Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Портал Defender позволяет подключиться к одной основной рабочей области и нескольким дополнительным рабочим областям для Microsoft Sentinel. В контексте этой статьи рабочая область — это рабочая область Log Analytics с включенным Microsoft Sentinel.
Эта статья в основном относится к сценарию, в котором вы Microsoft Sentinel на портал Defender вместе с Microsoft Defender XDR для унифицированных операций безопасности. Если вы планируете использовать Microsoft Sentinel на портале Defender без Microsoft Defender XDR, вы по-прежнему можете управлять несколькими рабочими областями. Однако, так как у вас нет Defender XDR, основная рабочая область не будет иметь Defender XDR данных, и у вас не будет доступа к Defender XDR функциям.
Основная и вторичная рабочие области
Выберите основную рабочую область при подключении Microsoft Sentinel на портал Defender. Все другие рабочие области, подключенные к порталу Defender, считаются дополнительными рабочими областями. Портал Defender поддерживает одну основную рабочую область и неограниченное количество дополнительных рабочих областей для каждого клиента для Microsoft Sentinel.
Если у вас также есть Microsoft Defender XDR, оповещения из основной рабочей области сопоставляются с Defender XDR данными, а инциденты включают оповещения из основной рабочей области и Defender XDR в единой очереди. При выборе основной рабочей области соединитель данных Defender XDR для инцидентов и оповещений подключается только к основной рабочей области.
В таких случаях:
| Область | Описание |
|---|---|
| Другие рабочие области, ранее подключенные к Defender XDR | Все другие рабочие области, которые ранее были подключены к соединителю Defender XDR, отключаются и работают в качестве дополнительных рабочих областей. Все правила аналитики и автоматизация, настроенные ранее на основе Defender XDR данных, больше не работают, пока не настроите прием таблиц. |
| Оповещения на основе клиента и автономные соединители данных | Оповещения от других служб Майкрософт, включая другие службы Defender, являются оповещениями на основе клиента и относятся ко всему клиенту, а не к определенной рабочей области. Чтобы предотвратить дублирование между рабочими областями, все прямые автономные соединители данных для этих служб должны быть отключены от Microsoft Sentinel в дополнительных рабочих областях. Это приводит к тому, что оповещения на основе клиента будут отображаться только в основной рабочей области. При подключении автономные соединители данных для Microsoft Defender для Office 365, защита Microsoft Entra ID Microsoft Defender for Cloud Apps Microsoft Defender для конечной точки и Microsoft Defender для удостоверений автоматически отключаются. Если у вас есть другие автономные соединители данных Майкрософт с оповещениями в рабочих областях, обязательно отключите их перед подключением к порталу Defender. |
| оповещения и инциденты Defender XDR | Все оповещения и инциденты Defender XDR синхронизируются только с основной рабочей областью. Однако дополнительные рабочие области могут принимать данные таблиц Defender, если они настроены в соединителе Microsoft XDR на портале Sentinel в Azure или в Microsoft Sentinel>Настройки>на портале Defender. |
| Создание инцидента и корреляция оповещений | Портал Defender сохраняет корреляцию создания инцидентов и оповещений отдельно между рабочими областями Microsoft Sentinel. Инциденты в дополнительных рабочих областях не включают данные из других рабочих областей или из Defender XDR. |
| Требуется одна основная рабочая область | Одна основная рабочая область всегда должна быть подключена к порталу Defender. |
Например, вы можете работать с глобальной командой SOC в компании, которая имеет несколько автономных рабочих областей. В таких случаях вы не захотите просматривать инциденты и оповещения из каждой из этих рабочих областей в глобальной очереди SOC на портале Defender. Так как эти рабочие области подключены к порталу Defender в качестве дополнительных рабочих областей, они отображаются на портале Defender только как Microsoft Sentinel без инцидентов и оповещений Defender и продолжают работать автономно. При просмотре глобальной рабочей области SOC данные из этих дополнительных рабочих областей не отображаются.
