Microsoft Sentinel Veri Gölü'ne Veri Alımı

Örnek IdentityDrift telemetrisini ve ilgili destek tablolarını Sentinel veri gölüne içeri aktarın. Bu verileri bu serinin sonraki makalelerinde sorgulayabilirsiniz.

Bu makale, test verilerini veri gölüne alma, aracı geliştirme ve örnek IdentityDrift platform çözümünü yayımlama adımlarını gösteren bir serinin parçasıdır. Çözüm, tehdit araştırmalarını otomatikleştirmek için kimlik, uç nokta ve bulut güvenliği sinyallerini ilişkilendiren bir Güvenlik Copilot aracısı içerir.

ISV'ler için tipik üretim yaklaşımı

ISV'ler Sentinel'e veri almak için aşağıdaki yaklaşımı kullanmalıdır:

1. Veri Bağlayıcısı geliştirme
   • GitHub Copilot ile VS Code'da Sentinel Bağlayıcı Oluşturucu Aracısını kullanarak bir Sentinel veri bağlayıcısı oluşturun. Bu yapay zeka destekli yaklaşım geliştirme süresini haftalardan saatlere azaltır ve yoklama yapılandırmaları, veri toplama kuralları, bağlayıcı tanımları ve şemalar oluşturmak için doğal dil istemlerini kullanır.
   • Çekme tabanlı veri kaynakları için Kodsuz Bağlayıcı Çerçevesi (CCF) kullanın.
   • Gönderme tabanlı veri kaynakları için CCF Anında İletme'yi kullanın.
2. Verileri veri gölüne aktarın Telemetriyi bağlayıcı aracılığıyla Sentinel'in veri gölüne aktarın
3. Sentinel platform kullanma Veri keşfi, Graph, MCP sunucusu ve Security Copilot aracıları için Sentinel platformu özelliklerini kullanın.

Alternatif: Veri kaynağınız için bir bağlayıcı zaten varsa, bunu etkinleştirmek ve verileri alma işlemini başlatmak için Sentinel Veri Bağlayıcıları Başvurusu'na bakın.

Laboratuvar yöntemi: KQL Jobs ile örnek verileri içeri aktarma

Data Lake'i örnek kayıtlarla doldurmak için KQL İşleri'ni kullanın. Bu yaklaşım:

• Gerçek veri şemasını yansıtır Örnek veriler, bağlayıcı tarafından alınan verilerle aynı şemaya bağlı kalarak veri gölü ve test aracısı mantığını hemen doldurmanızı sağlar.
• Gerçekçi saldırı senaryolarını temsil eder Sahte veriler, üretimde araştıracağınız saldırı düzenlerini ve bağıntıları yeniden oluşturur.

Prerequisites

• Önce veri gölüne dahil olmanız gerekir. Sentinel data lake başlangıç kılavuzuna bakın.

Gerekli izinler

• Güvenlik Yöneticisi veya Güvenlik İşleci rolüne sahip olmanız gerekir.

KQL işi oluşturun

Yeni bir KQL işi oluşturmak için şu adımları izleyin:

1. Defender portalında Sentinel > Data lake keşif > işleri'ne gidin.

2. İş oluştur'u ve ardından Yeni KQL işi oluştur'u seçin

3. İş adı - Benzersiz bir iş adı girin, örneğin CommonSecurity_ID_logs1

4. İş Tanımı - İşin bağlamını ve amacını açıklayın; örneğin IdentityDrift sağlayıcısının CommonSecurity_ID_logs içine aktarması için günlükler oluşturun1

5. Çalışma alanı seçin - Hedef çalışma alanını seçin

6. "Yeni tablo oluştur" altında, örneğin CommonSecurity_ID bir tablo adı girin. KQL işleri tarafından oluşturulan tablolara otomatik olarak _KQL_CL son eki eklenir.

7. İleri'yi seçin

8. İlgili Veri alma KQL sekmesindeki KQL sorgusunu sorgu alanına kopyalayın.

