Microsoft Sentinel-Bereichsbestimmung konfigurieren (zeilenbasierte RBAC)

Die Bereichsbestimmung in Microsoft Sentinel bietet rollenbasierte Zugriffssteuerung (RBAC) auf Zeilenebene und ermöglicht granularen Zugriff auf Zeilenebene, ohne dass eine Trennung von Arbeitsbereichen erforderlich ist. Microsoft Sentinel-Bereichseingrenzung ermöglicht es mehreren Teams, in einer gemeinsamen Microsoft Sentinel-Umgebung sicher zu arbeiten und dabei konsistente und wiederverwendbare Bereichsdefinitionen über Tabellen und Benutzeroberflächen hinweg zu verwenden.

Konfigurieren Sie die Bereichsdefinition im Microsoft Defender-Portal. Sentinel im Azure-Portal (Ibiza) unterstützt keine Bereichseingrenzung.

Was ist die Bereichsbestimmung in Microsoft Sentinel?

Die Bereichsdefinition in Microsoft Sentinel erweitert die Berechtigungsverwaltung im Defender-Portal, sodass der Administrator Berechtigungen für bestimmte Datenteilmengen in Sentinel-Tabellen erteilen kann. Führen Sie die folgenden Schritte aus, um Bereiche zu erstellen:

• Definieren logischer Bereiche: Erstellen Sie Bereichsdefinitionen, die an Ihrer Organisationsstruktur (nach Geschäftseinheit, Region oder Datenempfindlichkeit) ausgerichtet sind.
• Zuweisen von Benutzern oder Gruppen zu Bereichen: Zuweisen bestimmter Benutzer oder Gruppen zu einem oder mehreren Bereichen mithilfe von Unified RBAC (rollenbasierte Zugriffssteuerung)
• Datenzeilen bei der Erfassung taggen: Wenden Sie Scope-Tags mithilfe der Tabellenverwaltung auf Zeilen in Tabellen an, sodass Sie Regeln erstellen können, die neu erfasste Daten automatisch mit Tags versehen
• Zugriff nach Bereich einschränken: Einschränken des Benutzerzugriffs auf Warnungen, Incidents, Huntingabfragen und Data Lake-Erkundung basierend auf dem zugewiesenen Bereich

Bereiche gelten für Sentinel Tabellen, die Erfassungszeittransformationen unterstützen.

Anwendungsfälle für die Eingrenzung in Microsoft Sentinel

Die Bereichseingrenzung in Microsoft Sentinel ist in den folgenden Szenarien nützlich:

• Verteilte oder verbundene SOC-Teams: Große Unternehmen und MSSPs betreiben häufig Verbund-SOC-Modelle, bei denen unterschiedliche Teams für bestimmte Regionen, Geschäftseinheiten oder Kunden verantwortlich sind. Die Bereichsdefinition ermöglicht es jedem SOC-Team, unabhängig innerhalb eines freigegebenen Sentinel-Arbeitsbereichs zu arbeiten, um sicherzustellen, dass sie Bedrohungen in ihrer Domäne untersuchen und darauf reagieren können, ohne auf nicht verknüpfte Daten zuzugreifen.
• Bereichsbezogener Zugriff für externe, nicht sicherheitsrelevante Teams: Teams wie Netzwerk, IT-Vorgänge oder Compliance erfordern häufig Zugriff auf bestimmte Rohdatenquellen, ohne dass Sie Mehrsicht auf breitere Sicherheitsinhalte benötigen. Die Bereichsdefinition auf Zeilenebene ermöglicht es diesen externen Teams, sicher nur auf die Daten zuzugreifen, die für ihre Funktion relevant sind.
• Schutz vertraulicher Daten: Schützen Sie bestimmte Daten oder Tabellen, indem Sie einen Ansatz mit geringsten Berechtigungen für den Datenzugriff anwenden, um sicherzustellen, dass vertrauliche Informationen nur für autorisierte Benutzer zugänglich sind.

