管理 Microsoft Sentinel 中的資料層級與保留

您匯入 Microsoft Sentinel (SIEM) 和 Microsoft Defender 全面偵測回應 的資料會儲存在資料表中。 Microsoft Defender 入口網站讓您能管理資料的保存期限及儲存成本。 您可以透過下列方式管理保留期限與成本：

本文說明如何在 Microsoft Defender 入口網站中管理資料表保留原則和層級選項，以在 Microsoft Sentinel 和 Microsoft Defender 全面偵測回應 中優化安全性作業並降低成本。

你可以在 Microsoft Defender 入口網站管理哪些表格？

本節描述您可以在 Microsoft Defender 入口網站中管理的資料表類型。

這張截圖顯示 Defender 入口網站的表格管理畫面。

表格類型 描述 範例 位於 Microsoft Sentinel 工作區嗎？
Microsoft Sentinel 內建表格，包括：
- Azure 資料表，例如 AzureDiagnostics 和 SigninLogs。
- Microsoft Sentinel 資料表。
- Microsoft Defender 全面偵測回應 與 Microsoft Sentinel 的整合，會在您將分析保留期延長至超過 30 天時，於 Microsoft Sentinel 工作區中建立。 請參閱 XDR 資料表類型，以了解目前尚未受支援的 Defender 全面偵測回應 資料表。		 - Azure 表格： AzureDiagnostics，SigninLogs
- Microsoft Sentinel 表格： AWSCloudTrail，SecurityAlert
- XDR 資料表：DeviceEvents，
AlertInfo		 是
自訂 您在 Microsoft Sentinel 工作區中手動建立或透過作業建立的資料表，包括摘要規則和搜尋作業結果資料表，以及自訂資料來源資料表。 帶有 _CL 或 _SRCH 後綴的表格。 是
XDR XDR 預設層的表格，預設有 30 天的分析保留期。 你可以查看這些表格，但無法從 Defender 入口網站管理。 IdentityInfo 否

注意事項

你可以從Microsoft Defender入口網站查看Microsoft Sentinel工作區中的基本日誌資料表，但目前只能從Log Analytics工作區管理。 若要從 Microsoft Defender 入口網站管理這些資料表，請在您的 Microsoft Sentinel 工作空間中將資料表計畫從基本日誌改為分析。

資料層級與資料保留的運作方式

你可以在 Microsoft Sentinel 中保留兩個層級之一的資料：

  • 分析層級：此層級提供資料用於警報、搜尋、工作簿及所有 Microsoft Sentinel 功能。 它保留兩種狀態的資料：

    • 分析保留期：在此「經常性」狀態下，資料可完整用於即時分析，包括高效能查詢、分析規則及搜捕威脅。 根據預設，Microsoft Sentinel 與 Microsoft Defender 全面偵測回應 會在此層級保留資料 30 天。 你可以將所有表格的保留期限延長至最長兩年，並按月度按比例收取長期保留費。 你可以免費將 Microsoft Sentinel 解決方案資料表的保留期限延長至 90 天。
    • 總保留：預設情況下，分析層級的所有資料都會鏡像到資料湖，保留期限相同。 你可以將湖中資料的保留期限延長到分析保留期之外，總保存期限可達12年，且成本低廉。

  • 資料湖 層級：在這個低成本的「冷」層級中，Microsoft Sentinel 僅在資料湖中保留您的資料。 資料湖 層級的資料無法用於即時分析功能與威脅狩獵。 不過，你可以隨時透過 KQL 工作存取湖中資料，透過排程的 KQL 或 Spark 工作分析趨勢，並透過摘要規則以固定節奏彙整輸入資料的洞察。

  • XDR 資料：預設情況下，Microsoft Defender 全面偵測回應 威脅狩獵資料在分析層級中持續提供 30 天。 你可以將這些資料在分析層級延長至90天，這會產生資料擷取成本，而儲存則是免費的。 在分析層級延長保留期限超過 90 天，也會產生儲存成本。 你也可以只在 資料湖 層級匯入資料，但資料在 Analytics 層級仍可保留 30 天。 直接將 XDR 資料匯入 資料湖 層級更具成本效益，但涉及擷取、儲存與處理成本。 在此選項中，客戶仍可免費獲得 30 天的分析層資料。

