Administrer dataniveauer og opbevaring i Microsoft Sentinel

Data, du indsamler i Microsoft Sentinel (SIEM) og Microsoft Defender XDR, gemmes i tabeller. På Microsoft Defender-portalen kan du administrere opbevaringsperioden og de lageromkostninger, der er knyttet til dine data. Du kan administrere opbevaring og omkostninger, når du:

• Konfigurer dataconnectors for at sende data til Microsoft Sentinel eller Microsoft Defender XDR.
• Administrer dine eksisterende tabeller og data.

I denne artikel forklares det, hvordan du administrerer indstillinger for tabelopbevaring og -niveau på portalen Microsoft Defender for at optimere sikkerhedshandlinger og reducere omkostningerne i Microsoft Sentinel og Microsoft Defender XDR.

Hvilke tabeller kan du administrere på Defender-portalen?

I dette afsnit beskrives de tabeltyper, du kan administrere på Microsoft Defender-portalen.

Sådan fungerer dataniveauer og opbevaring

Du kan gemme data i Microsoft Sentinel på et af to niveauer:

• Analyseniveau: Dette niveau gør data tilgængelige for beskeder, jagt, projektmapper og alle Microsoft Sentinel funktioner. Den bevarer data i to tilstande:

  • Opbevaring af analyser: I denne "varme" tilstand er data fuldt tilgængelige til analyse i realtid – herunder forespørgsler med høj ydeevne og analyseregler – og trusselsjagt. Som standard bevarer Microsoft Sentinel og Microsoft Defender XDR data på dette niveau i 30 dage. Du kan forlænge opbevaringsperioden for alle tabeller til op til to år med et forholdsmæssigt månedligt langtidsopbevaringsgebyr. Du kan forlænge opbevaringsperioden for Microsoft Sentinel løsningstabeller til 90 dage gratis.
  • Samlet opbevaring: Som standard afspejles alle data på analyseniveauet til datasøen for den samme opbevaringsperiode. Du kan forlænge opbevaringen af dine data i søen ud over opbevaringen af analyser i op til 12 års samlet opbevaring til en lav pris.

• Niveau for datasø: På dette "kolde" lavprisniveau bevarer Microsoft Sentinel kun dine data i søen. Data på data lake-niveauet er ikke tilgængelige til analysefunktioner i realtid og trusselsjagt. Du kan dog få adgang til data i søen, når du har brug for det, via KQL-job, analysere tendenser over tid ved at køre planlagte KQL- eller Spark-job og samle indsigt fra indgående data med jævne mellemrum ved hjælp af oversigtsregler.

• XDR-data: Som standard er Microsoft Defender XDR trusselsjagtdata altid tilgængelige på analyseniveauet i 30 dage. Du kan forlænge opbevaringen af disse data på analyseniveauet op til 90 dage, hvilket medfører omkostninger til indtagelse, men lagerplads er gratis. Hvis du strækker dig over mere end 90 dage i analyserne, medfører det også lageromkostninger. Du kan også udelukkende indtage data lake-niveauet, men dataene er altid tilgængelige på analyseniveau i 30 dage. Det er mere omkostningseffektivt at indtage XDR-data direkte på data lake-niveauet, men det omfatter omkostninger til indtagelse, lagring og behandling. I denne indstilling får kunderne stadig data for 30 dage på analyseniveauet uden yderligere omkostninger.

Du kan få flere oplysninger om forskellene mellem disse to opbevaringstyper under Sammenlign niveauerne for analyse og datasøer.

I dette diagram vises opbevaringskomponenterne for analyse-, datasø- og XDR-standardniveauerne, og hvilke tabeltyper der gælder for hvert niveau:

Du kan få flere oplysninger om Microsoft Sentinel datasø under Hvad er Microsoft Sentinel datasø.

Sammenlign niveauerne for analyse og datasøer

I denne tabel sammenlignes de to niveauer af analyser og datasøer og deres vigtigste egenskaber:

Hvad sker der, når du ændrer tabelindstillinger

Du kan når som helst ændre en tabels indstillinger for niveau og opbevaring.

