Поделиться через

Настройка Microsoft Defender для конечной точки для потоковой передачи событий расширенной охоты в учетную запись хранения

  • Статья

Область применения:

Примечание.

Полный доступ к потоковой передаче данных см. в статье События XDR в Microsoft Defender | Microsoft Learn.

Хотите попробовать Defender для конечной точки? Зарегистрироваться для бесплатной пробной версии.

Подготовка к работе

  1. Создайте учетную запись хранения в клиенте.

  2. Войдите в клиент Azure, перейдите в раздел Подписки Ваши поставщики>ресурсов>подписки>Зарегистрируйте в Microsoft.insights.

Важно!

Корпорация Майкрософт рекомендует использовать роли с наименьшими разрешениями. Это помогает повысить безопасность вашей организации. Глобальный администратор — это очень привилегированная роль, которая должна быть ограничена сценариями чрезвычайных ситуаций, когда вы не можете использовать существующую роль.

Включение потоковой передачи необработанных данных

  1. Войдите на портал Microsoft Defender в качестве администратора безопасности.

  2. Перейдите на страницу Параметры экспорта данных в XDR в Microsoft Defender.

  3. Выберите Добавить параметры экспорта данных.

  4. Выберите имя для новых параметров.

  5. Выберите Переадресация событий в службу хранилища Azure.

  6. Введите идентификатор ресурса учетной записи хранения. Чтобы получить идентификатор ресурса учетной записи хранения, перейдите на страницу учетной записи хранения на вкладке > свойств портала> Azure, скопируйте текст в разделе Идентификатор ресурса учетной записи хранения:

    Центры событий с идентификатором ресурса 1

  7. Выберите события для потоковой передачи и нажмите кнопку Сохранить.

Схема событий в учетной записи хранения

  • Контейнер BLOB-объектов создается для каждого типа события:

    Центры событий с идентификатором ресурса 2

  • Схема каждой строки в большом двоичном объекте представляет собой следующий код JSON:

    {
  "time": "<The time WDATP received the event>"
  "tenantId": "<Your tenant ID>"
  "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
  "properties": { <WDATP Advanced Hunting event as Json> }
}

  • Каждый большой двоичный объект содержит несколько строк.

  • Каждая строка содержит имя события, время получения события в Defender для конечной точки, клиент, которому оно принадлежит (события получаются только из клиента), а также событие в формате JSON в свойстве с именем properties.

  • Дополнительные сведения о схеме событий Microsoft Defender для конечной точки см. в статье Обзор расширенной охоты.

  • В разделе Расширенная охота таблица DeviceInfo содержит столбец MachineGroup , содержащий группу устройства. Здесь каждое событие также украшено этим столбцом. Дополнительные сведения см. в разделе Группы устройств.

    Примечание.

    Создание группы устройств поддерживается в Defender для конечной точки плана 1 и плана 2.

Сопоставление типов данных

Чтобы получить типы данных для свойств событий, сделайте следующее:

  1. Войдите на портал Microsoft Defender и перейдите на страницу Расширенная охота.

  2. Выполните следующий запрос, чтобы получить сопоставление типов данных для каждого события:

    {EventType}
| getschema
| project ColumnName, ColumnType

    Ниже приведен пример события Сведений об устройстве:

    Центры событий с идентификатором ресурса 3

Совет

Хотите узнать больше? Обратитесь к сообществу Майкрософт по безопасности в техническом сообществе Microsoft Defender для конечной точки Tech Community.