Централизованное управление несколькими рабочими областями Microsoft Sentinel с помощью диспетчера рабочих областей (предварительная версия)

Узнайте, как централизованно управлять несколькими рабочими областями Microsoft Sentinel в одном или нескольких клиентах Azure с помощью диспетчера рабочих областей. В этой статье описано, как подготовить и использовать диспетчер рабочих областей. Независимо от того, являетесь ли вы глобальным предприятием или поставщиком управляемых служб безопасности (MSSP), диспетчер рабочих областей помогает эффективно работать в большом масштабе.

Ниже приведены активные типы контента, поддерживаемые диспетчером рабочих областей:

• Правила аналитики
• Правила автоматизации (за исключением сборников схем)
• Средства синтаксического анализа, сохраненные поисковые запросы и функции
• Охота на запросы
• Книги

Если вы Microsoft Sentinel на портале Microsoft Defender, см. раздел Microsoft Defender мультитенантное управление.

Предварительные условия

• Вам потребуется по крайней мере две Microsoft Sentinel рабочих областей. Одна рабочая область для управления и по крайней мере одна другая рабочая область для управления.
• Назначение роли участника Microsoft Sentinel требуется в центральной рабочей области (где включен диспетчер рабочей области), а также в рабочих областях-членах, которыми участник необходимо управлять. Дополнительные сведения о ролях в Microsoft Sentinel см. в статье Роли и разрешения в Microsoft Sentinel.
• Включите Azure Lighthouse, если вы управляете рабочими областями в нескольких клиентах Microsoft Entra. Дополнительные сведения см. в статье Управление рабочими областями Microsoft Sentinel в большом масштабе.

Рекомендации

Настройте центральную рабочую область, чтобы она была средой для консолидации элементов содержимого и конфигураций для публикации в большом масштабе в рабочих областях-членах. Создайте новую рабочую область Microsoft Sentinel или используйте имеющуюся рабочую область в качестве центральной рабочей области.

В зависимости от сценария рассмотрите следующие архитектуры:

• Прямая связь — это наименее сложная настройка. Управление всеми рабочими областями-членами с помощью только одной центральной рабочей области.
• Совместное управление поддерживает сценарии, в которых для управления рабочей областью-членом требуется несколько центральных рабочих областей. Например, рабочие области одновременно управляются собственной командой SOC и MSSP.
• N-уровень поддерживает сложные сценарии, в которых центральная рабочая область управляет другой центральной рабочей областью. Например, конгломерат, который управляет несколькими дочерними компаниями, где каждая дочерняя компания также управляет несколькими рабочими областями.

Включение диспетчера рабочих областей в центральной рабочей области

Включите центральную рабочую область после того, как вы решите, какой Microsoft Sentinel рабочей области должен быть диспетчером рабочей области.

1. Перейдите в колонку Параметры в родительской рабочей области и установите переключатель В параметре конфигурации диспетчера рабочих областей в поле "Сделать эту рабочую область родительской".

2. После включения в разделе Конфигурация появится новое меню Диспетчер рабочей области (предварительная версия).

   

Подключение рабочих областей-членов

Рабочие области-члены — это набор рабочих областей, управляемых диспетчером рабочих областей. Подключение некоторых или всех рабочих областей в клиенте, а также в нескольких клиентах (если включено Azure Lighthouse).

1. Перейдите к диспетчеру рабочих областей и выберите "Добавить рабочие области".
2. Выберите рабочие области-члены, которые вы хотите подключить к диспетчеру рабочих областей.
3. После успешного подключения число участников увеличивается, а ваши рабочие области-члены отображаются на вкладке Рабочие области .

Создание группы

Группы диспетчеров рабочих областей позволяют упорядочивать рабочие области вместе на основе бизнес-групп, вертикали, географии и т. д. Используйте группы для связывания элементов контента, относящихся к рабочим областям.

1. Создание группы

   • Чтобы добавить одну рабочую область, выберите Добавить>группу.
   • Чтобы добавить несколько рабочих областей, выберите рабочие области и Добавить>группу из выбранных.

2. На странице Создание или обновление группы введите имя и описание группы.

3. На вкладке Выбор рабочих областей выберите Добавить и выберите рабочие области-члены, которые вы хотите добавить в группу.

4. На вкладке Выбор содержимого есть 2 способа добавления элементов содержимого.

   • Способ 1. Выберите меню Добавить и выберите Все содержимое. Добавляется все активное содержимое, развернутого в центральной рабочей области. Этот список представляет собой snapshot на определенный момент времени, который выбирает только активное содержимое, а не шаблоны.
   • Способ 2. Выберите меню Добавить и выберите Содержимое. Откроется окно Выбор содержимого для выбора добавленного содержимого.

5. Отфильтруйте содержимое по мере необходимости перед просмотром и созданием.

6. После создания количество групп увеличивается, и ваши группы отображаются на вкладке Группы.

Публикация определения группы

На этом этапе выбранные элементы содержимого еще не опубликованы в рабочих областях-членах.

1. Выберите группу >Публикация содержимого.

   

   Чтобы выполнить массовую публикацию, выберите нужные группы и выберите Опубликовать.

2. Столбец Состояние последней публикации обновляется, чтобы отразить ход выполнения.

3. В случае успешного выполнения состояние последней публикации обновляется в соответствии с успешной. Выбранные элементы содержимого теперь существуют в рабочих областях-членах.

   Если не удается опубликовать только один элемент содержимого для всей группы, состояние последней публикации обновляется, чтобы отразить сбой.

Устранение неполадок

Каждая попытка публикации содержит ссылку, которая поможет устранить неполадки, если элементы содержимого не удается опубликовать.

1. Выберите гиперссылку Сбой, чтобы открыть окно сведений о сбое задания. Отображается состояние каждой пары элементов контента и целевой рабочей области.

2. Отфильтруйте в поле Состояние пары элементов, которые завершили сбой.

   

Распространенные причины сбоя:

• Элементы содержимого, на которые ссылается определение группы, больше не существуют во время публикации (были удалены).
• Разрешения изменились на момент публикации. Например, пользователь больше не является участником Microsoft Sentinel или больше не имеет достаточных разрешений на рабочую область-член.
• Рабочая область члена удалена.

Известные ограничения

• Максимальное число опубликованных операций на группу — 2000. Опубликованные операции = (рабочие области-члены) * (элементы содержимого).
  Например, если в группе есть 10 рабочих областей участников и вы публикуете в ней 20 элементов контента,
  опубликованные операции = 10 * 20 = 200.
• Сборники схем, приписываемые или присоединенные к правилам аналитики и автоматизации, в настоящее время не поддерживаются.
• Книги, хранящиеся в собственном хранилище, в настоящее время не поддерживаются.
• Диспетчер рабочих областей управляет только элементами содержимого, опубликованными из центральной рабочей области. Он не управляет содержимым, созданным локально из рабочих областей-членов.
• В настоящее время централизованное удаление содержимого, размещенного в рабочих областях-членах с помощью диспетчера рабочих областей, не поддерживается.

Ссылки на API

• Задания назначения диспетчера рабочих областей
• Назначения диспетчера рабочих областей
• Конфигурации диспетчера рабочих областей
• Группы диспетчера рабочих областей
• Члены диспетчера рабочих областей

Дальнейшие действия

• Управление несколькими клиентами в Microsoft Sentinel в качестве MSSP
• Работа с инцидентами Microsoft Sentinel во многих рабочих областях одновременно
• Защита интеллектуальной собственности MSSP в Microsoft Sentinel