Pozyskiwanie danych do Microsoft Sentinel Data Lake

Zaimportuj przykładowe dane telemetryczne IdentityDrift i tabele pomocnicze do jeziora danych usługi Sentinel. Te dane można odpytywać w kolejnych artykułach z tej serii.

Ten artykuł jest częścią serii, która pokazuje, jak ładować dane testowe do jeziora danych, tworzyć agenta i publikować przykładowe rozwiązanie platformowe IdentityDrift. Rozwiązanie obejmuje agenta Security Copilot, który koreluje sygnały dotyczące tożsamości, punktów końcowych i zabezpieczeń w chmurze w celu zautomatyzowania dochodzeń w sprawie zagrożeń.

Typowe podejście produkcyjne dla ISVów

Dostawcy ISV powinni stosować następujące podejście do pozyskiwania danych do usługi Sentinel:

Opracowywanie łącznika danych
- Utwórz łącznik danych usługi Sentinel przy użyciu agenta konstruktora łącznika usługi Sentinel w programie VS Code z GitHub Copilot. To podejście wspomagane przez sztuczną inteligencję skraca czas programowania od tygodni do godzin i używa monitów języka naturalnego do tworzenia konfiguracji sondowania, reguł zbierania danych, definicji łączników i schematów.
- W przypadku źródeł danych typu pull użyj Codeless Connector Framework (CCF).
- W przypadku źródeł danych działających w modelu push użyj CCF Push.
Pozyskiwanie danych do usługi Data Lake Przesyłanie strumieniowe danych telemetrycznych za pośrednictwem łącznika do usługi Data Lake usługi Sentinel
Korzystanie z platformy Sentinel Korzystanie z możliwości platformy Sentinel na potrzeby eksploracji danych, programu Graph, serwera MCP i agentów Security Copilot.

Alternatywnie: Jeśli dla Twojego źródła danych istnieje już łącznik, zapoznaj się z informacjami referencyjnymi dotyczącymi łączników danych usługi Sentinel, aby go włączyć i rozpocząć pozyskiwanie danych.

Podejście laboratoryjne: importowanie przykładowych danych za pomocą zadań KQL

Za pomocą zadań KQL wypełnij magazyn data lake przykładowymi rekordami. Takie podejście:

Odzwierciedla rzeczywisty schemat danych Przykładowe dane mają ten sam schemat co dane pobierane przez łącznik, dzięki czemu możesz od razu zasilić jezioro danych i testować logikę agenta.
Reprezentuje realistyczne scenariusze ataku Pozorne dane odtwarzają wzorce ataków i korelacje, które należy zbadać w środowisku produkcyjnym.

Wymagania wstępne

Musisz najpierw dołączyć do usługi Data Lake. Zobacz przewodnik wdrażania usługi Sentinel data lake.

Wymagane uprawnienia

Musisz mieć rolę Administrator zabezpieczeń lub Operator zabezpieczeń .

Utwórz zadanie KQL

Aby utworzyć nowe zadanie KQL, wykonaj następujące kroki:

W portalu Defender przejdź do Sentinel > Eksploracja usługi Data Lake > Zadania.
Wybierz pozycję Utwórz zadanie, a następnie utwórz nowe zadanie KQL
Nazwa zadania — wprowadź unikatową nazwę zadania, na przykład CommonSecurity_ID_logs1
Opis zadania - podaj kontekst i cel zadania, na przykład Wygeneruj dzienniki dla dostawcy IdentityDrift, aby zaimportować je do CommonSecurity_ID_logs1
Wybieranie obszaru roboczego — wybierz docelowy obszar roboczy
W obszarze "Utwórz nową tabelę" i wprowadź nazwę tabeli, na przykład CommonSecurity_ID. Tabele utworzone przez zadania KQL automatycznie mają dołączany sufiks _KQL_CL .
Wybierz Dalej
Skopiuj zapytanie KQL z odpowiedniej karty Pozyskiwanie danych KQL do pola zapytania.

