Microsoft Sentinel veri gölünde federasyonlu veri bağlayıcılarını ayarlama (Önizleme)

Bu makalede, dış veri kaynaklarının Microsoft Sentinel veri gölünden sorgulanabilmesi için federasyon veri bağlayıcılarının nasıl yapılandırileceği açıklanır. Azure Databricks, Azure Data Lake Storage (ADLS) 2. Nesil ve Microsoft Fabric ile federasyon yapabilirsiniz. Makalede hizmet sorumlusu oluşturma, kimlik bilgilerini Azure Key Vault depolama ve desteklenen her veri kaynağı için bir bağlayıcı örneği ayarlama adımları verilmiştir. Araştırma ve analiz için dış verileri Microsoft Sentinel getirmesi gereken bir güvenlik yöneticisiyseniz bu kılavuzu kullanın.

Önkoşullar

Veri federasyonu ayarlamadan önce aşağıdaki gereksinimleri karşıladığınızdan emin olun:

• Sentinel veri gölüne ekleme: Kiracınız Sentinel veri gölüne eklenmelidir. Daha fazla bilgi için bkz: Microsoft Sentinel veri gölüne katılma.

• Genel erişilebilirlik: Dış kaynağa genel erişim sağlanmalı. Özel uç noktalar şu anda desteklenmemektedir.

• Hizmet sorumlusu: Databricks ve Azure Azure Data Lake Storage 2. Nesil kaynakları için bağlanmak istediğiniz veri kaynağında uygun izinlere sahip bir hizmet sorumlusu gereklidir. Daha fazla bilgi için bkz. Microsoft Entra ID uygulama kayıtları.

• Azure Key Vault: Hizmet sorumlusu istemci parolasıyla yapılandırılmış bir Azure Key Vault gereklidir. Microsoft Sentinel uygulama kimliği, anahtar kasasına atanmış izinlere ihtiyaç duyar. Azure Key Vault kasalarını yapılandırma hakkında daha fazla bilgi için bkz. Azure Key Vault.

• Microsoft Sentinel izinleri: Veri federasyonu bağlayıcısını yapılandırmak için Sistem tablolarındaki veri (yönetme) izinleri. Daha fazla bilgi için bkz. Microsoft Sentinel platformundaki roller ve izinler.

Hizmet sorumlusu oluşturma

Azure Databricks ve ADLS 2. Nesil federasyonu için, Azure Key Vault'de depolanan erişim kimlik bilgilerine sahip bir hizmet sorumlusuna ihtiyacınız vardır. Mevcut bir hizmet sorumlusunu kullanabilir veya yeni bir hizmet sorumlusu oluşturmak için aşağıdaki adımları kullanabilirsiniz.

1. Microsoft Entra ID uygulama kaydı oluşturma:

   1. Azure portalında, Microsoft Entra ID>Uygulama kayıtları bölümüne gidin.
   2. Yeni kayıt'ı seçin.
   3. Uygulama için bir ad girin.
   4. Yeniden yönlendirme URI'sini boş bırakın (bu senaryo için gerekli değildir).
   5. Kaydol seçin.

2. İstemci parolası oluşturun:

   1. Uygulama kaydınızda, Sertifikalar ve gizli anahtarlar bölümüne gidin.
   2. Yeni istemci parolası'nı seçin.
   3. Bir açıklama girin ve bir süre sonu seçin.
   4. Ekle'yi seçin.
   5. İstemci gizli değerini hemen kopyalayın çünkü daha sonra geri alamayacaksınız. Bu değere Azure Key Vault'ta gizli saklanırken ihtiyacınız var.

3. Uygulama ayrıntılarına dikkat edin:

   • Uygulama (istemci) kimliği
   • Nesne Kimliği
   • Dizin (kiracı) kimliği

Hizmet sorumluları oluşturma hakkında daha fazla bilgi için bkz. Microsoft Entra ID uygulama kayıtları.