   Tip

   İleri düğmesi griyse, Seçili Çalışma Alanı düğmesini kullanarak bir çalışma alanı seçmeniz gerekir.

9. Zamanlama sayfasına gitmek için İleri'yi seçin.

Görevi zamanlayın

İşin çalıştırma zamanlamasını ayarlamak için:

1. Sorgu işini zamanla sayfasında yürütme seçeneğinizi belirtin:
   • Zamanlanmış iş - İş, belirttiğiniz bir zamanlamaya göre çalışır ve örnek verileri düzenli aralıklarla alır.

Yinelenen kayıtların tabloya eklenmesi için Görevi Zamanla seçeneğini kullanın.

Zamanlanmış işler için:

1. Zamanlama seçeneğini belirleyin
2. Aşağıdaki ayrıntıyı girin:
   • Yineleme sıklığı - Şunu seçin: Dakika, Saatlik, Günlük, Haftalık veya Aylık
   • Her işlemi yinele - İşin seçilen sıklık temelinde çalışma sıklığı
   • Başlangıç tarihi - Tarihi seçin ve işin başlayacağı saati girin.
   • Bitiş tarihi - Zamanlamanın ne zaman bitip bitecesini seçin. Bitiş tarihi olmadan devam etmek için süresiz olarak çalışacak işi ayarla'yı seçin

Gözden geçirme ve gönderme

İşi gözden geçirmek ve göndermek için:

1. İş ayrıntılarını gözden geçirmek için İleri'yi seçin.
2. Tüm ayarları gözden geçirin.
3. İşi oluşturmak için Gönder'i seçin.

Veri alma KQL

SigninLogs, AADRiskyUsers, CommonSecurity_ID_Logs, DeviceProcessEvents ve SecurityAlerts tablolarına veri almak için aşağıdaki her sekmedeki KQL sorgularını kullanarak KQL işi oluşturma adımlarını yineleyin.

AADRiskyUsers

Örnek riskli kullanıcı verilerini Sentinel veri gölündeki AADRiskyUsers tablosuna almak için KQL işinizde aşağıdaki sorguyu kullanın.

datatable(
    TimeGenerated:datetime,
    CorrelationId:string,
    Id:string,
    IsDeleted:bool,
    IsProcessing:bool,
    OperationName:string,
    RiskDetail:string,
    RiskLastUpdatedDateTime:datetime,
    RiskLevel:string,
    RiskState:string,
    UserDisplayName:string,
    UserPrincipalName:string
)
[
    datetime(2026-03-05T14:22:00Z), "riskcorr-identity-047", "a7d2f8c1-4e2b-48f3-9a06-2e5c7b3d9f1a", false, false, "RiskyUserDetected", "adminConfirmedUserCompromised", datetime(2026-02-28T10:15:00Z), "high", "confirmedCompromised", "U1291", "u1291@contoso.onmicrosoft.com",
    datetime(2026-03-05T15:18:00Z), "riskcorr-identity-052", "b9e4a6d2-7f3c-41b8-a2e5-3f6c8d1e2b4a", false, false, "RiskyUserUpdated",  "anonymousIpAddress",             datetime(2026-02-27T14:42:00Z), "medium", "atRisk",              "U3415", "u3415@contoso.onmicrosoft.com",
    datetime(2026-03-05T16:33:00Z), "riskcorr-identity-059", "c5f1b7e3-9d4a-42c1-b8f6-5e7d9c2a3f5b", false, false, "RiskyUserUpdated",  "userPerformedSecuredPasswordReset", datetime(2026-02-26T11:20:00Z), "medium", "remediated",          "U2847",   "u2847@contoso.onmicrosoft.com",
];

CommonSecurity_ID_Logs

Örnek kimlik kaydırma günlüklerini Sentinel veri gölündeki CommonSecurity_ID_Logs tablosuna almak için KQL işinizde aşağıdaki sorguyu kullanın.

