Alertes de sécurité Microsoft Graph
Aperçu
Lakewatch est en aperçu privé. Pour demander l’accès, contactez votre équipe de compte Databricks.
Lakewatch fournit un connecteur API pour ingérer les alertes de sécurité à partir de l'API de sécurité Microsoft Graphe, telles que les alertes de Microsoft Defender XDR et Microsoft Sentinel. Cet article couvre les prérequis, les instructions de configuration, le schéma du connecteur et les observables de l'analyseur Lakewatch.
Prérequis
Le connecteur nécessite :
- Serverless LakeFlow Pipelines activés dans votre Workspace.
- Unity Catalog, avec des privilèges pour créer ou utiliser une connexion Unity Catalog. Voir Autorisations de connexion.
- Un tenant Microsoft Entra ID qui utilise des produits de sécurité Microsoft, tels que Microsoft Defender XDR ou Microsoft Sentinel. Consultez la documentation sur le type de ressource d'alerte Microsoft.
- Autorisation d’inscrire une application dans Microsoft Entra ID et le rôle d’administrateur de rôle privilégié pour accorder le consentement administrateur aux autorisations d’application Microsoft Graphe. Voir Accorder un consentement administrateur à l’échelle du tenant à une application.
Limites connues
- La dimension à évolution lente (SCD) de type 2 n'est pas prise en charge.
- Le connecteur prend en charge l'authentification OAuth machine-machine avec une application Microsoft Entra ID et un secret client. L'authentification OAuth utilisateur-machine et l'authentification de base ne sont pas prises en charge.
- Le connecteur prend en charge le service mondial Microsoft, y compris le Government Communauté cloud (GCC), ainsi que les clouds US Government GCC High et Department of Defense (DoD). Il ne prend pas en charge Microsoft Graphe exploité par 21Vianet en Chine.
- La période historique ne peut pas dépasser 180 jours. Voir Choisir la période à ingérer.
Configurer Microsoft Graphe pour l’ingestion
Le connecteur s'authentifie en tant qu'application Microsoft Entra ID qui dispose de l'autorisation d'application SecurityAlert.Read.All pour Microsoft Graphe. Pour les étapes complètes, consultez Configurer l'authentification vers Microsoft Graph.
- Dans le centre d'administration Microsoft Entra, accédez à Entra ID > Inscriptions d'applications et enregistrez une application mono-tenant. Pour un tenant GCC High ou DoD, utilisez le portail Azure Government à l'adresse https://portal.azure.us.
- Sous Certificats et secrets , créez un secret client et copiez sa Valeur . Microsoft Entra n’affiche plus la valeur une fois que vous quittez la page.
- Sous Autorisations API , sélectionnez Ajouter une autorisation > Microsoft Graphe > Autorisations d'application , puis ajoutez
SecurityAlert.Read.All. Le connecteur n'utilise pas d'autorisations déléguées. - Sélectionnez Accorder le consentement de l’administrateur pour \.<your tenant> Confirmez que la colonne Type affiche Application et que la colonne État affiche Accordé pour <votre<your tenant> locataire\>.
- Sur la page Vue d’ensemble de l’application, copiez l’ ID de l’application (client) et l’ ID de l’annuaire (tenant) .
Les secrets client expirent au bout de 24 mois maximum. Avant l’expiration du secret, créez un secret client sur la même application et mettez à jour le Secret client sur la connexion Unity Catalog existante. Ne créez pas de nouvelle connexion.
Lorsque vous créez une connexion via l'interface utilisateur de Lakewatch, sélectionnez le cloud Microsoft dans lequel votre tenant s'exécute (commercial pour le service global incluant GCC, gcc_high ou dod) et saisissez l' ID client , le secret client et l' ID de tenant que vous avez copiés aux étapes précédentes.
Étapes suivantes
Après avoir terminé la configuration ci-dessus, créez une source de données avec le connecteur Microsoft Graphe dans l’interface utilisateur de Lakewatch. Consultez les connecteurs d’API pour obtenir des instructions.
Schémas du connecteur et de Lakewatch
Le connecteur ingère la table source suivante du schéma source default :
Table source | Données Microsoft Graphe | Analyseur Lakewatch intégré |
|---|---|---|
| Alertes de sécurité de l’API de sécurité Microsoft Graphe |
|
Le connecteur écrit la table source vers la destination brute de la source de données. L’analyseur intégré écrit une table analysée distincte nommée d’après l’analyseur, sauf si vous définissez une destination analysée lorsque vous configurez la source de données.
Colonnes gérées par Lakewatch
Le connecteur utilise le champ source id comme clé primaire non nulle et le champ source lastUpdateDateTime comme curseur pour l'ingestion incrémentielle, de sorte que chaque synchronisation ingère également les alertes qui ont changé depuis la dernière exécution. Contrairement aux connecteurs qui synthétisent un ID Lakewatch, ce connecteur n'ajoute pas de colonne lw_id. L'analyseur affecte la colonne time analysée à partir du champ source firstActivityDateTime.
Pour les pipelines créés par Lakewatch, le connecteur ajoute également ces colonnes à la table brute, et la table analysée les reporte :
lw_meta: Métadonnées de traitement Lakewatch standard.lw_observables: Valeurs extraites des champs marqués comme observables de sécurité dans l'analyseur.
Voir la référence de l’analyseur.
Schéma de table brute du connecteur
Le schéma suivant inclut les champs d’alerte de sécurité de Microsoft Graphe. Pour consulter les définitions des champs, reportez-vous à la référence du connecteur Microsoft Graphe Logs et à la documentation de Microsoft sur le type de ressource d’alerte.
Schéma
Column | Data type |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Observables de l’analyseur
L'analyseur microsoft_graph_security_alert écrit les objets imbriqués sous la forme VARIANT et extrait les champs suivants dans lw_observables.
Observables
Field | Observable |
|---|---|
|
|
Les champs dans evidence dépendent du type de chaque entité de preuve, telle qu’un appareil ou un fichier. L’analyseur scanne evidence et extrait des valeurs dans lw_observables en correspondant aux noms de sous-champs. La correspondance n’est pas sensible à la casse.
Observables de preuves
| Observable |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|