Подключение Microsoft Sentinel

В этом кратком руководстве описано, как включить Microsoft Sentinel и установить решение из центра содержимого. Затем вы настроите соединитель данных, чтобы начать прием данных в Microsoft Sentinel.

Microsoft Sentinel поставляется со многими соединителями данных для продуктов Майкрософт, таких как соединитель Microsoft Defender XDR между службами. Вы также можете включить встроенные соединители для продуктов сторонних продуктов, таких как Системный журнал или Общий формат событий (CEF). В этом кратком руководстве вы будете использовать соединитель данных действия Azure, доступный в решении действия Azure для Microsoft Sentinel.

Сведения о подключении к Microsoft Sentinel с помощью API см. в последней поддерживаемой версии Sentinel состояния подключения.

Предварительные условия

• Активная подписка Azure. Если у вас ее нет, создайте бесплатную учетную запись перед началом работы.

• Разрешения.

  • Чтобы включить Microsoft Sentinel, необходимо участник разрешения для подписки, в которой находится рабочая область Microsoft Sentinel.

  • Для использования Microsoft Sentinel требуются разрешения Microsoft Sentinel участник или Microsoft Sentinel читатель в группе ресурсов, к которой принадлежит рабочая область.

  • Для установки решений в центре содержимого или управления ими требуется роль участника Microsoft Sentinel в группе ресурсов, к которой принадлежит рабочая область.

  • Если вы являетесь новым клиентом Microsoft Sentinel и имеете разрешения владельца подписки или администратора доступа пользователей, ваша рабочая область автоматически подключена к порталу Defender. Пользователи таких рабочих областей используют Microsoft Sentinel только на портале Defender.

• Microsoft Sentinel является платной услугой. Просмотрите варианты ценообразования и страницу Microsoft Sentinel цен.

• Перед развертыванием Microsoft Sentinel в рабочей среде ознакомьтесь с действиями перед развертыванием и предварительными условиями для развертывания Microsoft Sentinel.

Создание рабочей области Log Analytics

Microsoft Sentinel необходимо добавить в рабочую область. Если у вас уже есть рабочая область Log Analytics, перейдите к добавлению Microsoft Sentinel в рабочую область Log Analytics. Если у вас еще нет рабочей области Log Analytics, ее можно создать с помощью приведенных ниже инструкций или более подробного объяснения см. в статье Создание рабочей области Log Analytics. Дополнительные сведения о рабочих областях Log Analytics см. в статье Проектирование развертывания журналов Azure мониторинга.

По умолчанию в рабочей области Log Analytics, используемой для Microsoft Sentinel, может быть 30 дней хранения. Чтобы убедиться, что вы можете использовать все функции и функции Microsoft Sentinel, повысьте срок хранения до 90 дней. Настройка политик хранения и архивации данных в журналах мониторинга Azure.

1. Войдите на портал Azure.

2. Найдите и выберите Microsoft Sentinel.
   

3. Нажмите Создать.

4. Выберите Создать рабочую область.

5. В разделеГруппа ресурсовподписки> выберите Создать. Введите имя группы ресурсов и нажмите кнопку ОК.

6. Присвойте рабочей области имя и выберите регион, а затем выберите Просмотр и создание. (Узнайте , в каких регионах доступна служба Log Analytics.)

7. После прохождения проверки нажмите кнопку Создать. Дождитесь завершения развертывания.

Добавление Microsoft Sentinel в рабочую область Log Analytics

1. На портал Azure найдите и выберите Microsoft Sentinel.

2. Нажмите Создать.

3. Выберите рабочую область, которую вы хотите использовать, и нажмите кнопку Добавить. Вы можете запустить Microsoft Sentinel в нескольких рабочих областях, но данные изолированы в одной рабочей области.

   • Рабочие области по умолчанию, созданные Microsoft Defender для облака, не отображаются в списке. Вы не можете установить Microsoft Sentinel в этих рабочих областях.
   • После развертывания в рабочей области Microsoft Sentinel не поддерживает перемещение этой рабочей области в другую группу ресурсов или подписку.

Доступ к Microsoft Sentinel на портале Defender

Чтобы получить доступ к Microsoft Sentinel на портале Defender, выполните следующие действия:

1. Войдите на портал Defender.

   При первом доступе к порталу Defender потребуется некоторое время для подготовки клиента.

