Руководство по планированию унифицированных операций безопасности на портале Microsoft Defender

В этой статье описано, как спланировать развертывание для унифицированных операций безопасности в портале Microsoft Defender. Унифицируйте операции безопасности, чтобы снизить риски, предотвратить атаки, обнаруживать и нарушать киберугрозы в режиме реального времени, а также быстрее реагировать с помощью возможностей безопасности с поддержкой ИИ на портале Microsoft Defender.

Планирование развертывания

Портал Defender объединяет такие службы, как Microsoft Defender XDR, Microsoft Sentinel, Управление рисками Microsoft Security и Microsoft Security Copilot для унифицированных операций безопасности.

Первым шагом при планировании развертывания является выбор служб, которые вы хотите использовать.

В качестве основного условия вам потребуется Microsoft Defender XDR и Microsoft Sentinel для мониторинга и защиты служб и решений майкрософт и сторонних разработчиков, включая облачные и локальные ресурсы.

Разверните любую из следующих служб, чтобы обеспечить безопасность конечных точек, удостоверений, электронной почты и приложений, чтобы обеспечить интегрированную защиту от сложных атак.

Службы Microsoft Defender XDR включают:

Другие службы, поддерживаемые на портале Microsoft Defender, но не лицензированные с Microsoft Defender XDR, включают:

Проверка предварительных требований к службе

Перед развертыванием служб Microsoft Defender для унифицированных операций безопасности ознакомьтесь с предварительными условиями для каждой службы, которые вы планируете использовать. В следующей таблице перечислены службы и ссылки для получения дополнительных сведений:

Ознакомьтесь с рекомендациями по обеспечению безопасности и конфиденциальности данных

Перед развертыванием служб Microsoft Defender для унифицированных операций безопасности убедитесь, что вы понимаете принципы безопасности и конфиденциальности данных для каждой службы, которую вы планируете использовать. В следующей таблице перечислены службы и ссылки для получения дополнительных сведений. Обратите внимание, что некоторые службы используют методы безопасности и хранения данных для Microsoft Defender XDR вместо того, чтобы использовать отдельные методики.

Планирование архитектуры рабочей области Log Analytics

Чтобы приступить к единым операциям безопасности с помощью Microsoft Sentinel на портале Defender, сначала необходимо включить рабочую область Log Analytics для Microsoft Sentinel. Одной рабочей области Log Analytics может быть достаточно для многих сред, но многие организации создают несколько рабочих областей для оптимизации затрат и лучшего удовлетворения различных бизнес-требований.

Проектируйте рабочую область Log Analytics, которую вы хотите включить для Microsoft Sentinel. Рассмотрите такие параметры, как требования к соответствию для сбора и хранения данных, а также управление доступом к Microsoft Sentinel данным.

Дополнительные сведения см. в разделе:

1. Проектирование архитектуры рабочей области
2. Просмотр примеров макетов рабочих областей

Планирование затрат на Microsoft Sentinel и источников данных

Портал Defender может принимать данные из сторонних служб Майкрософт, таких как Microsoft Defender for Cloud Apps и Microsoft Defender для облака. Мы рекомендуем расширить охват за счёт других источников данных в вашей среде, добавив коннекторы данных Microsoft Sentinel.

Определение источников данных

Определите полный набор источников данных, из которые вы будете принимать данные, и требования к размеру данных, которые помогут вам точно проецировать бюджет и временная шкала развертывания. Вы можете определить эту информацию во время проверки варианта использования для бизнеса или путем оценки текущей SIEM, которая у вас уже есть. Если у вас уже есть SIEM, проанализируйте данные, чтобы понять, какие источники данных предоставляют наибольшее значение и должны приниматься в Microsoft Sentinel.

Например, может потребоваться использовать любой из следующих рекомендуемых источников данных:

• службы Azure. Если в Azure развернута какая-либо из следующих служб, используйте следующие соединители для отправки журналов диагностики этих ресурсов в Microsoft Sentinel:

  • Брандмауэр Azure
  • Шлюз приложений Azure
  • Хранилище ключей
  • Служба Azure Kubernetes
  • Azure SQL
  • Группы безопасности сети
  • Серверы Azure Arc

  Мы рекомендуем настроить Политика Azure так, чтобы она требовала отправки этих журналов в базовую рабочую область Log Analytics. Дополнительные сведения см. в статье Создание параметров диагностики в большом масштабе с помощью Политика Azure.

• Виртуальные машины. Для виртуальных машин, размещенных локально или в других облаках, для которых требуется сбор журналов, используйте следующие соединители данных:

  • События безопасности Windows с использованием AMA
  • События через Defender для конечных точек (для серверов)
  • Syslog

• Сетевые виртуальные устройства / локальные источники: Для сетевых виртуальных устройств или других локальных источников, создающих журналы Common Event Format (CEF) или SYSLOG, используйте следующие соединители данных:

  • Syslog через AMA
  • Общий формат событий (CEF) через AMA

Дополнительные сведения см. в разделе Определение приоритета соединителей данных.

