Erstellen Sie eine geplante Analyseregel von Grund auf

Sie haben Konnektoren und andere Mittel zur Erfassung von Aktivitätsdaten in Ihrer gesamten digitalen Umgebung eingerichtet. Nun müssen Sie all diese Daten durchsuchen, um Aktivitätsmuster zu erkennen und Aktivitäten zu ermitteln, die nicht zu diesen Mustern passen und eine Sicherheitsgefährdung darstellen könnten.

Microsoft Sentinel und seine vielen Lösungen, die im Inhaltshub bereitgestellt werden, bieten Vorlagen für die am häufigsten verwendeten Arten von Analyseregeln, und Es wird dringend empfohlen, diese Vorlagen zu verwenden und sie an Ihre spezifischen Szenarien anzupassen. Es ist jedoch möglich, dass Sie etwas ganz anderes benötigen, sodass Sie in diesem Fall eine Regel von Grund auf neu erstellen können, indem Sie den Analyseregel-Assistenten verwenden.

In diesem Abschnitt wird der Prozess zum Erstellen einer Analyseregel von Grund auf beschrieben, einschließlich der Verwendung des Analyseregel-Assistenten. Es enthält Screenshots und Anweisungen zum Zugriff auf den Assistenten sowohl im Azure-Portal als auch im Defender-Portal.

Voraussetzungen

• Sie müssen über die Rolle Microsoft Sentinel Mitwirkender oder über eine andere Rolle oder einen Berechtigungssatz verfügen, der Schreibberechtigungen für Ihren Log Analytics-Arbeitsbereich und seine Ressourcengruppe enthält.

• Sie sollten zumindest grundlegend mit Data Science, Datenanalyse und der Kusto-Abfragesprache vertraut sein.

• Sie sollten sich mit dem Analyseregel-Assistenten und allen verfügbaren Konfigurationsoptionen vertraut machen. Weitere Informationen finden Sie unter Geplante Analyseregeln in Microsoft Sentinel.

Entwerfen und Erstellen Ihrer Abfrage

Bevor Sie etwas anderes tun, sollten Sie eine Abfrage in Kusto-Abfragesprache (KQL) entwerfen und erstellen, die Ihre Regel zum Abfragen einer oder mehrerer Tabellen in Ihrem Log Analytics-Arbeitsbereich verwendet.

1. Ermitteln Sie eine Datenquelle oder eine Gruppe von Datenquellen, die Sie durchsuchen möchten, um ungewöhnliche oder verdächtige Aktivitäten zu erkennen. Suchen Sie den Namen der Log Analytics-Tabelle, in der Daten aus diesen Quellen erfasst werden. Sie finden den Tabellennamen auf der Seite des Datenkonnektors für diese Datenquelle. Verwenden Sie diesen Tabellennamen (oder eine darauf basierende Funktion) als Grundlage für Ihre Abfrage.

2. Entscheiden Sie, welche Art von Analyse diese Abfrage für die Tabelle ausführen soll. Diese Entscheidung bestimmt, welche Befehle und Funktionen Sie in der Abfrage verwenden sollten.

3. Entscheiden Sie, welche Datenelemente (Felder, Spalten) Sie aus den Abfrageergebnissen verwenden möchten. Diese Entscheidung bestimmt, wie Sie die Ausgabe der Abfrage strukturieren.

   Wichtig

   Stellen Sie sicher, dass ihre Abfrage die TimeGenerated Spalte zurückgibt, da geplante Analyseregeln sie als Referenz für den Lookbackzeitraum verwenden. Da TimeGenerated als Referenz für den Rückblickzeitraum dient, wertet die Regel nur Datensätze aus, bei denen der TimeGenerated-Wert innerhalb des angegebenen Rückblickzeitraums liegt.

4. Erstellen und testen Sie Ihre Abfragen in der Ansicht Protokolle. Wenn Sie zufrieden sind, speichern Sie die Abfrage zur Verwendung in Ihrer Regel.

Weitere Informationen finden Sie unter:

• Bewährte Methoden für Analyseregelabfragen.
• Kusto-Abfragesprache in Microsoft Sentinel
• Bewährte Methoden für Abfragen in Kusto Query Language

Erstellen Ihrer Analyseregel

Im folgenden Verfahren wird erläutert, wie Sie mithilfe des Azure Portals oder des Defender Portals eine geplante Analyseregel erstellen.

