Eseguire l'onboarding di Microsoft Sentinel in un'area di lavoro Log Analytics

In questa guida introduttiva si abiliterà Microsoft Sentinel e si installerà una soluzione dall'hub del contenuto. Si configurerà quindi un connettore dati per avviare l'inserimento dei dati in Microsoft Sentinel. Prima di iniziare, assicurarsi di soddisfare i prerequisiti, inclusa una sottoscrizione attiva Azure e le autorizzazioni necessarie.

Microsoft Sentinel include molti connettori dati per prodotti Microsoft, ad esempio il connettore da servizio a servizio Microsoft Defender XDR. È anche possibile abilitare i connettori predefiniti per prodotti non Microsoft, ad esempio Syslog o Common Event Format (CEF). Per questa guida introduttiva, userai il connettore dati Attività di Azure disponibile nella soluzione Attività di Azure per Microsoft Sentinel.

Per eseguire l'onboarding a Microsoft Sentinel usando l'API, vedi l'ultima versione supportata di Stati di onboarding di Sentinel.

Prerequisiti

• Sottoscrizione Azure attiva. Se non ne hai uno, crea un account gratuito Azure prima di iniziare.

• Autorizzazioni:

  • Per abilitare Microsoft Sentinel, sono necessarie autorizzazioni di collaboratore per la sottoscrizione in cui risiede l'area di lavoro Microsoft Sentinel.

  • Per usare Microsoft Sentinel, sono necessarie le autorizzazioni Collaboratore di Microsoft Sentinel o Lettore di Microsoft Sentinel nel gruppo di risorse a cui appartiene l'area di lavoro.

  • Per installare o gestire soluzioni nell'hub del contenuto, è necessario il ruolo collaboratore Microsoft Sentinel nel gruppo di risorse a cui appartiene l'area di lavoro.

  • Se si è un nuovo cliente di Microsoft Sentinel e si dispone delle autorizzazioni di Proprietario di una sottoscrizione o di Amministratore accesso utenti, l'area di lavoro viene automaticamente registrata nel portale di Defender. Gli utenti di tali aree di lavoro usano Microsoft Sentinel solo nel portale di Defender.

• Microsoft Sentinel è un servizio a pagamento. Esaminare le opzioni dei prezzi Microsoft Sentinel e la pagina dei prezzi Microsoft Sentinel.

• Prima di distribuire Microsoft Sentinel in un ambiente di produzione, esaminare le attività di pre-distribuzione e i prerequisiti per la distribuzione di Microsoft Sentinel.

Creare un'area di lavoro Log Analytics

Microsoft Sentinel deve essere aggiunto a un'area di lavoro. Se si dispone già di un'area di lavoro Log Analytics, passare a Aggiungere Microsoft Sentinel all'area di lavoro Log Analytics. Se non si ha già un'area di lavoro Log Analytics, crearne una usando la procedura seguente in questa sezione. Per una spiegazione più dettagliata, vedere Creare un'area di lavoro Log Analytics. Per altre informazioni sulle aree di lavoro di Log Analytics, vedere Progettazione della distribuzione dei log di monitoraggio Azure.

L'area di lavoro Log Analytics potrebbe avere un periodo di conservazione predefinito di 30 giorni nei piani tariffari legacy. Per assicurarsi di poter usare tutte le funzionalità e le funzionalità Microsoft Sentinel, aumentare la conservazione a 90 giorni. Configurare i criteri di conservazione e archiviazione dei dati nei log di monitoraggio Azure.

1. Accedere al portale di Azure.

2. Cercare e selezionare Microsoft Sentinel.
   

3. Selezionare Crea.

4. Selezionare Crea una nuova area di lavoro.

5. In Sottoscrizione>Gruppo di risorse, selezionare Crea nuovo. Immettere un nome per il gruppo di risorse e selezionare OK.

6. Assegnare un nome all'area di lavoro e selezionare un'area, quindi selezionare Rivedi e crea. (Vedere Disponibilità a livello di area geografica di Log Analytics.)

7. Dopo aver superato la convalida, selezionare Crea. Attendere il completamento della distribuzione.

Aggiungere Microsoft Sentinel all'area di lavoro Log Analytics

Per aggiungere Microsoft Sentinel a un'area di lavoro Log Analytics esistente, seguire questa procedura:

1. Nel portale di Azure cercare e selezionare Microsoft Sentinel.

2. Selezionare Crea.

3. Selezionare l'area di lavoro da usare e selezionare Aggiungi. È possibile eseguire Microsoft Sentinel in più aree di lavoro, ma i dati sono isolati in una singola area di lavoro.

   • Le aree di lavoro predefinite create da Microsoft Defender per Cloud non vengono visualizzate nell'elenco. Non è possibile installare Microsoft Sentinel in queste aree di lavoro.
   • Una volta distribuita in un'area di lavoro, Microsoft Sentinel non supporta lo spostamento di tale area di lavoro in un altro gruppo di risorse o sottoscrizione.

Accedere Microsoft Sentinel nel portale di Defender

Per accedere Microsoft Sentinel nel portale di Defender:

1. Accedere al portale di Defender.

   La prima volta che accedi al portale Defender, sarà necessario del tempo per eseguire il provisioning del tenant.

