Различия схемы оповещений: изолированный и соединитель XDR

В этой статье описаны различия между оповещениями, которые поступают через автономные соединители, и оповещениями, которые поступают через соединитель расширенного обнаружения и реагирования (XDR) в Microsoft Sentinel.

Автономные соединители принимает оповещения непосредственно из исходных продуктов безопасности, тогда как соединитель XDR принимает оповещения через конвейер Microsoft Defender XDR. Сюда входят соединители, такие как Microsoft Defender для Office 365, Microsoft Defender для конечной точки, Microsoft Defender для удостоверений, управления правами на доступ к данным (IRM), защиты от потери данных (DLP)., Microsoft Defender для облака (MDC) и Microsoft Defender for Cloud Apps (MDA).

Эти различия могут повлиять на сопоставления полей, поведение производных полей, структуру схемы и прием оповещений, что может повлиять на существующие запросы, правила аналитики и книги. Ознакомьтесь с этими различиями перед переходом на соединитель XDR.

Полную схему оповещений см. в справочнике по схеме оповещений системы безопасности.

Поведение CompromisedEntity

Поле CompromisedEntity обрабатывается по-разному в разных продуктах при приеме оповещений через соединитель XDR.

Продукт Эквивалентное значение CompromisedEntity в оповещениях XDR
Microsoft Defender для конечной точки (MDE) Устройство, на котором "LeadingHost": true в json сущностях оповещений
Microsoft Entra ID (защита идентификации) Всегда задается имя участника-пользователя.
Microsoft Defender для удостоверений (MDI) Исправленная строка "CompromisedEntity"

Примечание.

В MDE оповещений CompromisedEntity является производным от устройства, где ."LeadingHost": true В некоторых оповещениях это поле может быть не заполнено.

В оповещениях MDI CompromisedEntity не представляет узел или пользователя и всегда является строкой "CompromisedEntity"литерала .

Изменения в сопоставлении полей

Некоторые поля переименовываются или используют разные наборы значений в оповещениях из соединителя XDR.

Продукт Устаревшее поле или свойство Поведение XDR
MDE ExtendedProperties.MicrosoftDefenderAtp.Category Сопоставлено с ExtendedProperties.Category
Microsoft Defender для Office (MDO) ExtendedProperties.Status Использует набор значений, отличный от устаревших
Microsoft Defender для Office (MDO) ExtendedProperties.InvestigationName Недоступно

Преобразования структурных схем (MDI)

Изолированный соединитель Microsoft Defender для удостоверений (MDI) иногда использует сущности-заполнители для хранения дополнительной информации. В соединителе XDR эти сведения складываются в свойства в resourceAccessEvents коллекции.

Устаревшая сущность или свойство Представление XDR
ResourceAccessInfo.Time resourceAccessEvents[].AccessDateTime
ResourceAccessInfo.IpAddress resourceAccessEvents[].IpAddress
ResourceAccessInfo.ResourceIdentifier.AccountId resourceAccessEvents[].AccountId
ResourceAccessInfo.ResourceIdentifier.ResourceName resourceAccessEvents[].ResourceIdentifier
DomainResourceIdentifier resourceAccessEvents[].ResourceIdentifier

ResourceAccessInfo.ComputerId больше не требуется, так как он "идентичен сущности узла, в котором определен ResourceAccessInfo.

Фильтрация приема оповещений

Некоторые оповещения, доступные через автономные соединители, не поступают через соединитель XDR.

Продукт Поведение фильтрации
Microsoft Defender для облака (MDC) Информационные оповещения о серьезности не приемуются
Microsoft Entra ID По умолчанию оповещения ниже высокого уровня серьезности не приемлются; клиенты могут настроить прием, чтобы включить все уровни серьезности

Поведение области (Microsoft Defender для облака)

Microsoft Defender для облачных оповещений при приеме через соединитель XDR используется различная область.

Область автономного соединителя область соединителя XDR
Уровень подписки Уровень клиента

Примечание.

Все оповещения MDC доступны в основной рабочей области для клиента. Область оповещений определяется в соответствии с областями подписки MDC в Defender XDR.

Дальнейшие действия