Einrichten von kundenseitig verwaltetem Schlüssel für Microsoft Sentinel

Dieser Artikel enthält Hintergrundinformationen und Schritte zum Konfigurieren eines kundenseitig verwalteten Schlüssels (CMK) für Microsoft Sentinel. Alle in Microsoft Sentinel gespeicherten Daten sind bereits von Microsoft in allen relevanten Speicherressourcen verschlüsselt. CMK bietet eine zusätzliche Schutzebene mit einem Verschlüsselungsschlüssel, der von Ihnen erstellt und in Ihrem Azure Key Vault gespeichert wird.

Voraussetzungen

Bevor Sie CMK für Microsoft Sentinel aktivieren, führen Sie die folgenden Voraussetzungen aus:

1. Konfigurieren Sie einen dedizierten Log Analytics-Cluster mit mindestens einer Mindestabnahmeebene von 100 GB/Tag. Wenn mehrere Arbeitsbereiche mit demselben dedizierten Cluster verknüpft sind, verwenden sie denselben kundenseitig verwalteten Schlüssel. Erfahren Sie mehr über die Preise für dedizierte Log Analytics-Cluster.
2. Konfigurieren Sie CMK für den dedizierten Cluster, und verknüpfen Sie Ihren Arbeitsbereich mit diesem Cluster. Erfahren Sie mehr über die CMK-Bereitstellungsschritte in Azure Monitor.

Durch CMK geschützte Daten

Sobald CMK aktiviert ist, werden die folgenden Daten geschützt:

• Log Analytics-Tabellen in Arbeitsbereichen, die mit dem dedizierten Cluster verknüpft sind
• Bestimmte Microsoft Sentinel Ressourcen, die in den verknüpften Arbeitsbereichen gespeichert sind:
  • Analyseregeln
  • Bedrohungsinformationen
  • Zusammenfassungsregeln
  • Beobachtungslisten

Alle anderen Daten verwenden stattdessen einen von Microsoft verwalteten Schlüssel (MMK) und sind nicht durch CMK geschützt. Dies umfasst z. B. Folgendes:

• Operative Daten in Microsoft Sentinel wie Warnungen, Vorfälle und Verhaltensweisen sowie die darin enthaltenen Daten.
• Daten, die in Produkten/Diensten außerhalb von Microsoft Sentinel gespeichert sind, z. B. Security Copilot und Entra, oder Ressourcen, die außerhalb des Arbeitsbereichs gespeichert sind, z. B. Arbeitsmappen, Playbooks.

Wenn Sie bestimmte Anforderungen haben, die eine erhöhte CMK-Abdeckung erfordern, wenden Sie sich an Ihr Kontoteam.

Überlegungen zur Einarbeitung

Überprüfen Sie die folgenden Einschränkungen und Überlegungen, bevor Sie CMK für Microsoft Sentinel aktivieren:

• Das Onboarding eines CMK-Arbeitsbereichs in Microsoft Sentinel wird nur über die REST-API und die Azure CLI und nicht über die Azure-Portal unterstützt. Azure Resource Manager-Vorlagen (ARM-Vorlagen) werden für das CMK-Onboarding derzeit nicht unterstützt.

• In den folgenden Fällen werden nur erfasste Daten in Log Analytics-Tabellen mit CMK verschlüsselt, während alle anderen Daten mit von Microsoft verwalteten Schlüsseln verschlüsselt werden:

  • Aktivieren von CMK für einen Arbeitsbereich, der bereits in Microsoft Sentinel integriert ist.
  • Aktivieren von CMK für einen Cluster, der Microsoft Sentinel-aktivierte Arbeitsbereiche enthält.
  • Verknüpfen eines Microsoft Sentinel-fähigen, nicht CMK-Arbeitsbereichs mit einem CMK-fähigen Cluster.

• Die folgenden CMK-bezogenen Änderungen werden nicht unterstützt , da sie zu undefiniertem und problematischem Verhalten führen können:

  • Deaktivieren des CMK für einen Arbeitsbereich, der bereits in Microsoft Sentinel integriert wurde.
  • Umwandeln eines in Sentinel eingebundenen, CMK-fähigen Arbeitsbereichs in einen Arbeitsbereich ohne CMK, indem er von seinem CMK-fähigen dedizierten Cluster getrennt wird.
  • Deaktivieren des CMK in einem dedizierten Log Analytics-Cluster mit CMK-Unterstützung.

• Microsoft Sentinel unterstützt systemseitig zugewiesene Identitäten in der CMK-Konfiguration. Daher sollte die Identität des dedizierten Log Analytics-Clusters eine systemseitig zugewiesene Identität sein. Es wird empfohlen, die Identität zu verwenden, die dem Log Analytics-Cluster automatisch zugewiesen wird, wenn er erstellt wird.

