Microsoft Sentinel'da birden çok çalışma alanı ve kiracı için hazırlanma

Önemli

31 Mart 2027'nin ardından Microsoft Sentinel artık Azure portal desteklenmeyecektir ve yalnızca Microsoft Defender portalında kullanılabilir. Azure portal Microsoft Sentinel kullanan tüm müşteriler Defender portalına yönlendirilir ve yalnızca Defender portalında Microsoft Sentinel kullanır.

Azure portal hala Microsoft Sentinel kullanıyorsanız, sorunsuz bir geçiş sağlamak ve Microsoft Defender tarafından sunulan birleşik güvenlik işlemleri deneyiminden tam olarak yararlanmak için Defender portalına geçişinizi planlamaya başlamanızı öneririz.

Dağıtımınıza hazırlanmak için birden çok çalışma alanı mimarisinin ortamınız için uygun olup olmadığını belirlemeniz gerekir. Bu makalede, Microsoft Sentinel kuruluşunuzun gereksinimlerine uygun olup olmadığını belirleyebilmeniz için birden çok çalışma alanı ve kiracıyı nasıl genişletebileceğini öğreneceksiniz. Bu makale, Microsoft Sentinel dağıtım kılavuzunun bir parçasıdır.

çalışma alanları arasında Microsoft Sentinel genişletmek için hangi portalı kullandığınıza bağlı olarak aşağıdaki kurulum yönergeleri kümelerinden birini kullanın:

Portal	Referanslar
Microsoft Defender portalı	- Defender portalında birden çok Microsoft Sentinel çalışma alanı - Microsoft Defender çok kiracılı yönetimi
Azure portal	- Microsoft Sentinel'i çalışma alanları ve kiracılar arasında genişletin - Çalışma alanı yöneticisiyle Microsoft Sentinel için etkinleştirilen birden çok Log Analytics çalışma alanını merkezi olarak yönetme

Birden çok çalışma alanı kullanma gereksinimi

Microsoft Sentinel eklediğinizde ilk adımınız Log Analytics çalışma alanınızı seçmektir. Tek bir çalışma alanıyla Microsoft Sentinel deneyiminin tüm avantajlarından yararlanabilirsiniz ancak bazı durumlarda çalışma alanınızı genişleterek çalışma alanları ve kiracılar arasında verilerinizi sorgulamak ve analiz etmek isteyebilirsiniz.

Bu tabloda bu senaryolardan bazıları listelenir ve mümkün olduğunda senaryo için tek bir çalışma alanını nasıl kullanabileceğinizi önerir.

Gereksinim	Açıklama	Çalışma alanı sayısını azaltmanın yolları
Egemenlik ve mevzuat uyumluluğu	Çalışma alanı belirli bir bölgeye bağlıdır. Mevzuat gereksinimlerini karşılamak üzere verileri farklı Azure coğrafyalarda tutmak için verileri ayrı çalışma alanlarına ayırın. Microsoft Sentinel'da veriler, Microsoft'un Makine Öğrenmesi'nden yararlanan algılama kurallarının kullanılması gibi bazı özel durumlar dışında çoğunlukla aynı coğrafyada veya bölgede depolanır ve işlenir. Bu gibi durumlarda veriler işlenmek üzere çalışma alanı coğrafyanızın dışına kopyalanabilir.
Veri sahipliği	Veri sahipliğinin sınırları( örneğin yan kuruluşlar veya bağlı şirketler) ayrı çalışma alanları kullanılarak daha iyi ayırt edilir.
Birden fazla Azure kiracısı	Microsoft Sentinel, yalnızca kendi Microsoft Entra kiracı sınırları içinde bulunan Microsoft ve Azure SaaS kaynaklarından veri toplamayı destekler. Bu nedenle, her Microsoft Entra kiracı ayrı bir çalışma alanı gerektirir.
Ayrıntılı veri erişim denetimi	Bir kuruluşun, Microsoft Sentinel tarafından toplanan bazı verilere kuruluş içinde veya dışında farklı gruplara erişmesine izin vermesi gerekebilir. Örneğin: Kaynak sahiplerinin kaynaklarıyla ilgili verilere erişimi Bölgesel veya yan kuruluş SOC'lerinin kuruluş bölümleriyle ilgili verilere erişimi	kaynak Azure RBAC veya tablo düzeyi Azure RBAC kullanın
Ayrıntılı saklama ayarları	Geçmişte, farklı veri türleri için farklı saklama süreleri ayarlamanın tek yolu birden çok çalışma alanıydı. Tablo düzeyinde saklama ayarlarının kullanıma sunulması sayesinde bu artık birçok durumda gerekli değildir.	Tablo düzeyinde saklama ayarlarını kullanma veya veri silmeyi otomatikleştirme
Faturalamayı bölme	Çalışma alanlarını ayrı aboneliklere yerleştirerek farklı taraflara faturalandırılabilirler.	Kullanım raporlama ve çapraz ücretlendirme
Kalıt mimari	Birden çok çalışma alanının kullanımı, artık geçerli olmayan sınırlamaları veya en iyi yöntemleri dikkate alan geçmiş bir tasarımdan kaynaklanıyor olabilir. Ayrıca, Microsoft Sentinel’e daha iyi uyum sağlamak için değiştirilebilecek keyfî bir tasarım tercihi de olabilir. Örnekler şunları içerir: Bulut için Microsoft Defender dağıtırken abonelik başına varsayılan çalışma alanı kullanma Ayrıntılı erişim denetimi veya saklama ayarları gereksinimi, çözümleri nispeten yenidir	Çalışma alanlarını yeniden tasarla

