Ingerir dados para Microsoft Sentinel Data Lake

Importe dados de telemetria de exemplo do IdentityDrift e tabelas de apoio para o data lake do Sentinel. Você pode consultar esses dados nos artigos subsequentes nesta série.

Este artigo faz parte de uma série que orienta você durante a ingestão de dados de teste no data lake, o desenvolvimento de um agente e a publicação da solução de plataforma de exemplo IdentityDrift. A solução inclui um agente do Security Copilot que correlaciona sinais de identidade, endpoint e segurança na nuvem para automatizar investigações de ameaças.

Abordagem de produção típica para ISVs

Os ISVs devem usar a seguinte abordagem para ingerir dados no Sentinel:

  1. Desenvolver um conector de dados
    • Crie um conector de dados do Sentinel usando o Sentinel Connector Builder Agent no VS Code com GitHub Copilot. Essa abordagem assistida por IA reduz o tempo de desenvolvimento de semanas para horas e usa prompts de linguagem natural para criar configurações de sondagem, regras de coleta de dados, definições de conector e esquemas.
    • Para fontes de dados baseadas em pull, use CCF (Codeless Connector Framework).
    • Para fontes de dados baseadas em push, use o CCF Push.
  2. Ingerir dados no data lake Transmitir telemetria pelo conector para o data lake do Sentinel
  3. Usar a plataforma do Sentinel Use os recursos da plataforma do Sentinel para a exploração de dados, o Graph, o servidor MCP e os agentes do Security Copilot.

Alternativa: Se já existir um conector para sua fonte de dados, consulte a Referência de Conectores de Dados do Sentinel para habilitá-lo e começar a ingerir os dados.

Abordagem de laboratório: ingerir dados de exemplo por meio de trabalhos KQL

Use os Trabalhos KQL para popular o data lake com registros de exemplo. Essa abordagem:

  • Espelha o esquema de dados real Dados de exemplo aderem ao mesmo esquema que os dados ingeridos pelo conector, permitindo que você preencha imediatamente a lógica do data lake e do agente de teste.
  • Representa cenários de ataque realistas Dados fictícios reproduzem os padrões de ataque e correlações que você investigaria na produção.

Pré-requisitos

Permissões necessárias

  • Você deve ter a função Administrador de Segurança ou Operador de Segurança .

Criar um trabalho KQL

Para criar um novo trabalho KQL, siga estas etapas:

  1. No portal do Defender, navegue até Sentinel > Exploração do Data lake > Trabalhos.

  2. Selecione Criar trabalho e , em seguida, Criar um novo trabalho KQL

  3. Nome do trabalho – insira um nome de trabalho exclusivo, por exemplo , CommonSecurity_ID_logs1

  4. Descrição da tarefa - Forneça o contexto e a finalidade da tarefa, por exemplo, Gerar logs para ingestão pelo fornecedor IdentityDrift em CommonSecurity_ID_logs1

  5. Selecionar workspace – Selecione o workspace de destino

  6. Em "Criar uma nova tabela" e insira um nome de tabela, por exemplo , CommonSecurity_ID. As tabelas criadas por trabalhos KQL têm automaticamente o sufixo _KQL_CL acrescentado.

  7. Selecione Avançar.

  8. Copie a consulta KQL da guia KQL de ingestão de dados apropriada para o campo de consulta.

    Tip

    Se o botão Avançar estiver esmaecido, você deverá escolher um espaço de trabalho usando o botão Espaço de trabalho selecionado.

  9. Selecione Avançar para prosseguir para a página de agendamento.

Agendar o trabalho

Para definir um agendamento de execução para o trabalho:

  1. Na página Agendar o trabalho de consulta , selecione sua opção de execução:
    • Trabalho agendado – o trabalho é executado em um agendamento que você especifica e ingere dados de exemplo periodicamente.

Opção Agendar tarefa para que registros recorrentes sejam adicionados à tabela.