2. Una volta effettuato il provisioning, vedrai Microsoft Sentinel nel riquadro di spostamento, con i nodi di Microsoft Sentinel annidati al suo interno. Ad esempio:

   

3. Scorrere verso il basso nel riquadro di spostamento e selezionare Impostazioni > Microsoft Sentinel > Aree di lavoro per visualizzare le aree di lavoro di cui è stato eseguito l'onboarding nel portale di Defender e disponibili per l'utente.

Il portale di Defender supporta più aree di lavoro, con un'area di lavoro che funge da area di lavoro primaria per ogni tenant. Per altre informazioni, vedere Più aree di lavoro Microsoft Sentinel nel portale di Defender e Microsoft Defender gestione multi-tenant.

Installare una soluzione dall'hub del contenuto

L'hub dei contenuti in Microsoft Sentinel è il punto centralizzato in cui trovare e gestire contenuti pronti all'uso, inclusi i connettori dati. In questa guida introduttiva, installa la soluzione Azure Activity.

1. In Microsoft Sentinel passare alla pagina Hub del contenuto e individuare e selezionare la soluzione Attività Azure.

   • Portale di Defender
   • Portale di Azure

   

2. Nel riquadro dei dettagli della soluzione sul lato selezionare Installa.

Configurare il connettore dati

Microsoft Sentinel inserisce i dati da servizi e app connettendosi al servizio e inoltrando gli eventi e i log a Microsoft Sentinel. Per questa guida introduttiva rapida, installa il connettore dati per inoltrare a Microsoft Sentinel i dati di Attività di Azure.

1. In Microsoft Sentinel, selezionare Configurazione>Connettori dati e cercare e selezionare il connettore dati Attività di Azure.

2. Nel riquadro dei dettagli del connettore selezionare Apri pagina connettore. Usare le istruzioni nella pagina Azure Activity Connector per configurare il connettore dati.

   1. Selezionare Avvia la procedura guidata per l'assegnazione di Criteri di Azure.

   2. Nella scheda Informazioni di base impostare l'ambito sulla sottoscrizione e sul gruppo di risorse con attività da inviare a Microsoft Sentinel. Ad esempio, selezionare la sottoscrizione che contiene l'istanza di Microsoft Sentinel.

   3. Selezionare la scheda Parametri e impostare l'area di lavoro Log Analytics primaria. Questa deve essere l'area di lavoro in cui è installato Microsoft Sentinel.

   4. Selezionare Rivedi e crea e crea.

Genera dati sulle attività

Generare alcuni dati sulle attività abilitando una regola inclusa nella soluzione Attività di Azure per Microsoft Sentinel. Questo passaggio illustra anche come gestire il contenuto nell'hub del contenuto.

1. In Microsoft Sentinel selezionare Hub contenuti, quindi cercare e selezionare il modello di regola Distribuzione di risorse sospette nella soluzione Azure Activity.

2. Nel riquadro dei dettagli selezionare Crea regola per creare una nuova regola usando la procedura guidata della regola di Analisi.

3. Nella pagina Creazione guidata regola di analisi - Crea una nuova regola pianificata, modificare lo Stato in Abilitato.

   In questa scheda e in tutte le altre schede della procedura guidata lasciare i valori predefiniti così come sono.

4. Nella scheda Rivedi e crea selezionare Crea.

Visualizzare i dati inseriti in Microsoft Sentinel

Ora che hai abilitato il connettore dati Attività di Azure e generato alcuni dati di attività, vediamo i dati di attività aggiunti all'area di lavoro.

1. In Microsoft Sentinel, selezionare Configurazione>Connettori dati e cercare e selezionare il connettore dati Attività di Azure.

2. Nel riquadro dei dettagli del connettore selezionare Apri pagina connettore.

3. Esaminare lo stato del connettore dati. Deve essere Connesso.

   

4. Selezionare una scheda per continuare, a seconda del portale in uso:

   • Portale di Defender
   • Portale di Azure

   1. Selezionare Vai a Log Analytics per aprire la pagina Ricerca avanzata .

   2. Nella parte superiore del riquadro, accanto alla scheda Nuova query, selezionare + per aggiungere una nuova scheda di query.

   3. Eseguire la query seguente per visualizzare la data dell'attività inserita nell'area di lavoro:

      AzureActivity
      

   Ad esempio:

   

Passaggi successivi

In questa guida di avvio rapido è stata abilitata Microsoft Sentinel e installata una soluzione dall'hub del contenuto. Configurare quindi un connettore dati per avviare l'inserimento dei dati in Microsoft Sentinel. Hai anche verificato che i dati vengono acquisiti visualizzando i dati nell'area di lavoro.

Se si è un nuovo cliente a cui è stato eseguito l'onboarding automatico nel portale di Defender, gli utenti accederanno solo a Microsoft Sentinel nel portale di Defender. Quando si usa la documentazione di Microsoft Sentinel, assicurarsi di selezionare la versione del portale di Defender della documentazione.

• Per visualizzare i dati raccolti usando i dashboard e le cartelle di lavoro, vedere Visualizzare i dati raccolti.
• Per rilevare le minacce usando le regole di analisi, vedere Esercitazione: Rilevare le minacce usando le regole di analisi in Microsoft Sentinel.