Подключение соединителя XDR в Microsoft Defender

  • 6 мин

Соединитель Microsoft Defender для расширенного обнаружения и реагирования (XDR) позволяет передавать все инциденты, оповещения и события расширенной охоты Microsoft Defender XDR в Microsoft Sentinel. Соединитель поддерживает синхронизацию инцидентов между порталами и обогащает их оповещениями от служб компонентов Microsoft Defender XDR.

  • Microsoft Defender для Endpoint
  • Microsoft Defender для идентификации
  • Microsoft Defender для Office 365
  • Microsoft Defender для облачных приложений
  • Microsoft Defender для облака

Другие службы, оповещения которых включены:

  • Защита от потери данных в Microsoft Purview
  • Защита идентификации Microsoft Entra
  • Управление внутренними рисками Microsoft Purview

Подключение соединителя Microsoft Defender XDR является необходимым условием для настройки единой платформы операций безопасности или унифицированных решений для управления событиями и информацией в области безопасности (SIEM) и использования возможностей XDR в Microsoft Defender XDR.

Методы интеграции

Существует два метода интеграции Microsoft Defender XDR с Microsoft Sentinel:

Интеграция портала Defender: Если вы подключаете Microsoft Sentinel к порталу Defender и имеете лицензию на Defender XDR, Microsoft Sentinel автоматически подключается к Defender XDR. Соединитель данных для Defender XDR настраивается автоматически. Это обеспечивает единый интерфейс операций безопасности непосредственно на портале Microsoft Defender.

Интеграция портала Azure: Если вы хотите синхронизировать данные Defender XDR с Microsoft Sentinel на портале Azure, необходимо включить коннектор Microsoft Defender XDR в Microsoft Sentinel.

Если вы подключаете Microsoft Sentinel к порталу Defender и у вас есть лицензия на Defender XDR, то Microsoft Sentinel автоматически подключается к Defender XDR. Соединитель данных для Defender XDR настраивается автоматически, а все соединители данных для поставщиков оповещений, которые включены в соединитель Defender XDR, автоматически отключаются. Сюда входит следующее:

  • Microsoft Defender для облачных приложений (оповещения)
  • Microsoft Defender для Endpoint
  • Microsoft Defender для идентификации
  • Microsoft Defender для Office 365
  • Защита идентификации Microsoft Entra

В этом методе интеграции вы просматриваете данные Microsoft Sentinel непосредственно с остальными инцидентами Defender, оповещениями, уязвимостями и другими данными безопасности на портале Microsoft Defender. Инциденты XDR Defender отображаются в очереди инцидентов Microsoft Sentinel с именем продукта Microsoft Defender XDR, и каждый инцидент содержит ссылку обратно на параллельный инцидент на портале Microsoft Defender.

Изменения, внесенные в определенные поля или атрибуты инцидента XDR Defender на любом портале, синхронизируются немедленно с другими, без задержки. Следующие поля синхронизируются между порталом Defender и Microsoft Sentinel:

  • Название
  • Description
  • НаименованиеПродукта
  • Severity
  • Настраиваемые теги
  • ДополнительныеДанные
  • Комментарии (только новые)
  • Последнее изменение

Важные замечания

Правила создания инцидентов Майкрософт. Чтобы избежать создания повторяющихся инцидентов для одинаковых оповещений, параметр правил создания инцидентов Майкрософт отключен для продуктов, интегрированных с Защитником XDR при подключении XDR Defender. Правила создания инцидентов Майкрософт не поддерживаются на портале Defender, так как он имеет собственный механизм создания инцидентов. Чтобы сохранить возможность фильтрации оповещений, настройте настройку оповещений на портале Microsoft Defender или используйте правила автоматизации для подавления или закрытия инцидентов, которые не нужны.

Примечание.

Если снять флажок Отключить все правила создания инцидентов Майкрософт для этих продуктов. Рекомендуемый, возможно получение повторяющихся инцидентов в очереди инцидентов.