Einrichten von Verbunddatenconnectors in Microsoft Sentinel Data Lake

In diesem Artikel wird erläutert, wie Sie Verbunddatenconnectors konfigurieren, um das Abfragen externer Datenquellen aus dem Microsoft Sentinel Data Lake zu ermöglichen. Sie können einen Verbund mit Azure Databricks, Azure Data Lake Storage Gen 2 (ADLS) und Microsoft Fabric herstellen.

Voraussetzungen

Stellen Sie vor dem Einrichten des Datenverbunds sicher, dass sie die folgenden Anforderungen erfüllen:

• Sentinel Data Lake-Onboarding: Ihr Mandant muss in den Sentinel Data Lake integriert werden. Weitere Informationen finden Sie unter Onboarding in Microsoft Sentinel Data Lake.

• Öffentliche Barrierefreiheit: Die externe Quelle muss öffentlich zugänglich sein. Private Endpunkte werden derzeit nicht unterstützt.

• Dienstprinzipal: Ein Dienstprinzipal mit den entsprechenden Berechtigungen in der Datenquelle, mit der Sie eine Verbindung herstellen möchten, ist für Azure Databricks- und Azure Data Lake Storage Gen2-Quellen erforderlich. Weitere Informationen finden Sie unter Microsoft Entra ID App-Registrierungen.

• Azure Key Vault: Eine Azure Key Vault, die mit dem geheimen Clientschlüssel des Dienstprinzipals konfiguriert ist, ist erforderlich. Die Microsoft Sentinel Anwendungsidentität benötigt Berechtigungen, die dem Schlüsseltresor zugewiesen sind. Weitere Informationen zum Konfigurieren Azure Key Vaults finden Sie unter Azure Key Vaults.

• Microsoft Sentinel Berechtigungen: Datenberechtigungen (verwalten) für Systemtabellen zum Konfigurieren eines Datenverbundconnectors. Weitere Informationen finden Sie unter Rollen und Berechtigungen in der Microsoft Sentinel-Plattform.

Erstellen eines Dienstprinzipals

Für Azure Databricks- und ADLS Gen2-Verbund benötigen Sie einen Dienstprinzipal mit Zugriffsanmeldeinformationen, die in Azure Key Vault gespeichert sind. Sie können einen vorhandenen Dienstprinzipal verwenden oder die folgenden Schritte ausführen, um einen neuen Dienstprinzipal zu erstellen.

1. Erstellen Sie eine Microsoft Entra ID Anwendungsregistrierung:

   1. Navigieren Sie im Azure-Portal zu Microsoft Entra ID>App-Registrierungen.
   2. Wählen Sie Neue Registrierung aus.
   3. Geben Sie einen Namen für die Anwendung ein.
   4. Lassen Sie den Umleitungs-URI leer (für dieses Szenario nicht erforderlich).
   5. Wählen Sie Registrieren aus.

2. Erstellen Sie einen geheimen Clientschlüssel:

   1. Wechseln Sie in Ihrer App-Registrierung zu Zertifikate & Geheimnisse.
   2. Wählen Sie Neues Clientgeheimnis aus.
   3. Geben Sie eine Beschreibung ein, und wählen Sie einen Ablaufzeitraum aus.
   4. Klicken Sie auf Hinzufügen.
   5. Kopieren Sie den Wert des geheimen Clientschlüssels sofort zur Verwendung im nächsten Abschnitt. Sie können diesen Wert nicht mehr abrufen, nachdem Sie die Seite verlassen haben.

3. Beachten Sie die Anwendungsdetails:

   • Anwendungs-ID (Client-ID)
   • Objekt-ID
   • Verzeichnis-ID (Mandant)

Weitere Informationen zum Erstellen von Dienstprinzipalen finden Sie unter Microsoft Entra ID App-Registrierungen.