Voraussetzungen

Bevor Sie beginnen, überprüfen Sie die folgenden Voraussetzungen:

• Zugriff auf das Microsoft Defender-Portal:https://security.microsoft.com
• Microsoft Sentinel Arbeitsbereiche, die in das Defender Portal integriert sind: Sentinel-Arbeitsbereiche müssen im Defender Portal verfügbar sein, bevor Sie Rollen und Berechtigungen zuweisen können.
• Sentinel in Unified RBAC aktiviert: Sie müssen Microsoft Sentinel in URBAC aktivieren, bevor Sie dieses Feature verwenden können.
• Erforderliche Berechtigungen für die Person, die Bereichs- und Taggingtabellen zuweist:
  • „Sicherheitsautorisierung (Verwalten)“-Berechtigung (URBAC) zum Erstellen von Bereichen und Zuweisungen
  • Data Operations (Manage)-Berechtigung (URBAC) für die Tabellenverwaltung
  • Abonnementbesitzer oder zugewiesen mit der Microsoft.Insights/DataCollectionRules/Write Berechtigung zum Erstellen von Datensammlungsregeln (DATA Collection Rules, DCRs)

Schritt 1: Erstellen Sie einen Sentinel-Bereich

Führen Sie die folgenden Schritte aus, um einen Sentinel-Bereich zu erstellen:

1. Wechseln Sie im Microsoft Defender-Portal zuSystemberechtigungen>.
2. Wählen Sie Microsoft Defender XDR aus.
3. Öffnen Sie die Registerkarte Bereiche .
4. Wählen Sie Sentinel-Bereich hinzufügen aus.
5. Geben Sie einen Bereichsnamen und eine optionale Beschreibung ein.
6. Wählen Sie Bereich erstellen aus.

Sie können mehrere Bereiche erstellen und benutzerdefinierte Bereichsnamen und Beschreibungen für jeden Bereich definieren, um Ihre Organisationsstruktur und -richtlinien widerzuspiegeln.

Schritt 2: Weisen Sie Benutzern oder Gruppen Bereichskennzeichnungen zu.

Führen Sie die folgenden Schritte aus, um Benutzern oder Gruppen Bereichstags zuzuweisen:

1. Öffnen Sie in Berechtigungen die Registerkarte Rollen.

2. Wählen Sie Benutzerdefinierte Rolle erstellen aus.

3. Geben Sie den Rollennamen und die Beschreibung ein, und wählen Sie "Weiter" aus.

   

4. Weisen Sie der Rolle die erforderlichen Berechtigungen zu und wählen Sie Übernehmen aus.

   

5. Geben Sie in "Aufgaben" einen Namen ein, und wählen Sie folgendes aus:

   • Benutzer oder Benutzergruppen (Microsoft Entra ID-Gruppen)
   • Datenquellen und Datensammlungen (Sentinel Arbeitsbereiche)

6. Wählen Sie unter Bereich die Option Bearbeiten aus.

7. Wählen Sie einen oder mehrere Bereiche aus, die dieser Rolle zugewiesen werden sollen.

8. Speichern Sie die Rolle.

Sie können Benutzern mehrere Bereiche gleichzeitig über mehrere Arbeitsbereiche zuweisen und Zugriffsberechtigungen aus allen zugewiesenen Bereichen aggregieren. Eingeschränkte Benutzer können nur auf SIEM-Daten zugreifen, die ihren zugewiesenen Bereichen zugeordnet sind.

Schritt 3: Markieren von Tabellen mit Bereich

Setzen Sie Geltungsbereiche durch, indem Sie Daten bei der Datenaufnahme kennzeichnen. Mit diesem Taggingprozess wird eine Datensammlungsregel (Data Collection Rule, DCR) erstellt, die Bereichstags auf neu aufgenommene Daten anwendet.

Beachten Sie die folgenden Grenzwerte, bevor Sie eine Tabelle kategorisieren:

