資料收集最佳做法

本節將檢閱使用 Microsoft Sentinel 資料連接器收集資料的最佳做法。 如需詳細資訊，請參閱連接資料來源、Microsoft Sentinel 資料連接器參考和 Microsoft Sentinel 解決方案目錄。

設定資料連接器的優先順序

了解如何在 Microsoft Sentinel 部署過程中排定資料連接器的優先順序。

擷取之前先篩選記錄

您可能想要先篩選收集的記錄，甚至是記錄內容，再將數據內嵌至 sentinel Microsoft。 例如，您可能想要篩選出與安全性作業無關或不重要的記錄，或是想要從記錄訊息中移除不必要的詳細數據。 使用具有許多不相關詳細數據的 Syslog、CEF 或 Windows 型記錄時，篩選訊息內容可能也很實用。

使用下列其中一種方法來篩選您的記錄：

• Azure 監視器代理程式。 Windows 和 Linux 上都支援擷取 Windows 安全性事件。 設定代理程式只收集指定的事件，以篩選所收集的記錄。

• Logstash. 支援篩選訊息內容，包括對記錄訊息進行變更。 如需詳細資訊，請參閱與 Logstash 連線。

重要

使用 Logstash 篩選訊息內容會導致將記錄當做自訂記錄來擷取，使得任何免費層記錄變成付費層記錄。

自訂記錄也需要加入分析規則、威脅搜捕和活頁簿，因為這些項目不會自動新增。 Machine Learning 功能目前也不支援自訂記錄。

替代資料擷取需求

由於各種挑戰，數據收集的標準組態可能無法正常運作。 下表描述常見的挑戰或需求，以及可能的解決方案和考量。

備註

下列章節中列出的許多解決方案都需要自訂資料連接器。 如需詳細資訊，請參閱建立 Microsoft Sentinel 自訂連接器的資源。

內部部署 Windows 記錄收集

挑戰/需求	可能的解決方案	考量
需要記錄篩選	使用 Logstash 使用 Azure Functions 使用 LogicApps 使用自訂程式碼 (.NET、Python)	雖然篩選可能會導致節省成本並只擷取必要的資料，但不支援某些 Microsoft Sentinel 功能，例如 UEBA、實體頁面、機器學習和融合。 設定記錄篩選時，請在資源中進行更新，例如威脅搜捕查詢和分析規則。
無法安裝代理程式	使用 Azure 監視器代理程式支援的 Windows 事件轉送	使用 Windows 事件轉送可將 Windows 事件收集器每秒的負載平衡事件，從 10,000 個事件降低為 500-1000 個事件。
伺服器無法連線到網際網路	使用 Log Analytics 閘道	設定代理程式的 Proxy 需要額外的防火牆規則，以允許閘道運作。
擷取時需要標記和擴充	使用 Logstash 插入 ResourceID 使用 ARM 範本將 ResourceID 插入內部部署電腦 將資源識別碼擷取到不同的工作區中	Log Analytics 不支援自定義數據表的角色型訪問控制 （RBAC）。 Microsoft Sentinel 不支持數據列層級 RBAC。 提示：您可能想要針對 Sentinel Microsoft 採用跨工作區設計和功能。
需要分割作業和安全性記錄檔	使用 Microsoft Monitoring Agent 或 Azure 監視器代理程式多重主目錄功能	多重主目錄功能需要代理程式的更多部署額外負荷。
需要自訂記錄	從特定資料夾路徑收集檔案 使用 API 擷取 使用 PowerShell 使用 Logstash	您可能有篩選記錄的問題。 不支援自訂方法。 自定義連接器可能需要開發人員技能。

內部部署 Linux 記錄收集

挑戰/需求	可能的解決方案	考量
需要記錄篩選	使用 Syslog-NG 使用 Rsyslog 針對代理程式使用 FluentD 設定 使用 Azure 監視器代理程式/Microsoft Monitoring Agent 使用 Logstash	代理程式可能不支援某些 Linux 發行版本。 使用 Syslog 或 FluentD 需要開發人員知識。 如需詳細資訊，請參閱連線到 Windows 伺服器以收集安全性事件和用於建立 Microsoft Sentinel 自訂連接器的資源。
無法安裝代理程式	使用 Syslog 轉寄站，例如 syslog-ng 或 rsyslog。
伺服器無法連線到網際網路	使用 Log Analytics 閘道	設定代理程式的 Proxy 需要額外的防火牆規則，以允許閘道運作。
擷取時需要標記和擴充	使用 Logstash 進行擴充，或是自訂方法 (例如 API 或事件中樞)。	您可能需要額外的工作才能篩選。
需要分割作業和安全性記錄檔	使用具有多路連接設定的 Azure 監視器代理程式。
需要自訂記錄	使用 Microsoft Monitoring Agent (Log Analytics 代理程式) 建立自訂收集器。

端點解決方案

如果您需要從端點解決方案收集記錄 (例如 EDR、其他安全性事件、Sysmon 等)，請使用下列其中一種方法：

• Microsoft Defender 全面偵測回應連接器，可從適用於端點的 Microsoft Defender 收集記錄。 此選項會產生額外的資料擷取成本。
• Windows 事件轉送。

備註

負載平衡會減少每秒可處理至工作區的事件數目。

Office 資料

如果除了標準連接器資料，還需要收集 Microsoft Office 資料，請使用下列其中一個解決方案：

挑戰/需求	可能的解決方案	考量
從 Teams、郵件追蹤、網路釣魚資料等收集未經處理資料	使用內建 Office 365 連接器功能，然後為其他未經處理資料建立自訂連接器。	將事件對應至對應的 recordID 可能很困難。
需要 RBAC 以分割國家/地區、部門等	將標籤新增至資料，並針對每個所需的分隔建立專用工作區，以自訂資料收集。	自訂資料收集有額外的擷取成本。
在單一工作區中需要多個租用戶	使用 Azure Lighthouse 和整合事件檢視來自訂資料收集。	自訂資料收集有額外的擷取成本。 如需詳細資訊，請參閱跨工作區和租用戶擴充 Microsoft Sentinel。

雲端平台資料

挑戰/需求	可能的解決方案	考量
篩選來自其他平台的記錄	使用 Logstash 使用 Azure 監視器代理程式/Microsoft Monitoring Agent (Log Analytics 代理程式)	自訂收集有額外的擷取成本。 您可能會面臨收集所有 Windows 事件與僅安全性事件的挑戰。
無法使用代理程式	使用 Windows 事件轉送	您可能需要在資源之間平衡工作負載。
伺服器位於實體隔離斷網網路	使用 Log Analytics 閘道	設定代理程式的 Proxy 需要防火牆規則，以允許閘道運作。
擷取時的 RBAC、標記和擴充	建立透過 Logstash 或 Log Analytics API 的自訂收集。	自訂資料表不支援 RBAC 任何資料表都不支援資料列層級 RBAC。

相關內容

如需詳細資訊，請參閱

• 預先部署活動和部署Microsoft Sentinel 的必要條件
• Microsoft Sentinel 的最佳做法
• 連線資料來源