Konfigurere forbundsdatakoblinger i Microsoft Sentinel datasjø

Denne artikkelen forklarer hvordan du konfigurerer forbundsdatakoblinger for å aktivere spørring av eksterne datakilder fra Microsoft Sentinel datasjø. Du kan samle Azure Databricks, Azure Data Lake Storage (ADLS) Gen 2 og Microsoft Fabric.

Forutsetninger

Før du konfigurerer dataforbund, må du sørge for at du oppfyller følgende krav:

• Sentinel data lake onboarding: Leieren må være koblet til Sentinel datasjøen. Hvis du vil ha mer informasjon, kan du se Onboard for å Microsoft Sentinel datasjøen.

• Offentlig tilgjengelighet: Den eksterne kilden må være offentlig tilgjengelig. Private endepunkter støttes for øyeblikket ikke.

• Tjenestekontohaver: En tjenestekontohaver med riktige tillatelser i datakilden du vil koble til, kreves for Azure Databricks og Azure Data Lake Storage Gen2 kilder. Hvis du vil ha mer informasjon, kan du se Microsoft Entra ID appregistreringer.

• Azure Key Vault: En Azure Key Vault konfigurert med klienthemmeligheten for tjenestekontohaver kreves. Programidentiteten for Microsoft Sentinel trenger tillatelser tilordnet nøkkelhvelvet. Hvis du vil ha mer informasjon om hvordan du konfigurerer Azure Key vaults, kan du se Azure Key Vaults.

• Microsoft Sentinel tillatelser: Datatillatelser (behandle) på systemtabeller for å konfigurere en dataforbundskobling. Hvis du vil ha mer informasjon, kan du se Roller og tillatelser på Microsoft Sentinel-plattformen.

Opprett en tjenestekontohaver

For Azure Databricks- og ADLS Gen 2-forbund trenger du en tjenestekontohaver med tilgangslegitimasjon lagret i Azure Key Vault. Du kan bruke en eksisterende tjenestekontohaver eller bruke følgende fremgangsmåte for å opprette en ny tjenestekontohaver.

1. Opprett en Microsoft Entra ID programregistrering:

   1. Gå til Microsoft Entra ID>App-registreringer i Azure Portal.
   2. Velg Ny registrering.
   3. Skriv inn et navn for programmet.
   4. La omadresserings-URI-en være tom (ikke nødvendig for dette scenarioet).
   5. Velg Registrer.

2. Opprett en klienthemmelighet:

   1. Gå til Sertifikater & hemmeligheter i appregistreringen.
   2. Velg Ny klienthemmelighet.
   3. Skriv inn en beskrivelse, og velg en utløpsperiode.
   4. Velg Legg til.
   5. Kopier klienthemmelighetsverdien umiddelbart for bruk i neste del. Du kan ikke hente denne verdien etter at du har forlatt siden.

3. Legg merke til programdetaljene:

   • Program-ID (klient)
   • Objekt-ID
   • Katalog-ID (leier)

Hvis du vil ha mer informasjon om hvordan du oppretter tjenestekontohavere, kan du se Microsoft Entra ID appregistreringer.

Opprette en Azure Key Vault og lagre legitimasjon

Du kan bruke en eksisterende Azure Key Vault og følge fremgangsmåten nedenfor for å konfigurere Key Vault tilgang, eller opprette en ny Key Vault ved hjelp av følgende fremgangsmåte:

1. Opprette en Azure Key Vault:

   1. Opprett en ny Azure Key Vault i Azure Portal.
   2. Bruk Azure rollebasert tilgangskontroll (anbefalt) tillatelsesmodell.
   3. Aktiver innstillinger for myk sletting og tømming av beskyttelse for nøkkelhvelvet.
   4. Legg merke til Key Vault URI etter oppretting.

2. Konfigurer Key Vault tilgang:

   1. Tilordne rollen Key Vault Secrets User til Microsoft Sentinel plattformens administrerte identitet. Identiteten er prefikset med msg-resources-.
   2. Hvis du bruker tilgangspolicyer for Key Vaults i stedet for Azure rollebasert tilgangskontroll, gir du tillatelsene for Hent og List for Secret Management Operations.

3. Lagre klienthemmeligheten i Key Vault:

   1. Gå til Generer/importer hemmeligheter> i Key Vault.
   2. Opprett en ny hemmelighet som inneholder tjenestekontohaverens klienthemmelighet.
   3. Legg merke til det hemmelige navnet. Den brukes når du konfigurerer dataforbundskoblingsforekomsten.

Hvis du vil ha mer informasjon om hvordan du konfigurerer Azure Key vaults, kan du se Azure Key Vaults.

