Vorkonfigurierte Inhalte in Microsoft Sentinel entdecken und verwalten

Der Microsoft Sentinel Content Hub ist Ihr zentraler Ort zum Ermitteln und Verwalten von vordefinierten (integrierten) Inhalten. Im Inhaltshub finden Sie paketierte Lösungen für End-to-End-Produkte nach Domäne oder Branche. Sie haben Zugriff auf die Vielzahl eigenständiger Beiträge, die in unserem GitHub-Repository und in den Feature-Blades gehostet werden.

• Entdecken Sie Lösungen und eigenständige Inhalte mit konsistenten Filterfunktionen basierend auf status, Inhaltstyp, Support, Anbieter und Kategorie.

• Installieren Sie Inhalte in Ihrem Arbeitsbereich gleichzeitig oder einzeln.

• Zeigen Sie Inhalte in der Listenansicht an, und sehen Sie schnell, welche Lösungen über Updates verfügen. Alle Lösungen gleichzeitig aktualisieren, während eigenständige Inhalte automatisch aktualisiert werden.

• Verwalten Sie eine Lösung, um ihre Inhaltstypen zu installieren und die neuesten Änderungen abzurufen.

• Konfigurieren Sie eigenständige Inhalte, um neue aktive Elemente basierend auf der aktuellsten Vorlage zu erstellen.

Wenn Sie ein Partner sind, der Ihre eigene Lösung erstellen möchte, lesen Sie den Microsoft Sentinel Lösungserstellungsleitfaden für die Erstellung und Veröffentlichung von Lösungen.

Voraussetzungen

Um eigenständige Inhalte oder Lösungen im Content Hub zu installieren, zu aktualisieren und zu löschen, benötigen Sie auf Ebene der Ressourcengruppe die Rolle Microsoft Sentinel-Mitwirkender.

Weitere Informationen zu anderen Rollen und Berechtigungen, die für Microsoft Sentinel unterstützt werden, finden Sie unter Berechtigungen in Microsoft Sentinel.

Erkunden von Inhalten

Der Inhaltshub bietet die beste Möglichkeit, neue Inhalte zu finden oder die bereits installierten Lösungen zu verwalten.

1. Wählen Sie für Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Content Management>Content Hub aus. Wählen Sie für Microsoft Sentinel im Azure-Portal unter Inhaltsverwaltungdie Option Inhaltshub aus.

   Auf der Seite Inhaltshub wird ein durchsuchbares Raster oder eine Liste von Lösungen und eigenständigen Inhalten angezeigt.

2. Suchen Sie nach den Lösungen oder eigenständigen Inhaltselementen, die Sie benötigen. Wählen Sie entweder bestimmte Werte aus den Filtern aus, oder geben Sie einen Suchbegriff in das Suchfeld ein. Suchvorgänge verwenden KI, um Fuzzysuchen und ungefähres Vokabular zu unterstützen.

   Drücken Sie bei der Suche unbedingt die EINGABETASTE , um die Suche zu starten. Die Anzahl der Suchergebnisse ist auf 50 Elemente beschränkt, einschließlich Lösungen und Inhaltselementen, die in Lösungen gefunden wurden. Wenn Sie das Gesuchte nicht finden, versuchen Sie, den Suchausdruck zu verfeinern oder andere Filter zu verwenden.

   Weitere Informationen finden Sie unter Kategorien für Microsoft Sentinel sofort einsatzbereite Inhalte und Lösungen.

3. Wählen Sie in der Listenansicht ( ) eine Lösung aus der Liste aus, um Informationen zur Lösung sowie die Darin enthaltenen Inhaltselemente anzuzeigen.

   Erweitern Sie eine Lösung in den Such- oder Filterergebnissen, um die Liste der Inhaltselemente anzuzeigen, die sie enthält. Der Informationsbereich auf der Seite enthält ausführliche Informationen zum Inhaltselement.

   • Defender-Portal
   • Azure-Portal

   

   Alternativ können Sie die Kartenansicht () auswählen, um Lösungen in einer Rasteransicht anzuzeigen. Jede Karte zeigt den Namen, die Beschreibung und die Kategorien der Lösung an. Wählen Sie eine Karte aus, um seitlich weitere Informationen zur Lösung anzuzeigen.

