Географическая доступность и расположение данных в Microsoft Sentinel

После сбора, хранения и обработки данных соответствие требованиям может стать важным требованием проектирования, что значительно повлияет на архитектуру Microsoft Sentinel. Возможность проверять и доказывать, кто имеет доступ к данным при любых условиях, является критически важным требованием суверенитета данных во многих странах и регионах, а оценка рисков и получение аналитических сведений в Microsoft Sentinel рабочих процессах является приоритетной задачей для многих клиентов.

Эта статья поможет вам соблюсти нормативные требования, описывая, где хранятся данные Microsoft Sentinel.

Собранные данные

Microsoft Sentinel собирает следующие типы данных:

• Необработанные данные, например данные о событиях, собранные из подключенных служб Майкрософт и партнерских систем. Данные из нескольких облаков и источников потоково передаются в рабочую область Azure Log Analytics клиента, связанную с Microsoft Sentinel, в рамках подписки арендатора клиента. Такой подход дает клиенту возможность выбирать регион, а также политики хранения и удаления.
• Обработанные данные, такие как инциденты, оповещения, поведение и т. д.
• Данные конфигурации, такие как параметры соединителя, правила и т. д.

Место хранения данных

Microsoft Sentinel хранит данные, используемые службой, включая данные клиента, в том же регионе, что и связанная Azure Log Analytics рабочая область. Дополнительные сведения см. в разделе Поддерживаемые регионы.

Microsoft Sentinel обрабатывает данные в одном из следующих расположений:

• Для рабочих областей Log Analytics, расположенных в Европе, Microsoft Sentinel обрабатывает данные клиентов в Европе.
• Для Log Analytics рабочих областей, расположенных в Израиле, Microsoft Sentinel обрабатывает данные клиентов в Израиле.
• Для рабочих областей Log Analytics, расположенных в любом регионе China 21Vianet, Microsoft Sentinel обрабатывает данные клиентов в регионах China 21Vianet.
• Для рабочих областей, расположенных в любом другом расположении, Microsoft Sentinel обрабатывает данные клиентов в регионе США.

При подключении Microsoft Sentinel с портала Defender служба может обрабатывать данные в целевых регионах, указанных во время подключения, или в существующих Microsoft Defender XDR регионах, если это применимо. Однако расположение хранилища необработанных данных остается неизменным. Дополнительные сведения см. в статье Безопасность и хранение данных в Microsoft Defender XDR.

Поддерживаемые регионы

В следующей таблице показаны поддерживаемые регионы, поддерживающие Microsoft Sentinel SIEM и data lake.

Хранение данных

Данные из Microsoft Sentinel хранятся до самой ранней из следующих дат:

• Клиент удаляет Microsoft Sentinel из рабочей области
• Согласно политике хранения, заданной клиентом

До этого времени клиенты всегда могут удалить свои данные.

Данные клиента хранятся и доступны во время действия лицензии на льготный период или в приостановленном режиме. По истечении этого периода и не позднее чем через 90 дней после прекращения или истечения срока действия контракта данные удаляются из систем Корпорации Майкрософт, чтобы сделать их неустранимыми.

Общий доступ к данным для Microsoft Sentinel

Microsoft Sentinel может предоставлять доступ к данным, включая данные клиентов, другим продуктам Microsoft:

• Microsoft Defender XDR
• Azure Log Analytics (Аналитика логов Azure)
• Копилот безопасности

Связанные материалы

Дополнительные сведения см. в разделе:

• Сведения о Azure регионах, полезные при проектировании архитектуры рабочей области.
• Непрерывность бизнес-процессов и аварийное восстановление для Microsoft Sentinel