Kaç kiracı ve çalışma alanı kullanılacağını belirlerken, çoğu Microsoft Sentinel özelliğinin tek bir çalışma alanı veya Microsoft Sentinel örneği kullanılarak çalıştığını ve Microsoft Sentinel çalışma alanı içinde yer alan tüm günlükleri aldığına dikkat edin.

Yönetilen Güvenlik Hizmeti Sağlayıcısı (MSSP)

MSSP söz konusu olduğunda, yukarıdaki gereksinimlerin hepsi olmasa da çoğu geçerlidir; bu da farklı kiracılar genelinde birden çok çalışma alanı kullanılmasını en iyi uygulama hâline getirir. Özellikle, her Microsoft Entra kiracısı için yalnızca kendi Microsoft Entra kiracısında çalışan yerleşik hizmet-hizmet veri bağlayıcılarını desteklemek üzere en az bir çalışma alanı oluşturmanızı öneririz.

• Tanılama ayarlarını temel alan bağlayıcılar, kaynağın bulunduğu kiracıda olmayan bir çalışma alanına bağlanamaz. Bu, Azure Güvenlik Duvarı, AzureDepolama, Azure Etkinliği veya Microsoft Entra ID gibi bağlayıcılar için geçerlidir.

• İş ortağı veri bağlayıcıları genellikle API'lere veya aracı tabanlı toplama yöntemlerine dayanır ve bu nedenle belirli bir Microsoft Entra kiracısına bağlı değildir.

Farklı kiracılarda birden fazla Microsoft Sentinel örneğini yönetmek için Azure Lighthouse kullanın.

Birden çok çalışma alanı mimarisi Microsoft Sentinel

Yukarıdaki gereksinimlerin de ima ettiği gibi, tek bir SOC’nin, Microsoft Sentinel’in etkin olduğu birden çok Log Analytics çalışma alanını, Microsoft Entra kiracıları arasında da olabilecek şekilde merkezi olarak yönetmesi ve izlemesi gereken durumlar vardır.

• Bir MSSP Microsoft Sentinel Hizmeti.
• Her biri kendi yerel SOC'sine sahip olan birden çok yan kuruluşa hizmet veren küresel bir SOC.
• Bir kuruluştaki birden çok Microsoft Entra kiracısını izleyen bir SOC.

Microsoft Sentinel, bu durumları ele almak için merkezi izleme, yapılandırma ve yönetimi etkinleştiren ve SOC'nin kapsadığı her şeyde tek bir cam bölmesi sağlayan birden çok çalışma alanı özelliği sunar. Bu diyagramda bu tür kullanım örnekleri için örnek bir mimari gösterilmektedir.

Bu model, tüm verilerin tek bir çalışma alanına kopyalandığı tam merkezi bir modele göre önemli avantajlar sunar:

• Genel ve yerel SOC'lere veya MSSP müşterilerine esnek rol ataması.
• Veri sahipliği, veri gizliliği ve mevzuat uyumluluğuyla ilgili daha az zorluk.
• Minimum ağ gecikme süresi ve ücretleri.
• Yeni yan kuruluşların veya müşterilerin kolayca sisteme dahil edilmesi ve sistemden çıkarılması.

Sonraki adımlar

Bu makalede, Microsoft Sentinel birden çok çalışma alanı ve kiracıyı nasıl genişletebileceğini öğrendiniz.

Veri bağlayıcılarının önceliklerini belirleme