• Nur Tabellen, die Aufnahmezeittransformationen unterstützen, können markiert werden. Benutzerdefinierte Tabellen, die auf CLv1 basieren, werden nicht unterstützt. CLv2-Tabellen werden unterstützt.
• XDR-Tabellen werden nicht unterstützt, auch nicht die erweiterte Aufbewahrung von XDR-Tabellen im Data Lake.
• Sie können nur Transformationen im selben Abonnement wie Ihr Benutzerabonnement hinzufügen.
• Sie können nur neu aufgenommene Daten kategorisieren. Zuvor erfasste Daten sind nicht enthalten und können nicht rückwirkend erfasst werden.
• Die Log Analytics-Tabellen SecurityAlerts und SecurityIncidents übernehmen den Geltungsbereich nicht automatisch von den Rohdaten-Tabellen, aus denen sie generiert wurden, sodass Benutzer mit eingeschränktem Geltungsbereich standardmäßig nicht darauf zugreifen können. Als behelfsmäßige Lösung können Sie entweder:
  • Verwenden Sie die XDR AlertsInfo- und AlertsEvidence-Tabellen, bei denen der Geltungsbereich automatisch vererbt wird, oder
  • Wenden Sie den Geltungsbereich manuell auf diese Log Analytics-Tabellen an. Diese Methode ist auf die Attribute in der Tabelle beschränkt und entspricht möglicherweise nicht der Vererbung aus den Quelldatentabellen.

So markieren Sie eine Tabelle:

1. Navigieren Sie in Microsoft Sentinel zu Konfiguration>Tabellen.

2. Wählen Sie eine Tabelle aus, die Erfassungszeittransformationen unterstützt.

3. Wählen Sie Regel für Bereichstags aus.

   

4. Aktivieren Sie den Schalter Verwendung von Bereichsmarkierungen für RBAC zulassen.

5. Aktivieren Sie den Schalter für die Regel für Bereichstags.

6. Definieren Sie einen KQL-Ausdruck, der Zeilen mit von transformKQL unterstützten Operatoren und Grenzwerten auswählt.

   Beispiel zum Eingrenzen nach Standort:

   Location == 'Spain'
   

7. Wählen Sie den Bereich aus, der auf Zeilen angewendet werden soll, die dem Ausdruck entsprechen.

8. Speichern Sie die Regel.

Sie können nur neu aufgenommene Daten kategorisieren. Zuvor erfasste Daten sind nicht enthalten. Nach dem Tagging kann es bis zu einer Stunde dauern, bis die neue Regel wirksam wird.

Schritt 4: Zugreifen auf bereichsbezogene Daten

Nachdem Sie Bereiche für Tabellen erstellt, zugewiesen und angewendet haben, können bereichsbezogene Benutzer auf Microsoft Sentinel Erfahrungen basierend auf ihrem zugewiesenen Bereich zugreifen. Alle neu aufgenommenen Daten werden automatisch mit Scope versehen. Historische (zuvor erfasste) Daten sind nicht enthalten. Benutzer mit festgelegtem Bereich können keine Daten sehen, die nicht ausdrücklich diesem Bereich zugewiesen sind. Benutzer ohne Bereichseinschränkung können alle Daten im Arbeitsbereich sehen.

Bereichsbezogene Benutzer haben folgende Möglichkeiten:

• Anzeigen von Warnungen, die aus bereichsbezogenen Daten generiert wurden.
• Verwalten Sie Warnungen, wenn sie Zugriff auf alle Ereignisse haben, die mit dieser Warnung verknüpft sind.
• Vorfälle anzeigen, die mindestens eine bereichsbezogene Warnung enthalten.
• Verwalten Sie Vorfälle, wenn sie Zugriff auf alle zugrunde liegenden Warnungen haben und über die erforderliche Berechtigung verfügen.
• Führen Sie erweiterte Suchabfragen nur über bereichsbezogene Zeilen aus.
• Abfragen und Untersuchen von Daten im Sentinel-See (Tabellen mit Bereich).
• Filtern Sie Warnungen und Vorfälle nach ihrem Sentinel-Bereich.

Warnungen erben den Geltungsbereich der zugrunde liegenden Daten. Incidents sind sichtbar, wenn mindestens eine Warnung im Geltungsbereich liegt.

Verwenden Sie das SentinelScope_CF benutzerdefinierte Feld in Abfragen und Erkennungsregeln, um in Ihrer Analyse auf den Bereich zu verweisen.

Einschränkungen der Microsoft Sentinel Bereichsdefinition

1. Wenn Sie ein Benutzer ohne Bereichszuordnung sind, können Sie auch Alle Daten auswählen. Wenn Sie diese Option auswählen, ist die Regel nicht auf einen Bereich beschränkt, wird auf alle Daten angewendet und ist nur für Benutzer ohne Bereichsbeschränkung sichtbar und bearbeitbar.

