Integrace Microsoft Sentinelu (Preview)

Microsoft Defender for Cloud Apps můžete integrovat se službou Microsoft Sentinel (škálovatelný cloudový nativní SYSTÉM SIEM a SOAR), abyste umožnili centralizované monitorování výstrah a dat zjišťování. Integrace se službou Microsoft Sentinel umožňuje lépe chránit cloudové aplikace a současně udržovat obvyklý pracovní postup zabezpečení, automatizovat postupy zabezpečení a korelovat mezi cloudovými a místními událostmi.

Mezi výhody používání služby Microsoft Sentinel patří:

• Delší doba uchovávání dat poskytovaná Log Analytics
• Předefinované vizualizace
• Pomocí nástrojů, jako jsou sešity Microsoft Power BI nebo Microsoft Sentinelu, můžete vytvářet vlastní vizualizace dat zjišťování, které vyhovují potřebám vaší organizace.

Mezi další integrační řešení patří:

• Obecné SIEMs – Integrace Defenderu for Cloud Apps s obecným serverem SIEM Informace o integraci s obecným siEM naleznete v tématu Obecná integrace SIEM.
• Rozhraní Microsoft Security Graph API – zprostředkovatelská služba (nebo zprostředkovatel), která poskytuje jedno programové rozhraní pro připojení více poskytovatelů zabezpečení. Další informace najdete v tématu Integrace řešení zabezpečení pomocí Rozhraní API pro zabezpečení Microsoft Graphu.

Integrace s Microsoft Sentinelem zahrnuje konfiguraci v programu Defender for Cloud Apps i v Microsoft Sentinelu.

Požadavky

Integrace s Microsoft Sentinelem:

• Musíte mít platnou licenci microsoft Sentinelu.
• Ve vašem tenantovi musíte být globálním správcem nebo správcem zabezpečení.

Podpora státní správy USA

Přímá integrace Defenderu pro Cloud Apps – Microsoft Sentinel je dostupná jenom pro komerční zákazníky.

Všechna data Defenderu for Cloud Apps jsou ale k dispozici v XDR v programu Microsoft Defender, a proto jsou k dispozici v Microsoft Sentinelu prostřednictvím konektoru XDR v programu Microsoft Defender.

Doporučujeme zákazníkům GCC, GCC High a DoD, kteří chtějí vidět data Defenderu for Cloud Apps v Microsoft Sentinelu, nainstalovat řešení XDR v programu Microsoft Defender.

Další informace naleznete v tématu:

• Integrace XDR v programu Microsoft Defender s Microsoft Sentinelem
• Nabídky Microsoft Defenderu pro Cloud Apps pro státní správu USA

Integrace s Microsoft Sentinelem

1. Na portálu Microsoft Defender vyberte Nastavení > Cloud Apps.

2. V části Systém vyberte agenty > SIEM Přidat agenta > SIEM Sentinel. Příklad:

   

   Poznámka:

   Možnost přidání služby Microsoft Sentinel není dostupná, pokud jste dříve provedli integraci.

3. V průvodci vyberte datové typy, které chcete předat službě Microsoft Sentinel. Integraci můžete nakonfigurovat následujícím způsobem:

   • Upozornění: Výstrahy se automaticky zapnou, jakmile je služba Microsoft Sentinel povolená.
   • Protokoly zjišťování: Pomocí posuvníku je ve výchozím nastavení povolte a zakažte vše, co je vybrané, a pak pomocí rozevíracího seznamu Použít na vyfiltrujte, které protokoly zjišťování se odesílají do Služby Microsoft Sentinel.

   Příklad:

   

4. Vyberte Další a pokračujte v Microsoft Sentinelu a dokončete integraci. Informace o konfiguraci Služby Microsoft Sentinel najdete v datovém konektoru Microsoft Sentinelu pro Defender for Cloud Apps. Příklad:

   

Poznámka:

Nové protokoly zjišťování se obvykle zobrazí v Microsoft Sentinelu během 15 minut od jejich konfigurace na portálu Defender for Cloud Apps. V závislosti na podmínkách systémového prostředí ale může trvat déle. Další informace najdete v tématu Zpracování zpoždění příjmu dat v analytických pravidlech.

Upozornění a protokoly zjišťování v Microsoft Sentinelu

Po dokončení integrace můžete v Microsoft Sentinelu zobrazit výstrahy a protokoly zjišťování Defenderu for Cloud Apps.