Azure Key Vault oluşturma ve kimlik bilgilerini depolama

Mevcut bir Azure Key Vault kullanabilir ve aşağıdaki adımları izleyerek Key Vault erişimi yapılandırabilir veya aşağıdaki adımları kullanarak yeni bir Key Vault oluşturabilirsiniz:

1. Azure Key Vault oluşturma:

   1. Azure portalında yeni bir Azure Key Vault oluşturun.
   2. Azure rol tabanlı erişim denetimi (önerilen) izin modelini kullanın.
   3. Anahtar kasası için geçici silme ve temizleme koruma ayarlarını etkinleştirin.
   4. Oluşturulduktan sonra Key Vault URI'sine dikkat edin.

2. Key Vault erişimini yapılandırma:

   1. Microsoft Sentinel platformunun yönetilen kimliğine Key Vault Secrets User rolünü atayın. Kimliğin önüne msg-resources- eklenir.
   2. Azure rol tabanlı erişim denetimi yerine Key Vault’lar için erişim ilkeleri kullanıyorsanız, gizli dizi yönetimi işlemleri için Al ve Listele izinlerini sağlayın.

3. İstemci parolasını Key Vault'ta saklayın:

   1. Key Vault’unuzda Gizli Diziler>Oluştur/İçeri Aktar bölümüne gidin.
   2. Hizmet aslının istemci parolasını içeren yeni bir gizli dizi oluşturun.
   3. Gizli adı not edin. Veri federasyonu bağlayıcısı örneği yapılandırılırken kullanılır.

Azure Key Vault kasalarını yapılandırma hakkında daha fazla bilgi için bkz. Azure Key Vault.

Defender portalında federasyon veri bağlayıcılarını görüntüleme ve yönetme

Federasyon bağlayıcıları, Defender portalındaki Microsoft Sentinel Veri bağlayıcıları sayfasında yönetilir.

1. Microsoft Sentinel>Configuration>Veri bağlayıcılarına gidin.

2. Kullanılabilir federasyon bağlayıcılarını görüntülemek için Veri federasyonu altında Katalog'a tıklayın.

   Katalog sayfası şu şekilde görüntülenir:

   • Kullanılabilir federasyon bağlayıcısı türleri
   • Her bağlayıcı için yapılandırılmış örnek sayısı
   • Yayımcı ve destek bilgileri

   

3. Yapılandırılmış tüm bağlayıcı örneklerini görüntülemek için Bağlayıcılarım sayfasını seçin. Sayfada kiracınızın veri federasyonu bağlayıcı örneklerinin yanı sıra bunların görünen adı, sürümü, durumu ve destek sağlayıcısı listelenir.

4. Ayrıntıları görüntülemek, yapılandırmaları düzenlemek veya örneği silmek için her örneği seçin.

Bağlayıcı örneği oluşturma

Bağlayıcı örneği oluşturma işlemi, Microsoft Fabric, Azure Data Lake Storage 2. Nesil veya Azure Databricks bağlandığınıza bağlı olarak değişir. Belirli veri kaynağı türünüz için yönergeleri izleyin.

Microsoft Fabric

Microsoft Fabric için federated connector örneğini oluşturmak için aşağıdaki adımları kullanın.

Microsoft Fabric bağlayıcı örneği oluşturma

Fabric bağlayıcısı örneğini yapılandırmadan önce, Microsoft Sentinel’in verilere erişmesine izin vermek için Microsoft Fabric ortamındaki izinleri yapılandırmanız gerekir.

• kiracının Dış veri paylaşımı için etkinleştirilmesi için Microsoft Fabric içindeki yönetici ayarlarını yapılandırın. Daha fazla bilgi için bkz. Dış veri paylaşımı oluşturma.

• Hizmet sorumlularının Fabric genel API'lerini çağırabilmesi için Microsoft Fabric'in içindeki yönetici ayarlarını yapılandırın. Daha fazla bilgi için bkz. Hizmet sorumluları Doku genel API'lerini çağırabilir.

• Tabloları federe etmek istediğiniz Lakehouse’ta, msg-resources- ile öneklenmiş Sentinel platform kimliğini Çalışma Alanı Üyesi olarak ekleyin. Daha fazla bilgi için bkz. Çalışma alanlarına erişim verme.