• Das Ändern des kundenseitig verwalteten Schlüssels in einen anderen Schlüssel (mit einem anderen URI) wird derzeit nicht unterstützt. Ändern Sie den Schlüssel, indem Sie ihn drehen.

• Bevor Sie CMK-Änderungen an einem Produktionsarbeitsbereich oder an einem Log Analytics-Cluster vornehmen, wenden Sie sich an die Microsoft Sentinel Produktgruppe.

Funktionsweise von CMK

Die Microsoft Sentinel Lösung verwendet einen dedizierten Log Analytics-Cluster für die Protokollsammlung und -features. Im Rahmen der Microsoft Sentinel CMK-Konfiguration müssen Sie die CMK-Einstellungen für den zugehörigen dedizierten Log Analytics-Cluster konfigurieren.

Weitere Informationen finden Sie unter:

• Azure Monitor kundenseitig verwaltete Schlüssel (CMK)
• Azure Key Vault.
• Dedizierte Log Analytics-Cluster.

Aktivieren von CMK

Führen Sie die folgenden Schritte aus, um CMK bereitzustellen:

1. Konfigurieren Sie CMK in einem Log Analytics Arbeitsbereich auf einem dedizierten Cluster. Siehe Voraussetzungen.
2. Registrieren Sie den Azure Cosmos DB Ressourcenanbieter.
3. Fügen Sie Ihrer Azure Key Vault instance eine Zugriffsrichtlinie hinzu.
4. Integrieren Sie den Arbeitsbereich über die Onboarding-API in Microsoft Sentinel.
5. Warten Sie, bis der Onboardingprozess abgeschlossen ist.

Schritt 1: Konfigurieren des CMK in einem Log Analytics-Arbeitsbereich in einem dedizierten Cluster

Um einen Log Analytics-Arbeitsbereich mit CMK an Microsoft Sentinel anzubinden, muss der Arbeitsbereich zunächst mit einem dedizierten Log Analytics-Cluster verknüpft werden, der einen Commitmenttarif von mindestens 100 GB/Tag aufweist und für den CMK aktiviert ist. Microsoft Sentinel verwenden denselben Schlüssel, der auch vom dedizierten Cluster verwendet wird. Befolgen Sie die Anweisungen in Azure Monitor-Konfiguration für kundenseitig verwaltete Schlüssel, um einen CMK-Arbeitsbereich zu erstellen, der in den folgenden Schritten als Microsoft Sentinel-Arbeitsbereich verwendet wird.

Schritt 2: Registrieren des Azure Cosmos DB-Ressourcenanbieters

Microsoft Sentinel funktioniert mit Azure Cosmos DB als zusätzliche Speicherressource. Stellen Sie sicher, dass Sie sich beim Azure Cosmos DB-Ressourcenanbieter registrieren, bevor Sie einen CMK-Arbeitsbereich in Microsoft Sentinel integrieren.

Befolgen Sie die Anweisungen unter Registrieren des Azure Cosmos DB-Ressourcenanbieters für Ihr Azure-Abonnement.

Schritt 3: Hinzufügen einer Zugriffsrichtlinie zu Ihrem Azure Key Vault instance

Fügen Sie eine Zugriffsrichtlinie hinzu, die es Azure Cosmos DB ermöglicht, auf die Azure Key Vault instance zuzugreifen, die mit Ihrem dedizierten Log Analytics-Cluster verknüpft ist (derselbe Schlüssel wird von Microsoft Sentinel verwendet).

Befolgen Sie die hier beschriebenen Anweisungen, um Ihrer Azure Key Vault instance mit einem Azure Cosmos DB-Prinzipal eine Zugriffsrichtlinie hinzuzufügen.

Schritt 4: Onboarding des Arbeitsbereichs in Microsoft Sentinel über die Onboarding-API

Integrieren Sie den CMK-aktivierten Arbeitsbereich über die Onboarding-API unter Verwendung der Eigenschaft customerManagedKey als true in Microsoft Sentinel. Weitere Informationen zur Onboarding-API finden Sie in der Microsoft Sentinel-Verwaltungsdokumentation im Microsoft Sentinel GitHub Repository.

Der folgende URI und anforderungstext ist beispielsweise ein gültiger Aufruf zum Onboarding eines Arbeitsbereichs in Microsoft Sentinel, wenn die richtigen URI-Parameter und das Autorisierungstoken gesendet werden.

Mit der folgenden PUT-Anforderung wird der Microsoft Sentinel-Onboardingstatus für den Arbeitsbereich mit aktivierter Unterstützung für kundenseitig verwaltete Schlüssel erstellt oder aktualisiert.

uri

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/onboardingStates/{sentinelOnboardingStateName}?api-version=2021-03-01-preview

Der folgende Anforderungsrumpf setzt die Eigenschaft customerManagedKey auf true, wodurch die Unterstützung für kundenseitig verwaltete Schlüssel für den Onboardingzustand aktiviert wird.

