łączniki danych Microsoft Sentinel

Po wdrożeniu usługi Microsoft Sentinel w obszarze roboczym użyj łączników danych, aby rozpocząć importowanie danych do usługi Microsoft Sentinel. Microsoft Sentinel zawiera wiele wbudowanych łączników dla usług firmy Microsoft, które integrują się w czasie rzeczywistym. Na przykład łącznik Microsoft Defender XDR to łącznik service-to-service, który integruje dane z Office 365, Microsoft Entra ID, Microsoft Defender for Identity i Microsoft Defender for Cloud Apps.

Wbudowane łączniki umożliwiają połączenie z szerszym ekosystemem zabezpieczeń dla produktów innych niż Microsoft. Na przykład użyj protokołu Syslog, common event format (CEF) lub interfejsów API REST, aby połączyć źródła danych z Microsoft Sentinel.

Uwaga

Aby uzyskać informacje o dostępności funkcji w chmurach dla instytucji rządowych USA, zobacz tabele Microsoft Sentinel w temacie Dostępność funkcji w chmurze dla klientów rządowych USA.

Ważna

Zgodnie z ogłoszeniem z 2024 r. po 14 września 2026 r. starszy interfejs API modułu zbierającego dane HTTP nie będzie już obsługiwany. Źródła danych, integracje niestandardowe lub łączniki korzystające z interfejsu API modułu zbierającego dane HTTP powinny zostać przeniesione do obsługiwanej alternatywy, aby uniknąć potencjalnych przerw w pozyskiwaniu danych po tej dacie.

Jeśli obecnie używasz interfejsu API modułu zbierającego dane HTTP, zalecamy rozpoczęcie planowania migracji do interfejsu API pozyskiwania dzienników lub platformy CCF (Codeless Connector Framework), aby zapewnić nieprzerwane pozyskiwanie danych, lepszą niezawodność, skalowalność i długoterminową obsługę.

Zagadnienia dotyczące zarządzania danymi dla usługi data lake Microsoft Sentinel

W planowaniu zgodności i zarządzania danymi należy uwzględnić następujące kwestie:

• RODO i przechowywanie danych

  • Administratorzy dzierżawy mogą realizować prawa wynikające z RODO za pomocą funkcji Purge dla warstwy analitycznej. Nie wpływa to na warstwę Data Lake.
  • Nie można oczyścić określonych rekordów z usługi Sentinel data lake. Usługa Data Lake zachowuje pozyskane dane dla zdefiniowanego okresu przechowywania, nawet jeśli dane zostaną usunięte w źródle lub w warstwie analizy.

• Integracja usługi Purview. Zmiany ustawień usługi Purview nie mają żadnego wpływu na dane przechowywane w Sentinel data lake.

• Lokalizacja magazynu danych Lokalizacje magazynu danych usługi Sentinel Data Lake są wybierane przez administratora dzierżawy i mogą różnić się od głównej lokalizacji magazynu danych usług źródłowych.

Ważna

Po 31 marca 2027 r. Microsoft Sentinel nie będą już obsługiwane w Azure Portal i będą dostępne tylko w portalu Microsoft Defender. Wszyscy klienci korzystający z Microsoft Sentinel w Azure Portal zostaną przekierowane do portalu usługi Defender i będą używać Microsoft Sentinel tylko w portalu usługi Defender.

Jeśli nadal używasz Microsoft Sentinel w Azure Portal, zalecamy rozpoczęcie planowania przejścia do portalu usługi Defender w celu zapewnienia płynnego przejścia i pełnego wykorzystania ujednoliconego środowiska operacji zabezpieczeń oferowanego przez Microsoft Defender.

Konektory danych dostarczane z rozwiązaniami

Rozwiązania Microsoft Sentinel zapewniają spakietowaną zawartość zabezpieczeń, w tym łączniki danych, skoroszyty, reguły analityczne, playbooki i nie tylko. Podczas wdrażania rozwiązania za pomocą łącznika danych uzyskujesz łącznik danych wraz z powiązaną zawartością w tym samym wdrożeniu.

