Uso de orígenes de datos federados en Microsoft Sentinel

Después de configurar los conectores de datos federados, puede acceder a las tablas federadas a través de varias interfaces en Microsoft Sentinel. Las tablas federadas se usan de la misma manera que otras tablas de data lake. En este artículo se explica cómo ver tablas federadas, consultarlas mediante KQL (Lenguaje de consulta Kusto) y trabajar con ellas en cuadernos de Jupyter Notebook.

Requisitos previos

Antes de empezar, asegúrese de lo siguiente:

• El inquilino debe incorporarse al lago de datos de Sentinel. Para obtener más información, consulte Incorporación a Microsoft Sentinel lago de datos
• Tiene los permisos adecuados para consultar datos en el lago de datos de Sentinel. Para obtener más información, consulte Roles y permisos en la plataforma de Microsoft Sentinel.

Descripción de la nomenclatura de tablas federadas

Los nombres de tabla federados siguen el patrón <tableName>_<connectorInstanceName>. Por ejemplo:

Si varias tablas de la instancia del conector tienen el mismo nombre de tabla, se anexa un identificador numérico al nombre de la instancia del conector, por ejemplo widgets_ADLS01_1 , cuando dos tablas dentro de la instancia del ADLS01 conector se llaman widgets.

Use el nombre de la tabla federada al consultar datos del lago de datos de Sentinel.

Visualización de tablas federadas en la administración de tablas

La vista de administración de tablas proporciona información general sobre todas las tablas del lago de datos de Sentinel, incluidas las tablas federadas.

1. Vaya a Microsoft Sentinel>Configurar>tablas.
2. Seleccione el filtro Tipo .
3. Seleccione Federado y seleccione Aplicar.

Ver detalles de la tabla

Seleccione una fila de tabla para abrir el panel de detalles. El panel contiene tres pestañas:

Consulta de tablas federadas mediante KQL

La página consultas de KQL de Microsoft Sentinel permite consultar tablas federadas junto con datos de Sentinel nativos. Las tablas federadas son compatibles con trabajos de KQL, consultas interactivas y asincrónicas y herramientas de MCP.

1. Vaya a Microsoft Sentinel>Data lake explorationKQL queries (Consultas de KQL de exploración > de lago de datos).

2. Seleccione el botón Área de trabajo seleccionada en la barra de información.

3. Seleccione Tablas del sistema como una de las áreas de trabajo.

4. En la pestaña Esquema , expanda la sección Tablas del sistema .

5. Expanda la sección Tablas federadas .

6. Busque el tipo de federación del origen de datos, como Microsoft Fabric, Azure Databricks o Azure Data Lake Storage Gen2.

7. Expanda el tipo de federación para ver las tablas federadas.

8. Expanda una tabla para ver sus columnas.

Escritura y ejecución de consultas

Las consultas en tablas federadas funcionan como consultas en tablas de lago nativo con algunas diferencias importantes:

• Es posible que se produzca un cambio en el esquema de una tabla en el origen externo. Esto puede dar lugar a un error durante una consulta que indica que una columna no está presente. Actualice las columnas en la página Administración de tablas seleccionando la tabla federada, seleccionando la pestaña Esquema y seleccionando Actualizar esquema.

• Las tablas federadas sin una TimeGenerated columna, o donde una TimeGenerated columna está presente con datos en el formato incorrecto, no se pueden usar en el explorador de Data Lake para seleccionar intervalos de tiempo mediante el selector de tiempo en la interfaz de usuario. Defina filtros de fecha en el cuerpo del KQL que coincidan con el formato de fecha de la tabla federada.

Creación de trabajos de KQL a partir de consultas federadas

Puede crear trabajos de KQL basados en consultas que usan tablas federadas:

1. Escriba y pruebe la consulta de KQL mediante tablas federadas.
2. Seleccione el botón Crear trabajo en la esquina superior derecha del panel de consulta.
3. Configure los valores del trabajo, incluida la programación y el destino de salida.
4. Guarde el trabajo.

Las tablas federadas son totalmente compatibles con trabajos de KQL, consultas asincrónicas y herramientas de MCP.