Планирование бюджета

Спланируйте бюджет Microsoft Sentinel с учетом последствий затрат для каждого запланированного сценария. Убедитесь, что ваш бюджет покрывает затраты на прием данных как в Microsoft Sentinel, так и в Azure Log Analytics, а также на все сценарии, которые будут развернуты, и т. д. Дополнительные сведения см. в разделе:

• Планы хранения журналов в Microsoft Sentinel
• Планирование затрат и понимание Microsoft Sentinel ценообразования и выставления счетов

Общие сведения о порталах безопасности и центрах администрирования Майкрософт

Хотя портал Microsoft Defender служит основным центром для мониторинга и управления безопасностью идентификационных данных, данных, устройств и приложений, для некоторых специализированных задач вам потребуется использовать разные порталы.

Порталы безопасности Майкрософт включают:

В следующей таблице описаны порталы для других рабочих нагрузок, которые могут повлиять на безопасность. Посетите эти порталы для управления удостоверениями, разрешениями, параметрами устройства и политиками обработки данных.

Планирование ролей и разрешений

Портал Microsoft Defender объединяет следующие модели управления доступом на основе ролей (RBAC) для унифицированных операций безопасности:

• Microsoft Entra ID RBAC, используемая для делегирования доступа в Defender, например к группам устройств
• Azure RBAC, используемый Microsoft Sentinel для делегирования разрешений
• Унифицированная модель RBAC в Defender, используемая для делегирования разрешений во всех решениях Defender

Хотя разрешения, предоставляемые через Azure RBAC для Microsoft Sentinel, во время работы федеративно взаимодействуют с унифицированной моделью RBAC в Defender, Azure RBAC и RBAC Defender по-прежнему управляются отдельно.

Для подключения вашей рабочей области к порталу Defender не требуется унифицированная модель RBAC в Defender, а разрешения Microsoft Sentinel продолжают работать в портале Defender должным образом даже без унифицированной модели RBAC. Однако использование унифицированного RBAC упрощает делегирование разрешений в решениях Defender. Дополнительные сведения см. в разделе Активация унифицированного управления доступом на основе ролей (RBAC) в Microsoft Defender.

Минимально необходимое разрешение для аналитика на просмотр данных Microsoft Sentinel — назначение роли Sentinel Reader Azure RBAC. Эти разрешения также применяются к единому порталу. Без этих разрешений меню навигации Microsoft Sentinel недоступно на едином портале, несмотря на то, что аналитик имеет доступ к порталу Microsoft Defender.

Рекомендуется размещать все ресурсы, связанные с Microsoft Sentinel, в одной группе ресурсов Azure, а затем делегировать ролевые разрешения Microsoft Sentinel (например, роль «Читатель Sentinel») на уровне группы ресурсов, содержащей рабочую область Microsoft Sentinel. При этом назначение роли применяется ко всем ресурсам, которые поддерживают Microsoft Sentinel.

Для следующих служб используйте различные доступные роли или создайте настраиваемые роли, чтобы получить точный контроль над тем, что пользователи могут видеть и делать. Дополнительные сведения см. в разделе:

Дополнительные сведения см. в разделе:

• Планирование ролей и разрешений для Microsoft Sentinel
• Встроенные роли Azure
• Роли Microsoft Sentinel
• Предварительные требования для подключения
• Управление унифицированным RBAC в Microsoft Defender (демонстрация видео)

Планирование мероприятий "Никому не доверяй"

Единые операции безопасности на портале Defender являются частью модели безопасности "Никому не доверяй", которая включает в себя следующие принципы:

Безопасность "Никому не доверяй" предназначена для защиты современных цифровых сред за счет использования сегментации сети, предотвращения бокового перемещения, предоставления доступа с наименьшими привилегиями и использования расширенной аналитики для обнаружения угроз и реагирования на них.

Дополнительные сведения о реализации принципов "Никому не доверяй" на портале Defender см. в разделе "Никому не доверяй" для следующих служб:

• Microsoft Defender XDR
• Microsoft Sentinel
• Microsoft Defender для идентификаторов
• Microsoft Defender для Office 365
• Microsoft Defender для конечных точек
• Microsoft Defender для облачных приложений
• Управление рисками Microsoft Security
• Microsoft Defender для облака
• Microsoft Security Copilot
• Защита Microsoft Entra ID
• Майкрософт Purview

Дополнительные сведения см. в Центре рекомендаций по модели "Никому не доверяй".

Следующее действие

Развертывание для унифицированных операций безопасности