Fabric bağlayıcı örneğini yapılandırmak için:

1. Veri federasyonu>Kataloğu sayfasında Microsoft Fabric satırını seçin.

2. Yan panelde Bağlayıcı bağla'yı seçin.

3. Aşağıdaki bilgileri girin:

   Alan	Açıklama
   Örnek adı	Bu bağlayıcı örneği için kolay bir ad. Bu örnek adı, bu örnekten gölde temsil edilen tablolara eklenir.
   Fabric çalışma alanı kimliği	Federasyona dahil edilecek Fabric çalışma alanının kimliği. Fabric çalışma alanına veya Lakehouse'a gittiğinizde, çalışma alanı kimliği URL'de /groups/ öğesinden sonra yer alır.
   Lakehouse tablosu kimliği	Federe edilecek Fabric Lakehouse tablosunun kimliği. Fabric lakehouse’una gezindiğinizde, lakehouse kimliği URL’de /lakehouses/ öğesinden sonra gösterilir.

4. İleri'yi seçin.

   

5. Federasyona dahil etmek istediğiniz tabloları seçin.

6. İleri'yi seçin.

7. Federasyon hedefi yapılandırmasını gözden geçirin.

8. Bağlantı örneğini oluşturmak için Bağlan'ı seçin.

Azure Data Lake Storage 2. Nesil

Azure Data Lake Storage (ADLS) Gen 2 için federated connector örneğini oluşturmak üzere aşağıdaki adımları kullanın.

ADLS 2. Nesil bağlayıcı örneği oluşturma

Bağlayıcıyı oluşturmadan önce depolama hesabınızı hazırlayın:

1. Yeni bir depolama hesabı oluşturuyorsanız Hiyerarşik ad alanları ayarının etkinleştirildiğinden emin olun.

2. Depolama Blobu Veri Okuyucusu rolünü daha önce oluşturduğunuz hizmet sorumlusuna atayın. Azure portalı aracılığıyla erişim sağlama hakkında daha fazla bilgi için bkz. Azure portalını kullanarak Azure rollerini atama - Azure RBAC.

3. Veri federasyonu>Kataloğu sayfasında Azure Data Lake Storage'yi seçin.

4. Bağlayıcı bağla'yı seçin.

5. Aşağıdaki adı ve bağlantı ayrıntılarını yapılandırın:

   Alan	Açıklama
   Örnek adı	Bu bağlayıcı örneği için kolay bir ad. Oluşum adı, veri gölündeki tablo adlarının sonuna eklenir.
   Uygulama (istemci) kimliği	Key Vault ve hedef veri kaynağına erişimi olan hizmet sorumlusunun GUID'i.
   Azure Key Vault URI'si	Hizmet asıl sorumlusu için kimlik doğrulama gizli anahtarını içeren Key Vault URI’si.
   Gizli dizi adı	Key Vault'ta hizmet sorumlusunun istemci gizli anahtarını içeren gizli anahtarın adı
   Azure Data Lake Storage URL'si	ADLS 2. Nesil uç noktasının URL'si (genel olarak erişilebilir olmalıdır)

6. Devam etmek için İleri'yi seçin.

   

7. ADLS 2. Nesil depolama hesabınızdan federasyon yapmak istediğiniz tabloları seçin.

8. ADLS 2. Nesil depolama alanınızdaki kullanılabilir tablolara göz atın.

9. Federasyon için en az bir tablo seçin.

10. Devam etmek için İleri'yi seçin.

    

11. Tabloları seçtikten sonra yapılandırma ayarlarını gözden geçirin.

12. Bağlayıcı örneğini oluşturmak için Bağlan'ı seçin.

13. Değişiklik yapmanız gerekiyorsa önceki adımlara dönmek için Geri'yi seçin.

    

ADLS 2. Nesil bağlayıcı örneğinin kurulumunu tamamlamak için Bağlan'ı seçin. Sihirbaz kapanır ve Azure Data Lake Storage 2. Nesil için örnek sayısı artar.

Azure Databricks

Azure Databricks için bir federated connector örneğini oluşturmak için aşağıdaki adımları kullanın.