Creación de una herramienta MCP con consultas de tabla federada

Puede crear herramientas de MCP basadas en consultas que usan tablas federadas:

1. Escriba y pruebe la consulta de KQL mediante tablas federadas.

2. Seleccione el botón Guardar como herramienta situado encima del editor de consultas.

3. Ajuste la consulta según sea necesario, por ejemplo, parametrizar los valores.

4. Para cualquier referencia de una tabla federada, asegúrese de que anteponga el nombre de la tabla a workspace("default").. Por ejemplo, si la tabla era widgets_ADLS01, el código se muestra workspace("default").widgets_ADLS01 para esa tabla.

5. Guarde la herramienta.

Uso de tablas federadas en cuadernos de Jupyter Notebook

Las tablas federadas son accesibles en los cuadernos de Jupyter Notebook mediante la extensión Microsoft Sentinel VS Code.

En la extensión Microsoft Sentinel VS Code, las tablas federadas aparecen en: Tablas> de lago Tablasfederadasdel> sistema

Trabajar con tablas federadas en cuadernos de Jupyter Notebook sigue los mismos patrones que las tablas nativas del sistema:

1. Use el nombre completo de la tabla: tablas de referencia con el <tableName>_<connectorInstance> formato .
2. No especifique un nombre de área de trabajo: las operaciones de lectura no requieren una especificación del área de trabajo.
3. Acceso de solo lectura: las tablas federadas son de solo lectura; no puede volver a escribir datos en orígenes federados.

Trabajos de Jupyter Notebook

Puede crear trabajos programados de Jupyter Notebook que usen tablas federadas de la misma manera que crearía un trabajo de cuaderno para tablas nativas de Data Lake:

1. Desarrolle el cuaderno con consultas de tabla federada.
2. Pruebe el cuaderno para asegurarse de que las consultas federadas se ejecutan correctamente.
3. Cree un trabajo desde el cuaderno.
4. Configure la programación y los parámetros del trabajo.

Procedimientos recomendados

Optimización de consultas

• Aplicar filtros antes: Filtre los datos en el origen cuando sea posible para reducir la transferencia de datos.
• Limitar conjuntos de resultados: use take o limit cláusulas durante el desarrollo.
• Usar proyecciones: seleccione solo las columnas que necesita para mejorar el rendimiento.

Ejemplo: Consulta optimizada

large_dataset_adls_connector
| where EventTime >= ago(1h)           // Filter early
| where EventType == "Login"           // Reduce data volume
| project EventTime, UserId, SourceIP  // Select needed columns
| take 10000                           // Limit results

Estrategias de combinación

• Use los tipos de combinación adecuados: elija inner, leftoutero rightouter en función de sus necesidades.
• Filtrar antes de unirse: reduzca el volumen de datos antes de las operaciones de combinación.
• Considere los tamaños de datos: coloque la tabla más pequeña en el lado derecho de la combinación.

Control de errores

• Comprobar el estado de la conexión: compruebe que las instancias del conector federado están conectadas antes de realizar la consulta.
• Controlar valores NULL: los datos externos pueden contener valores NULL inesperados; use coalesce() o isnull() funciones.
• Supervisar el rendimiento de las consultas: realice un seguimiento de los tiempos de ejecución de las consultas federadas para identificar problemas de rendimiento.

Solución de problemas

La consulta no devuelve ningún resultado

• Compruebe que la instancia del conector está en un estado conectado.
• Compruebe que el origen de datos externo está disponible, junto con las tablas de destino en la consulta.
• Compruebe que los permisos no se quitaron de la entidad de servicio ni Sentinel identidad administrada en función del origen de datos de destino.
• Compruebe que usa el formato correcto de nombre de tabla federada.
• Asegúrese de que las tablas del sistema están disponibles en el panel de navegación para las consultas de KQL o la sesión de Notebook.

La consulta es lenta

• Aplique filtros para reducir el volumen de datos consultados desde orígenes externos.
• Compruebe el rendimiento y la disponibilidad del origen externo.
• Considere la posibilidad de crear tablas de resumen para los datos a los que se accede con frecuencia.

Error de coincidencia de esquema

• Revise el esquema de tabla en la vista de administración de tablas.
• Ajuste la consulta para controlar las diferencias de esquema.
• Compruebe si el esquema de tabla externa ha cambiado desde la creación del conector.

No se pueden ejecutar herramientas de MCP para tablas federadas

Asegúrese de que ha precedido el nombre de la tabla con workspace("default"). donde quiera que haga referencia a una tabla federada dentro de la herramienta MCP.

Pasos siguientes

• Introducción a la federación de datos
• Configuración de conectores de datos federados
• Referencia de consulta de KQL