Warstwy przechowywania dzienników w Microsoft Sentinel

  • Dotyczy: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

W przypadku obszarów roboczych usługi Microsoft Sentinel połączonych z usługą Defender zarządzanie warstwami i zasadami przechowywania musi być wykonywane w nowym środowisku obsługi zarządzania tabelami w portalu usługi Defender. W przypadku niedołączanych obszarów roboczych Microsoft Sentinel kontynuuj korzystanie z opisanych poniżej środowisk do zarządzania danymi w obszarach roboczych.

Istnieją dwa konkurujące ze sobą aspekty zbierania i przechowywania dzienników, które mają kluczowe znaczenie dla pomyślnego programu wykrywania zagrożeń. Z jednej strony chcesz zmaksymalizować liczbę zbieranych źródeł logów, aby zapewnić możliwie jak najszerszy zakres ochrony. Z drugiej strony należy zminimalizować koszty ponoszone przez pozyskiwanie wszystkich tych danych.

Te konkurencyjne potrzeby wymagają strategii zarządzania dziennikami, która równoważy dostępność danych, wydajność zapytań i koszty magazynu.

W tym artykule omówiono kategorie danych i stany przechowywania używane do przechowywania danych i uzyskiwania do nich dostępu. Opisano w nim również warstwy dzienników oferowane przez Microsoft Sentinel, które umożliwiają tworzenie strategii zarządzania dziennikami i ich przechowywania.

Ważna

Po 31 marca 2027 r. Microsoft Sentinel nie będą już obsługiwane w Azure Portal i będą dostępne tylko w portalu Microsoft Defender. Wszyscy klienci korzystający z Microsoft Sentinel w Azure Portal zostaną przekierowane do portalu usługi Defender i będą używać Microsoft Sentinel tylko w portalu usługi Defender.

Jeśli nadal używasz Microsoft Sentinel w Azure Portal, zalecamy rozpoczęcie planowania przejścia do portalu usługi Defender w celu zapewnienia płynnego przejścia i pełnego wykorzystania ujednoliconego środowiska operacji zabezpieczeń oferowanego przez Microsoft Defender.

Kategorie pozyskanych danych

Firma Microsoft zaleca sklasyfikowanie danych pozyskanych do Microsoft Sentinel na dwie ogólne kategorie:

  • Podstawowe dane zabezpieczeń to dane zawierające krytyczną wartość zabezpieczeń. Te dane są używane do aktywnego monitorowania w czasie rzeczywistym, zaplanowanych alertów i analiz w celu wykrywania zagrożeń bezpieczeństwa. Dane muszą być łatwo dostępne dla wszystkich środowisk Microsoft Sentinel niemal w czasie rzeczywistym.

  • Wtórne dane zabezpieczeń to dane uzupełniające, często występujące w obszernych, szczegółowych dziennikach. Te dane mają ograniczoną wartość zabezpieczeń, ale mogą zapewnić dodatkowe bogactwo i kontekst do wykrywania i badania, co ułatwia narysowanie pełnego obrazu zdarzenia zabezpieczeń. Nie musi być łatwo dostępny, ale powinien być dostępny na żądanie w razie potrzeby i w odpowiednich dawkach.

Podstawowe dane zabezpieczeń

Ta kategoria składa się z dzienników z krytyczną wartością zabezpieczeń dla organizacji. Podstawowe przypadki użycia danych zabezpieczeń dla operacji zabezpieczeń obejmują:

  • Częste monitorowanie. Reguły wykrywania zagrożeń (analizy) są uruchamiane na tych danych w częstych odstępach czasu lub niemal w czasie rzeczywistym.

  • Polowanie na żądanie. Na tych danych są uruchamiane złożone zapytania w celu wykonania interaktywnego wyszukiwania zagrożeń bezpieczeństwa o wysokiej wydajności.

  • Korelacja. Dane z tych źródeł są skorelowane z danymi z innych podstawowych źródeł danych zabezpieczeń w celu wykrywania zagrożeń i tworzenia historii ataków.

  • Regularne raportowanie. Dane z tych źródeł są łatwo dostępne do kompilowania w regularnych raportach dotyczących kondycji zabezpieczeń organizacji, zarówno dla osób podejmujących decyzje dotyczące zabezpieczeń, jak i ogólnych.

  • Analiza zachowań. Dane z tych źródeł służą do tworzenia bazowych profili zachowań użytkowników oraz urządzeń, co umożliwia identyfikowanie zachowań odbiegających od normy jako podejrzanych.