Para trabalhos agendados:

  1. Selecione a opção Agendamento
  2. Insira os detalhes a seguir:
    • Frequência de repetição – Selecione: por minuto, por hora, diariamente, semanal ou mensal
    • Repetir a cada – Com que frequência o trabalho é executado com base na frequência selecionada
    • Data de início - Selecione a data e insira a hora de início do trabalho.
    • Até - Selecione quando o agendamento termina. Selecione Definir trabalho a ser executado indefinidamente para continuar sem data de término

Revisar e enviar

Para revisar e enviar a tarefa:

  1. Selecione Avançar para examinar os detalhes do trabalho.
  2. Reveja todas as definições.
  3. Selecione Enviar para criar o trabalho.

KQL de ingestão de dados

Para importar dados para as tabelas SigninLogs, AADRiskyUsers, CommonSecurity_ID_Logs, DeviceProcessEvents e SecurityAlerts, repita as etapas para criar um trabalho de KQL, usando as consultas KQL em cada aba abaixo.

Use a consulta a seguir no trabalho KQL para ingerir dados de exemplo de usuários suspeitos na tabela AADRiskyUsers do data lake do Sentinel.

datatable(
    TimeGenerated:datetime,
    CorrelationId:string,
    Id:string,
    IsDeleted:bool,
    IsProcessing:bool,
    OperationName:string,
    RiskDetail:string,
    RiskLastUpdatedDateTime:datetime,
    RiskLevel:string,
    RiskState:string,
    UserDisplayName:string,
    UserPrincipalName:string
)
[
    datetime(2026-03-05T14:22:00Z), "riskcorr-identity-047", "a7d2f8c1-4e2b-48f3-9a06-2e5c7b3d9f1a", false, false, "RiskyUserDetected", "adminConfirmedUserCompromised", datetime(2026-02-28T10:15:00Z), "high", "confirmedCompromised", "U1291", "u1291@contoso.onmicrosoft.com",
    datetime(2026-03-05T15:18:00Z), "riskcorr-identity-052", "b9e4a6d2-7f3c-41b8-a2e5-3f6c8d1e2b4a", false, false, "RiskyUserUpdated",  "anonymousIpAddress",             datetime(2026-02-27T14:42:00Z), "medium", "atRisk",              "U3415", "u3415@contoso.onmicrosoft.com",
    datetime(2026-03-05T16:33:00Z), "riskcorr-identity-059", "c5f1b7e3-9d4a-42c1-b8f6-5e7d9c2a3f5b", false, false, "RiskyUserUpdated",  "userPerformedSecuredPasswordReset", datetime(2026-02-26T11:20:00Z), "medium", "remediated",          "U2847",   "u2847@contoso.onmicrosoft.com",
];

Próximas Etapas 

O data lake agora foi populado com os dados de telemetria de exemplo do IdentityDrift, do Microsoft Entra ID e do Microsoft Defender. Use estes dados para testar e desenvolver seu agente do Security Copilot. Consulte Como usar uma ferramenta MCP no Visual Studio Code para explorar as ferramentas do Servidor MCP do Sentinel e consultar os dados por meio de prompts.

Antes de continuar a criar o Agente do Security Copilot para o caso de uso do IdentityDrift, explore o servidor MCP com os seguintes prompts para consultar os dados de exemplo ingeridos nessa etapa para saber como consultar os dados do data lake do Sentinel usando o MCP do Sentinel.

Exemplos de prompts para o Sentinel MCP no VS Code Chat:

  • Pesquise tabelas relacionadas à "identidade" ou "login" no meu espaço de trabalho.
  • Mostre-me eventos de execução de processo para o usuário u1291 em DeviceProcessEvents_KQL_CL — quais comandos eles executaram?
  • Correlacione a atividade com u1291@contoso.onmicrosoft.com: verifique o risco de logon em SigninLogs_KQL_CL, o acesso em CommonSecurity_ID_KQL_CL e qualquer execução de processo em DeviceProcessEvents_KQL_CL. Resumir a cadeia de ataque.

Continuar para Criar um agente do Security Copilot

  • Última atualização em