将Microsoft Sentinel连接到Microsoft Defender门户

• 适用于:

  Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Microsoft Sentinel在 Microsoft Defender 门户中的 Microsoft 统一安全操作 (SecOps) 平台中正式发布。 使用 Microsoft Defender XDR 将Microsoft Sentinel载入到 Defender 门户时，可以统一事件管理和高级搜寻等功能。 减少工具切换，并构建更注重上下文的调查，以加快事件响应并更快地阻止违规。 有关更多信息，请参阅：

• 博客文章： Microsoft统一安全操作平台的正式发布
• 博客文章： 有关统一安全操作平台的常见问题
• Microsoft Defender 门户中的 Microsoft Sentinel
• Microsoft Defender XDR与 Microsoft Sentinel 集成

对于预览版，Microsoft Sentinel在 Defender 门户中可用，无需Microsoft Defender XDR或 E5 许可证。

先决条件

在开始之前，请查看功能文档以了解产品更改和限制。

• Microsoft Defender 门户中的 Microsoft Sentinel
• Microsoft Defender 门户中的高级搜寻
• Microsoft Defender XDR中的警报、事件和关联
• 使用统一安全操作平台实现自动化

Microsoft Defender门户支持单个Microsoft Entra租户以及一次连接到一个工作区。 在本文的上下文中，工作区是启用了 Microsoft Sentinel 的 Log Analytics 工作区。

Microsoft Sentinel先决条件

若要在 Defender 门户中载入和使用Microsoft Sentinel，必须具有以下资源和访问权限：

• 已启用Microsoft Sentinel的 Log Analytics 工作区

• Microsoft Sentinel中为事件和警报启用Microsoft Defender XDR数据连接器。 安装 Defender XDR 解决方案，并将数据连接器配置为Microsoft Sentinel连接到 Defender 门户。 有关详细信息，请参阅发现和管理Microsoft Sentinel现装内容。 在 Defender XDR 数据连接器中，将Microsoft Sentinel载入 Defender 门户后，用于连接事件和警报的配置选项将关闭和禁用。

• 具有适当角色的 Azure 帐户，可在 Defender 门户中加入、使用和创建Microsoft Sentinel支持请求。 下表突出显示了所需的一些关键角色。

  任务	需要Microsoft Entra或 Azure 内置角色	范围
  将Microsoft Sentinel加入 Defender 门户	Microsoft Entra ID 中的全局管理员或安全管理员	Tenant
  连接或断开已启用Microsoft Sentinel的工作区	所有者或 用户访问管理员和Microsoft Sentinel参与者	- 所有者或用户访问管理员角色 的订阅 - Microsoft Sentinel参与者的订阅、资源组或工作区资源
  在 Defender 门户中查看Microsoft Sentinel	Microsoft Sentinel阅读器	订阅、资源组或工作区资源
  查询Sentinel数据表或查看事件	Microsoft Sentinel读者或具有以下操作的角色： - Microsoft.OperationalInsights/workspaces/read - Microsoft.OperationalInsights/workspaces/query/read - Microsoft.SecurityInsights/Incidents/read - Microsoft.SecurityInsights/incidents/comments/read - Microsoft.SecurityInsights/incidents/relations/read - Microsoft.SecurityInsights/incidents/tasks/read	订阅、资源组或工作区资源
  对事件采取调查措施	Microsoft Sentinel参与者或具有以下操作的角色： - Microsoft.OperationalInsights/workspaces/read - Microsoft.OperationalInsights/workspaces/query/read - Microsoft.SecurityInsights/incidents/read - Microsoft.SecurityInsights/incidents/write - Microsoft.SecurityInsights/incidents/comments/read - Microsoft.SecurityInsights/incidents/comments/write - Microsoft.SecurityInsights/incidents/relations/read - Microsoft.SecurityInsights/incidents/relations/write - Microsoft.SecurityInsights/incidents/tasks/read - Microsoft.SecurityInsights/incidents/tasks/write	订阅、资源组或工作区资源
  创建支持请求	所有者、 参与者或 支持请求参与者或具有 Microsoft.Support/* 的自定义角色	订阅

  Microsoft Sentinel连接到 Defender 门户后，现有 Azure 基于角色的访问控制 (RBAC) 权限允许你使用有权访问的Microsoft Sentinel功能。 继续从Azure 门户管理Microsoft Sentinel用户的角色和权限。 任何 Azure RBAC 更改都反映在 Defender 门户中。 有关Microsoft Sentinel权限的详细信息，请参阅 Microsoft Sentinel 中的角色和权限 |Microsoft按资源了解和管理对Microsoft Sentinel数据的访问权限 |Microsoft Learn。

Microsoft的统一 SecOps 平台先决条件

若要在 Microsoft 的统一 SecOps 平台中统一Defender XDR功能，必须具有以下资源和访问权限：

• Defender XDR许可，如Microsoft Defender XDR先决条件中所述
• Defender XDR帐户是与Microsoft Sentinel关联的同一Microsoft Entra租户的成员
• 在 Defender 门户中访问Microsoft Defender XDR，如Microsoft Defender XDR先决条件中所述

