Расширенная охота с Microsoft Sentinel данными на портале Microsoft Defender

  • Применяется к: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Расширенная охота позволяет просматривать и запрашивать все источники данных, доступные на едином портале Microsoft Defender. Эти источники данных включают Microsoft Defender XDR и различные службы безопасности Майкрософт. При подключении Microsoft Sentinel к порталу Defender вы также можете получить доступ ко всему существующему содержимому рабочей области Microsoft Sentinel, включая запросы и функции, и использовать их.

Выполнение запросов с одного портала к разным наборам данных повышает эффективность поиска и устраняет необходимость в переключении контекста.

Важно!

Microsoft Sentinel общедоступна на портале Microsoft Defender с Microsoft Defender XDR или лицензией E5 или без нее. Дополнительные сведения см. в разделе Microsoft Sentinel на портале Microsoft Defender.

После 31 марта 2027 г. Microsoft Sentinel больше не будут поддерживаться в портал Azure и будут доступны только на портале Microsoft Defender.

Если в настоящее время вы используете Microsoft Sentinel в портал Azure, рекомендуется начать планирование перехода на портал Defender сейчас, чтобы обеспечить плавный переход и в полной мере воспользоваться преимуществами унифицированных операций безопасности, предлагаемых Microsoft Defender. Дополнительные сведения см. в статьях Перенос среды Microsoft Sentinel на портал Defender и Планирование перехода на портал Microsoft Defender для всех Microsoft Sentinel клиентов (блог).

Примечание.

После подключения к озеру данных Microsoft Sentinel Microsoft Defender расширенной охоты больше не поддерживает вспомогательные таблицы журналов. Вместо этого вы можете получить к ним доступ с помощью запросов KQL для исследования озера данных на портале Defender. Дополнительные сведения см. в статье Запросы KQL в Microsoft Sentinel озера данных.

Как получить доступ к

Обязательные роли и разрешения

Вы можете запрашивать данные в любой рабочей нагрузке, к которым вы сейчас можете получить доступ, на основе ролей и разрешений.

Чтобы запрашивать данные Microsoft Sentinel и Microsoft Defender XDR на странице единой расширенной охоты, требуется по крайней мере роль читателя Microsoft Sentinel. Дополнительные сведения см. в разделе Microsoft Sentinel ролей.

Подключение рабочей области

В Microsoft Defender можно подключить рабочие области, выбрав Подключить рабочую область в верхнем баннере. Эта кнопка отображается, если вы можете подключить рабочую область Microsoft Sentinel к единому порталу Microsoft Defender. Выполните действия, описанные в разделе Подключение рабочей области.

После подключения рабочей области Microsoft Sentinel и Microsoft Defender XDR расширенных данных охоты вы можете начать запрашивать данные Microsoft Sentinel со страницы расширенной охоты. Общие сведения о расширенных функциях охоты см. в статье Упреждающая охота на угрозы с помощью расширенной охоты.

Что следует ожидать от таблиц Defender XDR потоковой передачи в Microsoft Sentinel

  • Используйте таблицы с более длительным сроком хранения данных в запросах. Расширенный поиск соответствует максимальному сроку хранения данных, заданному для таблиц Defender XDR (см. раздел Общие сведения о квотах). Если вы выполняете потоковую передачу Defender XDR таблиц в Microsoft Sentinel и задаете срок хранения данных более 30 дней для этих таблиц, вы можете запросить более длительный период в расширенной охоте.
  • Использование операторов Kusto, используемых в Microsoft Sentinel . Как правило, запросы из Microsoft Sentinel работают в расширенной охоте, включая запросы, использующие adx() оператор . IntelliSense может предупредить вас о том, что операторы в запросе не соответствуют схеме. Однако вы по-прежнему можете выполнить запрос, и он должен успешно выполниться.
  • Используйте раскрывающийся список фильтра времени вместо задания интервала времени в запросе. Если вы фильтруете прием Defender XDR таблиц для Sentinel вместо потоковой передачи таблиц как есть, не фильтруйте время в запросе, так как это действие может привести к неполным результатам. Если задать время в запросе, используются потоковые отфильтрованные данные из Sentinel, так как обычно они имеют более длительный период хранения данных. Если вы хотите убедиться, что запрашиваете все данные Defender XDR в течение 30 дней, используйте раскрывающийся список фильтра времени, указанный в редакторе запросов.
  • Просмотр SourceSystem и MachineGroup столбцы Defender XDR данных, передаваемых из Microsoft Sentinel. Поскольку столбцы SourceSystem и MachineGroup добавляются в таблицы Defender XDR после их потоковой передачи в Microsoft Sentinel, они также отображаются в результатах расширенной охоты в Defender. Однако они остаются пустыми для Defender XDR таблиц, которые не выполняют потоковую передачу (таблицы, которые следуют 30-дневный период хранения данных по умолчанию).