Erste Schritte beim Erstellen einer geplanten Abfrageregel

Navigieren Sie zunächst zur Seite Analyse in Microsoft Sentinel, um eine geplante Analyseregel zu erstellen.

1. Wählen Sie für Microsoft Sentinel im Defender-PortalMicrosoft Sentinel>Konfigurationsanalyse> aus. Wählen Sie für Microsoft Sentinel im Azure-Portal unter Konfigurationdie Option Analyse aus.

2. Wählen Sie +Erstellen und dann Geplante Abfrageregel aus.

   • Defender-Portal
   • Azure-Portal

   

Benennen sie die Regel, und definieren Sie allgemeine Informationen.

Im Azure-Portal werden Die Phasen als Registerkarten angezeigt. Im Defender-Portal werden sie als Meilensteine auf einem Zeitleiste angezeigt.

1. Geben Sie die folgenden Informationen für Ihre Regel ein.

   Feld	Beschreibung
   Name	Ein eindeutiger Name für Ihre Regel. Dieses Feld akzeptiert nur reinen Text. Alle urLs, die im Namen enthalten sind, sollten das Prozentcodierungsformat aufweisen, damit sie ordnungsgemäß angezeigt werden.
   Beschreibung	Eine Freitextbeschreibung für Ihre Regel. Wenn Microsoft Sentinel in das Defender-Portal integriert ist, unterstützt dieses Feld nur Nur-Text. Alle in der Beschreibung enthaltenen URLs sollten dem Prozentcodierungsformat folgen, damit sie ordnungsgemäß angezeigt werden.
   Schweregrad	Passen Sie die Auswirkungen an, die die die Regel auslösende Aktivität auf die Zielumgebung haben könnte, wenn die Regel ein True Positive ist. Information: Keine Auswirkungen auf Ihr System, aber die Informationen können auf zukünftige Schritte hindeuten, die von einem Bedrohungsakteur geplant werden. Niedrig: Die unmittelbaren Auswirkungen sind minimal. Ein Bedrohungsakteur muss wahrscheinlich mehrere Schritte ausführen, bevor er auswirkungen auf eine Umgebung hat. Mittel: Der Bedrohungsakteur könnte mit dieser Aktivität einige Auswirkungen auf die Umgebung haben, wäre aber im Umfang begrenzt oder erfordert zusätzliche Aktivitäten. Hoch: Die identifizierte Aktivität bietet dem Bedrohungsakteur weitreichenden Zugriff, um Aktionen in der Umgebung durchzuführen, oder wird durch Auswirkungen auf die Umgebung ausgelöst.
   MITRE ATT&CK	Wählen Sie die Bedrohungsaktivitäten aus, die für Ihre Regel gelten. Wählen Sie aus den in der Dropdown-Liste aufgeführten MITRE ATT&CK-Taktiken und -Techniken aus. Sie können mehrere Auswahlen treffen. Weitere Informationen zur Maximierung Ihrer Abdeckung der MITRE ATT&CK-Bedrohungslandschaft finden Sie unter Grundlegendes zur Sicherheitsabdeckung mit dem MITRE ATT&CK®-Framework.
   Status	Aktiviert: Die Regel wird sofort nach der Erstellung oder zu dem bestimmten Datum und der Uhrzeit ausgeführt, die Sie für die Planung auswählen (derzeit in der Vorschau). Deaktiviert: Die Regel wird erstellt, aber nicht ausgeführt. Aktivieren Sie sie später auf der Registerkarte Aktive Regeln , wenn Sie sie benötigen.

2. Wählen Sie Weiter: Regellogik festlegen aus.

   • Defender-Portal
   • Azure-Portal

   

Definieren der Regellogik

Legen Sie die Regellogik fest, einschließlich des Hinzufügens der kusto-Abfrage, die Sie erstellt haben.