Um ein Inhaltselement zu verwenden, das Teil einer Lösung ist, müssen Sie die gesamte Lösung installieren. Wenn Sie in der Listenansicht ein bestimmtes Inhaltselement ausgewählt haben, wählen Sie im seitlichen Detailbereich Lösung installieren aus, um die entsprechende Lösung zu installieren.

Weitere Informationen finden Sie unter Kategorien für Microsoft Sentinel sofort einsatzbereite Inhalte und Lösungen.

Installieren oder Aktualisieren von Inhalten

Installieren Sie eigenständige Inhalte und Lösungen einzeln oder zusammen in einem Massenvorgang. Weitere Informationen zu Massenvorgängen finden Sie unter "Masseninstallation" und "Aktualisieren von Inhalten".

Wenn eine Von Ihnen bereitgestellte Lösung über Updates seit der letzten Bereitstellung verfügt, wird in der Listenansicht Update in der spalte status angezeigt. Die Lösung ist auch in der Anzahl Updates oben auf der Seite enthalten.

Hier sehen Sie ein Beispiel für die Installation einer einzelnen Lösung.

1. Suchen Sie im Inhaltshub nach der Lösung, und wählen Sie sie aus.

2. Wählen Sie im Bereich mit den Lösungsdetails unten rechts die Option Details anzeigen aus.

3. Wählen Sie Erstellen oder aktualisieren aus.

4. Geben Sie auf der Registerkarte Grundlagen das Abonnement, die Ressourcengruppe und den Arbeitsbereich ein, um die Lösung bereitzustellen. Zum Beispiel:

   

5. Wählen Sie Weiter aus, um die verbleibenden Registerkarten zu durchlaufen, um sich über die einzelnen Inhaltskomponenten zu informieren und in einigen Fällen zu konfigurieren.

   Die Registerkarten entsprechen den von der Lösung bereitgestellten Inhalten. Verschiedene Lösungen können unterschiedliche Inhaltstypen enthalten, daher werden möglicherweise nicht in jeder Lösung dieselben Registerkarten angezeigt.

   Möglicherweise werden Sie auch aufgefordert, Anmeldeinformationen für einen Nicht-Microsoft-Dienst einzugeben, damit Microsoft Sentinel sich bei Ihren Systemen authentifizieren können. Mit Playbooks möchten Sie beispielsweise möglicherweise die in Ihrem System festgelegten Reaktionsmaßnahmen durchführen.

6. Warten Sie auf der Registerkarte Überprüfen + erstellen auf die Validation Passed Nachricht.

7. Wählen Sie Erstellen oder Aktualisieren aus, um die Lösung bereitzustellen. Sie können auch den Link Vorlage für Automatisierung herunterladen auswählen, um die Lösung als Code bereitzustellen.

Mit Abhängigkeiten installieren

Einige Lösungen verfügen über Abhängigkeiten zur Installation, einschließlich vieler Domänenlösungen und Lösungen, die die einheitlichen Azure Monitor Agent-Connectors (AMA) für CEF, Syslog oder benutzerdefinierte Protokolle verwenden.

Wenn die Lösung Abhängigkeiten aufweist, wählen Sie "Mit Abhängigkeiten installieren" aus, um sicherzustellen, dass auch die erforderlichen Datenconnectors installiert sind. Wählen Sie im Abhängigkeitsauswahlbereich mindestens eine der Abhängigkeiten aus, um sie zusammen mit der ursprünglichen Lösung zu installieren. Die ursprüngliche Lösung, die Sie für die Installation ausgewählt haben, ist standardmäßig immer ausgewählt.

Wenn mindestens eine der Abhängigkeitslösungen bereits installiert ist, aber Über Updates verfügt, verwenden Sie die Schaltfläche Installieren/Aktualisieren , um alle ausgewählten Lösungen in einem Massenvorgang zu installieren und zu aktualisieren. Zum Beispiel:

Nachdem Sie eine Lösung installiert haben, sind für jeden Inhaltstyp innerhalb der Lösung möglicherweise weitere Schritte zur Konfiguration erforderlich. Weitere Informationen finden Sie unter Aktivieren von Inhaltselementen in einer Lösung.

