Konfigurieren von Microsoft Defender für Endpunkt zum Streamen von Erweiterten Hunting-Ereignissen an Ihre Azure Event Hubs

Gilt für:

• Microsoft Defender für Endpunkt Plan 1
• Microsoft Defender für Endpunkt

Möchten Sie Defender für Endpunkt erfahren? Registrieren Sie sich für eine kostenlose Testversion

Bevor Sie beginnen

1. Erstellen Sie einen Event Hub in Ihrem Mandanten.

2. Melden Sie sich bei Ihrem Azure-Mandanten an, und wechseln Sie zu Abonnements>Ihr Abonnement>Ressourcenanbieter>Registrieren bei Microsoft.insights.

Aktivieren des Rohdatenstreamings

1. Melden Sie sich beim Microsoft Defender-Portal als Sicherheitsadministrator an.

2. Wechseln Sie im Microsoft Defender-Portal zur Seite Datenexporteinstellungen .

3. Wählen Sie Datenexporteinstellungen hinzufügen aus.

4. Wählen Sie einen Namen für Ihre neuen Einstellungen aus.

5. Wählen Sie Ereignisse an Azure Event Hubs weiterleiten aus.

6. Geben Sie Ihren Event Hubs-Namen und Ihre Event Hubs-Ressourcen-ID ein.

Um Ihre Event Hubs-Ressourcen-ID abzurufen, wechseln Sie auf der Registerkarte >Azure-Eigenschaften> zur Seite Ihres Azure Event Hubs-Namespace, und kopieren Sie den Text unter Ressourcen-ID:

7. Wählen Sie die Ereignisse aus, die Sie streamen möchten, und wählen Sie Speichern aus.

Das Schema der Ereignisse in Azure Event Hubs

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the tenant that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}

• Jede Event Hub-Nachricht in Azure Event Hubs enthält eine Liste von Datensätzen.

• Jeder Datensatz enthält den Ereignisnamen, den Zeitpunkt, zu dem Microsoft Defender für Endpunkt das Ereignis empfangen hat, den Mandanten, zu dem er gehört (Sie erhalten nur Ereignisse von Ihrem Mandanten) und das Ereignis im JSON-Format in einer Eigenschaft namens "properties".

• Weitere Informationen zum Schema von Microsoft Defender für Endpunkt-Ereignissen finden Sie unter Übersicht über die erweiterte Suche.

• In der erweiterten Suche enthält die Tabelle DeviceInfo eine Spalte mit dem Namen MachineGroup , die die Gruppe des Geräts enthält. Auch hier ist jede Veranstaltung mit dieser Spalte versehen. Weitere Informationen finden Sie unter Gerätegruppen.

  Hinweis

  Die Erstellung von Gerätegruppen wird in Defender für Endpunkt Plan 1 und Plan 2 unterstützt.

Datentypzuordnung

Gehen Sie wie folgt vor, um die Datentypen für Ereigniseigenschaften abzurufen:

1. Melden Sie sich beim Microsoft Defender-Portal an, und wechseln Sie zur Seite Erweiterte Suche.

2. Führen Sie die folgende Abfrage aus, um die Datentypzuordnung für jedes Ereignis abzurufen:

   {EventType}
   | getschema
   | project ColumnName, ColumnType 
   

• Hier sehen Sie ein Beispiel für das Device Info-Ereignis:

  

Verwandte Artikel

• Streamen von Microsoft Defender XDR-Ereignissen | Microsoft Learn
• Übersicht über die erweiterte Suche
• Microsoft Defender für Endpunkt-Streaming-API
• Streamen von Microsoft Defender für Endpunkt-Ereignissen in Ihr Azure-Speicherkonto
• Azure Event Hubs-Dokumentation
• Behandeln von Konnektivitätsproblemen – Azure Event Hubs