Több Microsoft Sentinel-munkaterület központi kezelése a munkaterület-kezelővel (előzetes verzió)

Megtudhatja, hogyan felügyelhet központilag több Microsoft Sentinel-munkaterületet egy vagy több Azure-bérlőn belül a munkaterület-kezelővel. Ez a cikk végigvezeti a munkaterület-kezelő kiépítésén és használatán. Akár globális vállalatról, akár felügyelt biztonsági szolgáltatóról (MSSP) van szó, a munkaterület-kezelő segít a hatékony skálázásban.

A munkaterület-kezelővel támogatott aktív tartalomtípusok a következők:

• Elemzési szabályok
• Automatizálási szabályok (a forgatókönyvek kivételével)
• Elemzők, mentett keresések és függvények
• Keresési és élő közvetítéses lekérdezések
• Munkafüzetek

Ha a Microsoft Sentinelt a Microsoft Defender portálra készíti fel, tekintse meg a Microsoft Defender több-bérlős felügyeletét.

Előfeltételek

• Legalább két Microsoft Sentinel-munkaterületre van szüksége. Egy kezelendő munkaterület, és legalább egy másik kezelendő munkaterület.
• A Microsoft Sentinel közreműködői szerepkör-hozzárendelése szükséges a központi munkaterületen (ahol a munkaterület-kezelő engedélyezve van), és a tag-munkaterület(ek)en a közreműködőnek kezelnie kell. A Microsoft Sentinel szerepköreivel kapcsolatos további információkért tekintse meg a Szerepkörök és engedélyek a Microsoft Sentinelben című témakört.
• Engedélyezze az Azure Lighthouse-t, ha több Microsoft Entra-bérlő munkaterületeit kezeli. További információ: Microsoft Sentinel-munkaterületek nagy léptékű kezelése.

Megfontolások

Egy központi munkaterületet úgy konfigurálhat, hogy az legyen az a környezet, amelyben összesíti a tag-munkaterületeken nagy léptékben közzéteendő tartalomelemeket és konfigurációkat. Hozzon létre egy új Microsoft Sentinel-munkaterületet, vagy használjon egy meglévőt központi munkaterületként.

A forgatókönyvtől függően vegye figyelembe az alábbi architektúrákat:

• A direct-link a legkevésbé összetett beállítás. Az összes tag-munkaterület vezérlése egyetlen központi munkaterülettel.
• A társfelügyelet olyan forgatókönyveket támogat, amelyekben egynél több központi munkaterületnek kell felügyelnie egy tag-munkaterületet. Például egy belső SOC-csapat és egy MSSP által egyidejűleg felügyelt munkaterületek.
• Az N szint olyan összetett forgatókönyveket támogat, amelyekben egy központi munkaterület egy másik központi munkaterületet irányít. Például egy több leányvállalatot kezelő konglomerátum, ahol az egyes leányvállalatok több munkaterületet is kezelnek.

Munkaterület-kezelő engedélyezése a központi munkaterületen

Engedélyezze a központi munkaterületet, miután eldöntötte, hogy melyik Microsoft Sentinel-munkaterület legyen a munkaterület-kezelő.

1. Lépjen a szülő-munkaterület Beállítások paneljére, és váltson a munkaterület-kezelő konfigurációs beállításán a "Munkaterület szülővé tétele" beállításra.

2. Ha engedélyezve van, megjelenik egy új menü, a Munkaterület-kezelő (előzetes verzió) a Konfiguráció területen.

   

Tag-munkaterületek előkészítése

A tag munkaterületek a munkaterület-kezelő által felügyelt munkaterületek. Néhány vagy az összes munkaterület előkészítése a bérlőben és több bérlőn is (ha az Azure Lighthouse engedélyezve van).

1. Lépjen a munkaterület-kezelőbe, és válassza a "Munkaterületek hozzáadása" lehetőséget
2. Válassza ki a munkaterület-kezelőbe felvenni kívánt tag-munkaterület(ek)et.
3. A sikeres előkészítés után a tagok száma nő, és a tag-munkaterületek megjelennek a Munkaterületek lapon.

Csoport létrehozása

A munkaterület-kezelői csoportok lehetővé teszik, hogy a munkaterületeket üzleti csoportok, függőlegesek, földrajzi területek stb. alapján csoportosítsa. Csoportok használatával párosíthatja a munkaterületekre vonatkozó tartalomelemeket.