2. После подготовки вы увидите, Microsoft Sentinel доступны в области навигации, в которую вложены Microsoft Sentinel узлы. Например, вы можете:

   

3. Прокрутите вниз в области навигации и выберите Параметры > Microsoft Sentinel > Рабочие области, чтобы просмотреть рабочие области, подключенные к порталу Defender и доступные вам.

Портал Defender поддерживает несколько рабочих областей, при этом одна рабочая область выступает в качестве основной рабочей области для каждого клиента. Дополнительные сведения см. в разделе Несколько рабочих областей Microsoft Sentinel на портале Defender и Microsoft Defender мультитенантное управление.

Установка решения из концентратора содержимого

Центр содержимого в Microsoft Sentinel — это централизованное расположение для обнаружения и управления встроенным содержимым, включая соединители данных. В этом кратком руководстве установите решение для действия Azure.

1. В Microsoft Sentinel перейдите на страницу Центр содержимого, найдите и выберите решение действия Azure.

   • Портал Defender
   • Портал Azure

   

2. На боковой панели сведений о решении выберите Установить.

Настройка соединителя данных

Microsoft Sentinel прием данных из служб и приложений путем подключения к службе и перенаправления событий и журналов в Microsoft Sentinel. В этом кратком руководстве установите соединитель данных для пересылки данных для действия Azure в Microsoft Sentinel.

1. В Microsoft Sentinel выберитеСоединители данныхконфигурации> и найдите и выберите соединитель данных действия Azure.

2. В области сведений о соединителе выберите Открыть страницу соединителя. Используйте инструкции на странице соединителя действия Azure, чтобы настроить соединитель данных.

   1. Выберите Запустить мастер назначений Политика Azure.

   2. На вкладке Основные сведения задайте в поле Область подписку и группу ресурсов, в которые есть действие, отправляемые в Microsoft Sentinel. Например, выберите подписку, содержащую экземпляр Microsoft Sentinel.

   3. Перейдите на вкладку Параметры и задайте рабочую область Primary Log Analytics. Это должна быть рабочая область, в которой установлена Microsoft Sentinel.

   4. Выберите Просмотр и создание и Создание.

Создание данных о действиях

Давайте создадим некоторые данные о действиях, включив правило, которое было включено в решение действия Azure для Microsoft Sentinel. На этом шаге также показано, как управлять содержимым в центре содержимого.

1. В Microsoft Sentinel выберите Центр содержимого и найдите и выберите шаблон правила развертывания подозрительных ресурсов в решении Azure Activity.

2. В области сведений выберите Создать правило , чтобы создать новое правило с помощью мастера правил аналитики.

3. В мастере правил аналитики — создание нового правила по расписанию измените состояние на Включено.

   На этой вкладке и на всех остальных вкладках мастера оставьте значения по умолчанию.

4. На вкладке Просмотр и создание выберите Создать.

Просмотр данных, передаваемых в Microsoft Sentinel

Теперь, когда вы включили соединитель данных действия Azure и создали некоторые данные о действиях, давайте рассмотрим данные о действиях, добавленные в рабочую область.

1. В Microsoft Sentinel выберитеСоединители данныхконфигурации> и найдите и выберите соединитель данных действия Azure.

2. В области сведений о соединителе выберите Открыть страницу соединителя.

3. Проверьте состояние соединителя данных. Он должен быть подключен.

   

4. Выберите вкладку для продолжения в зависимости от того, какой портал вы используете:

   • Портал Defender
   • Портал Azure

   1. Выберите Перейти к log analytics, чтобы открыть страницу Расширенная охота .

   2. В верхней части панели рядом с вкладкой Новый запрос выберите вкладку + , чтобы добавить новый запрос.

   3. Выполните следующий запрос, чтобы просмотреть дату действия, попадаемую в рабочую область:

      AzureActivity
      

   Например, вы можете:

   

Дальнейшие действия

В этом кратком руководстве вы включили Microsoft Sentinel и установили решение из концентратора содержимого. Затем вы настроите соединитель данных, чтобы начать прием данных в Microsoft Sentinel. Вы также проверили, что данные принимаются, просмотрев данные в рабочей области.

Если вы новый клиент, который автоматически подключен к порталу Defender, ваши пользователи будут обращаться к Microsoft Sentinel только на портале Defender. При использовании документации по Microsoft Sentinel обязательно выберите версию документации на портале Defender.

• Сведения о визуализации данных, собранных с помощью панелей мониторинга и книг, см. в статье Визуализация собранных данных.
• Сведения об обнаружении угроз с помощью правил аналитики см. в статье Руководство по обнаружению угроз с помощью правил аналитики в Microsoft Sentinel.