Masseninstallation und -aktualisierung von Inhalten

Der Content Hub unterstützt neben der standardmäßigen Kartenansicht auch eine Listenansicht. Wählen Sie die Listenansicht aus, um mehrere Lösungen und eigenständige Inhalte gleichzeitig zu installieren. Eigenständige Inhalte werden automatisch auf dem neuesten Stand gehalten. Alle aktiven oder benutzerdefinierten Inhalte, die auf Der Grundlage von Lösungen oder eigenständigen Inhalten erstellt wurden, die vom Inhaltshub installiert werden, bleiben unverändert.

1. Um Elemente in einem Massenvorgang zu installieren oder zu aktualisieren, wechseln Sie zur Listenansicht.

2. Suchen Sie nach Inhalten oder filtern Sie diese, um die Inhalte zu finden, die Sie in großen Mengen installieren oder aktualisieren möchten.

3. Aktivieren Sie das Kontrollkästchen für jede Lösung oder jeden eigenständigen Inhalt, den Sie installieren oder aktualisieren möchten.

4. Wählen Sie die Schaltfläche Installieren/Aktualisieren aus.

   Wenn eine von Ihnen ausgewählte Lösung oder eigenständiger Inhalt bereits installiert oder aktualisiert wurde, wird für dieses Element keine Aktion ausgeführt. Das Update und die Installation der anderen Elemente werden dadurch nicht beeinträchtigt.

5. Wählen Sie für jede von Ihnen installierte Lösung Verwalten aus. Inhaltstypen in der Lösung erfordern möglicherweise zusätzliche Informationen, damit Sie sie konfigurieren können. Weitere Informationen finden Sie unter Aktivieren von Inhaltselementen in einer Lösung.

Installieren von Paketen und Vorlagen mithilfe der API

Wenn Sie die API zum Installieren von Lösungspaketen oder einzelnen Vorlagen verwenden, führen Sie die folgenden Schritte aus:

1. Rufen Sie das Lösungspaket oder die Vorlage ab:

   • Verwenden Sie zum Abrufen eines Pakets die API zum Abrufen von Produktpaketen.
   • Verwenden Sie zum Abrufen einer einzelnen Vorlage die API zum Abrufen von Produktvorlagen.

2. Suchen Sie in der API-Antwort nach dem properties.mainTemplate Feld. Dieses Feld enthält den JSON-Code der ARM-Vorlage, der die Lösungs- oder Vorlagenressourcen definiert.

3. Stellen Sie die extrahierte mainTemplate mithilfe einer ARM-Vorlagenbereitstellung bereit, entweder über die Rest-API, Azure CLI oder PowerShell.

Aktivieren von Inhaltselementen in einer Lösung

Zentrales Verwalten von Inhaltselementen für installierte Lösungen aus dem Inhaltshub.

1. Wählen Sie im Inhaltshub eine installierte Lösung aus, bei der die Version 2.0.0 oder höher ist.

2. Wählen Sie auf der Seite mit den Lösungsdetails die Option Verwalten aus.

   

3. Überprüfen Sie die Liste der Inhaltselemente.

   

4. Wählen Sie ein Inhaltselement aus, um zu beginnen.

Verwalten der einzelnen Inhaltstypen

Die folgenden Abschnitte enthalten einige Tipps zum Arbeiten mit den verschiedenen Inhaltstypen beim Verwalten einer Lösung.

Datenkonnektor verbinden

Führen Sie die Konfigurationsschritte aus, um eine Verbindung mit einem Datenconnector herzustellen.

1. Wählen Sie „Connectorseite öffnen“ aus.

2. Führen Sie die Konfigurationsschritte für den Datenconnector aus.

   

   Sobald Sie den Datenkonnektor konfiguriert haben und Protokolle erkannt wurden, ändert sich der Status in Verbunden.

Aktivieren einer Analyseregel

Erstellen Sie eine Regel aus einer Vorlage, oder bearbeiten Sie eine vorhandene Regel.

1. Sehen Sie sich die Vorlage in der Galerie für Analysevorlagen an.

2. Wenn die Vorlage noch nicht verwendet wurde, wählen SieRegel erstellen> aus, und führen Sie die Schritte zum Aktivieren der Analyseregel aus.

   Nachdem Sie eine Regel erstellt haben, wird die Anzahl der aktiven Regeln, die aus der Vorlage erstellt wurden, in der Spalte Erstellter Inhalt angezeigt.

