Интеграция Microsoft Sentinel (предварительная версия)

Вы можете интегрировать Microsoft Defender для облака Apps с Microsoft Sentinel (масштабируемым, облачным siEM и SOAR), чтобы обеспечить централизованный мониторинг оповещений и данных обнаружения. Интеграция с Microsoft Sentinel позволяет лучше защитить облачные приложения при сохранении обычного рабочего процесса безопасности, автоматизации процедур безопасности и сопоставления между облачными и локальными событиями.

Преимущества использования Microsoft Sentinel включают:

• Длительное хранение данных, предоставляемое Log Analytics.
• Встроенные визуализации.
• Используйте такие средства, как Microsoft Power BI или книги Microsoft Sentinel для создания собственных визуализаций данных обнаружения, которые соответствуют потребностям организации.

К дополнительным решениям интеграции относятся:

• Универсальные SIEMs — интеграция приложений Defender для облака с универсальным сервером SIEM. Сведения об интеграции с generic SIEM см. в разделе "Универсальная интеграция SIEM".
• API графа безопасности Майкрософт — промежуточная служба (или брокер), которая предоставляет один программный интерфейс для подключения нескольких поставщиков безопасности. Дополнительные сведения см. в статье об интеграции решений безопасности с помощью API безопасности Microsoft Graph.

Интеграция с Microsoft Sentinel включает конфигурацию как в приложениях Defender для облака, так и в Microsoft Sentinel.

Необходимые компоненты

Интеграция с Microsoft Sentinel:

• У вас должна быть действительная лицензия Microsoft Sentinel
• В клиенте должен быть по крайней мере администратор безопасности.

Поддержка правительства США

Прямая Defender для облака Apps — интеграция Microsoft Sentinel доступна только для коммерческих клиентов.

Однако все данные приложений Defender для облака доступны в XDR в Microsoft Defender и поэтому доступны в Microsoft Sentinel через соединитель XDR в Microsoft Defender.

Мы рекомендуем клиентам GCC, GCC High и DoD, которые заинтересованы в просмотре данных приложений Defender для облака в Microsoft Sentinel, установите решение XDR в Microsoft Defender.

Дополнительные сведения см. в разделе:

• Интеграция XDR в Microsoft Defender с Microsoft Sentinel
• Microsoft Defender для облака приложения для государственных организаций США

Интеграция с Microsoft Sentinel

1. На портале Microsoft Defender выберите "Параметры облачных > приложений".

2. В разделе "Система" выберите агенты > SIEM Add SIEM agent > Sentinel. Например:

   

   Примечание.

   Параметр добавления Microsoft Sentinel недоступен, если вы ранее выполнили интеграцию.

3. В мастере выберите типы данных, которые нужно перенаправить в Microsoft Sentinel. Вы можете настроить интеграцию следующим образом:

   • Оповещения. Оповещения автоматически включаются после включения Microsoft Sentinel.
   • Журналы обнаружения: используйте ползунок, чтобы включить и отключить их, по умолчанию выбрано все, а затем используйте раскрывающийся список "Применить" для фильтрации журналов обнаружения, отправляемых в Microsoft Sentinel.

   Например:

   

4. Нажмите кнопку "Далее" и перейдите в Microsoft Sentinel, чтобы завершить интеграцию. Сведения о настройке Microsoft Sentinel см. в соединителе данных Microsoft Sentinel для приложений Defender для облака. Например:

   

Оповещения и журналы обнаружения в Microsoft Sentinel

После завершения интеграции можно просмотреть оповещения и журналы обнаружения приложений Defender для облака в Microsoft Sentinel.

В Microsoft Sentinel в разделе "Журналы" в разделе "Аналитика безопасности" можно найти журналы для типов данных Defender для облака Apps следующим образом:

В следующей таблице описано каждое поле в схеме McasShadowItReporting :

Использование Power BI с данными Defender для облака Apps в Microsoft Sentinel

После завершения интеграции можно также использовать данные Defender для облака Apps, хранящиеся в Microsoft Sentinel в других средствах.

В этом разделе описывается, как с помощью Microsoft Power BI легко формировать и объединять данные для создания отчетов и панелей мониторинга, которые соответствуют потребностям вашей организации.

Чтобы начать работу:

1. В Power BI импортируйте запросы из Microsoft Sentinel для данных Defender для облака Apps. Дополнительные сведения см. в статье об импорте данных журнала Azure Monitor в Power BI.

2. Установите приложение Defender для облака Apps Shadow IT Discovery и подключите его к данным журнала обнаружения, чтобы просмотреть встроенную панель мониторинга теневого ИТ-обнаружения.

   Примечание.

   В настоящее время приложение не опубликовано в Microsoft AppSource. Поэтому для установки приложения может потребоваться обратиться к администратору Power BI.

   Например:

   

3. При необходимости создайте пользовательские панели мониторинга в Power BI Desktop и настройте их в соответствии с требованиями визуальной аналитики и отчетности вашей организации.

Подключение приложения Defender для облака Apps

1. В Power BI выберите приложение Теневого ИТ-обнаружения приложений>.

2. На странице "Начало работы с новым приложением" нажмите кнопку "Подключиться". Например:

   

3. На странице идентификатора рабочей области введите идентификатор рабочей области Microsoft Sentinel, как показано на странице обзора log analytics, а затем нажмите кнопку "Далее". Например:

   

4. На странице проверки подлинности укажите метод проверки подлинности и уровень конфиденциальности, а затем нажмите кнопку "Войти". Например:

   

5. После подключения данных перейдите на вкладку наборов данных рабочей области и нажмите кнопку "Обновить". Это приведет к обновлению отчета с собственными данными.

Если у вас возникли проблемы, мы здесь, чтобы помочь. Чтобы получить помощь или поддержку проблемы с продуктом, откройте запрос в службу поддержки.