Configurare i connettori dati federati in Microsoft Sentinel Data Lake

Questo articolo illustra come configurare i connettori dati federati per abilitare l'esecuzione di query su origini dati esterne dal data lake Microsoft Sentinel. È possibile eseguire la federazione con Azure Databricks, Azure Data Lake Storage (ADLS) Gen 2 e Microsoft Fabric. L'articolo illustra come creare un'entità servizio, archiviare le credenziali in Azure Key Vault e configurare un'istanza del connettore per ogni origine dati supportata. Usa questa guida se sei un amministratore della sicurezza che deve importare dati esterni in Microsoft Sentinel per l'indagine e l'analisi.

Prerequisiti

Prima di configurare la federazione dei dati, assicurarsi di soddisfare i requisiti seguenti:

  • Onboarding del data lake di Sentinel: il tenant deve essere stato sottoposto all'onboarding per il data lake di Sentinel. Per altre informazioni, vedi Effettuare l'onboarding al data lake di Microsoft Sentinel.

  • Accessibilità pubblica: l'origine esterna deve essere accessibile pubblicamente. Gli endpoint privati non sono attualmente supportati.

  • Entità servizio: per le origini di Azure Databricks e Azure Data Lake Storage Gen2, è necessaria un'entità servizio con le autorizzazioni appropriate nell'origine dati a cui ci si vuole connettere. Per altre informazioni, vedere registrazioni delle app in Microsoft Entra ID.

  • Azure Key Vault: è necessario disporre di un Azure Key Vault configurato con il segreto client dell'entità servizio. L'identità dell'applicazione Microsoft Sentinel richiede autorizzazioni assegnate all'insieme di credenziali delle chiavi. Per altre informazioni su come configurare Azure Key Vault, vedere Azure Key Vaults.

  • Autorizzazioni di Microsoft Sentinel: autorizzazioni Dati (gestione) sulle tabelle di sistema per configurare un connettore di federazione dei dati. Per altre informazioni, vedere Ruoli e autorizzazioni nella piattaforma Microsoft Sentinel.

Creare un'entità servizio

Per la federazione di Azure Databricks e ADLS Gen 2, è necessaria un'entità servizio con credenziali di accesso che sono archiviate in Azure Key Vault. È possibile usare un'entità servizio esistente o seguire questa procedura per creare una nuova entità servizio.

  1. Creare una registrazione dell'applicazione Microsoft Entra ID:

    1. Nel portale di Azure passare a Microsoft Entra ID>Registrazioni app.
    2. Selezionare Nuova registrazione.
    3. Immettere un nome per l'applicazione.
    4. Lasciare vuoto l'URI di reindirizzamento (non necessario per questo scenario).
    5. Selezionare Registra.

  2. Crea un segreto del client:

    1. Nella registrazione dell'app passare a Certificati & segreti.
    2. Seleziona Nuovo segreto del client.
    3. Immettere una descrizione e selezionare un periodo di scadenza.
    4. Selezionare Aggiungi.
    5. Copia immediatamente il valore del secret del client da usare nella sezione successiva. Non è possibile recuperare questo valore dopo aver lasciato la pagina.

  3. Prendere nota dei dettagli dell'applicazione:

    • ID applicazione (client)
    • ID dell'oggetto
    • ID della directory (tenant)

Per altre informazioni sulla creazione di entità di servizio, vedere registrazioni delle app di Microsoft Entra ID.

Creare un Azure Key Vault e archiviare le credenziali

È possibile usare un Azure Key Vault esistente e seguire la procedura seguente per configurare l'accesso Key Vault o creare un nuovo Key Vault seguendo questa procedura:

  1. Creare un Azure Key Vault:

    1. Nel portale di Azure creare un nuovo Azure Key Vault.
    2. Usare il modello di autorizzazione Azure controllo degli accessi in base al ruolo (scelta consigliata).
    3. Abilitare le impostazioni di eliminazione temporanea e di protezione dall'eliminazione definitiva per il Key Vault.
    4. Annotare l'URI di Key Vault dopo la creazione.

  2. Configurare l'accesso a Key Vault:

    1. Assegnare il ruolo Key Vault Secrets User all'identità gestita della piattaforma Microsoft Sentinel. L'identità è preceduta da msg-resources-.
    2. Se si usano i criteri di accesso per i Key Vault anziché il controllo degli accessi in base al ruolo di Azure, specificare le autorizzazioni Get e List per le operazioni di gestione dei segreti.

