Microsoft Sentinel veri gölünde varlık verilerinin içeri aktarılması

Siber güvenlikteki varlık verileri, bir kuruluşun bilgisayarlar, kimlikler, yazılımlar, bulut hizmetleri ve ağlar gibi fiziksel ve dijital varlıklarını ifade eder. Nelerin korunması gerektiğini bilmeniz için nelerin var olduğunu gösterir. Microsoft Sentinel veri gölü, bu varlık verilerini uzun süreli saklamayı, gelişmiş analizi ve yapay zeka temelli tehdit algılamayı destekleyen ölçeklenebilir, uygun maliyetli bir şekilde depolayarak güçlü bir değer ekler. Sistemler arasında birleşik görünürlük ve esnek veri yönetimi sayesinde Sentinel gölü, güvenlik ekiplerinin ortamlarını anlamasına, olağan dışı etkinlikleri belirlemesine ve tehditlere yanıt vermesine yardımcı olur.

Sentinel veri gölünde varlık veri alımı nasıl etkinleştirilir?

• Sentinel Lake kullanımına başladığınızda, uygun izinlere sahipseniz varlık verileri otomatik olarak içeri alınır. Daha fazla bilgi için bkz . Varlık kaynakları için gerekli izinler.

• Yeterli izinlere sahip değilseniz varlık tabloları oluşturulur ancak veri alınmaz. Varlık verilerinin alımını aşağıdaki gibi el ile etkinleştirin:

  1. Azure portal Microsoft Sentinel çalışma alanına gidin.
  2. Veri bağlayıcıları sayfasına gidin.
  3. İlgili varlık veri kaynağı bağlayıcısını bulun.
  4. Bağlayıcıyı seçin ve alımı etkinleştirmek için istemleri izleyin.

• Varlık verileri yalnızca Microsoft Sentinel veri gölü katmanına aktarılır. Varlık verileri sisteme alındıktan sonra, göle ulaşması 24 saati bulabilir.

• Varlık verileri varsayılan olarak 30 gün boyunca saklanır. Bekletme 12 yıla kadar genişletilebilir. Tablo saklamayı yönetme hakkında daha fazla bilgi için bkz. Tablo Yönetimi belgeleri.

Faturalamayla ilgili dikkat edilmesi gerekenler

• Müşteriler, varlık verilerinin içe aktarımı için ücret öder.

• Müşteriler varlık verilerini saklama için ücretlendirilir.

Varlık verilerinin anlık görüntüsü her 24 saatte bir alınır.

Sentinel data lake'e eklenirken varlık veri alımı varsayılan olarak etkinleştirildiğinden, varlık verilerinin alımını kolaylaştıran varlık Sentinel veri bağlayıcılarının temel rolünü anlamak önemlidir. Bu veri bağlayıcıları, varlıkla ilgili verileri Sentinel veri gölüne getirmekle sorumludur ve ilgili Sentinel Çözüm paketleri içinde paketlenir. Bu çözümleri İçerik Merkezi aracılığıyla keşfedebilir ve yönetebilirsiniz.

Varlık kaynakları için gerekli izinler

Aşağıdaki tabloda çeşitli varlık veri kaynakları ve bunların veri bağlayıcıları açıklanmaktadır:

Veri Kaynağı	Tablolar	İzin	Veri Bağlayıcısı Çözümü
Azure Kaynak Grafı (ARG)	ARGResources ARGResourceContainers ARGAuthorizationResources	Abonelik Sahibi	Azure Kaynak Grafı
Microsoft Entra ID	EntraApplications EntraGroupMemberships EntraGroups EntraMembers EntraOrganizations EntraServicePrincipals EntraUsers	Yok	Microsoft Entra ID Varlığı

Not

Varlık bağlayıcıları dahil ancak bunlarla sınırlı olmamak üzere bazı veri bağlayıcıları Purview'da veri riski graflarının oluşturulmasına katkıda bulunur. Bu grafikler etkinse, ilgili bağlayıcıların devre dışı bırakılması bunların oluşturulmasını durdurur. Bağlayıcı açıklamaları, veri riski grafları oluşturmaya dahil olup olmadıklarını belirtir.

Azure Kaynak Grafı bağlayıcı kapsamını genişletme

Azure Kaynak Grafı bağlayıcısı yalnızca yönetilen kimliği tarafından okunabilen Azure kaynaklarını alır. Bağlayıcıyı etkinleştirdiğinizde, yönetilen kimliğine yalnızca Sahip rolüne sahip olduğunuz aboneliklerde Okuyucu rolü verilir. Kullanıcıların çoğu kiracıdaki her abonelikte Sahip erişimine sahip olmadığından, bağlayıcı genellikle Azure ortamınızın yalnızca kısmi bir görünümünü içeri aktarır; bu da kapsamı sınırlar.

Bağlayıcı etkinleştirildikten sonra kapsamı genişletmek için, üst düzey izinlere sahip bir kullanıcının bağlayıcının yönetilen kimliğine Okuyucu rolünü ataması gerekir. Bu kullanıcının kiracı kök ayrıcalıklarına sahip olması, yükseltilmiş kiracı düzeyi erişimine sahip bir Genel Yönetici olması veya daha yüksek bir kapsamda Kullanıcı Erişim Yöneticisi ya da Sahip yetkilerine sahip olması gerekir. Kullanıcının Azure portalında bağlayıcıyla ilişkili yönetilen kimliği bulması ve içeri aktarılmasını istediğiniz en geniş kapsamda Reader rolünü ataması gerekir. Örneğin, kiracı kök yönetim grubu düzeyinde atama, bağlayıcının kiracıdaki tüm abonelikler genelinde kaynakları okumasına olanak tanırken, belirli bir yönetim grubuna veya abonelik düzeyinde atama yapmak kapsamı uygun şekilde sınırlar.

