Gestire i livelli dati e la conservazione in Microsoft Sentinel

I dati raccolti in Microsoft Sentinel (SIEM) e Microsoft Defender XDR vengono archiviati nelle tabelle. Il portale Microsoft Defender consente di gestire il periodo di conservazione e i costi di archiviazione associati ai dati. È possibile gestire la conservazione e i costi quando si:

• Configurare i connettori dati per inviare dati a Microsoft Sentinel o Microsoft Defender XDR.
• Gestire le tabelle e i dati esistenti.

Questo articolo illustra come gestire le opzioni di conservazione delle tabelle e livelli nel portale di Microsoft Defender per ottimizzare le operazioni di sicurezza e ridurre i costi in Microsoft Sentinel e Microsoft Defender XDR.

Quali tabelle è possibile gestire nel portale di Microsoft Defender?

Questa sezione descrive i tipi di tabella che è possibile gestire nel portale di Microsoft Defender.

Come funzionano i livelli di dati e la conservazione

È possibile conservare i dati in Microsoft Sentinel in uno dei due livelli seguenti:

• Livello di analisi: questo livello rende disponibili i dati per avvisi, ricerca, cartelle di lavoro e tutte le funzionalità di Microsoft Sentinel. Conserva i dati in due stati:

  • Conservazione dei dati di analisi: in questo stato "attivo", i dati sono completamente disponibili per l'analisi in tempo reale, incluse query ad alte prestazioni, regole di analisi e ricerca proattiva delle minacce. Per impostazione predefinita, Microsoft Sentinel e Microsoft Defender XDR conservano i dati in questo livello per 30 giorni. È possibile estendere il periodo di conservazione di tutte le tabelle fino a due anni con un addebito di conservazione a lungo termine mensile ripartito proporzionalmente. È possibile estendere gratuitamente fino a 90 giorni il periodo di conservazione delle tabelle delle soluzioni di Microsoft Sentinel.
  • Conservazione totale: per impostazione predefinita, tutti i dati nel livello di analisi vengono sottoposti a mirroring nel data lake per lo stesso periodo di conservazione. È possibile estendere la conservazione dei dati nel lago oltre la conservazione dell'analisi, per un massimo di 12 anni di conservazione totale a basso costo.

• Livello Data Lake: in questo livello "cold" a basso costo, Microsoft Sentinel conserva i dati esclusivamente nel data lake. I dati nel livello Data Lake non sono disponibili per le funzionalità di analisi in tempo reale e la ricerca delle minacce. Tuttavia, è possibile accedere ai dati nel lake ogni volta che sono necessari tramite processi KQL, analizzare le tendenze nel tempo eseguendo processi KQL o Spark pianificati e aggregare informazioni dettagliate dai dati in ingresso a cadenza regolare usando regole di riepilogo.

• Dati XDR: per impostazione predefinita, i dati di ricerca delle minacce di Microsoft Defender XDR sono sempre disponibili nel livello Analytics per 30 giorni. È possibile estendere la conservazione dei dati nel livello Analytics fino a 90 giorni, che comporta costi di inserimento, mentre l'archiviazione rimane gratuita. L'estensione della conservazione oltre 90 giorni nel livello Di analisi comporta anche costi di archiviazione. È anche possibile acquisire dati solo nel livello Data Lake, ma i dati rimangono disponibili nel livello Analytics per 30 giorni. L'inserimento di dati XDR direttamente nel livello Data Lake è più conveniente, ma comporta costi di inserimento, archiviazione ed elaborazione. In questa opzione, i clienti ottengono ancora 30 giorni di dati nel livello Analytics senza costi aggiuntivi.

Per altre informazioni sulle differenze tra questi due tipi di conservazione, vedere Confrontare i livelli di analisi e data lake.

Questo diagramma mostra i componenti di conservazione dei livelli predefiniti di analisi, data lake e XDR e quali tipi di tabella si applicano a ogni livello:

Per altre informazioni sul data lake Microsoft Sentinel, vedere What is Microsoft Sentinel data lake( Che cos'è Microsoft Sentinel data lake).

Usare Le informazioni dettagliate sulle tabelle per l'osservabilità a livello di tabella

Nel portale di Microsoft Defender, Approfondimenti sulle tabelle è una visualizzazione di monitoraggio integrata nella pagina Tabelle che consente di comprendere l'integrità dell'acquisizione a livello di tabella per l'area di lavoro Microsoft Sentinel selezionata. Fornisce segnali di osservabilità rapida in modo da poter identificare i modelli di inserimento e di costo prima di modificare le impostazioni di livello o conservazione.