  3. Archiviare il segreto client in Key Vault:

    1. Nel Key Vault, vai a Segreti>Genera/Importa.
    2. Crea un nuovo segreto contenente il segreto client dell'entità servizio.
    3. Annotare il nome del segreto. Viene usato durante la configurazione dell'istanza del connettore di federazione dati.

Per altre informazioni su come configurare Azure Key Vault, vedere Azure Key Vaults.

Visualizzare e gestire i connettori dati federati nel portale di Defender

I connettori federati vengono gestiti nella pagina Connettori dati in Microsoft Sentinel nel portale di Defender.

  1. Passare a Microsoft Sentinel>Configurazione>Connettori dati.

  2. In Federazione dati selezionare Catalogo per visualizzare i connettori federati disponibili.

    La pagina Catalogo mostra:

    • Tipi di connettori federativi disponibili
    • Numero di istanze configurate per ogni connettore
    • Informazioni sull'editore e sul supporto

    Screenshot che mostra il catalogo di federazione dei dati con i connettori disponibili.

  3. Selezionare La pagina Connettori personali per visualizzare tutte le istanze del connettore configurate. La pagina elenca le istanze del connettore di federazione dei dati del tenant, insieme al nome visualizzato, alla versione, allo stato e al fornitore del supporto.

  4. Selezionare ogni istanza per visualizzare i dettagli, modificare le configurazioni o eliminare l'istanza.

Screenshot che mostra la pagina Connettori personali con istanze di federazione configurate.

Creare un'istanza del connettore

Il processo per la creazione di un'istanza del connettore varia a seconda che ci si connetta a Microsoft Fabric, Azure Data Lake Storage Gen 2 o Azure Databricks. Seguire le istruzioni per lo specifico tipo di origine dati.

Usare questa scheda per creare un'istanza del connettore federato per Microsoft Fabric.

Creare un'istanza del connettore di Microsoft Fabric

Prima di configurare l'istanza del connettore fabric, è necessario configurare le autorizzazioni all'interno dell'ambiente Microsoft Fabric per consentire a Microsoft Sentinel di accedere ai dati.

  • Configurare le impostazioni di amministratore all'interno di Microsoft Fabric in modo che il tenant sia abilitato per la condivisione dei dati esterni. Per altre informazioni, vedere Creare una condivisione dati esterna.

  • Configura le impostazioni di amministrazione in Microsoft Fabric in modo che sia abilitata l'impostazione Le entità servizio possono chiamare le API pubbliche di Fabric. Per ulteriori informazioni, vedere I principali di servizio possono chiamare le API pubbliche di Fabric.

  • Aggiungi l'identità della piattaforma Sentinel, con il prefisso msg-resources-, come membro dell'area di lavoro nel Lakehouse da cui vuoi federare le tabelle. Per altre informazioni, vedere Concedere l'accesso alle aree di lavoro.

Per configurare l'istanza del connettore Fabric:

  1. Nella pagina Data federation>Catalog, seleziona la riga Microsoft Fabric.

  2. Nel pannello laterale selezionare Connetti un connettore.

  3. Immettere le informazioni seguenti:

    Campo Descrizione
    Nome dell'istanza Un nome intuitivo per questa istanza del connettore. Questo nome di istanza viene aggiunto in coda alle tabelle presenti nel data lake di questa istanza.
    ID dell'area di lavoro di Fabric ID dell'area di lavoro Fabric da federare. Quando si passa all'area di lavoro Fabric o Lakehouse, l'ID dell'area di lavoro si trova nell'URL dopo /groups/
    ID della tabella Lakehouse ID della tabella Fabric Lakehouse da federare. Quando si accede al lakehouse di Fabric, l'ID del lakehouse viene visualizzato nell'URL dopo /lakehouses/.

  4. Seleziona Avanti.

    Screenshot del modulo dei dettagli della connessione di Microsoft Fabric.

  5. Selezionare le tabelle da federatare.

  6. Seleziona Avanti.

  7. Rivedi la configurazione della destinazione federata.

  8. Selezionare Connetti per creare l'istanza di connessione.

Nota

Per la federazione di Microsoft Fabric, i file nell'origine dati di destinazione devono essere in formato Delta Parquet per poter essere letti dal data lake di Sentinel.

  • Last updated on