datatable(
    TimeGenerated: datetime,
    SourceUserName: string,
    SourceIP: string,
    DestinationHostName: string,
    DeviceCustomString1: string,
    DeviceCustomString1Label: string,
    AdditionalExtensions: string
)
[
    // u1291 – MFA-approved privileged access to AKS
    datetime(2026-03-05T09:20:48Z),
    "u1291@contoso.onmicrosoft.com",
    "185.92.44.17",
    "prod-aks-eastus",
    "MFA Approved",
    "Authentication Status",
    "User accessed Kubernetes cluster with ClusterAdmin role",
    // u1291 – privilege escalation detected
    datetime(2026-03-05T09:22:36Z),
    "u1291@contoso.onmicrosoft.com",
    "185.92.44.17",
    "prod-aks-eastus",
    "Privilege Escalation",
    "Authentication Status",
    "RoleBinding created granting cluster-admin privileges",
    // u2847 – sensitive workload interaction
    datetime(2026-03-05T11:50:14Z),
    "u2847@contoso.onmicrosoft.com",
    "185.92.44.17",
    "prod-aks-eastus",
    "Sensitive Access",
    "Authentication Status", 	
    "kubectl exec executed on workload with known ingress vulnerability",
    // u3415 – service-level access to backup storage
    datetime(2026-03-05T10:45:02Z),
    "u3415@contoso.onmicrosoft.com",
    "10.10.5.24",
    "stgprodbackup01",
    "Access Allowed",
    "Authentication Status",
    "Service account accessed production backup storage"
]

DeviceProcessEvents

Örnek cihaz işlemi olaylarını Sentinel veri gölündeki DeviceProcessEvents tablosuna almak için KQL işinizde aşağıdaki sorguyu kullanın.

datatable(
    TimeGenerated:datetime,
    DeviceName:string,
    DeviceId:string,
    ActionType:string,
    FileName:string,
    FolderPath:string,
    ProcessId:long,
    ProcessCommandLine:string,
    ProcessIntegrityLevel:string,
    AccountName:string,
    AccountDomain:string,
    InitiatingProcessFileName:string,
    InitiatingProcessCommandLine:string,
    InitiatingProcessAccountName:string,
    InitiatingProcessAccountDomain:string
)
[
    // Record 1 – Azure CLI authentication and subscription context
    datetime(2026-03-05T09:23:15.445Z),
    "WIN-DESKTOP-CONTOSO-401",
    "d7e2f9c3a5b1e8d4c6f2",
    "ProcessCreated",
    "az.exe",
    @"C:\Program Files (x86)\Microsoft SDKs\Azure\CLI2\wbin\",
    4156,
    "az login",
    "Medium",
    "u1291",
    "contoso.onmicrosoft.com",
    "powershell.exe",
    "powershell.exe -Command az login",
    "u1291",
    "contoso.onmicrosoft.com",
    // Record 2 – AKS credential retrieval (kubectl context setup)
    datetime(2026-03-05T10:47:22.831Z),
    "WIN-DESKTOP-CONTOSO-502",
    "c3a4b8d2e7f1a5c9e6d4",
    "ProcessCreated",
    "az.exe",
    @"C:\Program Files (x86)\Microsoft SDKs\Azure\CLI2\wbin\",
    5843,
    "az aks get-credentials --resource-group rg-prod --name prod-aks-eastus",
    "Medium",
    "u3415",
    "contoso.onmicrosoft.com",
    "cmd.exe",
    "cmd.exe /c az aks get-credentials --resource-group rg-prod --name prod-aks-eastus",
    "u3415",
    "contoso.onmicrosoft.com",
    // Record 3 – Kubernetes workload inspection
    datetime(2026-03-05T11:52:09.567Z),
    "WIN-DESKTOP-CONTOSO-603",
    "b9c1d5e8f2a4c6d9e1f3",
    "ProcessCreated",
    "kubectl.exe",
    @"C:\Program Files\Kubernetes\",
    6521,
    "kubectl get pods -A",
    "High",
    "u2847",
    "contoso.onmicrosoft.com",
    "explorer.exe",
    "explorer.exe",
    "u2847",
    "contoso.onmicrosoft.com"
]

