Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
В этой статье описаны различия между оповещениями, которые поступают через автономные соединители, и оповещениями, которые поступают через соединитель расширенного обнаружения и реагирования (XDR) в Microsoft Sentinel.
Автономные соединители принимает оповещения непосредственно из исходных продуктов безопасности, тогда как соединитель XDR принимает оповещения через конвейер Microsoft Defender XDR. Сюда входят соединители, такие как Microsoft Defender для Office 365, Microsoft Defender для конечной точки, Microsoft Defender для удостоверений, управления правами на доступ к данным (IRM), защиты от потери данных (DLP)., Microsoft Defender для облака (MDC) и Microsoft Defender for Cloud Apps (MDA).
Эти различия могут повлиять на сопоставления полей, поведение производных полей, структуру схемы и прием оповещений, что может повлиять на существующие запросы, правила аналитики и книги. Ознакомьтесь с этими различиями перед переходом на соединитель XDR.
Полную схему оповещений см. в справочнике по схеме оповещений системы безопасности.
Поведение CompromisedEntity
Поле CompromisedEntity обрабатывается по-разному в разных продуктах при приеме оповещений через соединитель XDR.
| Продукт | Эквивалентное значение CompromisedEntity в оповещениях XDR |
|---|---|
| Microsoft Defender для конечной точки (MDE) | Устройство, на котором "LeadingHost": true в json сущностях оповещений |
| Microsoft Entra ID (защита идентификации) | Всегда задается имя участника-пользователя. |
| Microsoft Defender для удостоверений (MDI) | Исправленная строка "CompromisedEntity" |
Примечание.
В MDE оповещений CompromisedEntity является производным от устройства, где ."LeadingHost": true В некоторых оповещениях это поле может быть не заполнено.
В оповещениях MDI CompromisedEntity не представляет узел или пользователя и всегда является строкой "CompromisedEntity"литерала .
Изменения в сопоставлении полей
Некоторые поля переименовываются или используют разные наборы значений в оповещениях из соединителя XDR.
| Продукт | Устаревшее поле или свойство | Поведение XDR |
|---|---|---|
| MDE | ExtendedProperties.MicrosoftDefenderAtp.Category | Сопоставлено с ExtendedProperties.Category |
| Microsoft Defender для Office (MDO) | ExtendedProperties.Status | Использует набор значений, отличный от устаревших |
| Microsoft Defender для Office (MDO) | ExtendedProperties.InvestigationName | Недоступно |
Преобразования структурных схем (MDI)
Изолированный соединитель Microsoft Defender для удостоверений (MDI) иногда использует сущности-заполнители для хранения дополнительной информации. В соединителе XDR эти сведения складываются в свойства в resourceAccessEvents коллекции.
| Устаревшая сущность или свойство | Представление XDR |
|---|---|
| ResourceAccessInfo.Time | resourceAccessEvents[].AccessDateTime |
| ResourceAccessInfo.IpAddress | resourceAccessEvents[].IpAddress |
| ResourceAccessInfo.ResourceIdentifier.AccountId | resourceAccessEvents[].AccountId |
| ResourceAccessInfo.ResourceIdentifier.ResourceName | resourceAccessEvents[].ResourceIdentifier |
| DomainResourceIdentifier | resourceAccessEvents[].ResourceIdentifier |
ResourceAccessInfo.ComputerId больше не требуется, так как он "идентичен сущности узла, в котором определен ResourceAccessInfo.
Фильтрация приема оповещений
Некоторые оповещения, доступные через автономные соединители, не поступают через соединитель XDR.
| Продукт | Поведение фильтрации |
|---|---|
| Microsoft Defender для облака (MDC) | Информационные оповещения о серьезности не приемуются |
| Microsoft Entra ID | По умолчанию оповещения ниже высокого уровня серьезности не приемлются; клиенты могут настроить прием, чтобы включить все уровни серьезности |
Поведение области (Microsoft Defender для облака)
Microsoft Defender для облачных оповещений при приеме через соединитель XDR используется различная область.
| Область автономного соединителя | область соединителя XDR |
|---|---|
| Уровень подписки | Уровень клиента |
Примечание.
Все оповещения MDC доступны в основной рабочей области для клиента. Область оповещений определяется в соответствии с областями подписки MDC в Defender XDR.