Configurare connettori dati federati in Microsoft Sentinel Data Lake

Questo articolo illustra come configurare i connettori dati federati per abilitare l'esecuzione di query su origini dati esterne dal data lake di Microsoft Sentinel. È possibile eseguire la federazione con Azure Databricks, Azure Data Lake Storage (ADLS) Gen 2 e Microsoft Fabric.

Prerequisiti

Prima di configurare la federazione dei dati, assicurarsi di soddisfare i requisiti seguenti:

• Onboarding del data lake di Sentinel: è necessario eseguire l'onboarding del tenant nel data lake di Sentinel. Per altre informazioni, vedere Eseguire l'onboarding nel data lake di Microsoft Sentinel.

• Accessibilità pubblica: l'origine esterna deve essere accessibile pubblicamente. Gli endpoint privati non sono attualmente supportati.

• Entità servizio: è richiesta un'entità servizio con le autorizzazioni appropriate per l'origine dati a cui ci si vuole connettere per le origini di Azure Databricks e Azure Data Lake Storage Gen2. Per altre informazioni, vedere Registrazioni dell'app Microsoft Entra ID.

• Azure Key Vault: È necessario un Azure Key Vault configurato con il segreto client del principal del servizio. L'identità dell'applicazione Microsoft Sentinel necessita di autorizzazioni assegnate al Key Vault. Per altre informazioni sulla configurazione degli insiemi di credenziali delle chiavi di Azure, vedere Azure Key Vaults.

• Autorizzazioni di Microsoft Sentinel: autorizzazionidi dati (gestione) per le tabelle di sistema per configurare un connettore di federazione dei dati. Per altre informazioni, vedere Ruoli e autorizzazioni nella piattaforma Microsoft Sentinel.

Creare un principale servizio

Per la federazione di Azure Databricks e ADLS Gen 2, è necessaria un'entità servizio con credenziali di accesso archiviate in Azure Key Vault. È possibile usare un'entità servizio esistente o seguire questa procedura per creare una nuova entità servizio.

1. Creare una registrazione dell'applicazione Microsoft Entra ID:

   1. Nel portale di Azure passare a Microsoft Entra ID>App registrations.
   2. Seleziona Nuova registrazione.
   3. Immettere un nome per l'applicazione.
   4. Lasciare vuoto l'URI di reindirizzamento (non necessario per questo scenario).
   5. Selezionare Registrazione.

2. Creare un segreto del client:

   1. Nella registrazione dell'app passare a Certificati e segreti.
   2. Selezionare Nuova chiave segreta del client.
   3. Immettere una descrizione e selezionare un periodo di scadenza.
   4. Seleziona Aggiungi.
   5. Copiare immediatamente il valore del segreto client da usare nella sezione successiva. Non è possibile recuperare questo valore dopo aver lasciato la pagina.

3. Prendere nota dei dettagli dell'applicazione:

   • ID client dell'applicazione
   • ID dell'oggetto.
   • ID della directory (tenant)

Per altre informazioni sulla creazione di entità servizio, vedere Registrazioni dell'app Microsoft Entra ID.

Creare un Azure Key Vault e archiviare le credenziali.

È possibile usare un insieme di credenziali delle chiavi di Azure esistente e seguire questa procedura per configurare l'accesso a Key Vault oppure creare un nuovo insieme di credenziali delle chiavi seguendo questa procedura:

1. Creare un Key Vault di Azure:

   1. Nel portale di Azure, crea un nuovo Azure Key Vault.
   2. Usare il modello di autorizzazione di controllo degli accessi in base al ruolo di Azure (scelta consigliata ).
   3. Abilitare l'eliminazione temporanea e le impostazioni di protezione dalla pulizia per il Key Vault.
   4. Prendere nota dell'URI di Key Vault dopo la creazione.

2. Configurare l'accesso a Key Vault:

   1. Assegnare il ruolo Utente dei segreti di Key Vault all'identità gestita della piattaforma di Microsoft Sentinel. L'identità è preceduta da msg-resources-.
   2. Se si utilizzano criteri di accesso per Key Vault anziché il controllo degli accessi in base al ruolo di Azure, fornire le autorizzazioni per Get e List per le operazioni di gestione dei segreti.

3. Archiviare il segreto client in Key Vault:

   1. Nel tuo Key Vault, vai su Segreti>Genera/Importa.
   2. Creare un nuovo segreto contenente il segreto client dell'entità servizio.
   3. Prendere nota del nome del segreto. Viene usato quando si configura l'istanza del connettore di federazione dei dati.

Per altre informazioni sulla configurazione degli insiemi di credenziali delle chiavi di Azure, vedere Azure Key Vaults.

