Alertas de segurança do Microsoft Gráfico
Visualização
Lakewatch está na Prévia privada. Para solicitar acesso, entre em contato com a equipe da sua account da Databricks.
O Lakewatch fornece um conector de API para ingerir alertas de segurança da API de segurança do Microsoft Graph, como alertas do Microsoft Defender XDR e do Microsoft Sentinel. Este artigo aborda pré-requisitos, instruções de configuração, o esquema do conector e observáveis do parser do Lakewatch.
Pré-requisitos
O conector requer:
- Serverless Lakeflow pipelines ativados no seu workspace.
- Unity Catalog, com privilégios para criar ou usar uma conexão do Unity Catalog. Consulte Permissões de conexão.
- Um tenant do Microsoft Entra ID que usa produtos de segurança da Microsoft, como o Microsoft Defender XDR ou o Microsoft Sentinel. Consulte a documentação do tipo de recurso de alerta da Microsoft.
- Permissão para registro um aplicativo no Microsoft Entra ID e a função Administrador de Funções Privilegiadas para conceder consentimento de administrador para permissões de aplicativo do Microsoft Graph. Consulte Conceder consentimento de administrador para todo o tenant a um aplicativo.
Limitações conhecidas
- A dimensão de mudança lenta (SCD) tipo 2 não é suportada.
- O conector oferece suporte à autenticação OAuth machine-to-machine com um aplicativo de ID Microsoft Entra e um segredo do cliente. Autenticação OAuth user-to-machine e autenticação básica não são suportadas.
- O conector oferece suporte ao serviço global da Microsoft, incluindo o GCC (Government comunidade cloud) e as clouds GCC High e DoD (Department of Defense) do governo dos EUA. Não oferece suporte ao Microsoft gráfico operado pela 21Vianet na China.
- A consulta histórica não pode exceder 180 dias. Consulte Escolher o período de ingestão.
Configure o Microsoft Graph para ingestão
O conector autentica como um aplicativo do Microsoft Entra ID que tem a permissão de aplicativo SecurityAlert.Read.All para o Microsoft Graph. Para os passos completos, consulte Configurar a autenticação para o Microsoft Graph.
- No centro administrativo do Microsoft Entra, navegue até Entra ID > Registros de aplicativos e registre um aplicativo de single-tenant. Para um tenant GCC High ou DoD, use o portal do Azure Government em https://portal.azure.us.
- Em Certificates & secrets (Certificados e segredos), crie um segredo de cliente e copie seu Value (Valor). O Microsoft Entra não mostra o valor novamente depois que você sai da página.
- Em Permissões de API , selecione Adicionar uma permissão > Microsoft Graph > Permissões do aplicativo e adicione
SecurityAlert.Read.All. O conector não usa permissões delegadas. - Selecione Conceder consentimento do administrador para <seu<your tenant> locatário>. Confirme se a coluna Tipo mostra Aplicativo e a coluna Status mostra Concedido para <seu<your tenant> locatário>.
- Na página Visão geral do aplicativo, copie o ID do aplicativo (cliente) e o ID do diretório (tenant) .
Os segredos do cliente expiram após no máximo 24 meses. Antes que o segredo expire, crie um segredo de cliente no mesmo aplicativo e atualize o Client Secret (Segredo do Cliente) na conexão existente do Unity Catalog. Não crie uma nova conexão.
Ao criar uma conexão por meio da interface do usuário do Lakewatch, selecione a cloud da Microsoft em que seu tenant está em execução (commercial para o serviço global incluindo GCC, gcc_high ou dod) e insira a ID do Cliente , o Segredo do Cliente e a ID do Tenant que você copiou nos passos anteriores.
Os passos seguintes
Após concluir a configuração acima, crie uma fonte de dados com o conector do Microsoft Graph na interface do usuário do Lakewatch. Consulte Conectores de API para obter instruções.
Esquemas do conector e Lakewatch
O conector ingere a seguinte tabela de origem do esquema de origem default:
Tabela de origem | Dados do Microsoft Graph | Analisador Lakewatch integrado |
|---|---|---|
| Alertas de segurança da API de segurança |
|
O conector grava a tabela de origem no destino bruto da fonte de dados. O parser integrado grava uma tabela analisada separada com o nome do parser, a menos que você defina um destino analisado ao configurar a fonte de dados.
Colunas gerenciadas por Lakewatch
O conector usa o campo de origem id como a key primária não nula e o campo de origem lastUpdateDateTime como o cursor para ingestão incremental, portanto, cada sincronização também ingere alertas que foram alterados desde a última execução. Diferente de conectores que sintetizam um ID do Lakewatch, este conector não adiciona uma coluna lw_id. O analisador atribui a coluna time analisada do campo de origem firstActivityDateTime.
Para pipelines criados pelo Lakewatch, o conector também adiciona estas colunas à tabela bruta e a tabela analisada as transporta:
lw_meta: Metadados de processamento padrão do Lakewatch.lw_observables: Valores extraídos de campos marcados como observáveis de segurança no analisador.
Consulte Referência de analisador.
Esquema da tabela do conector brutos
O esquema a seguir inclui os campos de alerta de segurança do Microsoft Graph. Para obter definições de campo, consulte a Referência do conector de Logs do Microsoft gráfico e a Documentação do tipo de recurso de alerta da Microsoft.
Esquema
Column | Data type |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Observáveis do parser
O parser microsoft_graph_security_alert grava objetos aninhados como VARIANT e extrai os seguintes campos para lw_observables.
Observáveis
Field | Observable |
|---|---|
|
|
Os campos em evidence dependem do tipo de cada entidade de evidência, como um dispositivo ou arquivo. O parser verifica evidence e extrai valores para lw_observables correspondendo aos nomes dos subcampos. A correspondência não diferencia maiúsculas de minúsculas.
Observáveis de evidência
| Observable |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|