Если в клиенте Microsoft Entra ID есть несколько рабочих областей Microsoft Sentinel, рассмотрите возможность использования основной рабочей области для глобального центра управления безопасностью.
Разрешения на управление рабочими областями и просмотр данных рабочей области
Используйте одну из следующих ролей или сочетаний ролей для управления основной и дополнительной рабочими областями:
| Задача | требуется Microsoft Entra или Azure встроенная роль | Scope |
|---|---|---|
| Подключение основной рабочей области Microsoft Sentinel к порталу Defender | По крайней мере администратор безопасности в Microsoft Entra ID Owner ИЛИ Администратор доступа пользователей и участник Microsoft Sentinel |
Tenant — подписка для ролей владельца или администратора доступа пользователей — подписка, группа ресурсов или ресурс рабочей области для Microsoft Sentinel участника |
| Подключение или отключение только дополнительной рабочей области |
Owner ИЛИ Администратор доступа пользователей и участник Microsoft Sentinel |
— подписка для ролей владельца или администратора доступа пользователей — подписка, группа ресурсов или ресурс рабочей области для Microsoft Sentinel участника |
| Изменение основной рабочей области | По крайней мере администратор безопасности в Microsoft Entra ID Owner ИЛИ Администратор доступа пользователей и участник Microsoft Sentinel |
Tenant — подписка для ролей владельца или администратора доступа пользователей — подписка, группа ресурсов или ресурс рабочей области для Microsoft Sentinel участника |
| Активация или деактивация рабочей области Sentinel в Unified RBAC | По крайней мере администратор безопасности в Microsoft Entra ID Owner ИЛИ Администратор доступа пользователей и участник Microsoft Sentinel |
Tenant — подписка для ролей владельца или администратора доступа пользователей — подписка, группа ресурсов или ресурс рабочей области для Microsoft Sentinel участника |
Важно!
Microsoft рекомендует использовать роли с наименьшим количеством разрешений. Это помогает повысить безопасность вашей организации.
После подключения Microsoft Sentinel к порталу Defender существующие Azure разрешения на управление доступом на основе ролей (RBAC) позволяют просматривать функции и рабочие области Microsoft Sentinel, к которым у вас есть доступ.
| Рабочая область | Access |
|---|---|
| Primary | Если у вас есть доступ к основной рабочей области, вы можете считывать данные из рабочей области и Defender XDR и управлять ими. |
| Secondary | Если у вас есть доступ к дополнительной рабочей области, вы можете только считывать данные из нее и управлять ими. Инциденты и оповещения Defender не синхронизируются с дополнительными рабочими областями, но вторичные рабочие области по-прежнему могут принимать данные таблиц Defender. Дополнительные сведения см. в разделе Основные и вторичные рабочие области. |
Исключение: Если вы уже подключены к порталу Defender одну рабочую область, все оповещения, созданные с помощью пользовательских обнаружений в AlertInfo и AlertEvidence таблицах до середины января 2025 г., видны всем пользователям.
Дополнительные сведения см. в разделе Роли и разрешения в Microsoft Sentinel.
Изменения основной рабочей области
После подключения Microsoft Sentinel к порталу Defender можно изменить основную рабочую область. При переключении основной рабочей области для Microsoft Sentinel соединитель Defender XDR подключается к новой основной и автоматически отключается от предыдущей.
Измените основную рабочую область на портале Defender, выбравПараметры>системы>Microsoft Sentinel>Рабочие пространства.