Wskazówka

Jeśli przycisk Dalej jest wyszarzony, musisz wybrać obszar roboczy przy użyciu przycisku Wybrany obszar roboczy .
Wybierz przycisk Dalej , aby przejść do strony planowania.

Planowanie zadania

Aby ustawić harmonogram uruchamiania zadania:

Na stronie Planowanie zadania zapytania wybierz opcję wykonywania:
- Zadanie zaplanowane — zadanie jest uruchamiane zgodnie z określonym harmonogramem i okresowo importuje przykładowe dane.

Użyj opcji Zaplanuj zadanie, aby dodać cykliczne rekordy do tabeli.

W przypadku zaplanowanych zadań:

Wybierz opcję Harmonogram
Wprowadź następujące informacje:
- Częstotliwość powtarzania — wybierz: według minut, co godzinę, codziennie, co tydzień lub co miesiąc
- Powtarzaj co — jak często zadanie jest uruchamiane zgodnie z wybraną częstotliwością
- Od daty — wybierz datę i wprowadź godzinę rozpoczęcia zadania.
- Do tej pory — wybierz, kiedy harmonogram zostanie zakończony. Wybierz pozycję Ustaw zadanie do uruchomienia na czas nieokreślony, aby kontynuować bez daty zakończenia

Przegląd i przesłanie

Aby przejrzeć i przesłać zadanie:

Wybierz pozycję Dalej , aby przejrzeć szczegóły zadania.
Przejrzyj wszystkie ustawienia.
Wybierz pozycję Prześlij , aby utworzyć zadanie.

Pozyskiwanie danych przy użyciu KQL

Aby pozyskać dane do tabel SigninLogs, AADRiskyUsers, CommonSecurity_ID_Logs, DeviceProcessEvents i SecurityAlerts, powtórz kroki tworzenia zadania KQL przy użyciu zapytań KQL na każdej karcie poniżej.

Użyj następującego zapytania w zadaniu KQL, aby pozyskać przykładowe ryzykowne dane użytkownika do tabeli AADRiskyUsers w usłudze Sentinel data lake.

datatable(
    TimeGenerated:datetime,
    CorrelationId:string,
    Id:string,
    IsDeleted:bool,
    IsProcessing:bool,
    OperationName:string,
    RiskDetail:string,
    RiskLastUpdatedDateTime:datetime,
    RiskLevel:string,
    RiskState:string,
    UserDisplayName:string,
    UserPrincipalName:string
)
[
    datetime(2026-03-05T14:22:00Z), "riskcorr-identity-047", "a7d2f8c1-4e2b-48f3-9a06-2e5c7b3d9f1a", false, false, "RiskyUserDetected", "adminConfirmedUserCompromised", datetime(2026-02-28T10:15:00Z), "high", "confirmedCompromised", "U1291", "u1291@contoso.onmicrosoft.com",
    datetime(2026-03-05T15:18:00Z), "riskcorr-identity-052", "b9e4a6d2-7f3c-41b8-a2e5-3f6c8d1e2b4a", false, false, "RiskyUserUpdated",  "anonymousIpAddress",             datetime(2026-02-27T14:42:00Z), "medium", "atRisk",              "U3415", "u3415@contoso.onmicrosoft.com",
    datetime(2026-03-05T16:33:00Z), "riskcorr-identity-059", "c5f1b7e3-9d4a-42c1-b8f6-5e7d9c2a3f5b", false, false, "RiskyUserUpdated",  "userPerformedSecuredPasswordReset", datetime(2026-02-26T11:20:00Z), "medium", "remediated",          "U2847",   "u2847@contoso.onmicrosoft.com",
];

Użyj następującego zapytania w zadaniu KQL, aby pozyskać przykładowe dzienniki dryfu tożsamości do tabeli CommonSecurity_ID_Logs w usłudze Sentinel data lake.

