將 Microsoft Sentinel 連線至 Microsoft Defender XDR (預覽)

  • 發行項
  • 適用於:
    Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Microsoft Sentinel 可作為 Microsoft Defender 入口網站中統一安全性作業平臺公開預覽的一部分。 當您將 Microsoft Sentinel 上線至 Microsoft Defender 入口網站時，您會將功能與事件管理和進階搜捕等 Microsoft Defender 全面偵測回應 整合。 減少工具切換，並建置更著重於內容的調查，以加速事件回應並更快速地停止缺口。 如需詳細資訊，請參閱：

重要事項

本文中的資訊與發行前版本產品相關，可能會在正式發行之前進行大幅修改。 Microsoft 對此處提供的資訊，不提供任何明確或隱含的瑕疵擔保。

必要條件

開始之前，請先檢閱功能檔以了解產品變更和限制：

Microsoft Defender 入口網站支援單一 Microsoft Entra 租使用者，以及一次連線到一個工作區。 在本文的內容中，工作區是已啟用 Microsoft Sentinel 的 Log Analytics 工作區。

若要在 Microsoft Defender 入口網站中上線並使用 Microsoft Sentinel，您必須具備下列資源和存取權：

  • 已啟用 Microsoft Sentinel 的 Log Analytics 工作區

  • 先前名為 Microsoft 365 Defender Microsoft Defender 全面偵測回應 (的數據連接器) 在 Microsoft Sentinel 中針對事件和警示啟用

  • 在 Defender 入口網站中存取 Microsoft Defender 全面偵測回應

  • Microsoft Defender 全面偵測回應 上線至 Microsoft Entra 租使用者

  • 具有適當角色的 Azure 帳戶，可在 Defender 入口網站中上線、使用及建立 Microsoft Sentinel 的支援要求。 下表醒目提示一些需要的重要角色。

    工作 需要 Azure 內建角色 範圍
    在已啟用 Microsoft Sentinel 時連線或中斷工作區連線或中斷連線 擁有者 或
    使用者存取系統管理員 和 Microsoft Sentinel 參與者    		 - 擁有者或使用者存取系統管理員角色

    的訂用帳戶 - Microsoft Sentinel 參與者的訂用帳戶、資源群組或工作區資源
    在 Defender 入口網站中檢視 Microsoft Sentinel Microsoft Sentinel 讀取器 訂用帳戶、資源群組或工作區資源
    查詢 Sentinel 數據表或檢視事件 Microsoft Sentinel 讀者 或具有下列動作的角色：
    - Microsoft.OperationalInsights/workspaces/read
    - Microsoft.OperationalInsights/workspaces/query/read
    - Microsoft.SecurityInsights/Incidents/read
    - Microsoft.SecurityInsights/incidents/comments/read
    - Microsoft.SecurityInsights/incidents/relations/read
    - Microsoft.SecurityInsights/incidents/tasks/read    		 訂用帳戶、資源群組或工作區資源
    對事件採取調查動作 Microsoft Sentinel 參與者 或具有下列動作的角色：
    - Microsoft.OperationalInsights/workspaces/read
    - Microsoft.OperationalInsights/workspaces/query/read
    - Microsoft.SecurityInsights/incidents/read
    - Microsoft.SecurityInsights/incidents/write
    - Microsoft.SecurityInsights/incidents/comments/read
    - Microsoft.SecurityInsights/incidents/comments/write
    - Microsoft.SecurityInsights/incidents/relations/read
    - Microsoft.SecurityInsights/incidents/relations/write
    - Microsoft.SecurityInsights/incidents/tasks/read
    - Microsoft.SecurityInsights/incidents/tasks/write    		 訂用帳戶、資源群組或工作區資源
    建立支援要求 擁有者 、
    參與者 或
    支援要求參與者 或具有 Microsoft.Support/* 的自定義角色    		 訂閱

