将Microsoft Sentinel连接到Microsoft Defender门户
Microsoft Sentinel在 Microsoft Defender 门户中的 Microsoft 统一安全操作 (SecOps) 平台中正式发布。 使用 Microsoft Defender XDR 将Microsoft Sentinel载入到 Defender 门户时,可以统一事件管理和高级搜寻等功能。 减少工具切换,并构建更注重上下文的调查,以加快事件响应并更快地阻止违规。 有关更多信息,请参阅:
- 博客文章: Microsoft统一安全操作平台的正式发布
- 博客文章: 有关统一安全操作平台的常见问题
- Microsoft Defender 门户中的 Microsoft Sentinel
- Microsoft Defender XDR与 Microsoft Sentinel 集成
对于预览版,Microsoft Sentinel在 Defender 门户中可用,无需Microsoft Defender XDR或 E5 许可证。
先决条件
在开始之前,请查看功能文档以了解产品更改和限制。
- Microsoft Defender 门户中的 Microsoft Sentinel
- Microsoft Defender 门户中的高级搜寻
- Microsoft Defender XDR中的警报、事件和关联
- 使用统一安全操作平台实现自动化
Microsoft Defender门户支持单个Microsoft Entra租户以及一次连接到一个工作区。 在本文的上下文中,工作区是启用了 Microsoft Sentinel 的 Log Analytics 工作区。
Microsoft Sentinel先决条件
若要在 Defender 门户中载入和使用Microsoft Sentinel,必须具有以下资源和访问权限:
已启用Microsoft Sentinel的 Log Analytics 工作区
Microsoft Sentinel中为事件和警报启用Microsoft Defender XDR数据连接器。 安装 Defender XDR 解决方案,并将数据连接器配置为Microsoft Sentinel连接到 Defender 门户。 有关详细信息,请参阅发现和管理Microsoft Sentinel现装内容。
具有适当角色的 Azure 帐户,可在 Defender 门户中加入、使用和创建Microsoft Sentinel支持请求。 下表突出显示了所需的一些关键角色。
任务 需要Microsoft Entra或 Azure 内置角色 范围 将Microsoft Sentinel加入 Defender 门户 Microsoft Entra ID 中的全局管理员或安全管理员 Tenant 连接或断开已启用Microsoft Sentinel的工作区 所有者或
用户访问管理员和Microsoft Sentinel参与者- 所有者或用户访问管理员角色
的订阅 - Microsoft Sentinel参与者的订阅、资源组或工作区资源在 Defender 门户中查看Microsoft Sentinel Microsoft Sentinel阅读器 订阅、资源组或工作区资源 查询Sentinel数据表或查看事件 Microsoft Sentinel读者或具有以下操作的角色:
- Microsoft.OperationalInsights/workspaces/read
- Microsoft.OperationalInsights/workspaces/query/read
- Microsoft.SecurityInsights/Incidents/read
- Microsoft.SecurityInsights/incidents/comments/read
- Microsoft.SecurityInsights/incidents/relations/read
- Microsoft.SecurityInsights/incidents/tasks/read订阅、资源组或工作区资源 对事件采取调查措施 Microsoft Sentinel参与者或具有以下操作的角色:
- Microsoft.OperationalInsights/workspaces/read
- Microsoft.OperationalInsights/workspaces/query/read
- Microsoft.SecurityInsights/incidents/read
- Microsoft.SecurityInsights/incidents/write
- Microsoft.SecurityInsights/incidents/comments/read
- Microsoft.SecurityInsights/incidents/comments/write
- Microsoft.SecurityInsights/incidents/relations/read
- Microsoft.SecurityInsights/incidents/relations/write
- Microsoft.SecurityInsights/incidents/tasks/read
- Microsoft.SecurityInsights/incidents/tasks/write订阅、资源组或工作区资源 创建支持请求 所有者、