欲了解更多關於分析層級與 資料湖 層級差異的資訊，請參閱「比較分析層級與 data lake 層級」。

下圖說明了 Analytics、資料湖 和 XDR 預設層級的保留組件，以及適用於各層級的資料表類型：

這張圖顯示了 Microsoft Defender 入口網站中的分析與資料湖層級。

欲了解更多關於 Microsoft Sentinel 資料湖的資訊，請參閱「什麼是 Microsoft Sentinel 資料湖」。

使用資料表洞察功能進行資料表層級的可觀測性分析

在 Microsoft Defender 入口網站中，「資料表深入解析」是「資料表」頁面上的內建監視檢視，可協助您了解所選 Microsoft Sentinel 工作區中資料表層級的擷取健康情況。 此檢視提供快速的可觀察性訊號，讓您能在變更層級或保留設定前，識別擷取和成本模式。

表格洞察包含以下訊號：

  • 按層級分類的攝取量
  • 每日與週的攝取波動
  • 依每日擷取量排名的主要資料表
  • 最後收到的資料
  • 預估每日攝取成本
  • 體積異常

使用這些訊號來偵測連接器故障、調查成本突然增加的情況、驗證新連接器的上線作業，以及找出適合調整保留期和層級規模的資料表。

這很重要

Table insights 是用於調查分析的視覺化介面。 它不是可用於計費或警示的介面。

關於設定、存取及解讀的指引，請參閱 Microsoft Sentinel 中的「配置資料表設定」。

比較分析服務與資料湖層級

下表比較了分析層級與 資料湖 層級及其主要特性：

比較 分析層 資料湖層
主要特性 針對記錄提供高效能查詢和編製索引功能 (亦稱為經常性保留或互動式保留)。 成本效益高的長期大資料保存 (也稱為冷儲存) 。
適用對象 即時分析規則、警示、搜尋、工作簿，以及所有 Microsoft Sentinel 功能。 - 合規與法規記錄。
- 歷史趨勢分析與法醫。
- 不需要用於即時警示，且不常存取的資料。
攝取成本 標準 最小
包含查詢費用 ✅ ❌
優化查詢效能 ✅ ❌ 查詢速度較慢。
適合用於稽核。 並非針對即時分析進行優化。
查詢功能 完整的查詢功能可在 Microsoft Defender 入口網站、Azure 入口網站，以及使用 API 實現。 - 完整的查詢功能，包括聯集和聯結。
- 執行已排程的 KQL 或 Spark 作業。
- 用筆記本。
完整的即時分析功能 ✅ ❌ 部分功能有限制，包括分析規則、搜尋查詢、解析器、監控清單、工作簿和戰術手冊。
尋找工作 ✅ ✅
摘要規則 ✅ ✅ 可對單一資料表使用完整 KQL，並可使用 lookup，以分析資料表中的資料進行擴充。
還原 ✅ ❌ KQL 和 Notebook 的工作可以將資料提升到分析層級。
資料匯出 ✅ ❌
保留期 Microsoft Sentinel 為 90 天，Microsoft Defender 全面偵測回應 為 30 天。
可延長至最長兩年，並按比例收取每月長期保留費用。		 預設與分析保留期限相同。 可延長至最長12年。

修改桌面設定時會發生什麼事

你可以隨時切換資料表的層級和保留設定。

當你將資料表的層級從 Analytics 改為 資料湖 時，所有即時分析和搜尋查詢都會停止運作。

當你縮短資料表的總保留期限時，Microsoft 會等 30 天才移除資料，這樣你可以還原變更，避免設定錯誤時的資料遺失。

當你增加總保留率時，新的保留期會適用於所有已經被匯入資料表但尚未移除的資料。

當你更改包含現有資料表的分析保留設定時，變更會立即生效。

範例：

  • 你在分析層級有一個資料表，分析保留期為 180 天。 預設情況下，總保留時間也設定為 180 天。
  • 你可以將分析保留期改為 90 天，但總保留率仍維持 180 天。
  • Microsoft Sentinel 會自動從分析保留中移除最近 90 天的資料，但會繼續將已存在 90 到 180 天的資料儲存在 資料湖 階層中。

