Rozszerz Microsoft Sentinel na obszary robocze i dzierżawy

  • Dotyczy: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Po dołączeniu Microsoft Sentinel pierwszym krokiem jest wybranie obszaru roboczego usługi Log Analytics. Chociaż przy użyciu jednego obszaru roboczego możesz w pełni korzystać z możliwości oferowanych przez Microsoft Sentinel, w niektórych przypadkach warto rozszerzyć możliwości obszaru roboczego, aby wykonywać zapytania i analizować dane w wielu obszarach roboczych i dzierżawach. Aby uzyskać więcej informacji, zobacz Projektowanie architektury obszaru roboczego usługi Log Analytics i Przygotowywanie wielu obszarów roboczych i dzierżaw w Microsoft Sentinel.

Jeśli dołączasz Microsoft Sentinel do portalu Microsoft Defender, zobacz:

Zarządzanie zdarzeniami w wielu obszarach roboczych

W portalach Azure i Defender widok zdarzeń umożliwia centralne zarządzanie i monitorowanie zdarzeń w wielu obszarach roboczych lub filtrowanie widoku według obszaru roboczego. Zarządzaj incydentami bezpośrednio lub płynnie przejdź do szczegółów incydentu w kontekście źródłowego obszaru roboczego.

Jeśli pracujesz w portalu Azure, zobacz widok incydentów w wielu obszarach roboczych. Dla portalu Defender zobacz artykuł Wiele obszarów roboczych Microsoft Sentinel w portalu Defender.

Wykonywanie zapytań w wielu obszarach roboczych

Wykonywanie zapytań w wielu obszarach roboczych w celu wyszukiwania i korelowania danych z wielu obszarów roboczych w jednym zapytaniu.

  • workspace( ) Użyj wyrażenia z identyfikatorem obszaru roboczego jako argumentem, aby odwołać się do tabeli w innym obszarze roboczym. Użyj jawnych formatów identyfikatorów, aby zapewnić najlepszą wydajność. Aby uzyskać więcej informacji, zobacz Formaty identyfikatorów zapytań między obszarami roboczymi.

  • Użyj operatora union w połączeniu z wyrażeniem workspace( ), aby zastosować zapytanie do tabel w wielu obszarach roboczych.

  • Użyj zapisanych funkcji , aby uprościć zapytania między obszarami roboczymi. Możesz na przykład skrócić długie odwołanie do tabeli SecurityEvent w obszarze roboczym klienta A, zapisując wyrażenie:

    workspace("/subscriptions/<customerA_subscriptionId>/resourcegroups/<resourceGroupName>/providers/microsoft.OperationalInsights/workspaces/<workspaceName>").SecurityEvent

    jako funkcję o nazwie SecurityEventCustomerA. Następnie możesz wykonać zapytanie dotyczące tabeli SecurityEvent klienta A za pomocą tej funkcji: SecurityEventCustomerA | where ... .

  • Funkcja może również uprościć często używaną unię. Na przykład można zapisać następujące wyrażenie jako funkcję o nazwie unionSecurityEvent:

    union 
workspace("/subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/microsoft.OperationalInsights/workspaces/<workspaceName1>").SecurityEvent, 
workspace("/subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/microsoft.OperationalInsights/workspaces/<workspaceName2>").SecurityEvent

    Następnie napisz zapytanie w obu obszarach roboczych, zaczynając od unionSecurityEvent | where ... .

Zapytania obejmujące wiele obszarów roboczych dla danych usługi Log Analytics nadal podlegają uwarunkowaniom dotyczącym usługi Log Analytics.

Uwzględnij zapytania między obszarami roboczymi w zaplanowanych regułach analityki

Zapytania między obszarami roboczymi można uwzględnić w regułach zaplanowanej analizy. Można używać reguł analitycznych obejmujących wiele obszarów roboczych w centralnym SOC oraz między dzierżawami (przy użyciu usługi Azure Lighthouse), co jest odpowiednie dla firm świadczących usługi MSSP. To użycie podlega następującym ograniczeniom:

  • W jednym zapytaniu można uwzględnić maksymalnie 20 obszarów roboczych . Jednak aby uzyskać dobrą wydajność, zalecamy uwzględnienie nie więcej niż 5.
  • Należy wdrożyć Microsoft Sentinel w każdym obszarze roboczym, do którego odwołuje się zapytanie.
  • Alerty generowane przez regułę analizy między obszarami roboczymi i utworzone na ich podstawie zdarzenia istnieją tylko w obszarze roboczym, w którym zdefiniowano regułę. Alerty nie będą wyświetlane w żadnym z innych obszarów roboczych, do których odwołuje się zapytanie.
  • Reguła analizy między obszarami roboczymi, jak każda reguła analizy, będzie nadal działać, nawet jeśli użytkownik, który utworzył regułę, utraci dostęp do obszarów roboczych, do których odwołuje się zapytanie reguły. Jedynym wyjątkiem od tego jest w przypadku obszarów roboczych w różnych subskrypcjach i/lub dzierżawach niż reguła analizy.

