Настройка соединителей для озера данных Microsoft Sentinel

Хранилище данных Microsoft Sentinel отражает данные из рабочих областей Microsoft Sentinel. При подключении к озеру данных Microsoft Sentinel существующие соединители данных Microsoft Sentinel настроены для отправки данных на оба уровня аналитики — рабочие области Microsoft Sentinel и зеркальное отображение данных на уровне озера данных для долгосрочного хранения. После подключения настройте соединители для хранения данных на каждом уровне в соответствии с вашими требованиями.

В этой статье объясняется, как настроить соединители для озера данных Microsoft Sentinel и настроить политику хранения данных. Дополнительные сведения о подключении см. в разделе "Подключение к озеру данных Microsoft Sentinel".

Настройка политик хранения и тиражирование данных

После подключения можно включить новые соединители и настроить хранение для существующих соединителей. Вы можете отправить данные на уровень аналитики и зеркально отражать данные на уровне озера данных или отправлять данные только на уровень озера данных. Вы можете управлять хранением и распределением по уровням на страницах настройки соединителя или с помощью страницы управления таблицами на портале Defender. Дополнительные сведения об управлении таблицами и хранении см. в статье "Управление уровнями данных и хранением" на портале Microsoft Defender.

При включении соединителя данные по умолчанию отправляются на уровень аналитики и отражаются на уровне озера данных. При включении озера данных Microsoft Sentinel зеркалирование автоматически включается для всех таблиц с момента подключения. Дублированные данные в озере данных с таким же сроком хранения, как аналитический уровень, не приводят к дополнительным расходам на выставление счетов. Существующие данные в таблицах не дублируются. Для уровня удержания озера данных установлено то же значение, что и для аналитического уровня. Вы можете переключиться на прием данных исключительно на уровне хранилища данных. Когда вы настраиваете загрузку только на уровень озера данных, загрузка на уровень аналитики останавливается, а существующие данные на уровне аналитики будут сохранены в соответствии с настройками хранения данных.

Данные, сохраненные в архиве, по-прежнему доступны и могут быть восстановлены с помощью функции поиска и восстановления.

Сведения о настройке хранения и уровня для соединителя данных см. в разделе "Настройка соединителя данных".

Данные Microsoft Sentinel XDR

По умолчанию Microsoft Defender XDR сохраняет данные поиска угроз в аналитическом уровне в течение 30 дней. Эти данные всегда доступны. Некоторые таблицы XDR можно ингестировать в уровни аналитики и озера данных, увеличив время хранения на более чем 30 дней. Вы также можете интегрировать данные XDR непосредственно на уровне озера данных без уровня аналитики. Дополнительные сведения см. в разделе "Управление данными XDR" в Microsoft Sentinel.

Пользовательские таблицы логов

Пользовательские таблицы Microsoft Monitoring Agent (MMA) и Log Analytics Agent (CLV1) не синхронизированы с озером данных.

Таблицы, созданные с помощью API приема журналов или агента Azure Monitor (AMA), а также пользовательские таблицы на основе DCR, дублируются. Дополнительные сведения см. в разделе API приема журналов в Azure Monitor.

Вспомогательные таблицы журналов

Когда вы подключены к Microsoft Defender и Microsoft Sentinel, а затем подключены к озеру данных, вы больше не увидите вспомогательные таблицы журналов в расширенной охоте в Microsoft Defender или на портале Microsoft Sentinel Azure. Вспомогательные данные таблицы доступны в хранилище данных, и их можно запросить, используя запросы KQL или записные книжки Jupyter. Найдите запросы KQL в разделе Microsoft Sentinel>Обозреватель озера данных на портале Defender.

Прямая загрузка в уровень озера данных

В зависимости от потребностей вашей организации в области безопасности вы можете напрямую интегрировать некоторые источники журналов в озеро данных. Непосредственное внесение журналов в озеро данных позволяет лучше управлять затратами, оптимизируя хранение данных на основе их ценности для обнаружения в режиме реального времени и долгосрочного анализа.

Загружайте журналы с большим объемом данных, которые менее критичны для обнаружения в режиме реального времени, но полезны для глубокого анализа и судебных экспертиз, непосредственно в озеро данных. А на аналитический уровень загружайте только журналы с высокой ценностью. Обратите внимание, что журналы, которые отправляются на уровень аналитики, также зеркально отражаются в озере данных.

Используйте следующую таблицу, чтобы приоритизировать, какие источники следует принимать непосредственно в озеро данных или аналитический уровень.

Связанные статьи

• Подключение к озеру данных Microsoft Sentinel
• Управление уровнями данных и хранением на портале Microsoft Defender
• KQL и озеро данных Microsoft Sentinel
• Записные книжки Jupyter и хранилище данных Microsoft Sentinel