参与者或
支持请求参与者或具有 Microsoft.Support/* 的自定义角色订阅 Microsoft Sentinel连接到 Defender 门户后,现有 Azure 基于角色的访问控制 (RBAC) 权限允许你使用有权访问的Microsoft Sentinel功能。 继续从Azure 门户管理Microsoft Sentinel用户的角色和权限。 任何 Azure RBAC 更改都反映在 Defender 门户中。 有关Microsoft Sentinel权限的详细信息,请参阅 Microsoft Sentinel 中的角色和权限 |Microsoft按资源了解和管理对Microsoft Sentinel数据的访问权限 |Microsoft Learn。
Microsoft的统一 SecOps 平台先决条件
若要在 Microsoft 的统一 SecOps 平台中统一Defender XDR功能,必须具有以下资源和访问权限:
- Defender XDR许可,如Microsoft Defender XDR先决条件中所述
- Defender XDR帐户是与Microsoft Sentinel关联的同一Microsoft Entra租户的成员
- 在 Defender 门户中访问Microsoft Defender XDR,如Microsoft Defender XDR先决条件中所述
载入Microsoft Sentinel
若要将Microsoft Sentinel工作区连接到 Defender 门户,请完成以下步骤。 如果在没有Defender XDR (预览) 加入Microsoft Sentinel,则还有一个额外的步骤可以触发与 Microsoft Sentinel 和 Defender 门户的连接。
转到Microsoft Defender门户并登录。
若要在 Defender 门户中载入Microsoft Sentinel而不Defender XDR:
- 若要触发与Microsoft Sentinel的连接,请选择“调查 & 响应>事件”。
- 等待几分钟,等待连接完成。
在 Defender 门户中,选择“ 概述”。
选择“ 连接工作区”。
选择要连接的工作区,然后选择“ 下一步”。
阅读并了解与连接工作区相关的产品更改。 这些更改包括:
- Microsoft Sentinel工作区中的日志表、查询和函数也可在 Defender 门户中的高级搜寻中使用。
- Microsoft Sentinel参与者角色分配给订阅中的 Microsoft Threat Protection 和 WindowsDefenderATP 应用。
- 停用活动 Microsoft安全事件创建规则 ,以避免重复事件。 此更改仅适用于Microsoft警报的事件创建规则,不适用于其他分析规则。
- 与Defender XDR产品相关的所有警报都直接从main Defender XDR数据连接器进行流式传输,以确保一致性。 请确保工作区中已打开来自此连接器的事件和警报。
选择“连接”。
连接工作区后, “概述 ”页上的横幅显示环境已准备就绪。 “概述”页更新了新部分,其中包括来自Microsoft Sentinel的指标,例如数据连接器的数量和自动化规则。
在 Defender 门户中探索Microsoft Sentinel功能
将工作区连接到 Defender 门户后,Microsoft Sentinel位于左侧导航窗格中。 如果已启用Defender XDR,“概述”、“事件”和“高级搜寻”等页面具有来自Microsoft Sentinel和Defender XDR的统一数据。 如果未启用Defender XDR,则这些页面仅包含来自Microsoft Sentinel (预览) 的数据。 有关门户之间的统一功能和差异的详细信息,请参阅 Microsoft Defender 门户中的Microsoft Sentinel。
许多现有的Microsoft Sentinel功能都集成到 Defender 门户中。 对于这些功能,请注意,Azure 门户门户中Microsoft Sentinel与 Defender 之间的体验相似。 使用以下文章帮助你开始在 Defender 门户中使用 Microsoft Sentinel。 使用这些文章时,请记住,此上下文中的起点是 Defender 门户,而不是Azure 门户。
- 搜索
- 威胁管理
- 内容管理
- 配置
在 Defender 门户中的“系统>设置”下查找Microsoft Sentinel设置>Microsoft Sentinel。
机外Microsoft Sentinel
一次只能有一个工作区连接到 Defender 门户。 如果要连接到启用了Microsoft Sentinel的其他工作区,请断开当前工作区的连接并连接其他工作区。
转到Microsoft Defender门户并登录。
在 Defender 门户中的“系统”下,选择“设置Microsoft Sentinel>”。
在 “工作区” 页上,选择“连接的工作区”和“ 断开连接工作区”。
提供断开工作区连接的原因。
确认你的选择。
当工作区断开连接时,将从 Defender 门户的左侧导航栏中删除Microsoft Sentinel部分。 来自Microsoft Sentinel的数据不再包含在“概述”页上。
如果要连接到其他工作区,请在“ 工作区” 页中选择工作区并 连接工作区。