Organisasjonsbaserte datakoblinger

Samlede koblinger administreres på Datakoblinger-siden i Microsoft Sentinel på Defender-portalen.

1. Gå til Microsoft Sentinel>Configuration>Data-koblinger.

2. Velg Katalog under Dataforbund for å vise tilgjengelige koblinger i forbund.

   Katalogsiden vises:

   • Tilgjengelige koblingstyper for forbund
   • Antall konfigurerte forekomster for hver kobling
   • Informasjon om utgiver og støtte

   

3. Velg Mine koblinger-siden for å vise alle konfigurerte koblingsforekomster. Siden viser forekomstene av leierens dataforbundskobling sammen med visningsnavn, versjon, status og støtteleverandør.

4. Velg hver forekomst for å vise detaljer, redigere konfigurasjoner eller slette forekomsten.

Opprette en koblingsforekomst

Prosessen for å opprette en koblingsforekomst varierer basert på den eksterne datakilden du kobler til. Følg instruksjonene for den bestemte datakildetypen.

Bekreft tabeller fra koblingsforekomsten

Når du har opprettet en koblingsforekomst, kontrollerer du at tabellene du har samlet, er tilgjengelige i Microsoft Sentinel.

1. Gå til Microsoft Sentinel > konfigurasjonstabeller>.

2. Filtrer etter type i organisasjonsforbund for å se alle tabeller i forbund.

3. Søk etter navnet på koblingsforekomsten.

4. Tabeller fra koblingsforekomsten er oppført med navnet etterfulgt av _instance name. Hvis for eksempel navnet på datakoblingsforekomsten var GlobalHRData og tabellen ble kalt hrlogs, vises tabellnavnet som hrlogs_GlobalHRData.

5. Velg en tabell fra listen for å åpne detaljpanelet.

6. Velg Oversikt-fanen for å se tabelltypen og forbundsleverandøren.

7. Velg Datakilde-fanen for å se dataleverandøren for tilkoblingsforekomst og kildeproduktet for tabellen. Hvis du velger navnet på koblingsforekomsten, kommer du til denne forekomsten i Mine koblinger i Datakoblinger.

8. Velg Skjema-fanen for å se tabellskjemaet.

9. Velg Oppdater på Skjema-fanen for å oppdatere tabellskjemaet som er knyttet til den forbundstabellen.

Behandle koblingsforekomster

Slik endrer eller sletter du en koblingsforekomst:

1. Gå tilSiden Mine koblinger for dataforbund>.
2. Velg koblingsforekomsten du vil administrere.
3. Bruk de tilgjengelige alternativene i detaljpanelet til å:
   • Rediger tilkoblingsinnstillinger
   • Legge til eller fjerne forbundstabeller
   • Slette koblingsforekomsten

Feilsøking

Tilkoblingen mislykkes

• Kontroller at den Sentinel plattformadministrerte identiteten som er prefikset medmsg-resources-, har de riktige tillatelsene på Azure Key Vault.

• Hvis tilkoblingskilden er Azure Databricks eller Azure Data Lake Storage Gen2, må du kontrollere at Key Vault hemmelighet inneholder den riktige klienthemmeligheten for tjenestekontohaveren.

• Det Key Vault nettverket må være satt til Tillat offentlig tilgang fra alle nettverk under tilkoblingskonfigurasjonen, som er standardkonfigurasjonen for Key Vault. Den kan endres etter at koblingen er opprettet eller redigert.

• Bekreft at den eksterne datakilden er offentlig tilgjengelig.

• Kontroller at tjenestekontohaveren har riktige tillatelser for måldatakilden for Azure Databricks og ADLS.

• Hvis måldatakilden er Fabric, må du kontrollere at prefiksidentiteten msg-resources- for Microsoft Sentinel ble gitt tillatelse som arbeidsområdemedlem.

• Kontroller at du ikke har mer enn 100 tilkoblingsforekomster.

Tabeller vises ikke

• Kontroller at tjenestekontohaveren har lesetilgang til måltabellene for ADLS og Azure Databricks, og at tjenestekontohaveren er i samme leier som disse datakildene.

• For Databricks må du sørge for at du har gitt både det innebygde forhåndssettet for dataleserrettigheter pluss tillatelsen eksternt bruksskjema til tjenestekontohaveren.

• Bekreft at rollen Storage Blob Data Reader er tilordnet tjenestekontohaveren for ADLS Gen 2.

Problemer med spørringsytelse

• Vurder størrelsen på dataene som spørres fra eksterne kilder.

• Optimaliser spørringer for å filtrere data tidlig.

• Kontroller nettverkstilkoblingen mellom Sentinel og den eksterne kilden.

Neste trinn

• Oversikt over dataforbund
• Spørringssamlede tabeller med KQL