Strona łączników danych Microsoft Sentinel zawiera listę zainstalowanych lub używanych łączników danych.

Portal Defender

Azure Portal

Aby dodać więcej łączników danych, zainstaluj rozwiązanie skojarzone z łącznikiem danych z centrum zawartości. Aby uzyskać więcej informacji, zapoznaj się z następującymi artykułami:

• Znajdowanie łącznika danych Microsoft Sentinel
• Informacje o Microsoft Sentinel zawartości i rozwiązaniach
• Odkrywanie gotowej zawartości Microsoft Sentinel i zarządzanie nią
• Katalog centrum zawartości Microsoft Sentinel
• Rozwiązania domenowe oparte na usłudze Advanced Security Information Model (ASIM) dla Microsoft Sentinel

Tworzenie łączników niestandardowych

Jeśli nie możesz połączyć źródła danych z Microsoft Sentinel przy użyciu dowolnego z dostępnych rozwiązań, rozważ utworzenie własnego łącznika źródła danych. Na przykład wiele rozwiązań zabezpieczeń udostępnia zestaw interfejsów API do pobierania plików dziennika i innych danych zabezpieczeń z produktu lub usługi. Te interfejsy API łączą się z Microsoft Sentinel przy użyciu jednej z następujących metod:

• Interfejsy API źródła danych są konfigurowane przy użyciu struktury łączników bez kodu.
• Łącznik danych używa interfejsu API pozyskiwania danych dziennika dla usługi Azure Monitor jako części funkcji platformy Azure lub aplikacji logiki.

Do utworzenia łącznika niestandardowego można również użyć programu Azure Monitor Agent bezpośrednio lub usługi Logstash. Aby uzyskać więcej informacji, zobacz Zasoby do tworzenia łączników niestandardowych Microsoft Sentinel.

Integracja oparta na agentach dla łączników danych

Microsoft Sentinel może używać agentów udostępnianych przez usługę Azure Monitor (na której opiera się Microsoft Sentinel) do zbierania danych z dowolnego źródła danych, które może wykonywać przesyłanie strumieniowe dzienników w czasie rzeczywistym. Na przykład większość lokalnych źródeł danych łączy się przy użyciu integracji opartej na agentach.

W poniższych sekcjach opisano różne rodzaje łączników danych Microsoft Sentinel opartych na agentach. Aby skonfigurować połączenia przy użyciu mechanizmów opartych na agentach, wykonaj kroki opisane na każdej stronie łącznika danych Microsoft Sentinel.

Dziennik systemowy i wspólny format zdarzeń (CEF)

Zdarzenia z urządzeń opartych na systemie Linux i obsługujących protokół Syslog można przesyłać do Microsoft Sentinel za pomocą agenta Azure Monitor (AMA). Formaty dzienników są różne, ale wiele źródeł obsługuje formatowanie oparte na formacie CEF. W zależności od typu urządzenia agent jest instalowany albo bezpośrednio na urządzeniu, albo na dedykowanym serwerze przekazującym logi opartym na systemie Linux. Usługa AMA odbiera zwykłe komunikaty zdarzeń protokołu Syslog lub CEF z demona Syslog za pośrednictwem protokołu UDP. Demon dziennika systemowego przekazuje zdarzenia do agenta wewnętrznie, komunikując się za pośrednictwem protokołu TCP lub UDS (Unix Domain Sockets), w zależności od wersji. Następnie usługa AMA przesyła te zdarzenia do obszaru roboczego Microsoft Sentinel.

Oto prosty schemat pokazujący, jak Microsoft Sentinel przesyła dane Syslog.

1. Wbudowany demon Syslog urządzenia zbiera lokalne zdarzenia określonych typów i przekazuje je lokalnie do agenta.
2. Agent przesyła strumieniowo zdarzenia do obszaru roboczego usługi Log Analytics.
3. Po pomyślnej konfiguracji komunikaty Syslog pojawiają się w tabeli Syslog usługi Log Analytics, a komunikaty CEF w tabeli CommonSecurityLog.