Okuyucu rolünü Azure Kaynak Grafı bağlayıcısının yönetilen kimliğine atamak için şu adımları izleyin:

1. Azure portalında bağlayıcının oluşturduğu yönetilen kimliği bulun. Kimliğin adını, sürüme bağlı olan alfanümerik bir kimlik izler; örneğin msg-resources-.

2. Alımını istediğiniz kaynakları kapsayan bir kapsam seçin:

   • Kiracıdaki tüm abonelikleri kapsayan kiracı kök yönetim grubu.
   • Aboneliklerin bir alt kümesini kapsayan belirli bir yönetim grubu .
   • Bir veya daha fazla bireysel abonelik.

   

3. Erişim denetimi (IAM) öğesini seçin.

4. +Rol ataması ekle'yi> seçin.

   

5. Okuyucu rolünü bağlayıcının yönetilen kimliğine atayın. Adım adım yönergeler için bkz. Azure portal kullanarak Azure rolleri atama ve kiracı kökünde atarken tüm Azure aboneliklerini ve yönetim gruplarını yönetmek için erişimi yükseltme.

   

Atama yayıldıktan sonra, bir sonraki içeri aktarma döngüsü ek kaynakları işleme alır. Yeni verilerin gölde görünmesi 24 saat kadar sürebilir.

Önkoşullar

Varlık veri bağlayıcılarını yönetmek için aşağıdaki önkoşulları karşılamanız gerekir:

• Önceki tablonunbelirtilen İzinler sütununda olduğu gibi Microsoft Sentinel için gerekli erişime ve izinlere sahip olduğunuzdan emin olun.
• İçerik Hub'ında veri bağlayıcısını içeren ilgili çözümü arayın. İçerik Hub'ı, İçerik Yönetimi>Microsoft Sentinel menüsünün altında bulunabilir. Henüz yüklü değilse çözümü yükleyin.

Yapılandırma ve Yönetme

Bağlayıcı sayfasına aşağıdaki yollardan biriyle erişin:

• Yüklü çözümden:

  • Yönet'i seçin
  • Bağlayıcıyı ve ardından Bağlayıcı sayfasını aç'ı seçin

• Bağlayıcı galerisinden:

  • Bağlayıcı galerisi, Microsoft Sentinel menüsü Yapılandırma>Verileri bağlayıcıları altında bulunabilir

Tablo saklama süresini düzenlemek için, tablo yönetimi kılavuzundaki tablo adının sağındaki üç noktayı (...) seçin. 12 yıla kadar bir saklama süresi seçin. Varlık veri bağlayıcısı Bağlı durumunu gösterdiğinde, geçiş düğmesinin metni Bağlantıyı Kes olarak görünür. Bu, alımın etkinleştirildiğini gösterir. Veri alımını devre dışı bırakmak için Bağlantıyı Kes düğmesini seçin. Bağlantı kesildikten sonra bağlayıcı durumu Bağlantısız olarak gösterilir ve düğme metni Bağlan'a geçer.

Etkinlik verilerini zenginleştirmek için varlık verilerini kullanma

Varlık verileri, yalnızca etkinlik günlüklerinden görülmeyecek değerli bağlam ve içgörüler ekler. Örneğin, tablodaki SigninLogs riskli oturum açma işlemlerini araştırırken, bölüm ve işe alma tarihi gibi kullanıcıya özgü öznitelikleri içerecek şekilde tabloyla EntraUsers birleştirerek analizi geliştirebilirsiniz. Bu ek bağlam, güvenlik ekiplerinin kullanıcı davranışını daha iyi anlamasına ve olası tehditleri daha doğru değerlendirmesine yardımcı olur.

SigninLogs
| where IsRisky == true
| join kind=leftouter (
   EntraUsers
   | summarize arg_max(TimeGenerated, userPrincipalName, department, employeeHireDate) by userPrincipalName
) on $left.UserPrincipalName == $right.userPrincipalName
| project Identity, UserPrincipalName, IsRisky, IPAddress, department, employeeHireDate

Varlık verilerinde KQL sorguları yürütme

Sentinel veri gölündeki varlık verileri üzerinde KQL sorguları yürütmek için doğru çalışma alanı kapsamında sorguladığınızdan emin olun. Şu adımları izleyin:

1. Microsoft Sentinel menüsündeki Veri gölü gezgini>KQL sorguları bölümüne gidin

2. Seçili çalışma alanı düğmesini seçin.

   

3. Sistem tabloları çalışma alanının seçili olduğundan emin olun.

   

Varlık veri tabloları, Varlık kategorisi altında gösterilir:

Sonraki Adımlar

• Veri katmanlama seçenekleri ve bekletme ayarlarıyla ilgili ayrıntılar için Tablo Yönetimi belgelerine bakın.
• Varlık verilerinin Purview Veri Riski graflarını nasıl zenginleştirdiğini görün.
• Sentinel veri gölü nasıl sorgulanır