Erstellen einer Azure Key Vault und Speichern von Anmeldeinformationen

Sie können ein vorhandenes Azure Key Vault verwenden und die folgenden Schritte ausführen, um Key Vault Zugriff zu konfigurieren, oder eine neue Key Vault erstellen, indem Sie die folgenden Schritte ausführen:

1. Erstellen Sie eine Azure Key Vault:

   1. Erstellen Sie im Azure-Portal eine neue Azure Key Vault.
   2. Verwenden Sie das berechtigungsmodell Azure rollenbasierte Zugriffssteuerung (empfohlen).
   3. Aktivieren Sie die Einstellungen für vorläufiges Löschen und Löschschutz für den Schlüsseltresor.
   4. Notieren Sie sich den Key Vault-URI nach der Erstellung.

2. Konfigurieren des Key Vault Zugriffs:

   1. Weisen Sie der verwalteten Identität der Microsoft Sentinel Plattform die Rolle Key Vault Geheimnisbenutzer zu. Der Identität wird das Präfix vorangestellt msg-resources-.
   2. Wenn Sie Zugriffsrichtlinien für Key Vaults anstelle von Azure rollenbasierten Zugriffssteuerung verwenden, stellen Sie die Berechtigungen für Get und List für Geheimnisverwaltungsvorgänge bereit.

3. Speichern Sie den geheimen Clientschlüssel in Key Vault:

   1. Wechseln Sie in Ihrem Key Vault zu Geheimnisse>generieren/importieren.
   2. Erstellen Sie ein neues Geheimnis, das den geheimen Clientschlüssel des Dienstprinzipals enthält.
   3. Notieren Sie sich den Geheimnisnamen. Sie wird beim Konfigurieren des Datenverbundconnectors instance verwendet.

Weitere Informationen zum Konfigurieren Azure Key Vaults finden Sie unter Azure Key Vaults.

Verbunddatenconnectors

Verbundconnectors werden auf der Seite Datenconnectors in Microsoft Sentinel im Defender-Portal verwaltet.

1. Navigieren Sie zu Microsoft Sentinel>Konfigurationsdatenconnectors>.

2. Wählen Sie unter Datenverbunddie Option Katalog aus, um die verfügbaren Verbundconnectors anzuzeigen.

   Auf der Katalogseite wird Folgendes angezeigt:

   • Verfügbare Verbundconnectortypen
   • Anzahl der konfigurierten Instanzen für jeden Connector
   • Herausgeber- und Supportinformationen

   

3. Wählen Sie die Seite Meine Connectors aus, um alle konfigurierten Connectorinstanzen anzuzeigen. Auf der Seite werden die Datenverbundconnectorinstanzen Ihres Mandanten sowie deren Anzeigename, Version, status und Supportanbieter aufgelistet.

4. Wählen Sie die einzelnen instance aus, um Details anzuzeigen, Konfigurationen zu bearbeiten oder die instance zu löschen.

Erstellen eines instance

Der Prozess zum Erstellen eines Connectors instance hängt von der externen Datenquelle ab, mit der Sie eine Verbindung herstellen. Befolgen Sie die Anweisungen für Ihren spezifischen Datenquellentyp.

Überprüfen von Tabellen aus Ihrem Connector-instance

Überprüfen Sie nach dem Erstellen eines Connectors instance, ob die Tabellen, die Sie im Verbund erstellt haben, in Microsoft Sentinel verfügbar sind.

1. Navigieren Sie zu Microsoft Sentinel > Konfigurationstabellen>.

2. Filtern Sie nach Typ Verbund , um alle Verbundtabellen anzuzeigen.

3. Suchen Sie nach Ihrem Connector instance Namen.

4. Tabellen aus Ihrem Connector-instance werden mit ihrem Namen gefolgt von _instance nameaufgeführt. Wenn Ihr Datenconnector z. B. instance Name lautet GlobalHRData und Ihre Tabelle den Namen hathrlogs, wird Der Tabellenname als hrlogs_GlobalHRDataangezeigt.