Oto kilka przykładów podstawowych źródeł danych:

  • Dzienniki z programu antywirusowego lub z systemów wykrywania zagrożeń i reagowania w środowisku korporacyjnym (EDR)
  • Dzienniki uwierzytelniania
  • Dzienniki inspekcji z platform w chmurze
  • Źródła danych analizy zagrożeń
  • Alerty z systemów zewnętrznych

Dzienniki zawierające podstawowe dane zabezpieczeń powinny być przechowywane przy użyciu warstwy analizy.

Pomocnicze dane zabezpieczeń

Ta kategoria obejmuje dzienniki, których indywidualna wartość zabezpieczeń jest ograniczona, ale są niezbędne do zapewnienia kompleksowego wglądu w zdarzenie lub naruszenie zabezpieczeń. Zazwyczaj te dzienniki są generowane w dużych ilościach i mogą być bardzo szczegółowe. Przypadki użycia operacji zabezpieczeń dla tych danych obejmują następujące elementy:

  • Analiza zagrożeń. Dane źródłowe można porównywać z listami wskaźników kompromitacji (IoC) lub wskaźników ataku (IoA), aby szybko i łatwo wykrywać zagrożenia.

  • Doraźne wyszukiwanie zagrożeń/dochodzenia. Dane można interaktywnie odpytywać przez 30 dni, co ułatwia kluczowe analizy na potrzeby wyszukiwania zagrożeń i dochodzeń.

  • Wyszukiwania na dużą skalę. Dane mogą być pozyskiwane i przeszukiwane w tle w skali petabajtów, przy jednoczesnym wydajnym przechowywaniu przy minimalnym przetwarzaniu.

  • Podsumowanie za pośrednictwem zadań KQL. Podsumowuj dzienniki o dużym wolumenie do postaci zbiorczych informacji i zapisuj wyniki w warstwie analitycznej.

Niektóre przykłady wtórnych źródeł logów danych to logi dostępu do pamięci masowej w chmurze, logi NetFlow, logi certyfikatów TLS/SSL, logi zapory sieciowej, logi serwera proxy oraz logi IoT.

W przypadku dzienników zawierających pomocnicze dane zabezpieczeń użyj usługi Microsoft Sentinel data lake, która została zaprojektowana w celu zapewnienia zwiększonej skalowalności, elastyczności i możliwości integracji w zaawansowanych scenariuszach zabezpieczeń i zgodności.

Warstwy zarządzania dziennikami

Microsoft Sentinel udostępnia dwie różne warstwy magazynowania dzienników lub typy w celu uwzględnienia tych kategorii pozyskanych danych.

  • Plan warstwy analizy jest przeznaczony do przechowywania podstawowych danych zabezpieczeń i zapewniania ich łatwego i stałego dostępu przy wysokiej wydajności.

  • Warstwa usługi Data Lake jest zoptymalizowana pod kątem ekonomicznego przechowywania pomocniczych danych zabezpieczeń w dłuższym okresie, przy jednoczesnym zachowaniu ułatwień dostępu.

Warstwa analityczna

Warstwa analizy domyślnie przechowuje dane w interakcyjnym stanie przechowywania przez 90 dni, rozszerzalne przez maksymalnie dwa lata. Ten interaktywny stan, choć kosztowny, umożliwia wykonywanie zapytań dotyczących danych w nieograniczony sposób, z wysoką wydajnością, bez opłat za zapytanie.

Warstwa usługi Data Lake

Microsoft Sentinel data lake to w pełni zarządzane, nowoczesne rozwiązanie data lake, które ujednolica i zachowuje dane zabezpieczeń na dużą skalę, umożliwiając zaawansowaną analizę wielu metod i wykrywanie zagrożeń opartych na agentach sztucznej inteligencji. Umożliwia zespołom ds. zabezpieczeń badanie długoterminowych zagrożeń, wzbogacanie alertów i tworzenie behawioralnych punktów odniesienia przy użyciu miesięcy danych.

Gdy łączne przechowywanie jest skonfigurowane tak, aby było dłuższe niż przechowywanie w warstwie analizy lub po zakończeniu okresu przechowywania warstwy analizy, dane przechowywane poza przechowywaniem warstwy analizy są nadal dostępne w warstwie usługi Data Lake.

Zawartość pokrewna

  • Last updated on