Настройка непрерывного экспорта на портале Azure

Microsoft Defender для облака создает оповещения безопасности и рекомендации. Эти данные можно экспортировать в Log Analytics в Azure Monitor, в Центры событий Azure или в другое решение класса SIEM (управление информацией и событиями безопасности), SOAR (оркестрация безопасности и автоматизированное реагирование) либо классическое ИТ-решение по модели развертывания. Вы можете передавать данные в потоковом режиме по мере их создания или отправлять запланированные снимки новых данных.

В этой статье объясняется, как настроить непрерывный экспорт в рабочую область Log Analytics или концентратор событий в Azure.

Prerequisites

• Вам нужна подписка Microsoft Azure. Если у вас нет подписки Azure, вы можете зарегистрироваться, чтобы получить бесплатную подписку.

• Необходимо включить Microsoft Defender для облака в подписке Azure.

Требуемые роли и разрешения

• Администратор безопасности или владелец группы ресурсов
• Разрешения на запись для целевого ресурса.
• Если вы используете политики Политика Azure DeployIfNotExist, у вас должны быть разрешения, позволяющие назначать политики.
• Чтобы экспортировать данные в Центры событий, необходимо иметь разрешения на запись в политике Центров событий.
• Чтобы экспортировать в рабочую область Log Analytics, выполните следующие действия:

  • Если у него есть решение SecurityCenterFree, необходимо иметь как минимум разрешения на чтение для решения для рабочей области: Microsoft.OperationsManagement/solutions/read.

  • Если в ней отсутствует решение SecurityCenterFree, у вас должны быть права на запись для решения Workspace: Microsoft.OperationsManagement/solutions/action

    Дополнительные сведения о решениях рабочей области Azure Monitor и Log Analytics.

Создайте конфигурацию непрерывного экспорта

Вы можете настроить непрерывный экспорт на страницах Microsoft Defender для облака на портале Azure с помощью REST API или в масштабе с помощью шаблонов Политика Azure.

Чтобы настроить непрерывный экспорт в Log Analytics или Центры событий Azure с помощью портала Azure:

1. В меню ресурсов Defender для облака выберите параметры среды.

2. Выберите подписку, для которой требуется настроить экспорт данных.

3. В меню ресурсов в разделе "Параметры" выберите "Непрерывный экспорт".

   

   Отображаются параметры экспорта. Для каждого целевого объекта есть вкладка: Центры событий или рабочая область Log Analytics.

4. Выберите тип данных, который требуется экспортировать, и выберите фильтры для этого типа. Например, можно экспортировать только оповещения с высоким уровнем серьезности.

5. Выберите частоту экспорта:

   • Потоковая передача. Оценки отправляются при обновлении состояния работоспособности ресурса (если обновления не происходят, данные не отправляются).
   • Моментальные снимки. Моментальный снимок текущего состояния выбранных типов данных, которые отправляются по подписке раз в неделю. Чтобы определить данные моментального снимка, найдите поле IsSnapshot.

   Если в вашем выборе есть одна из этих рекомендаций, вы можете включить результаты оценки уязвимости к этим рекомендациям:

   • Уязвимости, обнаруженные в базах данных SQL, должны быть устранены
   • SQL-серверы на машинах должны иметь устранённые уязвимости
   • Необходимо устранить уязвимости в образах реестра контейнеров (на платформе Qualys)
   • Уязвимости, обнаруженные на компьютерах, должны быть устранены
   • На компьютерах должны быть установлены обновления системы.

   Чтобы включить результаты оценки уязвимостей к предыдущим рекомендациям по уязвимости, установите Включить данные по безопасностив Да.

   

6. В разделе "Экспорт" выберите расположение сохраненных данных. Данные можно сохранить в целевом объекте другой подписки (например, в центральном экземпляре Центров событий или в центральной рабочей области Log Analytics).

   Вы также можете отправлять данные в концентратор событий или рабочую область Log Analytics в другом клиенте.

7. Нажмите Сохранить.

Связанные материалы

Предыдущие шаги показали, как настроить непрерывный экспорт рекомендаций и оповещений Defender для облака в рабочее пространство Log Analytics или хаб событий. Для одноразового экспорта оповещений CSV см. « Скачать CSV-файл».

Чтобы просмотреть связанное содержимое:

• Узнайте, как просматривать экспортированные данные в Azure Monitor.
• Дополнительные сведения о шаблонах автоматизации рабочих процессов.
• См. документацию по Центрам событий Azure.
• Дополнительные сведения о Microsoft Sentinel.
• Ознакомьтесь с документацией по Azure Monitor.
• Узнайте, как экспортировать схемы типов данных.
• Ознакомьтесь с распространёнными вопросами о непрерывном экспорте.