Määritä Microsoft Defender for Endpoint virtautettavaksi kehittyneen metsästyksen tapahtumat Azure-tapahtumatoimintoihin

Koskee seuraavia:

• Microsoft Defender for Endpoint Plan 1
• Microsoft Defender for Endpoint

Haluatko kokeilla Defender for Endpointia? Rekisteröidy maksuttomaan kokeiluversioon.

Alkuvalmistelut

1. Luo tapahtumatoiminto vuokraajassasi.

2. Kirjaudu sisään Azure-vuokraajaan ja siirry kohtaan Tilaukset>Tilaus>Resurssintarjoajien>rekisteröinti Microsoft.insightsiin.

Ota raakatietojen virtauttaminen käyttöön

1. Kirjaudu Microsoft Defender portaaliinsuojauksen järjestelmänvalvojana.

2. Siirry Microsoft Defender portaalin Tietojen viennin asetukset -sivulle.

3. Valitse Lisää tietojen vientiasetukset.

4. Valitse uusille asetuksille nimi.

5. Valitse Välitä tapahtumat Azure-tapahtumatoimintoihin.

6. Kirjoita tapahtumatoimintojen nimi ja tapahtumatoimintojen resurssitunnus.

Jos haluat saada Tapahtumatoiminnot-resurssitunnuksen, siirry Azure-ominaisuuksien> välilehden > Azure-tapahtumatoimintojen nimitilasivulle kopioimalla teksti kohdassa Resurssitunnus:

7. Valitse tapahtumat, jotka haluat suoratoistaa, ja valitse Tallenna.

Azure-tapahtumatoimintojen tapahtumien rakenne

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the tenant that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}

• Jokainen Azure-tapahtumatoimintojen tapahtumakeskuksen viesti sisältää tietueluettelon.

• Jokainen tietue sisältää tapahtuman nimen, kellonajan, Microsoft Defender for Endpoint vastaanottamaan tapahtuman, sen vuokraajan, jolle tapahtuma kuuluu (saat tapahtumia vain vuokraajaltasi) ja tapahtuman JSON-muodossa ominaisuudessa nimeltä "ominaisuudet".

• Lisätietoja Microsoft Defender for Endpoint tapahtumien rakenteesta on kohdassa Kehittyneen metsästyksen yleiskatsaus.

• Lisämetsästyksessä DeviceInfo-taulukossa on sarake nimeltä MachineGroup , joka sisältää laitteen ryhmän. Tässä jokainen tapahtuma on koristeltu myös tällä sarakkeella. Lisätietoja on kohdassa Laiteryhmät.

  Huomautus

  Laiteryhmän luontia tuetaan Defender for Endpoint -palvelupaketti 1:ssä ja palvelupakettissa 2.

Tietotyyppien yhdistäminen

Voit hakea tapahtuman ominaisuuksien tietotyypit seuraavasti:

1. Kirjaudu sisään Microsoft Defender portaaliin ja siirry kehittyneen metsästyksen sivulle.

2. Suorita seuraava kysely, jotta saat kunkin tapahtuman tietotyyppien yhdistämismääritykset:

   {EventType}
   | getschema
   | project ColumnName, ColumnType 
   

• Tässä on esimerkki laitetietojen tapahtumasta:

  

Aiheeseen liittyviä artikkeleita

• Stream Microsoft Defender XDR tapahtumat | Microsoft Learn
• Kehittyneen metsästyksen yleiskatsaus
• Microsoft Defender for Endpoint suoratoiston ohjelmointirajapinta
• tapahtumien Stream Microsoft Defender for Endpoint Azure-tallennustiliisi
• Azure Event Hubs -dokumentaatio
• Yhteysongelmien vianmääritys – Azuren tapahtumatoiminnot