Azure Databricks ortamını hazırlayın

Bağlayıcıyı oluşturmadan önce Databricks ortamınızda erişimi aşağıdaki gibi yapılandırın:

1. Azure Databricks'te, Microsoft Sentinel data lake'ten bağlanmak istediğiniz kataloğu seçin.

2. Kataloğa ait dişli simgesini seçin ve Metastore'u seçin.

3. Meta veri deposu ayrıntıları sayfanızda Dış veri erişiminiEtkin olarak ayarlayın.

4. Federasyon kurduğunuz katalogda İzinler seçeneğini belirleyin ve ardından Ver seçeneğini belirleyin.

5. Daha önce oluşturduğunuz hizmet aslını arayın.

6. Hizmet sorumlusuna Veri Okuyucusu ayrıcalık önayarını verin ve Dış Kullanım Şeması izni'ni seçin ve Onayla'yı seçin.

7. Azure Databricks ekranınızın sağ üst kısmında hesabınızı ve ardından Ayarlar'ı seçin.

8. Kimlik ve erişim'in altında Hizmet sorumluları'nın yanındaki Yönet düğmesini seçin.

9. Hizmet sorumlusu ekle'yi seçin

10. Mevcut bir sorumluyu seçmek için Hizmet sorumlusu kutusunu kullanın.

11. Daha önce oluşturduğunuz hizmet sorumlusunu seçin ve Ekle'yi seçin.

Azure Databricks bağlayıcı örneği oluşturma

Defender portalında Azure Databricks connector örneğini oluşturmak için şu adımları izleyin:

1. Veri federasyonu>Katalog sayfasında Azure Databricks satırını seçin.

2. Yan panelde Bağlayıcı bağla'yı seçin.

3. Aşağıdaki ayrıntıları girin:

   Alan	Açıklama
   Örnek adı	Bu bağlayıcı örneği için kolay tanınabilir bir ad
   Asıl Kimlik	Key Vault erişimi olan hizmet sorumlusunun GUID'i
   Azure Key Vault URI'si	Kimlik doğrulama gizli anahtarının bulunduğu Key Vault URI'si
   Gizli dizi adı	Databricks bağlantı bilgilerini içeren Key Vault'taki gizli bilginin adı
   Databricks URL'si	Azure Databricks örneğinin URL'si (genel olarak erişilebilir olmalıdır)
   Katalog adı	Azure Databricks'te federasyona eklenecek kataloğun adı
   Şema adı	Azure Databricks'te federasyon şemasının adı

   

4. İleri'yi seçin.

5. Azure Databricks örneğinizden federasyon yapmak istediğiniz tabloları seçin.

6. Devam etmek için İleri'yi seçin.

   

7. Yapılandırma ayarlarını gözden geçirin.

8. Bağlayıcı örneğini oluşturmak için Bağlan'ı seçin.

9. Değişiklik yapmanız gerekiyorsa önceki adımlara dönmek için Geri'yi seçin.

Bağlan seçildikten sonra sihirbaz kapanır ve Databricks örnek sayısı artar.

Bağlayıcı örneğinizden tabloları doğrulama

Bağlayıcı örneği oluşturduktan sonra, federasyon tablolarının Microsoft Sentinel'da kullanılabilir olup olmadığını denetleyin.

1. Microsoft Sentinel > Yapılandırma > Tabloları'na gidin.
2. Tüm federasyon tablolarını görmek için Federasyon Türüne göre filtreleyin.
3. Bağlayıcı örneği adınıza göre arama yapın.
4. Bağlayıcı örneğinizdeki tablolar, adlarının ardından _instance name ile listelenir. Örneğin, veri bağlayıcısı örneğinizin adı GlobalHRData ve tablonuz olarak adlandırıldıysa hrlogs, tablonuzun adı olarak hrlogs_GlobalHRDatagösterilir.
5. Ayrıntılar panelini açmak için listeden bir tablo seçin.
6. Tablo türünü ve federasyon sağlayıcısını görmek için Genel Bakış sekmesini seçin.
7. Tablo için bağlayıcı örneği veri sağlayıcısını ve kaynak ürünü görmek için Veri kaynağı sekmesini seçin. Bağlayıcı örneği adını seçtiğinizde, Veri Bağlayıcıları içindeki Bağlayıcılarım'da bu örneğe ulaşabilirsiniz.
8. Tablo şemasını görmek için Şema sekmesini seçin.
9. Şema sekmesinde Yenile'yi seçerek federasyon tablosuyla ilişkili tablo şemasını yenileyin.