Aby uzyskać więcej informacji, zobacz Syslog and Common Event Format (CEF) via AMA connectors for Microsoft Sentinel (Dziennik systemowy i wspólny format zdarzeń (CEF) za pośrednictwem łączników ama dla Microsoft Sentinel.

Dzienniki niestandardowe

W przypadku niektórych źródeł danych dzienniki można zbierać jako pliki na komputerach z systemem Windows lub Linux przy użyciu niestandardowego agenta zbierania dzienników usługi Log Analytics.

Aby połączyć się przy użyciu agenta zbierania niestandardowych dzienników usługi Log Analytics, postępuj zgodnie z instrukcjami na stronie każdego łącznika danych Microsoft Sentinel. Po pomyślnej konfiguracji dane są wyświetlane w tabelach niestandardowych.

Aby uzyskać więcej informacji, zobacz Dzienniki niestandardowe za pośrednictwem łącznika danych AMA — konfigurowanie pozyskiwania danych do usługi Microsoft Sentinel z określonych aplikacji.

Integracja typu service-to-service dla łączników danych

Microsoft Sentinel korzysta z Azure foundation, aby zapewnić wbudowaną obsługę usług firmy Microsoft i usług Amazon Web Services.

Aby uzyskać więcej informacji, zapoznaj się z następującymi artykułami:

• Łączenie Microsoft Sentinel z usługami Azure, Windows, Microsoft i Amazon
• Znajdowanie łącznika danych Microsoft Sentinel

Obsługa łącznika danych

Zarówno firma Microsoft, jak i inne organizacje tworzą łączniki danych Microsoft Sentinel. Każdy łącznik danych ma jeden z następujących typów obsługi wymienionych na stronie łącznika danych w Microsoft Sentinel.

Typ pomocy technicznej	Opis
Obsługiwane przez firmę Microsoft	Dotyczy: Łączniki danych dla źródeł danych, w których firma Microsoft jest dostawcą danych i autorem. Niektóre łączniki danych utworzone przez firmę Microsoft dla źródeł danych innych niż Microsoft. Firma Microsoft obsługuje i utrzymuje łączniki danych w tej kategorii zgodnie z planami pomocy technicznej firmy Microsoft Azure. Partnerzy lub społeczność obsługują łączniki danych utworzone przez podmioty inne niż Microsoft.
Obsługiwane przez partnerów	Dotyczy łączników danych utworzonych przez strony inne niż Microsoft. Firma partnerska zapewnia pomoc techniczną lub konserwację tych łączników danych. Firma partnerska może być niezależnym dostawcą oprogramowania, dostawcą usług zarządzanych (MSP/MSSP), integratorem systemów (SI) lub dowolną organizacją, której informacje kontaktowe są udostępniane na stronie Microsoft Sentinel dla tego łącznika danych. W przypadku wszelkich problemów z łącznikiem danych obsługiwanym przez partnera skontaktuj się z określonym kontaktem pomocy technicznej łącznika danych.
Obsługiwane przez społeczność	Dotyczy łączników danych utworzonych przez firmę Microsoft lub deweloperów partnerów, którzy nie mają list kontaktów dotyczących obsługi i konserwacji łącznika danych na stronie łącznika danych w Microsoft Sentinel. W przypadku pytań lub problemów dotyczących tych łączników danych możesz zgłosić problem w społeczności GitHub rozwiązania Microsoft Sentinel.

Aby uzyskać więcej informacji, zobacz temat Znajdź pomoc techniczną dotyczącą łącznika danych.

Następne kroki

Aby uzyskać więcej informacji na temat łączników danych, zobacz następujące artykuły.

• Łączenie źródeł danych z Microsoft Sentinel przy użyciu łączników danych
• Znajdowanie łącznika danych Microsoft Sentinel
• Zasoby do tworzenia łączników niestandardowych Microsoft Sentinel

Aby uzyskać podstawowe informacje referencyjne dotyczące infrastruktury jako kodu (IaC) dla rozwiązań Bicep, Azure Resource Manager i Terraform służących do wdrażania łączników danych w usłudze Microsoft Sentinel, zobacz materiał referencyjny IaC dotyczący łączników danych w Microsoft Sentinel.