datatable(
    TimeGenerated: datetime,
    SourceUserName: string,
    SourceIP: string,
    DestinationHostName: string,
    DeviceCustomString1: string,
    DeviceCustomString1Label: string,
    AdditionalExtensions: string
)
[
    // u1291 – MFA-approved privileged access to AKS
    datetime(2026-03-05T09:20:48Z),
    "u1291@contoso.onmicrosoft.com",
    "185.92.44.17",
    "prod-aks-eastus",
    "MFA Approved",
    "Authentication Status",
    "User accessed Kubernetes cluster with ClusterAdmin role",
    // u1291 – privilege escalation detected
    datetime(2026-03-05T09:22:36Z),
    "u1291@contoso.onmicrosoft.com",
    "185.92.44.17",
    "prod-aks-eastus",
    "Privilege Escalation",
    "Authentication Status",
    "RoleBinding created granting cluster-admin privileges",
    // u2847 – sensitive workload interaction
    datetime(2026-03-05T11:50:14Z),
    "u2847@contoso.onmicrosoft.com",
    "185.92.44.17",
    "prod-aks-eastus",
    "Sensitive Access",
    "Authentication Status", 	
    "kubectl exec executed on workload with known ingress vulnerability",
    // u3415 – service-level access to backup storage
    datetime(2026-03-05T10:45:02Z),
    "u3415@contoso.onmicrosoft.com",
    "10.10.5.24",
    "stgprodbackup01",
    "Access Allowed",
    "Authentication Status",
    "Service account accessed production backup storage"
]

Użyj następującego zapytania w zadaniu KQL, aby pozyskać przykładowe zdarzenia procesu urządzenia do tabeli DeviceProcessEvents w usłudze Sentinel data lake.

datatable(
    TimeGenerated:datetime,
    DeviceName:string,
    DeviceId:string,
    ActionType:string,
    FileName:string,
    FolderPath:string,
    ProcessId:long,
    ProcessCommandLine:string,
    ProcessIntegrityLevel:string,
    AccountName:string,
    AccountDomain:string,
    InitiatingProcessFileName:string,
    InitiatingProcessCommandLine:string,
    InitiatingProcessAccountName:string,
    InitiatingProcessAccountDomain:string
)
[
    // Record 1 – Azure CLI authentication and subscription context
    datetime(2026-03-05T09:23:15.445Z),
    "WIN-DESKTOP-CONTOSO-401",
    "d7e2f9c3a5b1e8d4c6f2",
    "ProcessCreated",
    "az.exe",
    @"C:\Program Files (x86)\Microsoft SDKs\Azure\CLI2\wbin\",
    4156,
    "az login",
    "Medium",
    "u1291",
    "contoso.onmicrosoft.com",
    "powershell.exe",
    "powershell.exe -Command az login",
    "u1291",
    "contoso.onmicrosoft.com",
    // Record 2 – AKS credential retrieval (kubectl context setup)
    datetime(2026-03-05T10:47:22.831Z),
    "WIN-DESKTOP-CONTOSO-502",
    "c3a4b8d2e7f1a5c9e6d4",
    "ProcessCreated",
    "az.exe",
    @"C:\Program Files (x86)\Microsoft SDKs\Azure\CLI2\wbin\",
    5843,
    "az aks get-credentials --resource-group rg-prod --name prod-aks-eastus",
    "Medium",
    "u3415",
    "contoso.onmicrosoft.com",
    "cmd.exe",
    "cmd.exe /c az aks get-credentials --resource-group rg-prod --name prod-aks-eastus",
    "u3415",
    "contoso.onmicrosoft.com",
    // Record 3 – Kubernetes workload inspection
    datetime(2026-03-05T11:52:09.567Z),
    "WIN-DESKTOP-CONTOSO-603",
    "b9c1d5e8f2a4c6d9e1f3",
    "ProcessCreated",
    "kubectl.exe",
    @"C:\Program Files\Kubernetes\",
    6521,
    "kubectl get pods -A",
    "High",
    "u2847",
    "contoso.onmicrosoft.com",
    "explorer.exe",
    "explorer.exe",
    "u2847",
    "contoso.onmicrosoft.com"
]

Użyj następującego zapytania w swoim zadaniu KQL, aby zaimportować przykładowe alerty bezpieczeństwa do tabeli SecurityAlerts w jeziorze danych usługi Sentinel.