V Microsoft Sentinelu v části Protokoly v části Přehledy zabezpečení najdete protokoly pro datové typy Defenderu for Cloud Apps následujícím způsobem:

Datový typ	Table
Protokoly zjišťování	McasShadowItReporting
Výstrahy	SecurityAlert

Následující tabulka popisuje každé pole ve schématu McasShadowItReporting :

Pole	Typ	Popis	Příklady
Id tenanta	String	ID pracovního prostoru	b459b4u5-912x-46d5-9cb1-p43069212nb4
SourceSystem	String	Zdrojový systém – statická hodnota	Azure
TimeGenerated [UTC]	DateTime	Datum dat zjišťování	2019-07-23T11:00:35.858Z
Název streamu	String	Název konkrétního streamu	Marketingové oddělení
TotalEvents	Celé číslo	Celkový počet událostí na relaci	122
BlockedEvents	Celé číslo	Počet blokovaných událostí	0
Nahranébyty	Celé číslo	Množství nahraných dat	1,514,874
TotalBytes	Celé číslo	Celkové množství dat	4,067,785
Staženébyty	Celé číslo	Množství stažených dat	2,552,911
IpAddress	String	Zdrojová IP adresa	127.0.0.0
UserName	String	Jméno uživatele	Raegan@contoso.com
EnrichedUserName	String	Rozšířené uživatelské jméno pomocí uživatelského jména Microsoft Entra	Raegan@contoso.com
AppName	String	Název cloudové aplikace	Microsoft OneDrive pro firmy
Appid	Celé číslo	Identifikátor cloudové aplikace	15600
AppCategory	String	Kategorie cloudové aplikace	Cloudové úložiště
Značky aplikací	Pole řetězců	Předdefinované a vlastní značky definované pro aplikaci	["schváleno"]
AppScore	Celé číslo	Skóre rizika aplikace ve velkém měřítku 0–10, 10 jako skóre pro neriskovou aplikaci	10
Typ	String	Typ protokolů – statická hodnota	McasShadowItReporting

Použití Power BI s daty Defenderu for Cloud Apps v Microsoft Sentinelu

Po dokončení integrace můžete také použít data Defenderu for Cloud Apps uložená v Microsoft Sentinelu v jiných nástrojích.

Tato část popisuje, jak můžete pomocí Microsoft Power BI snadno tvarovat a kombinovat data a vytvářet sestavy a řídicí panely, které vyhovují potřebám vaší organizace.

Jak začít:

1. V Power BI importujte dotazy z Microsoft Sentinelu pro data Defenderu for Cloud Apps. Další informace najdete v tématu Import dat protokolu služby Azure Monitor do Power BI.

2. Nainstalujte aplikaci Defender for Cloud Apps Shadow IT Discovery a připojte ji k datům protokolu zjišťování, abyste zobrazili integrovaný řídicí panel Stínové zjišťování IT.

   Poznámka:

   V současné době není aplikace publikovaná na Microsoft AppSource. Proto možná budete muset požádat správce Power BI o oprávnění k instalaci aplikace.

   Příklad:

   

3. Volitelně můžete vytvářet vlastní řídicí panely v Power BI Desktopu a upravovat je tak, aby odpovídaly požadavkům vaší organizace na vizuální analýzy a vytváření sestav.

Připojení aplikaci Defender for Cloud Apps

1. V Power BI vyberte aplikaci > Stínová IT zjišťování aplikací.

2. Na stránce Začínáme s novou aplikací vyberte Připojení. Příklad:

   

3. Na stránce ID pracovního prostoru zadejte ID pracovního prostoru Služby Microsoft Sentinel, jak je zobrazeno na stránce s přehledem služby Log Analytics, a pak vyberte Další. Příklad:

   

4. Na stránce ověřování zadejte metodu ověřování a úroveň ochrany osobních údajů a pak vyberte Přihlásit se. Příklad:

   

5. Po připojení dat přejděte na kartu Datové sady pracovního prostoru a vyberte Aktualizovat. Tím se sestava aktualizuje vlastními daty.

Pokud narazíte na nějaké problémy, jsme tady, abychom vám pomohli. Pokud chcete získat pomoc nebo podporu k problému s produktem, otevřete lístek podpory.