保护 Microsoft Sentinel 中的 MSSP 知识产权

重要

注意：所有 Microsoft Sentinel 功能将根据 世纪互联发布的公告 于 2026年8月18日在中国地区的 Azure 正式停用。

本文介绍托管安全服务提供商（MSSP）可用于保护他们在Microsoft Sentinel中开发的知识产权的方法，例如Microsoft Sentinel分析规则、搜寻查询、运行簿和工作簿。

选择的方法取决于每个客户如何购买 Azure：无论是您作为云解决方案提供商 (CSP) 行事，还是客户拥有企业协议 (EA) / 预付 (PIA)账户。下面各部分分别介绍了每种方法。

保护云解决方案提供商（CSP）环境中的 MSSP 知识产权

作为云解决方案提供商（CSP）如果您转售Azure，则需要管理客户的Azure订阅。借助代表管理员 (AOBO)，合作伙伴管理员代理可以管理客户的订阅；在你的 MSSP 租户中，管理员代理组中的用户（即其成员负责管理客户订阅的 Partner Center 角色）会被授予客户 Azure 订阅的“所有者”访问权限，而客户默认无权访问。

如果 MSSP 租户中的其他用户在管理员代理组外部需要访问客户环境，建议使用 Azure Lighthouse。 Azure Lighthouse 允许你通过内置角色之一，授予拥有特定范围（如资源组或订阅）访问权限的用户或组。

如果你需要为客户用户提供 Azure 环境的访问权限，我们建议你在资源组层面授予访问权限，而不是整个订阅，这样你可以根据需要显示或隐藏环境的部分内容。

例如：

可以向客户授予对其应用程序所在的多个资源组的访问权限，但仍将Microsoft Sentinel工作区保留在客户没有访问权限的单独资源组中。
使用此方法可以使客户能够查看选定的工作簿和 playbook，它们是可驻留在其各自资源组中的独立资源。

即使客户在资源组级别授予访问权限，也有权访问其可以访问的资源的日志数据，例如 VM 中的日志，即使无法访问Microsoft Sentinel也是如此。有关详细信息，请参阅按资源对Microsoft Sentinel数据进行管理访问。

提示

如果您需要为客户提供对整个订阅的访问权限，请参阅企业协议 (EA) / 预付款 (PIA)中的相关指南。

Microsoft Sentinel CSP 体系结构示例

下图描述了云解决方案提供商（CSP）部分中所述的 CSP 权限在向 CSP 客户提供访问权限时如何工作：

展示如何面向 CSP 客户保护您的 Microsoft Sentinel 知识产权的示意图。

这张图像中：

拥有对 CSP 订阅的 Owner 访问权限的用户是 MSSP Microsoft Entra 租户中的管理员代理组内的用户。
MSSP 中的其他组可通过Azure Lighthouse访问客户环境。
客户对Azure资源的访问权限由资源组级别的 Azure RBAC 管理。

在资源组级别管理客户访问权限允许 MSSP 根据需要隐藏Microsoft Sentinel组件，例如分析规则和搜寻查询。

有关详细信息，请参阅 Azure Lighthouse 文档。

企业协议 (EA)/提前支付 (PIA)

如果客户直接从Microsoft购买，则客户已拥有对Azure环境的完全访问权限，并且无法隐藏客户Azure订阅中的任何内容。

相反，根据需要保护的资源类型，保护Microsoft Sentinel中开发的知识产权，如下所示：

分析规则和搜寻查询

分析规则和搜寻查询都包含在Microsoft Sentinel中，因此无法与Microsoft Sentinel工作区分开。

即使用户只有 Microsoft Sentinel 阅读者权限，他们也可以查看查询。由于读取者权限仍公开查询，因此我们建议在自己的 MSSP 租户而不是客户租户中托管分析规则和搜寻查询。

为此，需要在自己的租户中启用Microsoft Sentinel工作区，还需要通过 Azure Lighthouse 查看客户工作区。

若要在引用客户租户中的数据的 MSSP 租户中创建分析规则或搜寻查询，必须使用 workspace 语句，如下所示：

workspace('<customer-workspace-explicit-identifier>').SecurityEvent
| where EventID == '4625'

在将workspace语句添加到分析规则时，请考虑以下内容：

使用客户的显式工作区标识符：在跨工作区查询中使用客户工作场所标识符以获得最佳性能。有关详细信息，请参阅跨工作区查询的标识符格式。
客户工作区无警报：以这种方式创建的规则不会在客户工作区创建警报或事件。警报和事件只会存在于 MSSP 工作区中。
为每个客户创建独立的警报：在创建跨工作空间分析规则时，我们也建议为每个客户和检测使用不同的警报规则，因为每个情况下的工作区语句都不同。

可以将客户名称添加到预警规则名称中，以便轻松识别触发警报的客户。单独的警报可能会导致大量规则，你可能希望使用脚本或以代码形式的Microsoft Sentinel来管理。

例如：
为每个客户创建独立的 MSSP 工作区：为每个客户和检测创建独立规则可能导致工作区的分析规则数量达到最大（512）。如果你有很多客户并预计将达到此限制，则可能需要为每位客户创建一个单独的 MSSP 工作区。

例如：

重要

成功使用跨工作区分析规则的关键是使用自动化跨工作区管理大量规则。

有关详细信息，请参阅跨工作区的分析规则

工作簿

如果你开发了不希望客户复制的Microsoft Sentinel工作簿，请先确保你能够通过Azure Lighthouse访问客户工作区。然后在 MSSP 租户中托管工作簿，并将其修改为使用这些客户工作区。

例如：

跨工作区的工作簿

有关详细信息，请参阅跨工作区的工作簿。

如果希望客户能够查看工作簿可视化效果，同时仍保留代码机密，建议将工作簿导出到Power BI。

将工作簿导出到Power BI：

这让工作簿可视化更易于分享：你可以向客户发送一个指向 Power BI 仪表盘的链接，让他们无需 Azure 访问权限即可查看报告的数据。
启用调度：配置 Power BI 定期发送包含该时间仪表盘快照的邮件。

有关详细信息，请参阅将 Azure Monitor 日志数据导入 Power BI 中。

playbook

可以按以下方式保护 playbook，具体取决于触发 playbook 的分析规则的创建位置：

在MSSP 工作区中创建的分析规则：请确保在 MSSP 租户中创建剧本，并确保所有事件和警报数据均来自 MSSP 工作区。可在工作区中创建新规则时，请附加 playbook。

例如：
在客户工作区创建的分析规则：使用 Azure Lighthouse 将客户工作区的分析规则附加到托管在 MSSP 工作区中的操作手册。在这种情况下，playbook 将从客户工作区中获取警报和事件数据以及所有其他客户信息。

例如：