datatable(
    TimeGenerated: datetime,
    DisplayName: string,
    AlertName: string,
    AlertSeverity: string,
    Description: string,
    ProviderName: string,
    VendorName: string,
    AlertType: string,
    ConfidenceLevel: string,
    IsIncident: bool,
    CompromisedEntity: string,
    ExtendedProperties: dynamic,
    Entities: dynamic,
    ProductName: string
)
[
    // AKS – malware execution blocked after privilege escalation activity
    datetime(2026-03-05T09:24:10Z),
    "Microsoft Defender for Cloud Kubernetes malware execution blocked",
    "Kubernetes malware execution blocked on node",
    "High",
    "Malware execution was detected and blocked on a Kubernetes node. The activity occurred shortly after privileged access and RBAC changes were performed on the cluster, increasing confidence of malicious intent.",
    "Azure Security Center",
    "Microsoft",
    "K8S.NODE_MalwareBlocked",
    "High",
    true,
    "prod-aks-eastus",
    dynamic({
        "ClusterName": "prod-aks-eastus",
        "Namespace": "prod",
        "NodeRole": "Worker",
        "DetectionSource": "microsoftDefenderForContainers",
        "SuspiciousActivity": "Malware execution in container runtime",
        "RelatedContext": "Recent ClusterAdmin access and RoleBinding creation detected"
    }),
    dynamic([
        {
            "Type": "KubernetesCluster",
            "Name": "prod-aks-eastus",
            "CloudPlatform": "Azure"
        },
        {
            "Type": "Host",
            "HostName": "prod-aks-eastus"
        }
    ]),
    "Azure Security Center",
    // AKS – binary drift blocked on vulnerable workload
    datetime(2026-03-05T11:51:58Z),
    "Microsoft Defender for Cloud Kubernetes binary drift blocked",
    "Kubernetes workload binary drift blocked",
    "Medium",
    "Execution of a workload binary that drifted from the original container image was detected and blocked. The affected workload resides in a production Kubernetes cluster and is associated with a workload previously accessed via kubectl exec.",
    "Azure Security Center",
    "Microsoft",
    "K8S.NODE_DriftBlocked",
    "Medium",
    true,
    "prod-aks-eastus",
    dynamic({
        "ClusterName": "prod-aks-eastus",
        "Namespace": "prod",
        "Workload": "ingress-controller",
        "DriftType": "Binary drift from image baseline",
        "DetectionSource": "microsoftDefenderForContainers"
    }),
    dynamic([
        {
            "Type": "KubernetesCluster",
            "Name": "prod-aks-eastus",
            "CloudPlatform": "Azure"
        },
        {
            "Type": "Host",
            "HostName": "prod-aks-eastus"
        }
    ]),
    "Azure Security Center"
];

Użyj następującego zapytania w zadaniu KQL, aby zaimportować przykładowe dzienniki logowań do tabeli SigninLogs w jeziorze danych Sentinel.

