Trasformare o personalizzare i dati in fase di inserimento in Microsoft Sentinel (anteprima)

Questo articolo descrive come configurare la trasformazione dei dati in fase di inserimento e l'inserimento di log personalizzato per l'uso in Microsoft Sentinel.

La trasformazione dei dati in fase di inserimento offre ai clienti un maggiore controllo sui dati inseriti. A integrazione dei flussi di lavoro preconfigurati e codificati in modo statico che creano tabelle standardizzate, la trasformazione al momento dell’ingestione consente di filtrare e arricchire le tabelle di output, ancora prima di eseguire qualsiasi query. L'inserimento di log personalizzato usa l'API log personalizzato per normalizzare i log in formato personalizzato in modo che possano essere inseriti in determinate tabelle standard o, in alternativa, per creare tabelle di output personalizzate con schemi definiti dall'utente per l'inserimento di questi log personalizzati.

Questi due meccanismi vengono configurati usando le regole di raccolta dati (DCR), nel portale di Log Analytics o tramite il modello API o ARM. Questo articolo consente di scegliere il tipo di DCR necessario per il connettore dati specifico e di indirizzare l'utente alle istruzioni per ogni scenario.

Prerequisiti

Prima di iniziare a configurare dcr per la trasformazione dei dati:

Definisci i requisiti

Usare la tabella seguente per determinare il tipo DCR necessario in base allo scenario di inserimento.

Se stai acquisendo La trasformazione in fase di acquisizione è... Usa questo tipo di DCR
Dati personalizzati tramite
L'API di inserimento log
  • Obbligatorio
  • Incluso nel DCR che definisce il modello di dati
    		•  DCR standard
    Tipi di dati predefiniti
    (Syslog, CommonSecurityLog, WindowsEvent, SecurityEvent)
    uso dell'agente di monitoraggio Azure
  • Facoltativo
  • Se desiderato, aggiunto al DCR che configura il modo in cui questi dati vengono acquisiti
    		•  DCR standard
    Tipi di dati predefiniti
    dalla maggior parte delle altre fonti
  • Facoltativo
  • Se lo si desidera, aggiungere al DCR collegato all'area di lavoro in cui vengono inseriti questi dati
    		•  Trasformazione dell'area di lavoro DCR

    Configurare la trasformazione dei dati

    Usa le procedure seguenti tratte dalla documentazione di Log Analytics e Monitoraggio di Azure per configurare i DCR per la trasformazione dei dati.

    Inserimento diretto tramite l'API di inserimento log

    Per l'ingestione diretta tramite l'API di ingestione dei log, utilizza le esercitazioni seguenti:

    Trasformazioni dell'area di lavoro

    Per le trasformazioni dell'area di lavoro, usare le esercitazioni seguenti:

    Altre informazioni sulle regole di raccolta dati

    Per altre informazioni, vedere Regole di raccolta dati:

    Dopo aver completato una delle procedure di configurazione del DCR indicate sopra, torna a Microsoft Sentinel per verificare che i dati vengano acquisiti in base alla trasformazione configurata. L'applicazione delle configurazioni di trasformazione dati può richiedere fino a 60 minuti.

    Passa alla trasformazione dei dati in fase di acquisizione

    Se attualmente si dispone di connettori dati personalizzati Microsoft Sentinel o di connettori dati predefiniti basati su API, è possibile eseguire la migrazione a usando la trasformazione dei dati in fase di inserimento.

    utilizzando uno dei metodi seguenti:

    • Configura un DCR per definire, partendo da zero, l'acquisizione personalizzata dall'origine dati verso una nuova tabella. È possibile usare questa opzione se si vuole usare un nuovo schema che non dispone dei suffissi di colonna correnti e non richiede funzioni Kusto Query Language (KQL) in fase di query per standardizzare i dati.

      Dopo aver verificato che i dati vengono inseriti correttamente nella nuova tabella, è possibile eliminare la tabella legacy e il connettore dati personalizzato legacy.

    • Continuare a usare la tabella personalizzata creata dal connettore dati personalizzato. È possibile usare questa opzione se sono stati creati molti contenuti di sicurezza personalizzati per la tabella esistente. In questi casi, vedere Eseguire la migrazione dall'API Raccolta dati e dalle tabelle con campi personalizzati abilitati ai log personalizzati basati su DCR nella documentazione di Monitoraggio di Azure.

    Passaggi successivi

    Per altre informazioni sulla trasformazione dei dati e sui dcr, vedere:

    • Last updated on