руководство по прямому приему Microsoft Sentinel озера данных

Вы можете настроить источники журналов для приема непосредственно на уровень озера данных без зеркального отображения на уровне аналитики. Прямой прием полезен, если у вас есть источники журналов большого объема, которые вы хотите сохранить для охоты и судебной экспертизы, но не нуждаетесь в оповещении в режиме реального времени.

Принимая эти источники непосредственно на уровень озера данных, вы избегаете затрат на прием на уровне аналитики, сохраняя доступ к данным для запросов KQL, записных книжек Spark и долгосрочного анализа. Эта статья поможет определить, какие источники журналов являются хорошими кандидатами для прямого приема озера данных на основе их значения для рабочих нагрузок обнаружения, охоты и исследования.

Настройте прямой прием озера данных на страницах настройки соединителя или на странице управления таблицами на портале Microsoft Defender. Дополнительные сведения см. в разделе Настройка параметров таблицы в Microsoft Sentinel.

Какие журналы следует принимать в озеро данных?

После подключения к Microsoft Sentinel data lake можно выбрать источники журналов для отправки на уровень озера данных, уровень аналитики или оба. Уровень аналитики оптимизирован для обнаружения и оповещений в режиме реального времени, а уровень озера данных оптимизирован для экономичного долгосрочного хранения и охоты. Используйте следующее руководство, чтобы определить, какие источники журналов следует принимать на каждом уровне на основе их значения для разных рабочих нагрузок безопасности.

Варианты использования уровня "Аналитика"

Уровень аналитики используется для приема данных журнала в Microsoft Sentinel рабочих областях, где можно выполнять правила аналитики, пользовательские обнаружения и динамические запросы. Прием источников журналов на уровень аналитики при необходимости:

• Обнаружение и корреляция в режиме реального времени: оповещение о критических событиях из конечных точек, систем идентификации, облачных элементов управления безопасностью и устройств периметра сети.
• Активное исследование инцидента. Выполняйте динамические запросы к текущим данным во время реагирования на инцидент.
• Сигналы высокой точности: прием источников с прямым значением обнаружения, таких как оповещения EDR, журналы привилегированного доступа, события проверки подлинности и индикаторы аналитики угроз.

Варианты использования уровня Data Lake

Уровень озера данных используется для хранения журналов с более низкой стоимостью для рабочих нагрузок, которые не требуют оповещений в режиме реального времени. Прием источников журналов на уровне озера данных при необходимости:

• Хранение больших объемов журналов. Храните источники, которые полезны для судебного анализа или периодических поисков угроз, но слишком затратны для хранения на уровне аналитики.
• Охота на угрозы. Выполните поиск в нескольких журналах, анализ тенденций и исторические запросы для выявления закономерностей в расширенных диапазонах времени.
• Пакетная аналитика и сводка. Используйте записные книжки Spark, KQL или аналогичные средства для обогащения, корреляции или сводных данных, а затем пересылки только высокоприоритетных сигналов на уровень аналитики.
• Машинное обучение и расширенная аналитика. Применяйте методы больших данных для выявления сложных связей и аномалий в исторических данных.

Правила аналитики и настраиваемые обнаружения

Вы не можете выполнять правила аналитики или пользовательские обнаружения для данных на уровне озера данных. При приеме журналов только на уровне озера данных эти журналы не создают оповещений. Чтобы обеспечить охват обнаружения в режиме реального времени, сохраняйте источники журналов с высокой точностью времени на уровне аналитики.

Выбор уровня приема по типу источника журнала

Используйте следующую таблицу в качестве общего руководства, чтобы решить, где принимать каждый тип источника журнала. Оцените собственные рабочие нагрузки, требования к оповещениям и устойчивость к рискам при настройке приема журналов. Некоторые источники журналов имеют выделенные соединители Microsoft Sentinel, в то время как для других могут потребоваться syslog, CEF, api-based или настраиваемые соединители для приема.

Связанные материалы

• Управление уровнями данных и хранением в Microsoft Sentinel
• Настройка параметров таблицы в Microsoft Sentinel
• Настройка соединителей для озера данных Microsoft Sentinel
• Общие сведения о озере данных Microsoft Sentinel