Alerty i zdarzenia utworzone przez reguły analizy między obszarami roboczymi zawierają wszystkie powiązane jednostki, w tym te ze wszystkich przywoływanych obszarów roboczych i obszaru roboczego "home" (gdzie zdefiniowano regułę). Dzięki temu analitycy uzyskają pełny obraz alertów i zdarzeń.

Uwaga

Wykonywanie zapytań w wielu obszarach roboczych w tym samym zapytaniu może mieć wpływ na wydajność i dlatego jest zalecane tylko wtedy, gdy logika wymaga tej funkcji.

Używanie skoroszytów między obszarami roboczymi

Skoroszyty zapewniają pulpity nawigacyjne i aplikacje dla usługi Microsoft Sentinel. Podczas pracy z wieloma obszarami roboczymi skoroszyty zapewniają monitorowanie i akcje w obszarach roboczych.

Skoroszyty mogą umożliwiać wykonywanie zapytań między obszarami roboczymi na jeden z trzech sposobów, dostosowanych do różnych poziomów zaawansowania użytkowników końcowych:

Metoda Opis Kiedy należy używać?
Pisanie zapytań między obszarami roboczymi Twórca skoroszytu może pisać zapytania między obszarami roboczymi (opisane powyżej) w skoroszycie. Chcę, aby kreator skoroszytu utworzył strukturę obszaru roboczego, która będzie przezroczysta dla użytkownika.
Dodawanie selektora obszaru roboczego do skoroszytu Twórca skoroszytu może zaimplementować selektor obszaru roboczego w ramach skoroszytu. Chcę zezwolić użytkownikowi na kontrolowanie obszarów roboczych wyświetlanych w skoroszycie przy użyciu łatwego w użyciu pola listy rozwijanej.
Interaktywne edytowanie skoroszytu Użytkownik zaawansowany modyfikujący istniejący skoroszyt może edytować w nim zapytania, wybierając docelowe obszary robocze przy użyciu selektora obszaru roboczego w edytorze. Chcę zezwolić użytkownikowi na łatwe modyfikowanie istniejących skoroszytów w celu pracy z wieloma obszarami roboczymi.

Przeszukuj wiele obszarów roboczych

Microsoft Sentinel udostępnia wstępnie załadowane przykłady zapytań zaprojektowane w celu rozpoczęcia pracy i zapoznania się z tabelami i językiem zapytań. Badacze zabezpieczeń firmy Microsoft stale dodają nowe wbudowane zapytania i dostosują istniejące zapytania. Te zapytania umożliwiają wyszukiwanie nowych wykryć i identyfikowanie oznak włamania, których narzędzia zabezpieczeń mogły zostać pominięte.

Możliwości wyszukiwania zagrożeń w wielu obszarach roboczych umożliwiają analitykom zagrożeń tworzenie nowych zapytań wyszukiwania lub dostosowywanie istniejących tak, aby obejmowały wiele obszarów roboczych, przy użyciu operatora union i wyrażenia workspace(), jak pokazano powyżej.

Zarządzanie wieloma obszarami roboczymi przy użyciu automatyzacji

Aby skonfigurować wiele obszarów roboczych usługi Log Analytics włączonych dla Microsoft Sentinel i zarządzać nimi, należy zautomatyzować korzystanie z interfejsu API zarządzania Microsoft Sentinel.

Zarządzaj obszarami roboczymi w różnych dzierżawach

W wielu scenariuszach różne obszary robocze usługi Log Analytics włączone dla usługi Microsoft Sentinel mogą znajdować się w różnych dzierżawach Microsoft Entra. Za pomocą Azure Lighthouse można rozszerzyć wszystkie działania między obszarami roboczymi na granice dzierżaw, umożliwiając użytkownikom w dzierżawie zarządzającej pracę z obszarami roboczymi we wszystkich dzierżawach.

Gdy usługa Azure Lighthouse zostanie wdrożona, użyj selektora katalogu i subskrypcji w portalu Azure, aby wybrać wszystkie subskrypcje zawierające te obszary robocze, którymi chcesz zarządzać, tak aby wszystkie były dostępne w różnych selektorach obszarów roboczych w portalu.

Podczas korzystania z usługi Azure Lighthouse zaleca się utworzenie grupy dla każdej roli Microsoft Sentinel i delegowanie uprawnień z poszczególnych dzierżaw do tych grup.

Jeśli używasz portalu Defender, zarządzanie wieloma dzierżawami w usługach Microsoft Defender XDR i Microsoft Sentinel zapewnia zespołom ds. operacji bezpieczeństwa jeden spójny widok wszystkich dzierżaw, którymi zarządzasz. Aby uzyskać więcej informacji, zobacz zarządzanie wieloma dzierżawami w Microsoft Defender.

Zawartość pokrewna

W przypadku rozwiązania Microsoft Sentinel w portalu Azure zobacz:

Informacje o usłudze Microsoft Sentinel w portalu Defender można znaleźć tutaj:

  • Ostatnia aktualizacja o