Konfigurieren von Microsoft Defender XDR zum Streamen von Erweiterten Hunting-Ereignissen an Ihren Azure Event Hub

Gilt für:

• Microsoft Defender XDR

Voraussetzungen

Stellen Sie vor dem Konfigurieren von Microsoft Defender XDR zum Streamen von Daten an Event Hubs sicher, dass die folgenden Voraussetzungen erfüllt sind:

1. Erstellen eines Event Hubs (Weitere Informationen finden Sie unter Einrichten von Event Hubs).

2. Erstellen eines Event Hubs-Namespace (Weitere Informationen finden Sie unter Einrichten eines Event Hubs-Namespaces).

3. Fügen Sie der Entität, die über die Berechtigungen eines Mitwirkenden verfügt, Berechtigungen hinzu, damit diese Entität Daten in den Event Hubs exportieren kann. Weitere Informationen zum Hinzufügen von Berechtigungen finden Sie unter Hinzufügen von Berechtigungen.

Aktivieren des Rohdatenstreamings

1. Melden Sie sich mindestens als Sicherheitsadministrator bei Microsoft Defender Portal an.

2. Wechseln Sie zur Seite Streaming-API-Einstellungen.

3. Klicken Sie auf Hinzufügen.

4. Wählen Sie einen Namen für Ihre neuen Einstellungen aus.

5. Wählen Sie Ereignisse an Azure Event Hub weiterleiten aus.

6. Sie können auswählen, ob Sie die Ereignisdaten in einen einzelnen Event Hub oder jede Ereignistabelle in einen anderen Event Hubs in Ihrem Event Hubs-Namespace exportieren möchten.

7. Um die Ereignisdaten in einen einzelnen Event Hub zu exportieren, geben Sie Ihren Event Hub-Namen und ihre Event Hub-Namespace-Ressourcen-ID ein.

   Um Ihre Event Hub-Namespace-Ressourcen-ID abzurufen, wechseln Sie auf der Registerkarte >Azure-Eigenschaften> zu Ihrer Azure Event Hubs Namespaceseite, und kopieren Sie den Text unter Ressourcen-ID:

   

8. Wechseln Sie zur Unterstützten Microsoft Defender XDR Ereignistypen in der Ereignisstreaming-API, um die Unterstützung status von Ereignistypen in der Microsoft 365 Streaming-API zu überprüfen.

9. Wählen Sie die Ereignisse aus, die Sie streamen möchten, und klicken Sie auf Speichern.

Das Schema der Ereignisse in Azure Event Hub

{
   "records": [
               {
                  "time": "<The time Microsoft Defender XDR received the event>"
                  "tenantId": "<The Id of the tenant that the event belongs to>"
                  "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                  "properties": { <Microsoft Defender XDR Advanced Hunting event as Json> }
               }
               ...
            ]
}

• Jede Event Hubs-Nachricht in Azure Event Hubs enthält eine Liste von Datensätzen.

• Jeder Datensatz enthält den Ereignisnamen, die Zeit, Microsoft Defender XDR das Ereignis empfangen hat, den Mandanten, zu dem er gehört (Sie erhalten nur Ereignisse von Ihrem Mandanten) und das Ereignis im JSON-Format in einer Eigenschaft namens "properties".

• Weitere Informationen zum Schema von Microsoft Defender XDR Ereignissen finden Sie unter Übersicht über die erweiterte Suche.

• In der erweiterten Suche enthält die Tabelle DeviceInfo eine Spalte mit dem Namen MachineGroup , die die Gruppe des Geräts enthält. Hier wird jede Veranstaltung auch mit dieser Spalte ergänzt.

Datentypzuordnung

Führen Sie die folgenden Schritte aus, um die Datentypen für Ereigniseigenschaften abzurufen:

1. Melden Sie sich bei Microsoft Defender XDR an, und wechseln Sie zur Seite Erweiterte Suche.

2. Führen Sie die folgende Abfrage aus, um die Datentypzuordnung für jedes Ereignis abzurufen:

   {EventType}
   | getschema
   | project ColumnName, ColumnType
   

• Hier sehen Sie ein Beispiel für das Device Info-Ereignis:

  

Schätzen der anfänglichen Event Hub-Kapazität

Die folgende erweiterte Suchabfrage kann eine grobe Schätzung des Datenvolumendurchsatzes und der anfänglichen Event Hub-Kapazität basierend auf Ereignissen/Sekunde und geschätzten MB/s liefern. Es wird empfohlen, die Abfrage während der regulären Geschäftszeiten auszuführen, um den "echten" Durchsatz zu erfassen.

let bytes_ = 1000;
union withsource=MDTables MyDefenderTable // TODO: Insert desired tables one by one separated by a comma (for example: DeviceEvents, DeviceInfo) or with a wildcard (Device*)
| where Timestamp > startofday(ago(7d))
| summarize count() by bin(Timestamp, 1m), MDTables
| extend EPS = count_ /60 
| summarize avg(EPS), estimatedMBPerSec = avg(EPS) * bytes_ / (1024*1024) by MDTables, bin(Timestamp, 3h)
| summarize avg_EPS=max(avg_EPS), estimatedMBPerSec = max(estimatedMBPerSec) by MDTables
| sort by toint(estimatedMBPerSec) desc
| project MDTables, avg_EPS, estimatedMBPerSec

Informationen zum Überprüfen der unterschiedlichen Event Hub-Grenzwerte finden Sie unter Azure Event Hubs Kontingent und Grenzwerte.

Überwachen erstellter Ressourcen

Sie können die von der Streaming-API erstellten Ressourcen mithilfe von Azure Monitor überwachen. Weitere Informationen finden Sie unter Datenexport des Log Analytics-Arbeitsbereichs in Azure Monitor.

Verwandte Themen

• Verwenden der Microsoft Graph-Sicherheits-API – Microsoft Graph | Microsoft Learn

• Übersicht über die erweiterte Suche

• Microsoft Defender XDR Streaming-API

• Unterstützte Microsoft Defender XDR Ereignistypen in der Ereignisstreaming-API

• Stream Microsoft Defender XDR Von Ereignissen in Ihrem Azure-Speicherkonto

• Azure Event Hubs-Dokumentation

• Behandeln von Konnektivitätsproblemen– Azure Event Hubs