Microsoft Sentinel-integrering (förhandsversion)

Du kan integrera Microsoft Defender för Cloud Apps med Microsoft Sentinel (en skalbar, molnbaserad SIEM och SOAR) för att möjliggöra centraliserad övervakning av aviseringar och identifieringsdata. Genom att integrera med Microsoft Sentinel kan du bättre skydda dina molnprogram samtidigt som du underhåller ditt vanliga säkerhetsarbetsflöde, automatiserar säkerhetsprocedurer och korrelerar mellan molnbaserade och lokala händelser.

Fördelarna med att använda Microsoft Sentinel är:

• Längre datakvarhållning som tillhandahålls av Log Analytics.
• Färdiga visualiseringar.
• Använd verktyg som Microsoft Power BI eller Microsoft Sentinel-arbetsböcker för att skapa egna identifieringsdatavisualiseringar som passar organisationens behov.

Ytterligare integreringslösningar är:

• Allmänna SIEM:er – Integrera Defender för Cloud Apps med din generiska SIEM-server. Information om hur du integrerar med en generisk SIEM finns i Allmän SIEM-integrering.
• Microsoft Security Graph API – en mellanhandstjänst (eller koordinator) som tillhandahåller ett enda programmatiskt gränssnitt för att ansluta flera säkerhetsleverantörer. Mer information finns i Integrering av säkerhetslösningar med hjälp av Microsoft Graph Security API.

Integrering med Microsoft Sentinel omfattar konfiguration i både Defender for Cloud Apps och Microsoft Sentinel.

Förutsättningar

Så här integrerar du med Microsoft Sentinel:

• Du måste ha en giltig Microsoft Sentinel-licens
• Du måste vara minst säkerhetsadministratör i din klientorganisation.

Stöd för amerikanska myndigheter

Direct Defender för Cloud Apps – Microsoft Sentinel-integrering är endast tillgängligt för kommersiella kunder.

Alla Defender för Cloud Apps-data är dock tillgängliga i Microsoft Defender XDR och är därför tillgängliga i Microsoft Sentinel via Microsoft Defender XDR-anslutningsappen.

Vi rekommenderar att GCC-, GCC High- och DoD-kunder som är intresserade av att se Defender for Cloud Apps-data i Microsoft Sentinel installerar Microsoft Defender XDR-lösningen.

Mer information finns i:

• Microsoft Defender XDR-integrering med Microsoft Sentinel
• Microsoft Defender för Cloud Apps for US Government-erbjudanden

Integrera med Microsoft Sentinel

1. I Microsoft Defender-portalen väljer du Inställningar > Molnappar.

2. Under System väljer du SIEM-agenter > Lägg till SIEM-agent > sentinel. Till exempel:

   

   Kommentar

   Alternativet att lägga till Microsoft Sentinel är inte tillgängligt om du tidigare har utfört integreringen.

3. I guiden väljer du de datatyper som du vill vidarebefordra till Microsoft Sentinel. Du kan konfigurera integreringen på följande sätt:

   • Aviseringar: Aviseringar aktiveras automatiskt när Microsoft Sentinel har aktiverats.
   • Identifieringsloggar: Använd skjutreglaget för att aktivera och inaktivera dem, som standard är allt markerat och använd sedan listrutan Använd för att filtrera vilka identifieringsloggar som skickas till Microsoft Sentinel.

   Till exempel:

   

4. Välj Nästa och fortsätt till Microsoft Sentinel för att slutföra integreringen. Information om hur du konfigurerar Microsoft Sentinel finns i Microsoft Sentinel-dataanslutningen för Defender för Cloud Apps. Till exempel:

   

Aviseringar och identifieringsloggar i Microsoft Sentinel

När integreringen är klar kan du visa Aviseringar och identifieringsloggar för Defender för Cloud Apps i Microsoft Sentinel.

Under Loggar i Microsoft Sentinel, under Security Insights, hittar du loggarna för datatyperna Defender för Cloud Apps enligt följande:

I följande tabell beskrivs varje fält i schemat McasShadowItReporting :

Använda Power BI med Defender för Cloud Apps-data i Microsoft Sentinel

När integreringen är klar kan du också använda Defender för Cloud Apps-data som lagras i Microsoft Sentinel i andra verktyg.

Det här avsnittet beskriver hur du kan använda Microsoft Power BI för att enkelt forma och kombinera data för att skapa rapporter och instrumentpaneler som uppfyller organisationens behov.

Så här kommer du i gång:

1. I Power BI importerar du frågor från Microsoft Sentinel för Defender för Cloud Apps-data. Mer information finns i Importera Azure Monitor-loggdata till Power BI.

2. Installera Defender for Cloud Apps Shadow IT Discovery-appen och anslut den till dina identifieringsloggdata för att visa den inbyggda instrumentpanelen för Shadow IT Discovery.

   Kommentar

   För närvarande publiceras inte appen på Microsoft AppSource. Därför kan du behöva kontakta Power BI-administratören för att få behörighet att installera appen.

   Till exempel:

   

3. Du kan också skapa anpassade instrumentpaneler i Power BI Desktop och justera dem så att de passar organisationens krav på visuell analys och rapportering.

Ansluta Defender för Cloud Apps-appen

1. I Power BI väljer du Appar > Shadow IT Discovery-app .

2. På sidan Kom igång med din nya app väljer du Anslut. Till exempel:

   

3. På sidan arbetsyte-ID anger du ditt Microsoft Sentinel-arbetsyte-ID som visas på översiktssidan för logganalys och väljer sedan Nästa. Till exempel:

   

4. På autentiseringssidan anger du autentiseringsmetod och sekretessnivå och väljer sedan Logga in. Till exempel:

   

5. När du har anslutit dina data går du till fliken Datauppsättningar för arbetsytan och väljer Uppdatera. Då uppdateras rapporten med dina egna data.

Om du stöter på problem är vi här för att hjälpa till. Om du vill få hjälp eller support för ditt produktproblem öppnar du ett supportärende.