载入Microsoft Sentinel

若要将Microsoft Sentinel工作区连接到 Defender 门户，请完成以下步骤。 如果在没有Defender XDR (预览) 加入Microsoft Sentinel，则还有一个额外的步骤可以触发与 Microsoft Sentinel 和 Defender 门户的连接。

1. 转到Microsoft Defender门户并登录。

2. 若要在 Defender 门户中载入Microsoft Sentinel而不Defender XDR：

   1. 若要触发与Microsoft Sentinel的连接，请选择“调查 & 响应>事件”。
   2. 等待几分钟，等待连接完成。

3. 在 Defender 门户中，选择“ 概述”。

4. 选择“ 连接工作区”。

5. 选择要连接的工作区，然后选择“ 下一步”。

6. 阅读并了解与连接工作区相关的产品更改。 这些更改包括：

   • Microsoft Sentinel工作区中的日志表、查询和函数也可在 Defender 门户中的高级搜寻中使用。
   • Microsoft Sentinel参与者角色分配给订阅中的 Microsoft Threat Protection 和 WindowsDefenderATP 应用。
   • 停用活动 Microsoft安全事件创建规则 ，以避免重复事件。 此更改仅适用于Microsoft警报的事件创建规则，不适用于其他分析规则。
   • 与Defender XDR产品相关的所有警报都直接从main Defender XDR数据连接器进行流式传输，以确保一致性。 请确保工作区中已打开来自此连接器的事件和警报。

7. 选择“连接”。

连接工作区后， “概述 ”页上的横幅显示环境已准备就绪。 “概述”页更新了新部分，其中包括来自Microsoft Sentinel的指标，例如数据连接器的数量和自动化规则。

在 Defender 门户中探索Microsoft Sentinel功能

将工作区连接到 Defender 门户后，Microsoft Sentinel位于左侧导航窗格中。 如果已启用Defender XDR，“概述”、“事件”和“高级搜寻”等页面具有来自Microsoft Sentinel和Defender XDR的统一数据。 如果未启用Defender XDR，则这些页面仅包含来自Microsoft Sentinel (预览) 的数据。 有关门户之间的统一功能和差异的详细信息，请参阅 Microsoft Defender 门户中的Microsoft Sentinel。

许多现有的Microsoft Sentinel功能都集成到 Defender 门户中。 对于这些功能，请注意，Azure 门户门户中Microsoft Sentinel与 Defender 之间的体验相似。 使用以下文章帮助你开始在 Defender 门户中使用 Microsoft Sentinel。 使用这些文章时，请记住，此上下文中的起点是 Defender 门户，而不是Azure 门户。

• 搜索
  • 在大型数据集中跨度较长的时间跨度搜索
  • 从搜索还原存档的日志
• 威胁管理
  • 使用工作簿可视化和监视数据
  • 使用 Hunts 进行端到端威胁搜寻
  • 使用搜寻书签进行数据调查
  • 在Microsoft Sentinel中使用搜寻 Livestream 来检测威胁
  • 使用 Jupyter 笔记本搜寻安全威胁
  • 批量添加指示器以从 CSV 或 JSON 文件Microsoft Sentinel威胁情报
  • 在 Microsoft Sentinel 中使用威胁指标
  • 了解 MITRE ATT&CK 框架的安全覆盖范围
• 内容管理
  • 发现和管理Microsoft Sentinel现装内容
  • Microsoft Sentinel内容中心目录
  • 从存储库部署自定义内容
• 配置
  • 查找Microsoft Sentinel数据连接器
  • 创建自定义分析规则以检测威胁
  • 在 Microsoft Sentinel 中使用准实时 (NRT) 检测分析规则
  • 创建监视列表
  • 在 Microsoft Sentinel 中管理监视列表
  • 创建自动化规则
  • 从内容模板创建和自定义Microsoft Sentinel playbook

在 Defender 门户中的“系统>设置”下查找Microsoft Sentinel设置>Microsoft Sentinel。

机外Microsoft Sentinel

一次只能有一个工作区连接到 Defender 门户。 如果要连接到启用了Microsoft Sentinel的其他工作区，请断开当前工作区的连接并连接其他工作区。

1. 转到Microsoft Defender门户并登录。

2. 在 Defender 门户中的“系统”下，选择“设置Microsoft Sentinel>”。

3. 在 “工作区” 页上，选择“连接的工作区”和“ 断开连接工作区”。

4. 提供断开工作区连接的原因。

5. 确认你的选择。

   当工作区断开连接时，将从 Defender 门户的左侧导航栏中删除Microsoft Sentinel部分。 来自Microsoft Sentinel的数据不再包含在“概述”页上。

如果要连接到其他工作区，请在“ 工作区” 页中选择工作区并 连接工作区。

相关内容

• Microsoft Defender 门户中的 Microsoft Sentinel
• Microsoft Defender 门户中的高级搜寻
• Microsoft Defender XDR中的自动攻击中断
• 在 Microsoft Defender 门户中调查事件
• 优化安全操作