Not
Bu sayfaya erişim yetkilendirme gerektiriyor. Oturum açmayı veya dizinleri değiştirmeyi deneyebilirsiniz.
Bu sayfaya erişim yetkilendirme gerektiriyor. Dizinleri değiştirmeyi deneyebilirsiniz.
Bu makalede, tek başına bağlayıcılar aracılığıyla alınan uyarılar ile Microsoft Sentinel'daki Microsoft Defender XDR bağlayıcısı aracılığıyla alınan uyarılar arasındaki farklar açıklanmaktadır.
Tek başına bağlayıcılar uyarıları doğrudan özgün güvenlik ürünlerinden alırken, Microsoft Defender XDR bağlayıcısı uyarıları Microsoft Defender XDR işlem hattı üzerinden alır. Buna Office 365 için Microsoft Defender, Uç Nokta için Microsoft Defender, Kimlik için Microsoft Defender, Bilgi Riski Yönetimi (IRM), Veri Kaybı Önleme (DLP), Microsoft Defender for Cloud (MDC) ve Microsoft Defender for Cloud Apps (MDA).
Bu farklılıklar alan eşlemelerini, türetilmiş alan davranışını, şema yapısını, uyarı alımını ve bağlayıcı davranışını etkileyebilir ve bu da mevcut sorgularınızı, analiz kurallarınızı, çalışma kitaplarınızı ve otomasyonunuzu etkileyebilir. XDR bağlayıcısına geçmeden veya Microsoft Sentinel Microsoft Defender XDR ile Defender portalına eklemeden önce bu farkları gözden geçirin.
Tam uyarı şeması için bkz . Güvenlik uyarısı şeması başvurusu.
Defender portalına ekledikten sonra tek başına bağlayıcı davranışı
Microsoft Defender XDR ile Defender portalına Microsoft Sentinel ekledikten sonra, Microsoft güvenlik ürünlerinden gelen uyarılar tek başına Microsoft yerine Microsoft Defender XDR bağlayıcısı üzerinden yönlendirilir güvenlik ürünü uyarı bağlayıcıları.
Tek çalışma alanılı bir ortamda, Microsoft güvenlik ürünlerinden gelen uyarılar Microsoft Sentinel'da kullanılabilir olmaya devam eder, ancak Microsoft Defender XDR bağlayıcısı aracılığıyla alınmaktadır. Bu değişiklik kaynakla ilgili alanları, alan eşlemelerini, şema davranışını, sorguları, analiz kurallarını, çalışma kitaplarını ve otomasyonu etkileyebilir.
Çok çalışma alanılı bir ortamda, Microsoft Defender XDR bağlayıcısı yalnızca birincil çalışma alanına bağlanır. Çalışma alanları arasında kiracı tabanlı uyarıların yinelenmesini önlemek için, Office 365 için Microsoft Defender, Microsoft Entra ID Koruması Microsoft Defender for Cloud Apps için tek başına veri bağlayıcıları Uç Nokta için Microsoft Defender ve Kimlik için Microsoft Defender, ekleme sırasında ikincil çalışma alanlarında otomatik olarak kesilir.
Sonuç olarak, bu Microsoft güvenlik ürünlerinden gelen kiracı tabanlı uyarılar yalnızca birincil çalışma alanında kullanılabilir. İkincil çalışma alanlarındaki tek başına Microsoft güvenlik ürünü bağlayıcılarından gelen uyarılara bağımlı olan sorgular, analiz kuralları, çalışma kitapları, otomasyon kuralları veya tümleştirmeler artık ekleme sonrasında beklendiği gibi çalışmaz.
Microsoft olmayan veri bağlayıcıları bu davranıştan etkilenmez.
Daha fazla bilgi için bkz. Defender portalında birden çok Microsoft Sentinel çalışma alanı.
CompromisedEntity davranışı
CompromisedEntity alanı, uyarılar XDR bağlayıcısı aracılığıyla alındığında ürünler arasında farklı şekilde işlenir.
| Ürün | XDR uyarılarında CompromisedEntity eşdeğer değeri |
|---|---|
| Uç Nokta için Microsoft Defender (MDE) | Uyarı varlıklarının JSON olduğu "LeadingHost": true cihaz |
| Microsoft Entra ID (Kimlik Koruması) | Her zaman kullanıcının UPN'sine ayarlayın |
| Kimlik için Microsoft Defender (MDI) | Sabit dize "CompromisedEntity" |
Not
MDE uyarılarında CompromisedEntity, bulunduğu "LeadingHost": truecihazdan türetilir. Bazı uyarılarda bu alan doldurulmayabilir.
MDI uyarılarında, CompromisedEntity bir konağı veya kullanıcıyı temsil etmez ve her zaman değişmez değer dizesidir "CompromisedEntity".
Alan eşleme değişiklikleri
Bazı alanlar XDR bağlayıcısından gelen uyarılarda yeniden adlandırılır veya farklı değer kümeleri kullanır.
| Ürün | Eski alan/özellik | XDR davranışı |
|---|---|---|
| MDE | ExtendedProperties.MicrosoftDefenderAtp.Category | Eşlenen ExtendedProperties.Category |
| Office için Microsoft Defender (MDO) | ExtendedProperties.Status | Eski değer kümesinden farklı bir değer kümesi kullanır |
| Office için Microsoft Defender (MDO) | ExtendedProperties.InvestigationName | Yok |
Yapısal şema dönüştürmeleri (MDI)
Tek başına Kimlik için Microsoft Defender (MDI) bağlayıcısı bazen ek bilgileri depolamak için yer tutucu varlıkları kullanırdı. XDR bağlayıcısında bu bilgiler koleksiyonun altındaki özelliklere resourceAccessEvents katlanır.
| Eski varlık/özellik | XDR gösterimi |
|---|---|
| ResourceAccessInfo.Time | resourceAccessEvents[].AccessDateTime |
| ResourceAccessInfo.IpAddress | resourceAccessEvents[].IpAddress |
| ResourceAccessInfo.ResourceIdentifier.AccountId | resourceAccessEvents[].AccountId |
| ResourceAccessInfo.ResourceIdentifier.ResourceName | resourceAccessEvents[].ResourceIdentifier |
| DomainResourceIdentifier | resourceAccessEvents[].ResourceIdentifier |
ResourceAccessInfo'nun tanımlandığı Konak varlığıyla aynı olduğundan ResourceAccessInfo.ComputerId artık gerekli değildir.
Uyarı alımı filtreleme
Tek başına bağlayıcılar aracılığıyla sağlanan bazı uyarılar XDR bağlayıcısı aracılığıyla alınmıyor.
| Ürün | Filtreleme davranışı |
|---|---|
| Bulut için Microsoft Defender (MDC) | Bilgilendirici önem derecesi uyarıları alınmıyor |
| Microsoft Entra ID | Varsayılan olarak, Yüksek önem derecesi altındaki uyarılar alınamaz; müşteriler alımı tüm önem derecelerini içerecek şekilde yapılandırabilir |
Kapsam belirleme davranışı (Bulut için Microsoft Defender)
Bulut uyarıları için Microsoft Defender, XDR bağlayıcısı aracılığıyla alınırken farklı kapsam belirleme kullanır.
| Tek başına bağlayıcı kapsamı | XDR bağlayıcı kapsamı |
|---|---|
| Abonelik düzeyi | Kiracı düzeyi |
Not
Tüm MDC uyarıları kiracının birincil çalışma alanında kullanılabilir. Uyarıların kapsamı, Defender XDR içindeki MDC abonelik kapsamlarına göre belirlenmiştir.