Stream Microsoft Defender XDR события в учетную запись хранения

Область применения:

• Microsoft Defender XDR

Подготовка к работе

• Создайте учетную запись хранения в клиенте.
• Войдите в клиент Azure и перейдите в раздел Подписки Ваши поставщики>>ресурсов подписки>Зарегистрируйте в Microsoft.Insights.

Добавление разрешений участник

После создания учетной записи хранения необходимо определить пользователя, который выполняет вход в качестве участник.

1. Перейдите в раздел Управление доступом к учетной записи> хранения(IAM) и нажмите кнопку Добавить.

2. Убедитесь, что пользователь указан в разделе Назначения ролей.

Включение потоковой передачи необработанных данных

1. Перейдите на портал Microsoft Defender и выполните вход, используя учетную запись с разрешениями по крайней мере администратора безопасности.

   Важно!

   Microsoft рекомендует использовать роли с наименьшим количеством разрешений. Использование учетных записей с более низкими разрешениями помогает повысить безопасность организации. Глобальный администратор — это роль с высокими привилегиями, которую следует ограничивать экстренными сценариями, когда вы не можете использовать существующую роль.

2. Перейдите в раздел Параметры>Microsoft Defender XDR>API потоков. Чтобы перейти непосредственно на страницу API потоковой передачи , используйте https://security.microsoft.com/settings/mtp_settings/raw_data_export.

3. Нажмите Добавить.

4. Во всплывающем окне Добавление параметров API потоковой передачи настройте следующие параметры:

   • Имя. Выберите имя для новых параметров.
   • Выберите Переадресация событий в службу хранилища Azure.

5. Чтобы отобразить идентификатор ресурса azure Resource Manager для учетной записи хранения в портал Azure, выполните следующие действия.

   1. Перейдите к учетной записи хранения в портал Azure.

   2. На странице Обзор в разделе Essentials выберите ссылку Просмотр JSON.

   3. Идентификатор ресурса для учетной записи хранения отображается в верхней части страницы. Скопируйте текст в разделе Идентификатор ресурса учетной записи хранения.

   4. Во всплывающем окне Добавление параметров API потоковой передачи выберите типы событий , которые требуется потоковой передачи.

   5. По завершении нажмите кнопку Отправить.

Схема событий в учетной записи хранения

• Контейнер BLOB-объектов создается для каждого типа события:

  

• Схема каждой строки в большом двоичном объекте представляет собой следующий код JSON:

  {
          "time": "<The time Microsoft Defender XDR received the event>"
          "tenantId": "<Your tenant ID>"
          "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
          "properties": { <Microsoft Defender XDR Advanced Hunting event as Json> }
  }
  

• Каждый большой двоичный объект содержит несколько строк.

• Каждая строка содержит имя события, время получения события в Defender для конечной точки, клиент, которому оно принадлежит (события будут получены только от клиента), а также событие в формате JSON в свойстве с именем properties.

• Дополнительные сведения о схеме событий Microsoft Defender XDR см. в статье Обзор расширенной охоты.

Сопоставление типов данных

Чтобы получить типы данных для свойств событий, выполните следующие действия.

1. Перейдите на портал Microsoft Defender и выполните вход.

2. Перейдите в раздел Охота>Расширенная охота. Чтобы перейти непосредственно на страницу Расширенной охоты, используйте .https://security.microsoft.com/advanced-hunting

3. На вкладке Запрос выполните следующий запрос, чтобы получить сопоставление типов данных для каждого события:

   {EventType}
   | getschema
   | project ColumnName, ColumnType
   

   Ниже приведен пример события Сведений об устройстве:

   

Мониторинг созданных ресурсов

Вы можете отслеживать ресурсы, созданные API потоковой передачи, с помощью Azure Monitor. Дополнительные сведения см. в статье Мониторинг назначений — Azure Monitor.

Статьи по теме

• Использование API безопасности Microsoft Graph — Microsoft Graph | Microsoft Learn
• Обзор расширенной охоты
• API потоковой передачи Microsoft Defender XDR
• Stream Microsoft Defender XDR событий в учетную запись хранения Azure
• Документация по учетной записи хранения Azure