevensconnectors voor Microsoft-producten, zoals de Microsoft Defender XDR-service-naar-serviceconnector. U kunt ook ingebouwde connectors inschakelen voor niet-Microsoft-producten, zoals Syslog of Common Event Format (CEF). Voor deze quickstart gebruikt u de Azure Activity-gegevensconnector die beschikbaar is in de Azure Activity-oplossing voor Microsoft Sentinel.

Als u onboarding naar Microsoft Sentinel wilt uitvoeren met behulp van de API, raadpleegt u de meest recente ondersteunde versie van sentinel-onboardingstatussen.

Vereisten

Microsoft Sentinel inschakelen

Voeg Microsoft Sentinel toe aan een bestaande werkruimte of maak een nieuwe om aan de slag te gaan.

  1. Meld u aan bij het Azure-portaal.

  2. Zoek en selecteer Microsoft Sentinel.

    Schermopname van het zoeken naar een service tijdens het inschakelen van Microsoft Sentinel.

  3. Selecteer Maken.

  4. Selecteer de werkruimte die u wilt gebruiken of maak een nieuwe. U kunt Microsoft Sentinel uitvoeren in meer dan één werkruimte, maar de gegevens worden geïsoleerd in één werkruimte.

    Schermopname van het kiezen van een werkruimte tijdens het inschakelen van Microsoft Sentinel.

    • De standaardwerkruimten die zijn gemaakt door Microsoft Defender voor Cloud worden niet weergegeven in de lijst. U kunt Microsoft Sentinel niet installeren op deze werkruimten.
    • Zodra deze is geïmplementeerd in een werkruimte, biedt Microsoft Sentinel geen ondersteuning voor het verplaatsen van die werkruimte naar een andere resourcegroep of een ander abonnement.
  5. Selecteer Toevoegen.

Een oplossing installeren vanuit de inhoudshub

De inhoudshub in Microsoft Sentinel is de centrale locatie voor het detecteren en beheren van out-of-the-box-inhoud, inclusief gegevensconnectors. Voor deze quickstart installeert u de oplossing voor Azure-activiteit.

  1. Selecteer inhoudshub in Microsoft Sentinel.

  2. Zoek en selecteer de Azure Activity-oplossing .

    Schermopname van de inhoudshub met de oplossing voor Azure-activiteit geselecteerd.

  3. Selecteer Installeren/bijwerken op de werkbalk boven aan de pagina.

De gegevensconnector instellen

Microsoft Sentinel neemt gegevens van services en apps op door verbinding te maken met de service en de gebeurtenissen en logboeken door te sturen naar Microsoft Sentinel. Voor deze quickstart installeert u de gegevensconnector om gegevens voor Azure-activiteit door te sturen naar Microsoft Sentinel.

  1. Selecteer gegevensconnectors in Microsoft Sentinel.

  2. Zoek en selecteer de Azure Activity-gegevensconnector .

  3. Selecteer de pagina Connector openen in het detailvenster voor de connector.

  4. Bekijk de instructies voor het configureren van de connector.

  5. Selecteer De wizard Azure Policy-toewijzing starten.

  6. Stel op het tabblad Basisbeginselen het bereik in op het abonnement en de resourcegroep die activiteit heeft om naar Microsoft Sentinel te verzenden. Selecteer bijvoorbeeld het abonnement dat uw Microsoft Sentinel-exemplaar bevat.

  7. Selecteer het tabblad Parameters.

  8. Stel de primaire Log Analytics-werkruimte in. Dit moet de werkruimte zijn waar Microsoft Sentinel is geïnstalleerd.

  9. Selecteer Controleren en maken en Maken.

Activiteitsgegevens genereren

We gaan enkele activiteitsgegevens genereren door een regel in te schakelen die is opgenomen in de Azure-activiteitsoplossing voor Microsoft Sentinel. In deze stap ziet u ook hoe u inhoud beheert in de inhoudshub.

  1. Selecteer inhoudshub in Microsoft Sentinel.

  2. Zoek en selecteer de Azure Activity-oplossing .

  3. Selecteer Beheren in het rechterdeelvenster.

  4. Zoek en selecteer de regelsjabloon Verdachte resource-implementatie.

  5. Selecteer Configuratie.

  6. Selecteer de regel en regel maken.

  7. Wijzig op het tabblad Algemeen de status in ingeschakeld. Laat de rest van de standaardwaarden staan.

  8. Accepteer de standaardwaarden op de andere tabbladen.

  9. Selecteer Maken op het tabblad Controleren en maken.

Gegevens weergeven die zijn opgenomen in Microsoft Sentinel

Nu u de Azure Activity-gegevensconnector hebt ingeschakeld en enkele activiteitsgegevens hebt gegenereerd, gaan we de activiteitsgegevens bekijken die aan de werkruimte zijn toegevoegd.

  1. Selecteer gegevensconnectors in Microsoft Sentinel.

  2. Zoek en selecteer de Azure Activity-gegevensconnector .

  3. Selecteer de pagina Connector openen in het detailvenster voor de connector.

  4. Controleer de status van de gegevensconnector. Deze moet verbonden zijn.

    Schermopname van gegevensconnector voor Azure-activiteit met de status die wordt weergegeven als verbonden.

  5. Selecteer in het linkerdeelvenster boven de grafiek de optie Ga naar Log Analytics.

  6. Selecteer bovenaan het deelvenster, naast het tabblad Nieuwe query 1 , de + optie om een nieuw querytabblad toe te voegen.

  7. Voer in het queryvenster de volgende query uit om de activiteitsdatum weer te geven die in de werkruimte is opgenomen.

     AzureActivity
    

    Schermopname van het logboekqueryvenster met resultaten die zijn geretourneerd voor de Azure-activiteitsquery.

Volgende stappen

In deze quickstart hebt u Microsoft Sentinel ingeschakeld en een oplossing geïnstalleerd vanuit de inhoudshub. Vervolgens stelt u een gegevensconnector in om gegevens op te nemen in Microsoft Sentinel. U hebt ook gecontroleerd of gegevens worden opgenomen door de gegevens in de werkruimte te bekijken.