2. Schließen Sie den Assistenten ab und speichern Sie die Regel.

   

Beachten Sie die folgenden Grenzwerte für bereichsbezogene benutzerdefinierte Erkennungen:

• Benutzerdefinierte Erkennungen über AlertInfo und AlertEvidence werden nicht unterstützt und auf alle Daten angewendet, unabhängig vom definierten Bereich.
• Erstellen Sie keine Bereichserkennungen für nicht bereichsbezogene Tabellen. Durch Abfragen von nicht bereichsbezogenen Tabellen aus einer bereichsbezogenen Erkennung werden immer keine Ergebnisse zurückgegeben.
• Bereichserkennungen können keine benutzerdefinierte Häufigkeit verwenden, wenn XDR-Tabellen in der Abfrage enthalten sind. Benutzerdefinierte Häufigkeit setzt voraus, dass Daten aus Sentinel abgerufen werden, wo XDR-Tabellen keinem Bereich zugeordnet sind. XDR-Tabellen können nur durch nicht eingeschränkte Erkennungen abgefragt werden.

Erstellen von Regeln für die bereichsbezogene Automatisierung

Führen Sie die folgenden Schritte aus, um bereichsbezogene Automatisierungsregeln zu erstellen:

1. Navigieren Sie im Microsoft Defender-Portal zu Microsoft Sentinel>Konfiguration>Automatisierung.

2. Öffnen Sie die Registerkarte "Erweiterte Regeln ".

   

3. Wählen Sie "Erstellen" aus, um eine neue Automatisierungsregel hinzuzufügen, und geben Sie dann die Details für Ihre Automatisierungsregel ein.

   

4. Wählen Sie den Sentinel-Bereich aus, der auf die Regel angewendet werden soll:

   • Wenn Sie ein bereichsbezogener Benutzer sind (Sie haben mindestens einen Sentinel-Bereich zugewiesen), müssen Sie einen Bereich auswählen.
   • Wenn Sie ein Benutzer ohne Bereichszuweisung sind, können Sie Alle verfügbaren und zukünftigen Sentinel-Bereiche auswählen.

   

5. Speichern Sie die Regel.

Die Automatisierungsregel gilt für die Daten, die dem ausgewählten Bereich zugeordnet sind, und ist nur für Benutzer sichtbar, die diesem Bereich zugewiesen sind.

So funktionieren Berechtigungen und Zugriff bei bereichsbezogenen Daten

In den folgenden Punkten wird beschrieben, wie sich Berechtigungen und bereichsbezogener Zugriff in Microsoft Sentinel verhalten:

• Benutzer können einen Incident anzeigen, wenn sie Zugriff auf mindestens eine Warnung im Incident haben. Sie können den Incident nur verwalten, wenn sie Zugriff auf alle Warnungen im Incident haben und über die erforderliche Berechtigung verfügen.
• Der bereichsbezogene Benutzer kann nur die Daten sehen, die mit ihrem Bereich verknüpft sind. Wenn die Warnung Entitäten enthält, auf die der Benutzer keinen Zugriff hat, kann der Benutzer diese Entitäten nicht sehen. Wenn der Benutzer Zugriff auf mindestens eine der zugeordneten Entitäten hat, kann er die Warnung selbst sehen.
• Verwenden Sie zum Festlegen des Bereichs für eine ganze Tabelle eine Regel, die allen Zeilen entspricht (z. B. mit einer Bedingung, die immer true ist). Bereits importierte Daten können nicht nachträglich einem Bereich zugeordnet werden.
• Benutzer mit Bereichseinschränkung können Ressourcen (z. B. Erkennungsregeln, Playbooks und Automatisierungsregeln) nicht verwalten, es sei denn, ihnen werden die entsprechenden Berechtigungen über eine separate Rollenzuweisung zugewiesen.

Nächste Schritte

Verwenden Sie die folgenden Ressourcen, um die Planung der Bereichsdefinitionsbereitstellung fortzusetzen:

• Überprüfen Sie die Liste der Tabellen, die Erfassungszeittransformationen unterstützen.
• Planen Sie Bereichsnamen und die Logik, bevor Sie Daten kennzeichnen.
• Beginnen Sie mit einem Pilotbereich für ein kleines Team oder eine Datenteilmenge.
• Erfahren Sie mehr über Unified RBAC in Microsoft Defender XDR