1. Geben Sie die Regelabfrage und die Konfiguration der Warnungserweiterung ein.

   Einstellung	Beschreibung
   Regelabfrage	Fügen Sie die Abfrage, die Sie entworfen, erstellt und getestet haben, in das Fenster Regelabfrage ein. Jede Änderung, die Sie in diesem Fenster vornehmen, wird sofort überprüft. Wenn also Fehler auftreten, wird direkt unter dem Fenster ein Hinweis angezeigt.
   Entitäten zuordnen	Erweitern Sie Entitätszuordnung, und definieren Sie bis zu 10 Entitätstypen, die von Microsoft Sentinel in Feldern in Ihren Abfrageergebnissen erkannt werden. Diese Zuordnung integriert die identifizierten Entitäten in das Feld "Entitäten" im Microsoft Sentinel Sicherheitswarnungsschema. Vollständige Anweisungen zum Zuordnen von Entitäten finden Sie unter Zuordnen von Datenfeldern zu Entitäten in Microsoft Sentinel.
   Benutzerdefinierte Details in Ihren Warnmeldungen anzeigen	Erweitern Sie Benutzerdefinierte Details , und definieren Sie alle Felder in Ihren Abfrageergebnissen, die in Ihren Warnungen als benutzerdefinierte Details angezeigt werden sollen. Diese Felder werden auch in allen Vorfällen angezeigt, die sich daraus ergeben. Vollständige Anweisungen zum Anzeigen benutzerdefinierter Details finden Sie unter Details zu benutzerdefinierten Surface-Ereignissen in Warnungen in Microsoft Sentinel.
   Anpassen von Warnungsdetails	Erweitern Sie Warnungsdetails , und passen Sie die standardmäßigen Warnungseigenschaften entsprechend dem Inhalt verschiedener Felder in jeder einzelnen Warnung an. Passen Sie z. B. den Warnungsnamen oder die Beschreibung so an, dass sie einen Benutzernamen oder eine IP-Adresse enthält, die in der Warnung enthalten ist. Vollständige Anweisungen zum Anpassen von Warnungsdetails finden Sie unter Anpassen von Warnungsdetails in Microsoft Sentinel.

2. Planen und Festlegen der Abfrage. Legen Sie im Abschnitt Abfrageplanung die folgenden Parameter fest:

   Einstellung	Beschreibung/Optionen
   Abfrage ausführen alle	Steuert das Abfrageintervall: wie oft die Abfrage ausgeführt wird. Zulässiger Bereich: 5 Minuten bis 14 Tage.
   Daten aus dem letzten abrufen	Bestimmt den Lookbackzeitraum: den Zeitraum, der von der Abfrage abgedeckt wird. Zulässiger Bereich: 5 Minuten bis 14 Tage. Muss länger als oder gleich dem Abfrageintervall sein.
   Starten der Ausführung	Automatisch: Die Regel wird zum ersten Mal unmittelbar nach der Erstellung und danach im Abfrageintervall ausgeführt. Zu einem bestimmten Zeitpunkt (Vorschau): Legen Sie ein Datum und eine Uhrzeit für die erste Ausführung der Regel fest, nach der sie im Abfrageintervall ausgeführt wird. Zulässiger Bereich: 10 Minuten bis 30 Tage nach der Erstellung (oder Aktivierung) der Regel.

3. Legen Sie den Schwellenwert für das Erstellen von Warnungen fest.

   Verwenden Sie den Abschnitt Warnungsschwellenwert , um die Vertraulichkeitsstufe der Regel zu definieren. Legen Sie beispielsweise einen Mindestschwellenwert von 100 fest:

   Einstellung	Beschreibung
   Warnung generieren, wenn die Anzahl der Abfrageergebnisse	Ist größer als
   Anzahl von Ereignissen	100

   Wenn Sie keinen Schwellenwert festlegen möchten, geben Sie 0 in das Zahlenfeld ein.

4. Legen Sie Die Einstellungen für die Ereignisgruppierung fest.

   Wählen Sie unter Ereignisgruppierung eine von zwei Möglichkeiten aus, um die Gruppierung von Ereignissen in Warnungen zu behandeln:

   Einstellung	Verhalten
   Gruppieren aller Ereignisse in einer einzelnen Warnung (Standard)	Die Regel generiert bei jeder Ausführung eine einzelne Warnung, solange die Abfrage mehr Ergebnisse zurückgibt, als der angegebene Warnungsschwellenwert darüber liegt. Diese einzelne Warnung fasst alle Ereignisse zusammen, die in den Abfrageergebnissen zurückgegeben werden.
   Auslösen einer Warnung für jedes Ereignis	Die Regel generiert eine eindeutige Warnung für jedes von der Abfrage zurückgegebene Ereignis. Diese Option ist nützlich, wenn Ereignisse einzeln angezeigt werden sollen oder wenn Sie sie nach bestimmten Parametern gruppieren möchten– nach Benutzer, Hostname oder etwas anderem. Sie können diese Parameter in der Abfrage definieren.