datatable(
    TimeGenerated: datetime,
    UserPrincipalName: string,
    UserId: string,
    AppDisplayName: string,
    ClientAppUsed: string,
    AuthenticationRequirement: string,
    ConditionalAccessStatus: string,
    RiskLevelAggregated: string,
    RiskState: string,
    RiskDetail: string,
    Location: dynamic,
    IPAddress: string,
    DeviceDetail: dynamic,
    Status: dynamic
)
[
    // Normal sign-in from known device and location (baseline)
    datetime(2026-03-08T14:10:00Z),
    "u1291@contoso.onmicrosoft.com",
    "9214593d-65f8-43fd-c4a5-f80aty691141",
    "Microsoft Teams",
    "Browser",
    "singleFactorAuthentication",
    "success",
    "low",
    "none",
    "noRiskDetected",
    dynamic({"countryOrRegion":"US","state":"Texas","city":"Dallas"}),
    "20.81.45.10",
    dynamic({"deviceId":"device-jm-001","operatingSystem":"Windows 11","browser":"Edge","isCompliant":true,"isManaged":true}),
    dynamic({"errorCode":0,"failureReason":"None"}),
    // Identity drift: new device and new geographic location
    datetime(2026-03-08T14:18:00Z),
    "u1291@contoso.onmicrosoft.com",
    "9214593d-65f8-43fd-c4a5-f80aty691141",
    "Azure Portal",
    "Browser",
    "multiFactorAuthentication",
    "success",
    "medium",
    "atRisk",
    "newDevice",
    dynamic({"countryOrRegion":"Germany","state":"Berlin","city":"Berlin"}),
    "91.198.174.22",
    dynamic({"deviceId":"unknown","operatingSystem":"Linux","browser":"Chrome","isCompliant":false,"isManaged":false}),
    dynamic({"errorCode":0,"failureReason":"MFA required due to unfamiliar sign-in"}),
    // Identity drift: impossible travel detected
    datetime(2026-03-08T14:21:00Z),
    "u3415@contoso.onmicrosoft.com",
    "8214593d-75e8-4efd-c4a5-f80aty691131",
    "Microsoft 365",
    "Browser",
    "multiFactorAuthentication",
    "success",
    "high",
    "confirmedCompromised",
    "impossibleTravel",
    dynamic({"countryOrRegion":"China","state":"Beijing","city":"Beijing"}),
    "101.226.4.6",
    dynamic({"deviceId":"unknown","operatingSystem":"macOS","browser":"Safari","isCompliant":false,"isManaged":false}),
    dynamic({"errorCode":0,"failureReason":"Impossible travel detected"}),
    // Identity drift: sign-in blocked by Conditional Access
    datetime(2026-03-08T14:25:00Z),
    "u1291@contoso.onmicrosoft.com",
    "3214593d-65f8-53fd-c4a5-c80aty691441",
    "Azure DevOps",
    "Browser",
    "singleFactorAuthentication",
    "failure",
    "high",
    "atRisk",
    "anomalousToken",
    dynamic({"countryOrRegion":"Russia","state":"Moscow","city":"Moscow"}),
    "185.199.108.153",
    dynamic({"deviceId":"unknown","operatingSystem":"Windows 10","browser":"Firefox","isCompliant":false,"isManaged":false}),
    dynamic({"errorCode":53003,"failureReason":"Access blocked by Conditional Access policy"})
];

Następne kroki

Usługa Data Lake jest teraz wypełniana przykładowymi danymi telemetrycznymi z usługi IdentityDrift, Microsoft Entra ID i Microsoft Defender. Użyj tych danych, aby testować i rozwijać agenta Security Copilot. Zobacz Używanie narzędzia MCP w Visual Studio Code do eksplorowania narzędzi serwera MCP usługi Sentinel i wykonywania zapytań o dane przy użyciu monitów.

Przed przystąpieniem do tworzenia agenta Security Copilot dla przypadku użycia IdentityDrift zapoznaj się z serwerem MCP, korzystając z następujących poleceń, aby wykonywać zapytania do przykładowych danych zaimportowanych w tym kroku i dowiedzieć się, jak wykonywać zapytania do danych z jeziora danych usługi Sentinel przy użyciu rozwiązania Sentinel MCP.

Przykładowe polecenia dla Sentinel MCP w czacie programu VS Code:

Wyszukaj tabele powiązane z „identity” lub „signin” w moim obszarze roboczym.
Pokaż zdarzenia wykonywania procesu dla użytkownika u1291 w DeviceProcessEvents_KQL_CL — jakie polecenia zostały uruchomione?
Skoreluj aktywność dla u1291@contoso.onmicrosoft.com: sprawdź ryzyko logowania w SigninLogs_KQL_CL, dostęp w CommonSecurity_ID_KQL_CL oraz wszelkie uruchomienia procesów w DeviceProcessEvents_KQL_CL. Podsumuj łańcuch ataków.

Przejdź do tworzenia agenta zabezpieczeń Copilot

Opinia

Czy ta strona była pomocna?

Ostatnia aktualizacja o 2026-07-21