Trasmettere in streaming i dati da Microsoft Defender XDR a Microsoft Sentinel nel portale Azure

Il connettore Defender XDR consente di trasmettere tutti i Microsoft Defender XDR eventi imprevisti, avvisi ed eventi di ricerca avanzati in Microsoft Sentinel e mantiene gli eventi imprevisti sincronizzati tra entrambi i portali. Questo articolo illustra come configurare il connettore Microsoft Defender XDR per Microsoft Sentinel nel portale di Azure. Prima di iniziare, assicurarsi di soddisfare i prerequisiti, incluse le licenze, le autorizzazioni e l'installazione della soluzione.

Gli incidenti di Microsoft Defender XDR includono avvisi, entità e altre informazioni rilevanti relative a tutti i prodotti e servizi di Microsoft Defender. Per informazioni dettagliate sul flusso di dati, sui componenti supportati e sul mapping dello schema, vedere Microsoft Defender XDR'integrazione con Microsoft Sentinel.

Prerequisiti

Prima di iniziare, assicurarsi di avere le licenze, l'accesso e le risorse seguenti:

• È necessario disporre di una licenza valida per Microsoft Defender XDR, come descritto in Microsoft Defender XDR prerequisiti.
• L'utente deve avere il ruolo Di amministratore della sicurezza nel tenant da cui si desidera trasmettere i log o le autorizzazioni equivalenti.
• È necessario disporre delle autorizzazioni di lettura e scrittura per l'area di lavoro Microsoft Sentinel.
• Per apportare modifiche alle impostazioni del connettore, l'account deve essere membro dello stesso tenant Microsoft Entra a cui è associata l'area di lavoro Microsoft Sentinel.
• Installare la soluzione Microsoft Defender XDR dal Hub contenuti in Microsoft Sentinel. Per ulteriori informazioni, vedere Individuare e gestire il contenuto predefinito di Microsoft Sentinel. Se si lavora nel portale di Defender, questa soluzione viene installata automaticamente.
• Concedere l'accesso a Microsoft Sentinel in base alle esigenze dell'organizzazione. Per altre informazioni, vedere Ruoli e autorizzazioni in Microsoft Sentinel.

Per la sincronizzazione locale di Active Directory tramite Microsoft Defender per identità:

• Il tenant deve essere registrato in Microsoft Defender per identità.
• È necessario che il sensore di Microsoft Defender per l'identità sia installato.

Per i prerequisiti di distribuzione e i passaggi di configurazione dei sensori, vedere Distribuire Microsoft Defender per identità.

Connettersi a Microsoft Defender XDR

In Microsoft Sentinel selezionare Connettori dati. Selezionare Microsoft Defender XDR dalla raccolta e Apri pagina connettore.

Nella pagina connettore la sezione Configurazione include tre parti:

1. La connessione di eventi imprevisti e avvisi consente l'integrazione di base tra Microsoft Defender XDR e Microsoft Sentinel, sincronizzando gli eventi imprevisti e i relativi avvisi tra le due piattaforme.

2. Connetti entità consente l'integrazione delle identità utente di Active Directory locale in Microsoft Sentinel tramite Microsoft Defender per Identity.

3. Connetti eventi consente la raccolta di eventi di ricerca avanzata non elaborati dai componenti di Defender.

Per l'architettura del connettore e i tipi di dati supportati, vedere integrazione Microsoft Defender XDR con Microsoft Sentinel.

Connettere eventi imprevisti e avvisi

Per acquisire e sincronizzare gli incidenti di Microsoft Defender XDR con tutti i relativi avvisi nella coda degli incidenti di Microsoft Sentinel, completare i passaggi seguenti.

1. Contrassegnare la casella di controllo con l'etichetta Disattiva tutte le regole di creazione di eventi imprevisti Microsoft per questi prodotti. Consigliato, per evitare la duplicazione di eventi imprevisti. La casella di controllo Disattiva tutte le regole di creazione di eventi imprevisti Microsoft per questi prodotti non viene visualizzata dopo la connessione del connettore Microsoft Defender XDR.

2. Selezionare il pulsante Connetti eventi imprevisti & avvisi .

3. Verifica che Microsoft Sentinel stia raccogliendo i dati degli incidenti di Microsoft Defender XDR. In Microsoft Sentinel Log nel portale di Azure eseguire la query seguente nella finestra della query per recuperare gli incidenti di sicurezza acquisiti dal provider Microsoft XDR:

      SecurityIncident
      | where ProviderName == "Microsoft XDR"
   

Quando si abilita il connettore Microsoft Defender XDR, tutti i connettori dei componenti di Microsoft Defender connessi in precedenza vengono disconnessi automaticamente in background. Anche se questi connettori di componenti continuano a essere connessi , non vengono trasmessi dati.

Connetti entità

Usare Microsoft Defender per identità per sincronizzare le entità utente dal Active Directory locale al Microsoft Sentinel. Questa integrazione richiede User and Entity Behavior Analytics (UEBA), che profila il comportamento dell'entità per rilevare attività anomale.

1. Selezionare il collegamento Vai alla pagina di configurazione UEBA .

2. Nella pagina Configurazione del comportamento dell'entità, se UEBA non è abilitato, nella parte superiore della pagina imposta l'interruttore su Attivato.

3. Contrassegnare la casella di controllo Active Directory (anteprima) e selezionare Applica.

   

Connettere eventi

Se si desidera raccogliere eventi di ricerca avanzati da Microsoft Defender per endpoint o Microsoft Defender per Office 365, è possibile raccogliere i tipi di eventi seguenti dalle tabelle di ricerca avanzate corrispondenti.

