Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Озеро данных Microsoft Sentinel отражает данные из рабочих областей Microsoft Sentinel. При подключении к озеру данных Microsoft Sentinel существующие соединители данных Microsoft Sentinel настраиваются на отправку данных как на уровень аналитики — в рабочие области Microsoft Sentinel, — так и на их зеркальное копирование на уровень озера данных для долгосрочного хранения. После подключения настройте соединители для хранения данных на каждом уровне в соответствии с вашими требованиями.
В этой статье объясняется, как настроить хранение и разбитие данных, управлять данными XDR, пользовательскими таблицами журналов, вспомогательными таблицами журналов и прямым погружением для озера данных Microsoft Sentinel. Дополнительные сведения см. в статье Начало работы с озером данных Microsoft Sentinel.
Настройка хранения и распределения по уровням данных
После первоначальной настройки можно включить новые соединители и настроить срок хранения данных для существующих соединителей. Вы можете отправить данные на аналитический уровень и зеркально скопировать их на уровень озера данных либо отправить данные только на уровень озера данных. Вы управляете сроками хранения и многоуровневым хранением на страницах настройки соединителя или с помощью страницы Управление таблицами на портале Defender. Дополнительные сведения об управлении таблицами и хранении см. в статье Управление уровнями данных и хранением на портале Microsoft Defender.
При включении соединителя данные по умолчанию отправляются на аналитический уровень и дублируются на уровне озера данных. При включении озера данных в Microsoft Sentinel зеркалирование автоматически включается для всех таблиц, начиная с момента подключения. Зеркальные данные в озере данных с тем же сроком хранения, что и в аналитическом уровне, не влекут дополнительных расходов на выставление счетов. Существующие данные в таблицах не зеркально отображаются. Срок хранения для уровня озера данных установлен на то же значение, что и для уровня аналитики. Вы можете переключиться на прием данных только на уровень озера данных. Если вы настраиваете прием данных только в уровень озера данных, прием данных на уровень аналитики прекращается, а существующие данные на уровне аналитики сохраняются в соответствии с параметрами хранения данных.
Данные, сохраненные на уровне архива, по-прежнему доступны и могут быть восстановлены с помощью функции поиска и восстановления.
Чтобы настроить хранение данных и распределение по уровням хранения для ваших соединителей, см. раздел Настройка соединителя данных.
данные XDR в Microsoft Sentinel
По умолчанию Microsoft Defender XDR хранит данные об охоте на угрозы на уровне "Аналитика" в течение 30 дней. Эти данные всегда доступны. Некоторые таблицы XDR можно загружать на уровни аналитики и озера данных, если увеличить срок хранения более чем до 30 дней. Вы также можете загружать данные XDR напрямую в слой озера данных без слоя аналитики. Дополнительные сведения см. в статье Управление данными XDR в Microsoft Sentinel.
Понимание поддержки пользовательских таблиц журналов для озера данных Microsoft Sentinel
Настраиваемые таблицы агента мониторинга (MMA) и агента log analytics (CLV1) не отражаются в озере данных.
Таблицы, созданные с помощью API приема журналов или агента мониторинга Azure (AMA) и пользовательских таблиц на основе DCR, зеркально отображаются. Дополнительные сведения см. в разделе API приема журналов в Azure Monitor.
Вспомогательные таблицы логов
Когда вы подключаете Microsoft Defender и Microsoft Sentinel, а затем озеро данных, вспомогательные таблицы журналов больше не отображаются в разделе «Расширенный поиск» Microsoft Defender или в портале Azure Microsoft Sentinel. Данные вспомогательной таблицы доступны в озере данных, и к ним можно обращаться с помощью запросов KQL или ноутбуков Jupyter. Найдите запросы KQL в разделе Microsoft Sentinel>Исследование озера данных в портале Defender.
Прямая загрузка в озеро данных
Вы можете принимать данные непосредственно в озеро данных Microsoft Sentinel, не перенаправляя их через уровень аналитики. Этот подход полезен, если требуется хранить данные безопасности для долгосрочного анализа без затрат на соответствующий уровень аналитики. Дополнительные сведения см. в разделе Непосредственный прием данных журналов в озеро данных Microsoft Sentinel.