GüvenlikAlerts

Örnek güvenlik uyarılarını Sentinel veri gölündeki SecurityAlerts tablosuna almak için KQL işinizde aşağıdaki sorguyu kullanın.

datatable(
    TimeGenerated: datetime,
    DisplayName: string,
    AlertName: string,
    AlertSeverity: string,
    Description: string,
    ProviderName: string,
    VendorName: string,
    AlertType: string,
    ConfidenceLevel: string,
    IsIncident: bool,
    CompromisedEntity: string,
    ExtendedProperties: dynamic,
    Entities: dynamic,
    ProductName: string
)
[
    // AKS – malware execution blocked after privilege escalation activity
    datetime(2026-03-05T09:24:10Z),
    "Microsoft Defender for Cloud Kubernetes malware execution blocked",
    "Kubernetes malware execution blocked on node",
    "High",
    "Malware execution was detected and blocked on a Kubernetes node. The activity occurred shortly after privileged access and RBAC changes were performed on the cluster, increasing confidence of malicious intent.",
    "Azure Security Center",
    "Microsoft",
    "K8S.NODE_MalwareBlocked",
    "High",
    true,
    "prod-aks-eastus",
    dynamic({
        "ClusterName": "prod-aks-eastus",
        "Namespace": "prod",
        "NodeRole": "Worker",
        "DetectionSource": "microsoftDefenderForContainers",
        "SuspiciousActivity": "Malware execution in container runtime",
        "RelatedContext": "Recent ClusterAdmin access and RoleBinding creation detected"
    }),
    dynamic([
        {
            "Type": "KubernetesCluster",
            "Name": "prod-aks-eastus",
            "CloudPlatform": "Azure"
        },
        {
            "Type": "Host",
            "HostName": "prod-aks-eastus"
        }
    ]),
    "Azure Security Center",
    // AKS – binary drift blocked on vulnerable workload
    datetime(2026-03-05T11:51:58Z),
    "Microsoft Defender for Cloud Kubernetes binary drift blocked",
    "Kubernetes workload binary drift blocked",
    "Medium",
    "Execution of a workload binary that drifted from the original container image was detected and blocked. The affected workload resides in a production Kubernetes cluster and is associated with a workload previously accessed via kubectl exec.",
    "Azure Security Center",
    "Microsoft",
    "K8S.NODE_DriftBlocked",
    "Medium",
    true,
    "prod-aks-eastus",
    dynamic({
        "ClusterName": "prod-aks-eastus",
        "Namespace": "prod",
        "Workload": "ingress-controller",
        "DriftType": "Binary drift from image baseline",
        "DetectionSource": "microsoftDefenderForContainers"
    }),
    dynamic([
        {
            "Type": "KubernetesCluster",
            "Name": "prod-aks-eastus",
            "CloudPlatform": "Azure"
        },
        {
            "Type": "Host",
            "HostName": "prod-aks-eastus"
        }
    ]),
    "Azure Security Center"
];

SigninLogs

Örnek oturum açma günlüklerini Sentinel veri gölündeki SigninLogs tablosuna almak için KQL işinizde aşağıdaki sorguyu kullanın.