Når du ændrer en tabels tierby standard xdr fra analyse til datasø, holder alle realtidsanalyser og jagtforespørgsler op med at fungere.

Når du forkorter en tabels samlede opbevaring, venter Microsoft 30 dage, før dataene fjernes, så du kan gendanne ændringen og undgå tab af data, hvis du har foretaget en fejl i konfigurationen.

Når du øger den samlede opbevaring, gælder den nye opbevaringsperiode for alle data, der allerede blev indtaget i tabellen og endnu ikke er fjernet.

Når du ændrer indstillingerne for analyseopbevaring i en tabel med eksisterende data, træder ændringen i kraft med det samme.

Eksempel:

• Du har en tabel på analyseniveauet med 180 dages opbevaring af analyser. Opbevaring i alt er som standard også angivet til 180 dage.
• Du kan ændre analyseopbevaring til 90 dage uden at ændre den samlede opbevaringsperiode på 180 dage.
• Microsoft Sentinel fjerner automatisk de sidste 90 dages data fra opbevaring af analyser, men fortsætter med at gemme data, der er 90-180 dage i datasøen.

Administrer XDR-data i Microsoft Sentinel

Som standard bevarer Microsoft Defender XDR trusselsjagtdata på XDR-standardniveauet i 30 dage. Disse data overføres som standard ikke til niveauerne for analyse eller datasøer. Hvis du udvider opbevaringsperioden for de understøttede XDR-tabeller til mere end 30 og op til 90 dage, gælder Sentinel indtagelsesomkostninger, men der er ingen ekstra lageromkostninger. Tabellerne oprettes i dit Microsoft Sentinel arbejdsområde på analyseniveauet og afspejles i data lake-niveauet.

Hvis du aktiverer den Microsoft Sentinel XDR-connector i Azure Portal, overføres de tabeller, du vælger under konfigurationen, automatisk til analyseniveauet og afspejles i datasøniveauet. Standardopbevaring er 30 dage, og du kan forlænge den med op til 12 år. Du kan se en liste over tabeller under Microsoft Defender XDR integration med Microsoft Sentinel. Du kan overføre understøttede XDR-tabeller, som du ikke valgte under udrulningen af connectoren, til analyseniveauet og spejle dem på data lake-niveauet ved at angive opbevaringen til mere end 30 dage.

Hvis du ikke aktiverer Microsoft Sentinel XDR-connector, indtages XDR-tabeller ikke automatisk, men du kan stadig indtage dem ved at angive opbevaring af analyse- eller datasøniveauer i mere end 30 dage på Defender-portalen.

Du kan vælge udelukkende at overføre understøttede XDR-tabeller til data lake-niveauet ved at vælge indstillingen Data lake-niveau , når du konfigurerer opbevaringsindstillingerne. Du kan få flere oplysninger under Konfigurer dataopbevaring og -niveauinddeling.

Stop med at overføre data til analyseniveauet ved at nulstille opbevaringen af analyseniveauet og den samlede opbevaring til standarden på 30 dage. Denne handling deaktiverer connectoren i Azure Portal.

Du kan få flere oplysninger om administration af tabeller og data under Administrer dine eksisterende tabeller og data.

Opbevaring af XDR-data og omkostninger

I følgende tabeller opsummeres de gratis opbevaringsperioder og omkostningskonsekvenserne for de forskellige niveauer i Microsoft Sentinel:

Du kan få flere oplysninger om fakturering og omkostninger under Forstå den fulde faktureringsmodel for Microsoft Sentinel

I følgende eksempler er XDR-data tilgængelige via avanceret jagt i mindst 30 dage, uanset opbevaringsindstillingerne i analyse- eller datasøniveauerne.

Næste trin

Få mere at vide om:

• Konfiguration af logtabelniveauer og opbevaringsindstillinger
• Oprettelse af et søgejob for at hente data, der opfylder bestemte kriterier