Работайте с инцидентами одновременно в нескольких рабочих пространствах

Чтобы в полной мере воспользоваться возможностями Microsoft Sentinel, корпорация Майкрософт рекомендует использовать среду с одной рабочей областью. Однако существуют сценарии использования, в которых требуется несколько рабочих областей, а в некоторых случаях — например, у поставщика управляемых служб безопасности (MSSP) и его клиентов — в нескольких арендаторах. Представление нескольких рабочих пространств позволяет одновременно просматривать инциденты безопасности и работать с ними в нескольких рабочих пространствах, даже в разных арендаторах, сохраняя полную видимость и контроль над процессами реагирования на угрозы безопасности в организации.

Если вы подключаете Microsoft Sentinel к порталу Microsoft Defender, см.:

• Несколько рабочих областей Microsoft Sentinel на портале Defender
• управление несколькими клиентами Microsoft Defender

Перейти в режим просмотра нескольких рабочих областей

При открытии Microsoft Sentinel вы получите список всех рабочих областей, к которым у вас есть права доступа для всех выбранных клиентов и подписок. Выбрав название рабочей области, вы перейдёте в неё. Чтобы выбрать несколько рабочих областей, установите все соответствующие флажки, а затем нажмите кнопку Просмотреть инциденты в верхней части страницы.

В списке рабочих областей можно увидеть каталог, подписку, расположение и группу ресурсов, связанные с каждой рабочей областью. Каталог относится к арендатору.

Работа с инцидентами в рабочих областях

Режим просмотра нескольких рабочих областей сейчас доступен только для инцидентов. Страница "Просмотр инцидентов с несколькими рабочими областями" выглядит и выполняется в большинстве случаев, как на странице " Обычные инциденты " со следующими важными различиями:

• Счетчики в верхней части страницы — Открытые инциденты, Новые инциденты, Активные инциденты и т. д. — вместе отображают номера для всех выбранных рабочих областей.

• Инциденты из всех выбранных рабочих областей и каталогов (клиентов) отображаются в едином списке. Список можно отфильтровать по рабочей области и каталогу в дополнение к фильтрам на обычном экране Инциденты .

• Необходимо иметь разрешения на чтение и запись во всех рабочих областях, из которых вы выбрали инциденты. Если у вас есть только разрешения на чтение в некоторых рабочих областях, при выборе инцидентов в этих рабочих областях отображаются предупреждающие сообщения. Вы не можете изменить эти или другие инциденты, выбранные вместе с ними (даже если у вас есть разрешения для других).

• Если вы выберете один инцидент и нажмёте Просмотреть полные сведения или Действия>Исследовать, после этого вы будете находиться в контексте данных рабочей области, связанной только с этим инцидентом, а не с какими-либо другими.

Связанные материалы

• Получите представление о ваших данных и потенциальных угрозах
• Обнаружение угроз с помощью Microsoft Sentinel