datatable(
    TimeGenerated: datetime,
    UserPrincipalName: string,
    UserId: string,
    AppDisplayName: string,
    ClientAppUsed: string,
    AuthenticationRequirement: string,
    ConditionalAccessStatus: string,
    RiskLevelAggregated: string,
    RiskState: string,
    RiskDetail: string,
    Location: dynamic,
    IPAddress: string,
    DeviceDetail: dynamic,
    Status: dynamic
)
[
    // Normal sign-in from known device and location (baseline)
    datetime(2026-03-08T14:10:00Z),
    "u1291@contoso.onmicrosoft.com",
    "9214593d-65f8-43fd-c4a5-f80aty691141",
    "Microsoft Teams",
    "Browser",
    "singleFactorAuthentication",
    "success",
    "low",
    "none",
    "noRiskDetected",
    dynamic({"countryOrRegion":"US","state":"Texas","city":"Dallas"}),
    "20.81.45.10",
    dynamic({"deviceId":"device-jm-001","operatingSystem":"Windows 11","browser":"Edge","isCompliant":true,"isManaged":true}),
    dynamic({"errorCode":0,"failureReason":"None"}),
    // Identity drift: new device and new geographic location
    datetime(2026-03-08T14:18:00Z),
    "u1291@contoso.onmicrosoft.com",
    "9214593d-65f8-43fd-c4a5-f80aty691141",
    "Azure Portal",
    "Browser",
    "multiFactorAuthentication",
    "success",
    "medium",
    "atRisk",
    "newDevice",
    dynamic({"countryOrRegion":"Germany","state":"Berlin","city":"Berlin"}),
    "91.198.174.22",
    dynamic({"deviceId":"unknown","operatingSystem":"Linux","browser":"Chrome","isCompliant":false,"isManaged":false}),
    dynamic({"errorCode":0,"failureReason":"MFA required due to unfamiliar sign-in"}),
    // Identity drift: impossible travel detected
    datetime(2026-03-08T14:21:00Z),
    "u3415@contoso.onmicrosoft.com",
    "8214593d-75e8-4efd-c4a5-f80aty691131",
    "Microsoft 365",
    "Browser",
    "multiFactorAuthentication",
    "success",
    "high",
    "confirmedCompromised",
    "impossibleTravel",
    dynamic({"countryOrRegion":"China","state":"Beijing","city":"Beijing"}),
    "101.226.4.6",
    dynamic({"deviceId":"unknown","operatingSystem":"macOS","browser":"Safari","isCompliant":false,"isManaged":false}),
    dynamic({"errorCode":0,"failureReason":"Impossible travel detected"}),
    // Identity drift: sign-in blocked by Conditional Access
    datetime(2026-03-08T14:25:00Z),
    "u1291@contoso.onmicrosoft.com",
    "3214593d-65f8-53fd-c4a5-c80aty691441",
    "Azure DevOps",
    "Browser",
    "singleFactorAuthentication",
    "failure",
    "high",
    "atRisk",
    "anomalousToken",
    dynamic({"countryOrRegion":"Russia","state":"Moscow","city":"Moscow"}),
    "185.199.108.153",
    dynamic({"deviceId":"unknown","operatingSystem":"Windows 10","browser":"Firefox","isCompliant":false,"isManaged":false}),
    dynamic({"errorCode":53003,"failureReason":"Access blocked by Conditional Access policy"})
];

Sonraki Adımlar

Data Lake'iniz artık IdentityDrift, Microsoft Entra ID ve Microsoft Defender örnek telemetri verileriyle doldurulur. Bu verileri, Güvenlik Copilot aracınızı test etmek ve geliştirmek için kullanın. Sentinel MCP Server araçlarını keşfetmek ve istemleri kullanarak verileri sorgulamak için bkz. Visual Studio Code'da MCP aracını kullanma.

IdentityDrift için Security Copilot Aracısı kullanım örneğini oluşturmaya devam etmeden önce, Sentinel MCP kullanarak Sentinel veri gölünden alınan verileri sorgulamayı öğrenmek için bu adımda alınan örnek verileri sorgulamak üzere aşağıdaki istemlerle MCP sunucusunu inceleyin.

VS Code Chat aracılığıyla Sentinel MCP için örnek istemler:

• Çalışma alanımda "kimlik" veya "oturum açma" ile ilgili tabloları arayın.
• DeviceProcessEvents_KQL_CL'de u1291 kullanıcısı için işlem yürütme olaylarını göster - hangi komutları çalıştırdılar?
• u1291@contoso.onmicrosoft.com için etkinlikleri ilişkilendirin: SigninLogs_KQL_CL içindeki oturum açma riskini, CommonSecurity_ID_KQL_CL içindeki erişimini ve DeviceProcessEvents_KQL_CL içindeki herhangi bir işlem yürütmesini denetleyin. Saldırı zincirini özetleyin.

Devam et Security Copilot aracısı oluşturmaya