3. Wählen Sie den Link aktive Regeln aus, um die vorhandene Regel zu bearbeiten. Der aktive Regellink in der folgenden Abbildung befindet sich beispielsweise unter Inhalt erstellt und zeigt 2 Elemente an.

   

Eine Hunting-Abfrage ausführen oder anpassen

Führen Sie die bereitgestellte Huntingabfrage aus, oder passen Sie sie an.

1. Um sofort mit der Suche zu beginnen, wählen Sie abfrage ausführen auf der Detailseite aus, um schnelle Ergebnisse zu erhalten.

   

2. Wählen Sie zum Anpassen Der Suchabfrage den Link in der Spalte Inhaltsname aus.

   In der Hunting-Galerie können Sie über das Dreipunktmenü eine Kopie der schreibgeschützten Hunting-Abfragevorlage erstellen. Auf diese Weise erstellte Suchabfragen erscheinen im Content Hub als Einträge in der Spalte Erstellte Inhalte.

Erstellen einer Arbeitsmappe aus einer Vorlage

Um eine arbeitsmappe anzupassen, die aus einer Vorlage erstellt wurde, erstellen Sie eine instance einer Arbeitsmappe.

1. Wählen Sie Vorlage anzeigen aus, um die Arbeitsmappe zu öffnen und die Visualisierungen anzuzeigen.

2. Wählen Sie Speichern aus, um eine Instanz der Arbeitsmappenvorlage zu erstellen.

3. Zeigen Sie Ihre gespeicherte anpassbare Arbeitsmappe an, indem Sie Gespeicherte Arbeitsmappe anzeigen auswählen.

4. Wählen Sie im Inhaltshub den Link 1 Element in der Spalte Erstellter Inhalt aus, um die Arbeitsmappe zu verwalten.

   

Verwenden eines Parsers

Wenn eine Lösung installiert ist, werden alle enthaltenen Parser als Arbeitsbereichsfunktionen in Log Analytics hinzugefügt.

1. Wählen Sie Funktionscode laden aus, um Log Analytics zu öffnen und den Funktionscode anzuzeigen oder auszuführen.

2. Wählen Sie Im Editor verwenden aus, um Log Analytics zu öffnen, wobei der Parsername zum Hinzufügen zu Ihrer benutzerdefinierten Abfrage bereitsteht.

   

Erstellen Sie ein Playbook aus einer Vorlage

Erstellen Sie ein Playbook aus einer Vorlage.

1. Wählen Sie den Link Inhaltsname des Playbooks aus.

2. Wählen Sie die Vorlage und dann Playbook erstellen aus.

3. Nachdem das Playbook erstellt wurde, wird das aktive Playbook in der Spalte Erstellter Inhalt angezeigt.

4. Wählen Sie den Aktiven Link playbook 1 element aus, um das Playbook zu verwalten.

   

Finden Sie das Supportmodell für Ihre Inhalte

Jedes Lösungs- und eigenständige Inhaltselement erläutert das Supportmodell im Detailbereich im Feld Support , in dem entweder Microsoft oder der Name eines Partners aufgeführt ist. Zum Beispiel:

Wenn Sie sich an den Support wenden, benötigen Sie möglicherweise weitere Details zu Ihrer Lösung, z. B. Herausgeber, Anbieter und Plan-ID-Werte. Diese Informationen finden Sie auf der Detailseite auf der Registerkarte Nutzungsinformationen & Support .

Nächste Schritte

• Erfahren Sie mehr über Microsoft Sentinel Lösungen.
• Sehen Sie sich den vollständigen Microsoft Sentinel-Lösungskatalog im Azure Marketplace an.
• Suchen Sie domänenspezifische Lösungen im Microsoft Sentinel Content Hub-Katalog.
• Löschen Sie installierte vorgefertigte Inhalte und Lösungen von Microsoft Sentinel.

Viele Lösungen enthalten Datenkonnektoren, die Sie konfigurieren müssen, damit Sie mit der Datenaufnahme in Microsoft Sentinel beginnen können. Jeder Datenkonnektor hat eigene Anforderungen, die auf der Seite des Datenkonnektors in Microsoft Sentinel ausführlich beschrieben werden.

Weitere Informationen finden Sie unter Verbinden ihrer Datenquelle.