    將 Microsoft Sentinel 連線到 Defender 入口網站之後，現有的 Azure 角色型存取控制 (RBAC) 許可權可讓您使用您有權存取的 Microsoft Sentinel 功能。 繼續從 Azure 入口網站 管理 Microsoft Sentinel 使用者的角色和許可權。 任何 Azure RBAC 變更都會反映在 Defender 入口網站中。 如需 Microsoft Sentinel 許可權的詳細資訊，請參閱 Microsoft Sentinel 中的角色和許可權 |Microsoft Learn 及 管理依資源存取 Microsoft Sentinel 數據 |Microsoft Learn。

將 Microsoft Sentinel 上線

若要連線已啟用 Microsoft Sentinel 的工作區以 Defender 全面偵測回應，請完成下列步驟：

  1. 移至 Microsoft Defender 入口網站並登入。

  2. 在 Microsoft Defender 全面偵測回應 中，選取 [概觀]。

  3. 選 取 [連線工作區]。

  4. 選擇您想要連線的工作區，然後選取 [ 下一步]。

  5. 閱讀並瞭解與連線工作區相關聯的產品變更。 這些變更包括：

    • Microsoft Sentinel 工作區中的記錄數據表、查詢和函式也可用於 Defender 全面偵測回應 內的進階搜捕。
    • Microsoft Sentinel 參與者角色會指派給訂用帳戶內的 Microsoft 威脅防護和 WindowsDefenderATP 應用程式。
    • 使用中的 Microsoft 安全性事件建立規則 會停用以避免重複的事件。 這項變更僅適用於 Microsoft 警示的事件建立規則，不適用於其他分析規則。
    • 與 Defender 全面偵測回應 產品相關的所有警示都會直接從主要 Defender 全面偵測回應 數據連接器串流處理，以確保一致性。 請確定您已在工作區中開啟來自此連接器的事件和警示。

  6. 選取 [連線]。

線上工作區之後，[ 概觀 ] 頁面上的橫幅會顯示您的整合安全性資訊和事件管理 (SIEM) 以及延伸偵測和回應 (XDR) 已就緒。 [ 概觀 ] 頁面會更新新的區段，其中包含來自 Microsoft Sentinel 的計量，例如數據連接器和自動化規則的數目。

在 Defender 入口網站中探索 Microsoft Sentinel 功能

將工作區連線到 Defender 入口網站之後， Microsoft Sentinel 會位於左側瀏覽窗格中。 概觀、事件和進階搜捕等頁面具有來自 Microsoft Sentinel 和 Defender 全面偵測回應 的統一數據。 如需入口網站之間統一功能和差異的詳細資訊，請參閱 Microsoft Defender 入口網站中的 Microsoft Sentinel。

許多現有的 Microsoft Sentinel 功能都已整合到 Defender 入口網站中。 針對這些功能，請注意，Azure 入口網站 和Defender入口網站中 Microsoft Sentinel之間的體驗很類似。 使用下列文章可協助您在 Defender 入口網站中開始使用 Microsoft Sentinel。 使用這些文章時，請記住，您在此內容中的起點是 Defender 入口網站，而不是 Azure 入口網站。

在 Defender 入口網站的 [系統>>設定] [Microsoft Sentinel] 底下尋找 Microsoft Sentinel 設定。

將 Microsoft Sentinel 下線

您一次只能有一個工作區連線到Defender入口網站。 如果您想要連線到已啟用 Microsoft Sentinel 的不同工作區，請中斷目前工作區的連線，並連接其他工作區。

  1. 移至 Microsoft Defender 入口網站並登入。

  2. 在 Defender 入口網站的 [系統] 底下，選取> [設定Microsoft Sentinel]。

  3. 在 [ 工作區] 頁面上，選取 [連線的工作區] 和 [ 中斷聯機] 工作區。

  4. 確認您的選擇。

    當您的工作區中斷連線時，會從 Defender 入口網站的左側導覽中移除 Microsoft Sentinel 區段。 來自 Microsoft Sentinel 的數據不再包含在 [概觀] 頁面上。

如果您想要連線到不同的工作區，請從 [ 工作 區] 頁面選取工作區並 連接工作區。

相關內容