5. Wählen Sie eine Tabelle aus der Liste aus, um den Detailbereich zu öffnen.

6. Wählen Sie die Registerkarte Übersicht aus, um den Tabellentyp und den Verbundanbieter anzuzeigen.

7. Wählen Sie die Registerkarte Datenquelle aus, um den Connector instance Datenanbieter und quellprodukt für die Tabelle anzuzeigen. Wenn Sie den Connector instance Namen auswählen, gelangen Sie zu diesem instance unter Meine Connectors innerhalb von Datenconnectors.

8. Wählen Sie die Registerkarte Schema aus, um das Tabellenschema anzuzeigen.

9. Wählen Sie auf der Registerkarte Schema die Option Aktualisieren aus, um das der Verbundtabelle zugeordnete Tabellenschema zu aktualisieren.

Verwalten von Connectorinstanzen

So ändern oder löschen Sie einen Connector instance:

1. Navigieren Sie zur Seite Datenverbund>Meine Connectors.
2. Wählen Sie den Connector instance aus, den Sie verwalten möchten.
3. Verwenden Sie im Detailbereich die verfügbaren Optionen für Folgendes:
   • Bearbeiten von Verbindungseinstellungen
   • Hinzufügen oder Entfernen von Verbundtabellen
   • Löschen des connector-instance

Problembehandlung

Verbindungsfehler

• Vergewissern Sie sich, dass die verwaltete Sentinel Plattformidentität mit dem Präfix von msg-resources- über die richtigen Berechtigungen für Azure Key Vault verfügt.

• Wenn ihre Verbindungsquelle Azure Databricks oder Azure Data Lake Storage Gen2 ist, stellen Sie sicher, dass das Key Vault Geheimnis den richtigen geheimen Clientschlüssel für Ihren Dienstprinzipal enthält.

• Das Key Vault-Netzwerk muss während der Connectorkonfiguration auf Öffentlichen Zugriff aus allen Netzwerken zulassen festgelegt werden. Dies ist die Standardkonfiguration von Key Vault. Sie kann nach der Erstellung oder Bearbeitung des Connectors geändert werden.

• Vergewissern Sie sich, dass die externe Datenquelle öffentlich zugänglich ist.

• Überprüfen Sie, ob der Dienstprinzipal über die entsprechenden Berechtigungen für die Zieldatenquelle für Azure Databricks und ADLS verfügt.

• Wenn die Zieldatenquelle Fabric ist, überprüfen Sie, ob der msg-resources- Präfixidentität für Microsoft Sentinel die Berechtigung als Arbeitsbereichsmitglied erteilt wurde.

• Stellen Sie sicher, dass Sie nicht über mehr als 100 Verbindungsinstanzen verfügen.

Tabellen werden nicht angezeigt

• Vergewissern Sie sich, dass der Dienstprinzipal über Lesezugriff auf die Zieltabellen für ADLS und Azure Databricks verfügt und sich der Dienstprinzipal im selben Mandanten wie diese Datenquellen befindet.

• Stellen Sie für Databricks sicher, dass Sie dem Dienstprinzipal sowohl die integrierte Berechtigung "Datenleseberechtigte" als auch die Berechtigung "Schema für externe Verwendung" erteilt haben.

• Vergewissern Sie sich für ADLS Gen 2, dass dem Dienstprinzipal die Rolle Storage-Blobdatenleser zugewiesen ist.

Probleme mit der Abfrageleistung

• Berücksichtigen Sie die Größe der Daten, die aus externen Quellen abgefragt werden.

• Optimieren Sie Abfragen, um Daten frühzeitig zu filtern.

• Überprüfen Sie die Netzwerkkonnektivität zwischen Sentinel und der externen Quelle.

Nächste Schritte

• Übersicht über den Datenverbund
• Abfragen von Verbundtabellen mit KQL