Määritä Microsoft Defender for Endpoint virtautettavaksi kehittyneen metsästyksen tapahtumat tallennustilillesi

Koskee seuraavia:

• Microsoft Defender for Endpoint Plan 1
• Microsoft Defender for Endpoint

Huomautus

Saat kaikki saatavilla olevat tietojen virtautustoiminnot tutustumalla Stream Microsoft Defender XDR tapahtumiin | Microsoft Learn.

Haluatko kokeilla Defender for Endpointia? Rekisteröidy maksuttomaan kokeiluversioon.

Alkuvalmistelut

1. Luo tallennustili vuokraajassasi.

2. Kirjaudu sisään Azure-vuokraajaan ja siirry kohtaan Tilaukset>Tilaus>Resurssintarjoajien>rekisteröinti Microsoft.insightsiin.

Tärkeää

Microsoft suosittelee, että käytät rooleja, joilla on vähiten käyttöoikeuksia. Tämä auttaa parantamaan organisaatiosi suojausta. Yleinen järjestelmänvalvoja on hyvin etuoikeutettu rooli, joka tulisi rajata hätätilanteisiin, joissa et voi käyttää olemassa olevaa roolia.

Ota raakatietojen virtauttaminen käyttöön

1. Kirjaudu sisään Microsoft Defender portaaliin.

2. Siirry Microsoft Defender XDR tietojen viennin asetusten sivulle.

3. Valitse Lisää tietojen vienti -asetukset.

4. Valitse uusille asetuksille nimi.

5. Valitse Välitä tapahtumat Azure-tallennukseen.

6. Kirjoita tallennustilisi resurssitunnus. Jos haluat saada tallennustilin resurssitunnuksen, siirry tallennustilisi sivulle Azure-portaali> ominaisuudet -välilehdessä > kopioi teksti kohdasta Tallennustilin resurssitunnus:

   

7. Valitse tapahtumat, jotka haluat suoratoistaa, ja valitse Tallenna.

Tallennustilin tapahtumien rakenne

• Kullekin tapahtumatyypille luodaan blob-säilö:

  

• Blob-objektin kunkin rivin rakenne on seuraava JSON:

  {
    "time": "<The time WDATP received the event>"
    "tenantId": "<Your tenant ID>"
    "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
    "properties": { <WDATP Advanced Hunting event as Json> }
  }
  

• Jokainen blob-objekti sisältää useita rivejä.

• Jokainen rivi sisältää tapahtuman nimen, ajan, jolloin Defender for Endpoint vastaanotti tapahtuman, vuokraajan, jolle tapahtuma kuuluu (saat tapahtumia vain vuokraajaltasi) ja tapahtuman JSON-muodossa ominaisuudessa nimeltä properties.

• Lisätietoja Microsoft Defender for Endpoint tapahtumien rakenteesta on kohdassa Kehittyneen metsästyksen yleiskatsaus.

• Lisämetsästyksessä DeviceInfo-taulukossa on sarake nimeltä MachineGroup , joka sisältää laitteen ryhmän. Tässä jokainen tapahtuma on koristeltu myös tällä sarakkeella. Lisätietoja on kohdassa Laitteen Ryhmät.

  Huomautus

  Laiteryhmän luontia tuetaan Defender for Endpoint -palvelupaketti 1:ssä ja palvelupakettissa 2.

Tietotyyppien yhdistäminen

Jos haluat saada tietotyypit tapahtumien ominaisuuksille, toimi seuraavasti:

1. Kirjaudu sisään Microsoft Defender portaaliin ja siirry kehittyneen metsästyksen sivulle.

2. Suorita seuraava kysely, jotta saat kunkin tapahtuman tietotyyppien yhdistämismääritykset:

   {EventType}
   | getschema
   | project ColumnName, ColumnType
   

   Tässä on esimerkki laitetietojen tapahtumasta:

   

Aiheeseen liittyviä artikkeleita

• Stream Microsoft Defender XDR tapahtumat | Microsoft Learn
• Kehittyneen metsästyksen yleiskatsaus
• Microsoft Defender for Endpoint suoratoiston ohjelmointirajapinta
• tapahtumien Stream Microsoft Defender for Endpoint Azure-tallennustiliisi
• Azure-tallennustilin dokumentaatio

Vihje

Haluatko tietää lisää? Engage Microsoft security -yhteisön kanssa teknologiayhteisössämme: Microsoft Defender for Endpoint Tech Community.