Le informazioni dettagliate sulle tabelle includono segnali come:

• Volume di acquisizione per livello
• Fluttuazioni giornaliere dell'acquisizione su base settimanale
• Tabelle principali per volume di inserimento giornaliero
• Ultimi dati ricevuti
• Costo giornaliero stimato di acquisizione
• Anomalia del volume

Usa questi segnali per rilevare i malfunzionamenti dei connettori, indagare sui picchi di costo, convalidare l'onboarding di nuovi connettori e identificare i candidati per il ridimensionamento corretto dei criteri di conservazione e del livello.

Per informazioni su configurazione, accesso e interpretazione, vedere Configurare le impostazioni della tabella in Microsoft Sentinel.

Confronta i livelli di Analisi e Data Lake

Questa tabella confronta i livelli di Analisi e Data Lake e le relative caratteristiche principali:

Cosa accade quando si modificano le impostazioni della tabella

È possibile cambiare il livello di una tabella e le impostazioni di conservazione in qualsiasi momento.

Quando si modifica il livello di una tabella da Analisi a Data Lake, tutte le query di analisi e ricerca in tempo reale smettono di funzionare.

Quando si riduce la conservazione totale di una tabella, Microsoft attende 30 giorni prima di rimuovere i dati, in modo da poter ripristinare la modifica ed evitare la perdita di dati se si è verificato un errore di configurazione.

Quando si aumenta la conservazione totale, il nuovo periodo di conservazione si applica a tutti i dati già inseriti nella tabella e non ancora rimossi.

Quando si modificano le impostazioni di conservazione dell'analisi di una tabella con dati esistenti, la modifica viene applicata immediatamente.

Esempio:

• È disponibile una tabella nel livello Analytics con 180 giorni di conservazione dell'analisi. Per impostazione predefinita, anche la conservazione totale è impostata su 180 giorni.
• È possibile modificare la conservazione dell'analisi a 90 giorni senza modificare la conservazione totale, che rimane 180 giorni.
• Microsoft Sentinel rimuove automaticamente dal periodo di conservazione per l'analisi i dati degli ultimi 90 giorni, ma continua ad archiviare nel livello Data Lake i dati con un'età compresa tra 90 e 180 giorni.

Gestire i dati XDR in Microsoft Sentinel

Per impostazione predefinita, Microsoft Defender XDR conserva i dati di ricerca delle minacce nel livello predefinito XDR per 30 giorni. Questi dati non vengono inseriti nei livelli di Analisi o Data Lake per impostazione predefinita. Se si estende il periodo di conservazione delle tabelle XDR supportate oltre 30 giorni e fino a 90 giorni, si applicano costi di inserimento di Sentinel, ma non sono previsti costi di archiviazione aggiuntivi. Le tabelle vengono create nell'area di lavoro di Microsoft Sentinel nel tier Analytics e sottoposte a mirroring nel tier Data Lake.

Se abiliti il connettore Microsoft Sentinel XDR nel portale di Azure, le tabelle selezionate durante la configurazione vengono acquisite automaticamente nel livello Analytics e replicate nel livello Data Lake. La conservazione predefinita è di 30 giorni ed è possibile estenderla fino a 12 anni. Per un elenco di tabelle, vedere integrazione Microsoft Defender XDR con Microsoft Sentinel. È possibile inserire tabelle XDR supportate che non sono state selezionate durante la distribuzione del connettore nel livello Analytics e eseguirne il mirroring nel livello Data Lake impostando la conservazione su più di 30 giorni.

Se non si abilita il connettore XDR di Microsoft Sentinel, le tabelle XDR non vengono acquisite automaticamente, ma è comunque possibile acquisirle impostando la conservazione del livello Analytics o Data Lake su più di 30 giorni nel portale Microsoft Defender.

È possibile scegliere di inserire tabelle XDR supportate esclusivamente nel livello Data Lake selezionando l'opzione Data Lake livello durante la configurazione delle impostazioni di conservazione. Per altre informazioni, vedere Configurare la conservazione dei dati e la suddivisione in livelli.

Interrompi l'acquisizione dei dati nel livello Analytics reimpostando la conservazione di Analytics e la conservazione totale al valore predefinito di 30 giorni. Questa azione disabilita il connettore nel portale di Azure.

Per altre informazioni sulla gestione di tabelle e dati, vedere Gestire le tabelle e i dati esistenti.

Conservazione e costi dei dati XDR

Le tabelle seguenti riepilogano i periodi di conservazione gratuiti e le implicazioni sui costi per i diversi livelli in Microsoft Sentinel:

Per altre informazioni sulla fatturazione e sui costi, vedere Informazioni sul modello di fatturazione completo per Microsoft Sentinel.

Negli esempi seguenti i dati XDR sono disponibili tramite la ricerca avanzata per almeno 30 giorni, indipendentemente dalle impostazioni di conservazione nei livelli di analisi o data lake.

Passaggi successivi

Altre informazioni su:

• Configurazione dei livelli di tabella dei log e delle impostazioni di conservazione
• Creazione di un processo di ricerca per recuperare dati corrispondenti a criteri specifici