5. Regel vorübergehend unterdrücken, nachdem eine Warnung generiert wurde.

   Um eine Regel über ihre nächste Ausführungszeit hinaus zu unterdrücken, wenn eine Warnung generiert wird, setzen Sie die Einstellung Ausführung der Abfrage beenden, nachdem die Warnung generiert wurde auf Ein. Wenn Sie dies aktivieren, stellen Sie Stop running query for auf die Zeitdauer ein, nach der die Ausführung der Abfrage beendet werden soll, maximal 24 Stunden.

6. Simulieren Sie die Ergebnisse der Abfrage- und Logikeinstellungen.

   Wählen Sie im Bereich Ergebnissimulation die Option Mit aktuellen Daten testen aus, um zu sehen, wie Ihre Regelergebnisse aussehen würden, wenn sie mit Ihren aktuellen Daten ausgeführt worden wären. Microsoft Sentinel simuliert die 50-male Ausführung der Regel für die aktuellen Daten unter Verwendung des definierten Zeitplans und zeigt Ihnen ein Diagramm der Ergebnisse (Protokollereignisse). Wenn Sie die Abfrage ändern, wählen Sie erneut Mit aktuellen Daten testen aus, um den Graphen zu aktualisieren. Das Diagramm zeigt die Anzahl der Ergebnisse über den Zeitraum, der durch die Einstellungen im Abschnitt Abfrageplanung definiert wird.

7. Wählen Sie Weiter: Incidenteinstellungen aus.

Konfigurieren Sie die Einstellungen für die Erstellung von Incidents

Wählen Sie auf der Registerkarte Incidenteinstellungen aus, ob Microsoft Sentinel Warnungen in umsetzbare Vorfälle verwandelt und ob und wie Warnungen in Incidents gruppiert werden.

1. Aktivieren Sie die Incidenterstellung.

   Im Abschnitt Incidenteinstellungen ist Incidents aus Warnungen erstellen, die von dieser Analyseregel ausgelöst werden, standardmäßig auf Aktiviert festgelegt, was bedeutet, dass Microsoft Sentinel einen einzelnen, separaten Incident von jeder warnung erstellt, die von der Regel ausgelöst wird.

   • Wenn Sie nicht möchten, dass diese Regel Incidents erstellt (z. B. wenn diese Regel nur Informationen für die nachfolgende Analyse sammelt), legen Sie diese Option auf Deaktiviert fest.

     Wichtig

     Wenn Sie Microsoft Sentinel in das Microsoft Defender-Portal integriert haben, behalten Sie diese Einstellung Aktiviert bei.

     • In diesem Szenario erstellt Microsoft Defender XDR Incidents, nicht Microsoft Sentinel.
     • Diese Vorfälle werden in der Warteschlange für Vorfälle sowohl in den Azure- als auch in den Defender-Portalen angezeigt.
     • Im Azure-Portal werden neue Incidents mit "Microsoft XDR" als Name des Incidentanbieters angezeigt.

   • Wenn Sie möchten, dass ein einzelner Incident aus einer Gruppe von Warnungen erstellt wird, anstatt für jede einzelne Warnung eine, lesen Sie den nächsten Schritt.

2. Legen Sie die Einstellungen für die Alarmgruppierung fest.

   Wenn Sie im Abschnitt Warnungsgruppierung möchten, dass ein einzelner Incident aus einer Gruppe von bis zu 150 ähnlichen oder wiederkehrenden Warnungen generiert werden soll (siehe Hinweis), legen Sie Gruppenbezogene Warnungen, die von dieser Analyseregel ausgelöst werden, in Incidents auf Aktiviert fest, und legen Sie die folgenden Parameter fest.

   1. Gruppe auf Warnungen beschränken, die innerhalb des ausgewählten Zeitrahmens erstellt wurden: Legen Sie den Zeitrahmen fest, in dem die ähnlichen oder wiederkehrenden Warnungen gruppiert werden. Warnungen außerhalb dieses Zeitrahmens generieren einen separaten Incident oder eine Reihe von Vorfällen.