在 Microsoft Sentinel 中管理 XDR 資料

根據預設，Microsoft Defender 全面偵測回應 會將威脅搜捕資料在 XDR 預設層中保留 30 天。 這些資料預設不會被匯入 Analytics 或 資料湖 層級。 若將支援的 XDR 資料表保留期限延長至 30 天以上至 90 天，則需支付 Sentinel 擷取費用，但不會有額外的儲存成本。 這些資料表會在您的 Microsoft Sentinel 工作區中的 Analytics 層建立，並鏡像至 資料湖 層。

如果你在 Azure 入口網站啟用 Microsoft Sentinel XDR 連接器，設定時選擇的資料表會自動匯入分析層級，並鏡像到 資料湖 層級。 預設保留期限為30天，且可延長至12年。 如需資料表清單，請參閱 Microsoft Defender 全面偵測回應 與 Microsoft Sentinel 的整合。 你可以將在部署連接器時未選取的受支援 XDR 資料表匯入 Analytics 層，並藉由將保留期間設為超過 30 天，將這些資料表鏡像到 資料湖 層。

如果你沒有啟用 Microsoft Sentinel XDR 連接器，XDR 資料表不會自動被匯入，但你仍可在 Microsoft Defender 入口網站中將 Analytics 或 資料湖 的保留期限設定為超過 30 天來匯入。

你可以在設定保留設定時選取 資料湖 tier 選項，選擇僅將支援的 XDR 資料表擷取至 資料湖 層。 欲了解更多資訊，請參閱「設定資料保留與分層」。

Warning

將分析保留率和總保留值重設為預設的 30 天，會讓 Azure 入口網站的連接器失效。

要停止將資料匯入分析層級，請將分析保留與總保留值重設為預設的 30 天。

欲了解更多管理資料表與資料的資訊，請參閱 「管理您現有的資料表與資料」。

XDR 資料保留與成本

以下表格總結了 Microsoft Sentinel 不同層級的免費保留期間及成本影響：

層級 保留 附註
進階狩獵（預設） 30 天 預設，包含在 XDR 授權中。
分析層 31-90天 支援 Sentinel 的工作空間免費儲存空間。 資料會鏡射至資料湖。 需支付 Sentinel 資料擷取費用。
資料湖層 可設定。 預設情況下，這和分析層級是一樣的。 當總保留期限與分析層級的保留期限相同時，可享有免費儲存空間。
將資料保留在資料湖層級的時間超過分析層級保留期，將產生資料湖層級儲存體費用。
直接將資料匯入 資料湖 層級會產生資料擷取、儲存及處理成本。

欲了解更多計費與成本資訊，請參閱「了解 Microsoft Sentinel 的完整計費模式」。

在下列範例中，無論分析層級或資料湖層級的保留設定為何，都可透過進階搜捕存取至少 30 天的 XDR 資料。

分析層級保留期 總保留率 分析層資料擷取成本 分析層級儲存成本 資料湖層級成本
30天違約 30天違約 無額外費用 不適用 不適用
90 天 90 天 分析層級的資料擷取需支付費用。 沒有額外費用。 免費包含 90 天。 沒有額外費用。 總留存率與分析層級的留存率相符。
90 天 180 天 分析層級的資料擷取需支付費用。 無額外費用;包含90天免費。 額外保留 90 天的資料湖資料將產生費用 (180 - 90 天)。
180 天 1年 分析層級的資料擷取需支付費用。 額外保留分析層級資料 90 天需收取費用。 額外保留 185 天的資料湖資料將產生費用 (365 - 180 天)。
0 天 (僅限資料湖) 5年 不適用 不適用 資料擷取和資料湖保留 5 年的費用都會被收取。

後續步驟

了解更多：

  • 上次更新時間：