Область данных рабочей области в разных представлениях
Если у вас есть соответствующие разрешения на просмотр данных из основной и вторичной рабочих областей для Microsoft Sentinel, для каждой возможности применяется область рабочей области в следующей таблице.
| Возможность | область рабочей области |
|---|---|
| Поиск | Результаты глобальный поиск в верхней части страницы браузера на портале Defender предоставляют агрегированное представление всех соответствующих данных рабочей области, на просмотр которых у вас есть разрешения. |
| Исследование & реагирование > Инциденты & оповещения Инциденты> | Просматривайте инциденты из разных рабочих областей в единой очереди или фильтруйте представление по рабочей области. |
| Исследование & реагирование > Инциденты & оповещения оповещений> | Просмотр оповещений из разных рабочих областей в единой очереди или фильтрация представления по рабочей области. Портал Defender сегментирует корреляцию оповещений по рабочей области. |
| Сущности. Из инцидента или оповещения > выберите устройство, пользователя или другой ресурс сущности. | Просмотрите все релевантные данные сущностей из нескольких рабочих областей на одной странице сущности. Страницы сущностей объединяют оповещения, инциденты и события временная шкала из всех рабочих областей, чтобы получить более подробную информацию о поведении сущностей. Фильтрация по рабочей области на вкладках Инциденты и оповещения, Временная шкала и Аналитика . На вкладке Обзор отображаются метаданные сущности, агрегированные из всех рабочих областей. |
| Исследование & ответ > Охота >Расширенная охота | Выберите рабочую область в правом верхнем углу браузера. Или выполните запрос в нескольких рабочих областях с помощью оператора рабочей области в запросе. См . статью Запрос нескольких рабочих областей. В результатах запроса не отображается имя или идентификатор рабочей области. Доступ ко всем данным журнала рабочей области, включая запросы и функции, только для чтения. Дополнительные сведения см. в статье Расширенная охота с Microsoft Sentinel данными на портале Microsoft Defender. Некоторые возможности ограничены основной рабочей областью: — Создание пользовательских обнаружений — Запросы через API Запросы между рабочими областями для данных Log Analytics по-прежнему распространяются на ограничения Log Analytics. |
| интерфейсы Microsoft Sentinel | Просмотрите данные из одной рабочей области для каждой страницы в разделе Microsoft Sentinel на портале Defender. Переключитесь между рабочими областями, выбрав Выбрать рабочую область в правом верхнем углу браузера для большинства страниц. — На странице Книги отображаются только данные, связанные с основной рабочей областью. Правила аналитики между рабочими областями по-прежнему распространяются на ограничения и рекомендации правил аналитики между рабочими областями. |
| Оптимизация SOC | Данные и рекомендации объединяются из нескольких рабочих областей. |
Двунаправленная синхронизация для рабочих областей
Синхронизация изменений инцидентов между портал Azure и порталом Defender зависит от того, является ли это основной или дополнительной рабочей областью.
| Рабочая область | Поведение синхронизации |
|---|---|
| Primary | Для Microsoft Sentinel в портал Azure Defender XDR инциденты отображаются в разделе Инциденты управления> угрозами с именем поставщикаинцидентовMicrosoft XDR. Любые изменения, внесенные в состояние, причину закрытия или назначение инцидента Defender XDR на портале Azure или Defender, обновите в очереди инцидентов другого пользователя. Дополнительные сведения см. в статье Работа с инцидентами Microsoft Defender XDR в Microsoft Sentinel и двунаправленной синхронизации. |
| Secondary | Все оповещения и инциденты, создаваемые для дополнительной рабочей области, синхронизируются между этой рабочей областью в Azure и на порталах Defender. Данные в рабочей области синхронизируются только с рабочей областью на другом портале. |
Поддержка управления внутренними рисками (IRM)
оповещения Управление внутренними рисками Microsoft Purview (IRM) сопоставляются только с основной рабочей областью. Если у вас есть оповещения IRM с Microsoft Defender XDR, необходимо подключить IRM к соединителю Microsoft Defender XDR в основной рабочей области перед подключением рабочей области к порталу Defender. Это необходимо для обеспечения доступности оповещений и инцидентов IRM в основной рабочей области. Если вы не хотите видеть оповещения IRM в основной рабочей области, вместо этого можно отказаться от интеграции с Microsoft Defender XDR.
Кроме того, если прямой соединитель Microsoft 365 Insider Risk Management для Microsoft Sentinel соединителя данных подключен к любой из дополнительных рабочих областей, необходимо отключить его перед подключением рабочей области к порталу Defender.