   2. Gruppieren Sie die von dieser Analyseregel ausgelösten Warnungen in einem einzelnen Incident, indem Sie auswählen, wie Warnungen gruppiert werden:

      Option	Beschreibung
      Warnungen zu einem einzelnen Incident gruppieren, wenn alle Entitäten übereinstimmen	Warnungen werden gruppiert, wenn sie identische Werte für jede der zugeordneten Entitäten verwenden (die oben auf der Registerkarte Regellogik festlegen definiert sind). Dies ist die empfohlene Einstellung.
      Gruppieren aller von dieser Regel ausgelösten Warnungen in einem einzelnen Incident	Alle von dieser Regel generierten Warnungen werden auch dann gruppiert, wenn sie keine identischen Werte aufweisen.
      Gruppieren von Warnungen in einem einzelnen Incident, wenn die ausgewählten Entitäten und Details übereinstimmen	Warnungen werden gruppiert, wenn sie identische Werte für alle zugeordneten Entitäten, Warnungsdetails und benutzerdefinierten Details verwenden, die aus den jeweiligen Dropdownlisten ausgewählt wurden.

   3. Geschlossene Abgleichsvorfälle erneut öffnen: Wenn ein Incident aufgelöst und geschlossen wird und später eine andere Warnung generiert wird, die zu diesem Vorfall gehören sollte, legen Sie diese Einstellung auf Aktiviert fest, wenn Sie den geschlossenen Incident erneut öffnen möchten, und lassen Sie deaktiviert , wenn die Warnung einen neuen Incident erstellen soll.

      Die Option „Übereinstimmende geschlossene Vorfälle erneut öffnen“ ist nicht verfügbar, wenn Microsoft Sentinel in das Microsoft Defender-Portal eingebunden ist.

   Wichtig

   Wenn Sie Microsoft Sentinel in das Microsoft Defender-Portal integriert haben, werden die Einstellungen für die Warnungsgruppierung nur in dem Moment wirksam, an dem der Incident erstellt wird.

   Da die Korrelations-Engine des Defender-Portals in diesem Szenario für die Warnungskorrelation zuständig ist, akzeptiert sie diese Einstellungen als erste Anweisungen, trifft aber möglicherweise auch Entscheidungen zur Warnungskorrelation, die diese Einstellungen nicht berücksichtigen.

   Daher kann die Art und Weise, wie Warnungen in Incidents gruppiert werden, aufgrund dieser Einstellungen häufig anders sein als erwartet.

   Hinweis

   Bis zu 150 Warnungen können in einem einzelnen Incident gruppiert werden.

   • Der Incident wird erst erstellt, nachdem alle Warnungen generiert wurden. Alle Warnungen werden dem Vorfall unmittelbar bei seiner Erstellung hinzugefügt.

   • Wenn mehr als 150 Warnungen von einer Regel generiert werden, die sie zu einem einzelnen Incident gruppiert, wird ein neuer Vorfall mit denselben Incidentdetails wie der ursprüngliche generiert, und die überschüssigen Warnungen werden in den neuen Incident gruppiert.

3. Wählen Sie Weiter: Automatisierte Antwort aus.

   • Defender-Portal
   • Azure-Portal

   

Überprüfen oder Hinzufügen automatisierter Antworten

1. Sehen Sie sich auf der Registerkarte Automatisierte Antworten die Automatisierungsregeln an, die in der Liste angezeigt werden. Wenn Sie Antworten hinzufügen möchten, die noch nicht von vorhandenen Regeln abgedeckt sind, haben Sie zwei Möglichkeiten:

   • Bearbeiten Sie eine vorhandene Regel, wenn die hinzugefügte Antwort auf viele oder alle Regeln angewendet werden soll.
   • Wählen Sie Neu hinzufügen aus, um eine neue Automatisierungsregel zu erstellen , die nur für diese Analyseregel gilt.

   Weitere Informationen dazu, wofür Sie Automatisierungsregeln verwenden können, finden Sie unter Automatisieren der Reaktion auf Bedrohungen in Microsoft Sentinel mit Automatisierungsregeln.

   • Unter Warnungsautomatisierung (klassisch) am unteren Bildschirmrand werden alle Playbooks angezeigt, die Sie für die automatische Ausführung konfiguriert haben, wenn eine Warnung mit der alten Methode generiert wird.