Connettori dati federati

I connettori federati vengono gestiti nella pagina Connettori dati di Microsoft Sentinel nel portale di Defender.

1. Vai a Microsoft Sentinel>Configurazione>Connettori dati.

2. In Federazione dei dati selezionare Catalogo per visualizzare i connettori federati disponibili.

   Viene visualizzata la pagina del catalogo:

   • Tipi di connettore federativo disponibili
   • Numero di istanze configurate per ogni connettore
   • Informazioni sull'editore e sul supporto

   

3. Selezionare La pagina Connettori personali per visualizzare tutte le istanze del connettore configurate. La pagina elenca le istanze del connettore di federazione dei dati del tenant insieme al nome visuale, alla versione, allo stato e al fornitore di supporto.

4. Selezionare ogni istanza per visualizzare i dettagli, modificare le configurazioni o eliminare l'istanza.

Creare un'istanza del connettore

Il processo di creazione di un'istanza del connettore varia in base all'origine dati esterna a cui ci si connette. Seguire le istruzioni per il tipo specifico di origine dati.

Verificare le tabelle dell'istanza del connettore

Dopo aver creato un'istanza del connettore, verificare che le tabelle federate siano disponibili in Microsoft Sentinel.

1. Passare a Tabelle di configurazione > di Microsoft Sentinel>.

2. Filtrare in base al tipo federato per visualizzare tutte le tabelle federate.

3. Cercare in base al nome dell'istanza del connettore.

4. Le tabelle dell'istanza del connettore sono elencate con il nome seguito da _instance name. Ad esempio, se il nome dell'istanza del connettore dati era GlobalHRData e la tabella era denominata hrlogs, il nome della tabella viene visualizzato come hrlogs_GlobalHRData.

5. Selezionare una tabella dall'elenco per aprire il pannello dei dettagli.

6. Selezionare la scheda Panoramica per visualizzare il tipo di tabella e il provider di federazione.

7. Selezionare la scheda Origine dati per visualizzare il provider di dati dell'istanza del connettore e il prodotto di origine per la tabella. La selezione del nome dell'istanza del connettore consente di accedere a quell'istanza in Connettori personali all'interno di Connettori dati.

8. Selezionare la scheda Schema per visualizzare lo schema della tabella.

9. Nella scheda Schema selezionare Aggiorna per aggiornare lo schema della tabella associato alla tabella federata.

Gestire le istanze del connettore

Per modificare o eliminare un'istanza del connettore:

1. Passare alla pagina Federazione dei dati>.
2. Selezionare l'istanza del connettore da gestire.
3. Nel pannello dei dettagli usare le opzioni disponibili per:
   • Modificare le impostazioni di connessione
   • Aggiungere o rimuovere tabelle federate
   • Eliminare l'istanza del connettore

Risoluzione dei problemi

Connessione non riuscita

• Verificare che l'identità gestita della piattaforma Sentinel preceduta da msg-resources- disponga delle autorizzazioni corrette per Azure Key Vault.

• Se l'origine della connessione è Azure Databricks o Azure Data Lake Storage Gen2, verificare che il segreto dell'insieme di credenziali delle chiavi contenga il segreto client corretto per il principale del servizio.

• La rete di Key Vault deve essere impostata su Consenti l'accesso pubblico da tutte le reti durante la configurazione del connettore, ovvero la configurazione predefinita di Key Vault. Può essere modificato dopo la creazione o la modifica del connettore.

• Verificare che l'origine dati esterna sia accessibile pubblicamente.

• Verificare che l'entità servizio disponga delle autorizzazioni appropriate per l'origine dati di destinazione per Azure Databricks e ADLS.

• Se l'origine dati di destinazione è Fabric, verificare che all'identità con prefisso per Microsoft Sentinel sia stata concessa l'autorizzazione come membro dell'area msg-resources- di lavoro.

• Verificare di non avere più di 100 istanze di connessione.

Le tabelle non vengono visualizzate

• Verificare che l'entità servizio abbia accesso in lettura alle tabelle di destinazione per ADLS e Azure Databricks e che l'entità servizio si trova nello stesso tenant di queste origini dati.

• Per Databricks, assicurarsi di concedere sia il set di privilegi di lettore dati predefinito che l'autorizzazione Schema utilizzo esterno per l'entità servizio.

• Per ADLS Gen 2, verificare che il ruolo Lettore dati BLOB di archiviazione sia assegnato all'entità servizio.

Problemi di prestazioni delle query

• Prendere in considerazione le dimensioni dei dati che si interrogano da origini esterne.

• Ottimizzare le query per filtrare i dati in anticipo.

• Controllare la connettività di rete tra Sentinel e l'origine esterna.

Passaggi successivi

• Panoramica della federazione dei dati
• Eseguire query su tabelle federate con KQL