1. Contrassegnare le caselle di controllo delle tabelle con i tipi di evento che si desidera raccogliere:

   • Defender per endpoint​
   • Defender per Office 365
   • Defender per identità
   • Defender for Cloud Apps
   • Avvisi di Defender

   Nome della tabella	Tipo di eventi
   DeviceInfo	Informazioni sul computer, incluse le informazioni sul sistema operativo
   DeviceNetworkInfo	Proprietà di rete dei dispositivi, tra cui adattatori, indirizzi IP e MAC, oltre a reti e domini collegati
   DeviceProcessEvents	Creazione processi ed eventi correlati
   DeviceNetworkEvents	Connessione rete ed eventi correlati
   DeviceFileEvents	Creazione, modifica e altri eventi del file system
   DeviceRegistryEvents	Creazione e modifica delle voci del registro di sistema
   DeviceLogonEvents	Accessi e altri eventi di autenticazione nei dispositivi
   DeviceImageLoadEvents	Eventi di caricamento delle DLL
   DeviceEvents	Più tipi di evento, inclusi gli eventi attivati da controlli di sicurezza, ad esempio Antivirus Microsoft Defender e Protezione dagli exploit
   DeviceFileCertificateInfo	Informazioni sul certificato dei file firmati ottenute da eventi di verifica del certificato negli endpoint

2. Scegliere Applica modifiche.

Per eseguire una query nelle tabelle di ricerca avanzate in Log Analytics, immettere il nome della tabella nella finestra della query.

Verificare l'inserimento dei dati

Il grafico dei dati nella pagina del connettore indica che si stanno acquisendo dati. Si noti che mostra una riga ciascuna per eventi imprevisti, avvisi ed eventi e la riga degli eventi è un'aggregazione del volume di eventi in tutte le tabelle abilitate. Dopo aver abilitato il connettore, usare le query KQL seguenti per generare grafici più specifici.

Usa la query KQL seguente per visualizzare un grafico degli incidenti Microsoft Defender XDR in ingresso:

let Now = now(); 
(range TimeGenerated from ago(14d) to Now-1d step 1d 
| extend Count = 0 
| union isfuzzy=true ( 
    SecurityIncident
    | where ProviderName == "Microsoft XDR"
    | summarize Count = count() by bin_at(TimeGenerated, 1d, Now) 
) 
| summarize Count=max(Count) by bin_at(TimeGenerated, 1d, Now) 
| sort by TimeGenerated 
| project Value = iff(isnull(Count), 0, Count), Time = TimeGenerated, Legend = "Events") 
| render timechart 

Usa la seguente query KQL per costruire una tendenza giornaliera di 14 giorni del volume di eventi per una singola tabella di caccia avanzata. Questa serie temporale ti aiuta a validare la coerenza dell'ingestione dopo aver abilitato il connettore. Sostituisci il nome della tabella DeviceEvents con la tabella che vuoi monitorare:

let Now = now();
(range TimeGenerated from ago(14d) to Now-1d step 1d
| extend Count = 0
| union isfuzzy=true (
    DeviceEvents
    | summarize Count = count() by bin_at(TimeGenerated, 1d, Now)
)
| summarize Count=max(Count) by bin_at(TimeGenerated, 1d, Now)
| sort by TimeGenerated
| project Value = iff(isnull(Count), 0, Count), Time = TimeGenerated, Legend = "Events")
| render timechart

Quali tabelle Defender XDR non sono supportate in Microsoft Sentinel

Le tabelle di ricerca avanzate seguenti non vengono inserite in Microsoft Sentinel, anche se vengono visualizzate nello schema:

Tabelle di Gestione delle vulnerabilità di Defender (TVM)

Le seguenti tabelle TVM non vengono assorbite in Microsoft Sentinel:

• DeviceTvmBrowserExtensions
• DeviceTvmBrowserExtensionsKB
• DeviceTvmCertificateInfo
• DeviceTvmHardwareFirmware
• DeviceTvmInfoGathering
• DeviceTvmInfoGatheringKB
• DeviceTvmSecureConfigurationAssessment
• DeviceTvmSecureConfigurationAssessmentKB
• DeviceTvmSoftwareEvidenceBeta
• DeviceTvmSoftwareInventory
• DeviceTvmSoftwareVulnerabilities
• DeviceTvmSoftwareVulnerabilitiesKB

Queste tabelle sono fondamentali per la gestione delle vulnerabilità di sicurezza, ma i dati non vengono attualmente trasmessi a Microsoft Sentinel tramite il connettore Defender XDR. Se è necessario usare questi dati in Microsoft Sentinel per l'analisi o i rilevamenti, è necessario implementare una soluzione di inserimento personalizzata. In caso contrario, interrogare i dati in Ricerca avanzata di Defender XDR, se disponibili.

Vedi ulteriori informazioni sui seguenti elementi utilizzati nelle query KQL incidenti e volumi di eventi nella sezione Verifica ingestione dati , nella documentazione Kusto:

• let istruzione
• operatore where
• operatore extend
• operatore di progetto
• operatore union
• operatore sort
• summarize operatore
• render operatore
• funzione ago()
• Funzione iff()
• Funzione di aggregazione max()
• Funzione di aggregazione count()

Per altre informazioni su KQL, vedi panoramica di Kusto Query Language (KQL).

Altre risorse:

• Guida rapida a KQL
• Risorse di apprendimento per il linguaggio di query Kusto

Passaggi successivi

Hai imparato come inviare in streaming incidenti, avvisi ed eventi di ricerca avanzata di Defender XDR in Microsoft Sentinel. È stato usato il connettore Defender XDR per configurare questo flusso di dati.

Per usare Microsoft Sentinel con Defender XDR nel portale di Defender, vedere Connettere Microsoft Sentinel al portale di Microsoft Defender