     • Seit Juni 2023 können Sie dieser Liste keine Playbooks mehr hinzufügen. Hier bereits aufgeführte Playbooks werden weiterhin ausgeführt, bis diese Methode ab März 2026 eingestellt wird.

     • Wenn hier noch Playbooks aufgeführt sind, erstellen Sie eine Automatisierungsregel auf Basis des Auslösers „Warnung erstellt“ und führen Sie das Playbook über die Automatisierungsregel aus. Nachdem Sie diesen Schritt abgeschlossen haben, wählen Sie die Ellipse am Ende der Zeile des hier aufgeführten Playbooks aus und dann Entfernen. Ausführliche Anweisungen finden Sie unter Migrieren von durch Warnungen ausgelösten Microsoft Sentinel-Playbooks zu Automatisierungsregeln.

   • Defender-Portal
   • Azure-Portal

   

2. Wählen Sie Weiter: Überprüfen und erstellen aus, um alle Einstellungen für Ihre neue Analyseregel zu überprüfen.

Überprüfen der Konfiguration und Erstellen der Regel

1. Wenn die Meldung "Überprüfung erfolgreich" angezeigt wird, wählen Sie Erstellen aus.

2. Wenn stattdessen ein Fehler angezeigt wird, suchen Sie das rote X auf der Registerkarte im Assistenten, in dem der Fehler aufgetreten ist, und wählen Sie es aus.

3. Korrigieren Sie den Fehler, und kehren Sie zur Registerkarte Überprüfen und erstellen zurück, um die Überprüfung erneut auszuführen.

Zeigen Sie die Regel und ihre Ausgabe an

Anzeigen der Regeldefinition

Sie finden Ihre neu erstellte benutzerdefinierte Regel (vom Typ "Geplant") in der Tabelle auf der Registerkarte Aktive Regeln auf dem Hauptbildschirm Analytics . In dieser Liste können Sie jede Regel aktivieren, deaktivieren oder löschen.

Ergebnisse der Regel anzeigen

Optimieren der Regel

Nachdem die Regel ausgeführt wurde, optimieren Sie sie, um Rauschen zu reduzieren und die Erkennungsqualität zu verbessern.

• Sie können die Regelabfrage aktualisieren, um falsch positive Ergebnisse auszuschließen. Weitere Informationen finden Sie unter Umgang mit False Positives in Microsoft Sentinel.

Exportieren der Regel in eine ARM-Vorlage

Wenn Sie Ihre Regel für die Verwaltung und Bereitstellung als Code packen möchten, können Sie die Regel ganz einfach in eine ARM-Vorlage (Azure Resource Manager) exportieren. Sie können auch Regeln aus Vorlagendateien importieren, um sie auf der Benutzeroberfläche anzuzeigen und zu bearbeiten.

Nächste Schritte

Wenn Sie Analyseregeln verwenden, um Bedrohungen von Microsoft Sentinel zu erkennen, stellen Sie sicher, dass Sie alle Regeln aktivieren, die Ihren verbundenen Datenquellen zugeordnet sind, um eine vollständige Sicherheitsabdeckung für Ihre Umgebung sicherzustellen.

Um die Regelaktivierung zu automatisieren, übertragen Sie Regeln über die Microsoft Sentinel REST-API und das Az.SecurityInsights PowerShell-Modul an Microsoft Sentinel, obwohl dies zusätzlichen Aufwand erfordert. Wenn Sie die API oder PowerShell verwenden, müssen Sie die Regeln zuerst in JSON exportieren, bevor Sie die Regeln aktivieren. API oder PowerShell kann hilfreich sein, wenn Regeln in mehreren Instanzen von Microsoft Sentinel mit jeweils identischen Einstellungen aktiviert werden.

Weitere Informationen finden Sie unter:

• Problembehandlung bei Analyseregeln in Microsoft Sentinel
• Navigieren und Untersuchen von Vorfällen in Microsoft Sentinel
• Entitäten in Microsoft Sentinel
• Tutorial: Verwenden von Playbooks mit Automatisierungsregeln in Microsoft Sentinel

Lernen Sie außerdem ein Beispiel für die Verwendung benutzerdefinierter Analyseregeln beim Überwachen von Zoom mit einem benutzerdefinierten Microsoft Sentinel Connector kennen.