1. Csoport létrehozása:

   • Egy munkaterület hozzáadásához válassza a Csoport hozzáadása lehetőséget>.
   • Több munkaterület hozzáadásához jelölje ki a munkaterületeket, és válassza ki a csoport hozzáadása>lehetőséget.

2. A Csoport létrehozása vagy frissítése lapon adja meg a csoport nevét és leírását.

3. A Munkaterületek kiválasztása lapon válassza a Hozzáadás elemet, és válassza ki a csoporthoz hozzáadni kívánt tag-munkaterületeket.

4. A Tartalom kiválasztása lapon kétféleképpen adhat hozzá tartalomelemeket.

   • 1. módszer: Válassza a Hozzáadás menüt, és válassza a Minden tartalom lehetőséget. A rendszer hozzáadja a központi munkaterületen jelenleg üzembe helyezett összes aktív tartalmat. Ez a lista egy időponthoz kötött pillanatkép, amely csak az aktív tartalmat választja ki, nem a sablonokat.
   • 2. módszer: Válassza a Hozzáadás menüt, és válassza a Tartalom lehetőséget. Megnyílik a Tartalom kiválasztása ablak, amely egyénileg kijelöli a hozzáadott tartalmat.

5. Szűrje a tartalmat igény szerint a Véleményezés + létrehozás előtt.

6. A létrehozás után nő a csoportok száma, és a csoportok megjelennek a Csoportok lapon.

A csoportdefiníció közzététele

Ezen a ponton a kijelölt tartalomelemek még nem lettek közzétéve a tag-munkaterület(ek)en.

1. Válassza ki a csoport >Közzétételi tartalmát.

   

   Tömeges közzétételhez jelölje ki többször a kívánt csoportokat, és válassza a Közzététel lehetőséget.

2. Az Utolsó közzététel állapot oszlop frissül, hogy tükrözze a Folyamatban állapotot.

3. Ha sikeres, az Utolsó közzététel állapot frissül a Sikeresnek megfelelően. A kijelölt tartalomelemek már léteznek a tag-munkaterületeken.

   Ha csak egy tartalomelem közzététele nem sikerül a teljes csoport számára, az Utolsó közzététel állapot a sikertelennek megfelelően frissül.

Hibaelhárítás

Minden közzétételi kísérlet tartalmaz egy hivatkozást, amely segít a hibaelhárításban, ha a tartalomelemek közzététele sikertelen.

1. A feladathibák részletei ablak megnyitásához válassza a Sikertelen hivatkozás lehetőséget. Megjelenik az egyes tartalomelemek és cél-munkaterület-párok állapota.

2. Szűrje a sikertelen elempárok állapotát .

   

A hiba gyakori okai például:

• A csoportdefinícióban hivatkozott tartalomelemek már nem léteznek a közzététel időpontjában (törölve).
• Az engedélyek a közzétételkor megváltoztak. A felhasználó például már nem Microsoft Sentinel-közreműködő, vagy már nem rendelkezik megfelelő engedélyekkel a tag-munkaterületen.
• A tag-munkaterület törölve lett.

Ismert korlátozások

• Csoportonként a közzétett műveletek maximális száma 2000. Közzétett műveletek = (tag-munkaterületek) * (tartalomelemek).
  Ha például 10 tag-munkaterület van egy csoportban, és 20 tartalomelemet tesz közzé a csoportban,
  közzétett műveletek = 10 * 20 = 200.
• Az elemzési és automatizálási szabályokhoz rendelt vagy csatolt forgatókönyvek jelenleg nem támogatottak.
• A saját tárterületen tárolt munkafüzetek jelenleg nem támogatottak.
• A Munkaterület-kezelő csak a központi munkaterületen közzétett tartalomelemeket kezeli. Nem kezeli a tag-munkaterület(ek)ből helyileg létrehozott tartalmakat.
• Jelenleg a tag-munkaterület(ek)ben központilag, a munkaterület-kezelőn keresztüli tartalom törlése nem támogatott.

API-referencia

• Munkaterület-kezelő hozzárendelési feladatok
• Munkaterület-kezelő hozzárendelések
• Munkaterület-kezelő konfigurációi
• Munkaterület-kezelő csoportok
• Munkaterület-kezelő tagok

Következő lépések

• Több bérlő kezelése a Microsoft Sentinelben MSSP-ként
• Microsoft Sentinel-incidensek kezelése egyszerre több munkaterületen
• MSSP szellemi tulajdon védelme a Microsoft Sentinelben