Bağlayıcı örneklerini yönetme

Bağlayıcı örneğini değiştirmek veya silmek için:

1. Veri federasyonu>Bağlayıcılarım sayfasına gidin.
2. Yönetmek istediğiniz bağlayıcı örneğini seçin.
3. Ayrıntılar panelinde, kullanılabilir seçenekleri kullanarak şunları yapın:
   • Bağlantı ayarlarını düzenleme
   • Federasyon tablolarını ekleme veya kaldırma
   • Bağlayıcı örneğini silme

Not

Microsoft Fabric bağlantı örnekleri düzenlemeyi desteklemez. Daha fazla tablo eklemek için yeni bir federasyon bağlantısı oluşturabilir veya Doku bağlantı örneğini silip aynı örnek adı ve farklı bir tablo kümesi seçili olarak yeniden oluşturabilirsiniz.

Sorun giderme

Federasyon veri bağlayıcısı kurulumu ve işlemiyle ilgili yaygın sorunları tanılamak için aşağıdaki denetimleri kullanın.

Bağlantı başarısız oluyor

• Başında msg-resources- bulunan Sentinel platform yönetilen kimliğinin Azure Key Vault'ta doğru izinlere sahip olduğunu doğrulayın.

• Bağlantı kaynağınız Azure Databricks veya Azure Data Lake Storage 2. Nesil ise, Key Vault gizli dizisinin hizmet sorumlunuza ait doğru istemci gizli dizisini içerdiğinden emin olun.

• Bağlantı kaynağınız Azure Databricks ise, hedefin hibrit çalışma alanı türü kullandığını ve çalışma alanı için harici veri erişiminin etkinleştirildiğini doğrulayın.

• bağlayıcı yapılandırması sırasında Key Vault ağı, Key Vault varsayılan yapılandırması olan Tüm ağlardan genel erişime izin ver olarak ayarlanmalıdır. Bağlayıcı oluşturulduktan veya düzenlendikten sonra değiştirilebilir.

• Dış veri kaynağının genel olarak erişilebilir olduğunu onaylayın.

• Hizmet sorumlusunun Azure Databricks ve ADLS için hedef veri kaynağı üzerinde uygun izinlere sahip olup olmadığını denetleyin.

• Hedef veri kaynağı Fabric ise, Microsoft Sentinel için kullanılan msg-resources- ön ekli kimliğe Çalışma Alanı Üyesi izninin verildiğini doğrulayın.

• 100'den fazla bağlantı örneğinin olmadığından emin olun.

Not

ADLS ve Azure Databricks, federasyon bağlantısı başına bir bağlantı örneği kullanır. Fabric, federasyon bağlantısı başına daha fazla instans kullanabilir. Fabric için, federasyon bağlantınızdaki her lakehouse şeması 100 örnek sınırına dahil edilir.

Tablolar görünmüyor

• Hizmet sorumlusunun ADLS ve Azure Databricks için hedef tablolara okuma erişimi olduğunu ve hizmet sorumlusunun bu veri kaynaklarıyla aynı kiracıda olduğunu doğrulayın.
• Hedef tabloların Delta Parquet biçiminde olduğunu doğrulayın.
• Databricks için hem yerleşik Veri Okuyucusu ayrıcalık ön ayarına hem de hizmet sorumlusuna Dış Kullanım Şeması iznine sahip olduğunuzdan emin olun.
• ADLS 2. Nesil için Depolama Blobu Veri Okuyucusu rolünün hizmet sorumlusuna atandığından emin olmak.

Sorgu performansı sorunları

• Dış kaynaklardan sorgulanan verilerin boyutunu göz önünde bulundurun.
• Verileri erken filtrelemek için sorguları iyileştirin.
• Sentinel ile dış kaynak arasındaki ağ bağlantısını denetleyin.

İlgili içerik

• Veri federasyonuna genel bakış
• KQL ile federasyon tablolarını sorgulama