Ingerir Dados para Microsoft Sentinel Data Lake

Importar a telemetria de exemplo do IdentityDrift e as tabelas de suporte para o data lake do Sentinel. Pode consultar estes dados nos artigos seguintes desta série.

Este artigo faz parte de uma série que o orienta ao longo da ingestão de dados de teste para o data lake, do desenvolvimento de um agente e da publicação da solução de plataforma de exemplo IdentityDrift. A solução inclui um Security agente do Copilot que correlaciona identidade, endpoint e sinais de segurança na cloud para automatizar investigações de ameaças.

Abordagem típica de produção para ISVs

Os ISVs devem usar a seguinte abordagem para ingerir dados no Sentinel:

  1. Desenvolver um Conector de Dados
    • Crie um conector de dados Sentinel usando o Sentinel Connector Builder Agent no VS Code com o GitHub Copilot. Esta abordagem assistida por IA reduz o tempo de desenvolvimento de semanas para horas e utiliza prompts em linguagem natural para construir configurações de polling, regras de recolha de dados, definições de conectores e esquemas.
    • Para fontes de dados baseadas em pull, utilize o Codeless Connector Framework (CCF).
    • Para fontes de dados baseadas em push, use o CCF Push.
  2. Ingerir dados no data lake Enviar telemetria através do conector para o data lake do Sentinel
  3. Utilize a plataforma Sentinel Utilize as capacidades da plataforma Sentinel para exploração de dados, Graph, o servidor MCP e agentes do Security Copilot.

Alternativa: Se já existir um conector para a sua fonte de dados, consulte a Referência Sentinel Data Connectors para o ativar e comece a ingerir os dados.

Abordagem de laboratório: Importar dados de exemplo através de trabalhos KQL

Utilize KQL Jobs para preencher o lago de dados com registos de amostra. Esta abordagem:

  • Espelha o esquema real de dados Os dados de exemplo seguem o mesmo esquema que os dados ingeridos pelo conector, permitindo-lhe preencher imediatamente a lógica do data lake e do agente de teste.
  • Representa cenários de ataque realistas Os dados simulados reproduzem os padrões de ataque e as correlações que investigaria num ambiente de produção.

Pré-requisitos

Permissões necessárias

  • Deve ter a função de Administrador de Segurança ou Operador de Segurança .

Criar um emprego KQL

Para criar um novo trabalho KQL, siga estes passos:

  1. No portal do Defender, navegue até Sentinel > Exploração do Data lake > Tarefas.

  2. Selecione Criar trabalho, depois Criar um novo trabalho KQL

  3. Nome do cargo - Introduza um nome de trabalho único, por exemplo CommonSecurity_ID_logs1

  4. Descrição da Função - Fornecer contexto e propósito do trabalho, por exemplo : Gerar registos para o fornecedor do IdentityDrift ingerir em CommonSecurity_ID_logs1

  5. Selecionar espaço de trabalho - Selecionar o espaço de trabalho de destino

  6. Em "Criar uma nova tabela" e insira o nome de uma tabela, por exemplo CommonSecurity_ID. As tabelas criadas por jobs KQL têm automaticamente o sufixo _KQL_CL adicionado.

  7. Selecione Seguinte

  8. Copie a consulta KQL do separador KQL de ingestão de dados correspondente para o campo de consulta.

    Sugestão

    Se o botão Seguinte estiver a cinzento, deve escolher um espaço de trabalho usando o botão Espaço de Trabalho Selecionado .

  9. Selecione Seguinte para avançar para a página de agendamento.

Agendar o trabalho

Para definir um horário de execução para o trabalho:

  1. Na página Agendar o trabalho de consulta , selecione a sua opção de execução:
    • Trabalho agendado - O trabalho corre num horário que especificas e ingeres dados de amostra periodicamente.

A opção Agendar tarefa permite adicionar registos recorrentes à tabela.

