Transformer ou personnaliser des données au moment de l’ingestion dans Microsoft Sentinel (préversion)

Cet article explique comment configurer la transformation des données au moment de l’ingestion et l’ingestion de journal personnalisée à utiliser dans Microsoft Sentinel.

La transformation des données au moment de l’ingestion offre aux clients davantage de contrôle sur les données ingérées. En complément des workflows préconfigurés et codés en dur qui créent des tables standardisées, la transformation du temps d’ingestion ajoute la possibilité de filtrer et d’enrichir les tables de sortie, même avant d’exécuter des requêtes. L’ingestion des journaux personnalisés utilise l’API de journal personnalisé pour normaliser les journaux au format personnalisé afin qu’ils puissent être ingérés dans certaines tables standard, ou pour créer des tables de sortie personnalisées avec des schémas définis par l’utilisateur pour ingérer ces journaux personnalisés.

Ces deux mécanismes sont configurés à l’aide de règles de collecte de données (DCR), soit dans le portail Log Analytics, soit via une API ou un modèle ARM. Cet article vous aidera à choisir le type de DCR dont vous avez besoin pour votre connecteur de données particulier et vous dirigera vers les instructions pour chaque scénario.

Configuration requise

Avant de commencer à configurer des DCR pour la transformation des données :

Déterminer vos besoins

Si vous ingérez La transformation au moment de l’ingestion est... Utiliser ce type de DCR
Données personnalisées via
l’API d’ingestion des journaux
  • Obligatoire
  • Inclus dans la DCR qui définit le modèle de données
    		•  DCR Standard
    Types de données intégrés
    (Syslog, CommonSecurityLog, WindowsEvent, SecurityEvent)
    à l’aide de l’agent Azure Monitor
  • Facultatif
  • Si vous le souhaitez, ajouté à la DCR qui configure la façon dont ces données sont ingérées
    		•  DCR Standard
    Types de données intégrés
    à partir de la plupart des autres sources
  • Facultatif
  • Si vous le souhaitez, ajouté à la DCR attachée à l’espace de travail où ces données sont ingérées
    		•  DCR de transformation d’espace de travail

    Configurer votre transformation de données

    Utilisez les procédures suivantes de la documentation Log Analytics et Azure Monitor pour configurer vos DCR de transformation de données :

    Ingestion directe via l’API d’ingestion des journaux :

    Transformations de l’espace de travail :

    En savoir plus sur les règles de collecte de données :

    Lorsque vous avez terminé, revenez à Microsoft Sentinel pour vérifier que vos données sont ingérées en fonction de la transformation que vous venez de configurer. L’application des configurations de transformation de données peut prendre jusqu’à 60 minutes.

    Migrer vers la transformation des données au moment de l’ingestion

    Si vous disposez actuellement de connecteurs de données Microsoft Sentinel personnalisés ou de connecteurs de données intégrés basés sur une API, vous pouvez migrer vers l’utilisation de la transformation des données au moment de l’ingestion.

    Appliquez l’une des méthodes suivantes :

    • Configurez une DCR pour définir, à partir de zéro, l’ingestion personnalisée de votre source de données vers une nouvelle table. Vous pouvez utiliser cette option si vous souhaitez utiliser un nouveau schéma qui n’a pas les suffixes de colonne actuels et qui ne nécessite pas de fonctions KQL au moment de la requête pour normaliser vos données.

      Une fois que vous avez vérifié que vos données sont correctement ingérées dans la nouvelle table, vous pouvez supprimer la table héritée, ainsi que votre connecteur de données personnalisé hérité.

    • Continuez à utiliser la table personnalisée créée par votre connecteur de données personnalisé. Vous pouvez utiliser cette option si vous avez un grand nombre de contenus de sécurité personnalisés créés pour votre table existante. Dans ce cas, consultez Migrer à partir de l’API Collecteur de données et des tables avec champs personnalisés vers des journaux personnalisés basés sur DCR dans la documentation Azure Monitor.

    Étapes suivantes

    Pour plus d’informations sur la transformation des données et les DCR, consultez :

    • Last updated on