Примечание.

Использование единого портала, где можно запрашивать данные Microsoft Sentinel после подключения к рабочей области Microsoft Sentinel, не означает, что вы также можете запрашивать Defender XDR данные в Microsoft Sentinel. Для этого по-прежнему необходимо настроить прием необработанных данных Defender XDR в Microsoft Sentinel.

Важно!

Клиенты Майкрософт Government Community Cloud Moderate (GCC-M) должны знать о следующих ограничениях в расширенной охоте:

  • Запросы, ссылающиеся как на таблицы Microsoft Sentinel, так и Defender XDR, не поддерживаются. Если в запросах используется поиск или объединение*, рекомендуется заменить * на явный список таблиц, которые ограничены только Microsoft Sentinel или только Defender XDR.

Где найти данные Microsoft Sentinel

Для поиска Microsoft Defender XDR и Microsoft Sentinel данных можно использовать запросы KQL (язык запросов Kusto).

При первом открытии страницы расширенной охоты после подключения рабочей области многие таблицы этой рабочей области упорядочены по решению после Microsoft Defender XDR таблиц на вкладке Схема.

Снимок экрана: вкладка

Аналогичным образом вы можете найти функции из Microsoft Sentinel на вкладке Функции, а общие и примеры запросов из Microsoft Sentinel можно найти на вкладке Запросы в папках, помеченныхSentinel.

Просмотр сведений о схеме

Чтобы узнать больше о таблице схемы, выберите вертикальные многоточия ( значок шашлыка ) справа от имени любой таблицы схемы на вкладке Схема , а затем выберите Просмотреть схему.

На едином портале можно просмотреть имена и описания столбцов схемы, а также следующие сведения:

  • Пример данных— выберите Просмотреть данные предварительного просмотра, чтобы загрузить простой запрос, например TableName | take 5
  • Тип схемы — поддерживает ли таблица полные возможности запросов (расширенная таблица) или нет (базовая таблица журналов)
  • Срок хранения данных — срок хранения данных
  • Теги — доступны для таблиц данных Sentinel

Снимок экрана: область сведений о схеме на портале Microsoft Defender

Известные проблемы

  • Таблица Microsoft Sentinel SecurityAlert заменена таблицами AlertInfo иAlertEvidence, которые содержат все данные об оповещениях. Хотя SecurityAlert он недоступен на вкладке схемы, вы по-прежнему можете использовать его в запросах с помощью расширенного редактора охоты. Эта подготовка предотвращает разрыв существующих запросов Microsoft Sentinel, использующих эту таблицу.
  • Режим интерактивной охоты и действия с действиями поддерживают только Defender XDR данных.
  • Пользовательские обнаружения имеют следующие ограничения:
    • Частота обнаружения практически в реальном времени недоступна для обнаружения, включающих Microsoft Sentinel данные.
    • Пользовательские функции, которые вы создаете и сохраняете в Microsoft Sentinel, не поддерживаются.
  • Закладки не поддерживаются в расширенном интерфейсе охоты. Они поддерживаются в функции охоты на управление угрозами > Microsoft Sentinel>. Кроме того, можно использовать функцию Связывание с инцидентом , чтобы связать результаты запросов с новыми или существующими инцидентами.
  • Если вы выполняете потоковую передачу Defender XDR таблиц в Log Analytics, может быть разница между Timestamp столбцами и TimeGenerated . Если данные поступают в Log Analytics через 48 часов, процесс приема переопределяет их на now(). Таким образом, чтобы получить фактическое время возникновения события, следует использовать столбец Timestamp .
  • При запросе Security Copilot для расширенных запросов охоты может оказаться, что в настоящее время поддерживаются не все Microsoft Sentinel таблицы. Однако в будущем можно ожидать поддержки этих таблиц.

См. также

  • Last updated on