Para empregos agendados:

  1. Selecione a opção Agendamento
  2. Introduza os detalhes seguintes:
    • Frequência de repetição - Selecionar: Por minuto, a cada hora, diário, semanal ou mensal
    • Repita cada vez - Com que frequência o trabalho é executado com base na frequência selecionada
    • Data de início - Selecione a data e introduza a hora de início da tarefa.
    • Até ao momento - Selecione quando o calendário termina. Selecionar Definir a função para correr indefinidamente para continuar sem data de fim

Revisar e enviar

Para rever e submeter o trabalho:

  1. Selecione Seguinte para rever os detalhes do cargo.
  2. Revise todas as definições.
  3. Selecione Enviar para criar o trabalho.

Ingestão de dados KQL

Para ingerir dados nas tabelas SigninLogs, AADRiskyUsers, CommonSecurity_ID_Logs, DeviceProcessEvents e SecurityAlerts, repita os passos para criar um trabalho KQL, usando as consultas KQL em cada aba abaixo.

Utilize a consulta seguinte na sua tarefa KQL para ingerir dados de exemplo de utilizadores de risco na tabela AADRiskyUsers no data lake do Sentinel.

datatable(
    TimeGenerated:datetime,
    CorrelationId:string,
    Id:string,
    IsDeleted:bool,
    IsProcessing:bool,
    OperationName:string,
    RiskDetail:string,
    RiskLastUpdatedDateTime:datetime,
    RiskLevel:string,
    RiskState:string,
    UserDisplayName:string,
    UserPrincipalName:string
)
[
    datetime(2026-03-05T14:22:00Z), "riskcorr-identity-047", "a7d2f8c1-4e2b-48f3-9a06-2e5c7b3d9f1a", false, false, "RiskyUserDetected", "adminConfirmedUserCompromised", datetime(2026-02-28T10:15:00Z), "high", "confirmedCompromised", "U1291", "u1291@contoso.onmicrosoft.com",
    datetime(2026-03-05T15:18:00Z), "riskcorr-identity-052", "b9e4a6d2-7f3c-41b8-a2e5-3f6c8d1e2b4a", false, false, "RiskyUserUpdated",  "anonymousIpAddress",             datetime(2026-02-27T14:42:00Z), "medium", "atRisk",              "U3415", "u3415@contoso.onmicrosoft.com",
    datetime(2026-03-05T16:33:00Z), "riskcorr-identity-059", "c5f1b7e3-9d4a-42c1-b8f6-5e7d9c2a3f5b", false, false, "RiskyUserUpdated",  "userPerformedSecuredPasswordReset", datetime(2026-02-26T11:20:00Z), "medium", "remediated",          "U2847",   "u2847@contoso.onmicrosoft.com",
];

Passos seguintes

O seu data lake está agora populado com telemetria de exemplo do IdentityDrift, do Microsoft Entra ID e do Microsoft Defender. Use estes dados para testar e desenvolver o seu Security agente do Copilot. Veja Utilizar uma ferramenta MCP no Visual Studio Code para explorar as ferramentas do servidor MCP do Sentinel e consultar os dados através de pedidos.

Antes de avançar para a construção do Security Copilot Agent para o caso de uso do IdentityDrift, explore o servidor MCP com os seguintes prompts para consultar os dados de exemplo ingeridos nesta etapa e aprender como consultar os dados do lago de dados Sentinel usando o Sentinel MCP.

Exemplos de prompts para Sentinel MCP via VS Code Chat:

  • Procure tabelas relacionadas com "identidade" ou "login" no meu espaço de trabalho.
  • Mostra-me eventos de execução de processos para o utilizador u1291 em DeviceProcessEvents_KQL_CL — que comandos executaram?
  • Correlacione a atividade de u1291@contoso.onmicrosoft.com: verifique o respetivo risco de início de sessão em SigninLogs_KQL_CL, os respetivos acessos em CommonSecurity_ID_KQL_CL e qualquer execução de processos em DeviceProcessEvents_KQL_CL. Resume a cadeia de ataques.

Continue para Criar um agente do Security Copilot

  • Última atualização a