Anforderungstext

{ 
"properties": { 
    "customerManagedKey": true 
    }  
} 

Schritt 5: Warten, bis das Onboarding abgeschlossen ist

Nach Abschluss der Onboarding-API-Anforderung ist keine zusätzliche Aktion erforderlich. Der Onboardingprozess wird asynchron fortgesetzt.

Möglicherweise wird im Azure Portal eine Meldung angezeigt, die angibt, dass das Onboarding noch ausgeführt wird. Nach Abschluss des Onboardings wird die Sentinel-Übersichtsseite im Azure-Portal verfügbar.

Sperrung oder Löschung von Schlüsselverschlüsselungsschlüsseln

Wenn ein Benutzer den Schlüsselverschlüsselungsschlüssel (CMK) entweder durch Löschen oder Entfernen des Zugriffs für den dedizierten Cluster und Azure Cosmos DB-Ressourcenanbieters widerruft, berücksichtigt Microsoft Sentinel die Änderung und verhält sich innerhalb einer Stunde so, als ob die Daten nicht mehr verfügbar sind. An diesem Punkt wird jeder Vorgang, der persistente Speicherressourcen wie Datenerfassung, persistente Konfigurationsänderungen und Die Erstellung von Incidents verwendet, verhindert. Zuvor gespeicherte Daten werden nicht gelöscht, sind aber weiterhin unzugänglich. Nicht zugängliche Daten unterliegen der Datenaufbewahrungsrichtlinie und werden gemäß dieser Richtlinie gelöscht.

Der einzige vorgang, der nach dem Widerrufen oder Löschen des Verschlüsselungsschlüssels möglich ist, ist das Löschen des Kontos.

Wenn der Zugriff nach der Sperrung wiederhergestellt wird, stellt Microsoft Sentinel den Zugriff auf die Daten innerhalb einer Stunde wieder her.

Der Zugriff auf die Daten kann widerrufen werden, indem der kundenseitig verwaltete Schlüssel im Schlüsseltresor deaktiviert oder die Zugriffsrichtlinie für den Schlüssel sowohl für den dedizierten Log Analytics-Cluster als auch für Azure Cosmos DB gelöscht wird. Das Widerrufen des Zugriffs durch Entfernen des Schlüssels aus dem dedizierten Log Analytics-Cluster oder durch Entfernen der Identität, die dem dedizierten Log Analytics-Cluster zugeordnet ist, wird nicht unterstützt.

Wenn Sie mehr darüber erfahren möchten, wie der Schlüsselwiderruf in Azure Monitor funktioniert, lesen Sie Schlüsselwiderruf mit kundenseitig verwaltetem Schlüssel (CMK) in Azure Monitor.

Kundenseitig verwaltete Schlüsselrotation

Microsoft Sentinel und Log Analytics unterstützen die Schlüsselrotation. Wenn ein Benutzer die Schlüsselrotation in Key Vault durchführt, unterstützt Microsoft Sentinel den neuen Schlüssel innerhalb einer Stunde.

Führen Sie in Azure Key Vault eine Schlüsselrotation durch, indem Sie eine neue Version des Schlüssels erstellen:

Deaktivieren Sie die vorherige Version des Schlüssels nach 24 Stunden oder nachdem die Azure Key Vault-Überwachungsprotokolle keine Aktivität mehr anzeigen, bei der die vorherige Version verwendet wird.

Nach dem Rotieren eines Schlüssels müssen Sie die dedizierte Log Analytics-Clusterressource in Log Analytics explizit mit der neuen Azure Key Vault Schlüsselversion aktualisieren. Weitere Informationen finden Sie unter Azure Monitor CMK-Rotation.

Ersetzen eines kundenseitig verwalteten Schlüssels

Microsoft Sentinel unterstützt das Ersetzen eines kundenseitig verwalteten Schlüssels nicht. Sie sollten stattdessen die Schlüsselrotationsfunktion verwenden.

Nächste Schritte

In diesem Dokument haben Sie erfahren, wie Sie einen kundenseitig verwalteten Schlüssel in Microsoft Sentinel einrichten. Weitere Informationen zu Microsoft Sentinel finden Sie in den folgenden Artikeln:

• Erfahren Sie, wie Sie Einblick in Ihre Daten und potenzielle Bedrohungen erhalten.
• Erste Schritte beim Erkennen von Bedrohungen mit Microsoft Sentinel.
• Verwenden Sie Arbeitsmappen , um Ihre Daten zu überwachen.