使用基于 Windows 代理的数据连接器将 Microsoft Sentinel 连接到其他 Microsoft 服务

本文介绍如何使用基于 Windows 代理的连接将 Microsoft Sentinel 连接到其他 Microsoft 服务。 Microsoft Sentinel 使用 Azure Monitor Agent，为来自众多 Azure 和 Microsoft 365 服务、Amazon Web Services 以及各种 Windows Server 服务的数据采集提供内置的服务间支持。

Azure Monitor 代理使用数据收集规则 (DCR) 来定义要从每个代理收集的数据。 数据收集规则具有两个不同的优点：

• 批量管理集合设置，同时仍允许为部分计算机配置独立的特定范围设置。 这些规则独立存在于工作区与虚拟机之外，这意味着这些规则在定义后可在各种计算机和环境中重复使用。 请参阅为 Azure Monitor 代理配置数据收集。

• 生成自定义筛选器，以选择需要引入的确切事件。 Azure Monitor 代理使用这些规则在源头筛选数据，并且仅引入所需的事件，而将其他所有内容全部丢弃。 这可在数据引入成本方面节省大量的资金！

先决条件

• 必须对 Microsoft Sentinel 工作区拥有读取和写入权限。

• 若要从任何非 Azure 虚拟机系统中收集事件，必须先在该系统上安装并启用 Azure Arc，之后才能启用基于 Azure Monitor 代理的连接器。

  这包括：

  • 安装在物理计算机上的 Windows 服务器
  • 安装在本地虚拟机上的 Windows 服务器
  • 安装在非 Azure 云中虚拟机上的 Windows 服务器

• 对于 Windows 转发事件数据连接器：

  • 必须启用并运行 Windows 事件收集 (WEC)，并在 WEC 计算机上安装 Azure Monitor 代理。
  • 我们建议安装高级安全信息模型 (ASIM) 分析程序以确保完全支持数据规范化。 可以从 Azure-SentinelGitHub 存储库部署这些分析程序。|

• 从 Microsoft Sentinel 中的内容中心安装相关的 Microsoft Sentinel 解决方案。 有关详细信息，请参阅 发现和管理 Microsoft Sentinel 的开箱即用内容。

通过 GUI 创建数据收集规则

执行以下步骤，在 Microsoft Sentinel 门户中创建数据收集规则。

1. 在 Microsoft Sentinel 中，选择“配置”“数据连接器”>。 从列表中选择连接器，然后在“详细信息”窗格上选择“打开连接器”页面。 然后按照“ 说明 ”选项卡下的屏幕说明进行操作，如以下步骤中所述。

2. 确认您具有连接器页面上 Prerequisites 部分中所述的相应权限。 至少需要对Microsoft Sentinel工作区具有读取和写入权限。

3. 在“配置”下，选择“+ 添加数据收集规则”。 “创建数据收集规则”向导将在右侧打开。

4. 在基本信息下，输入规则名称，并指定要在其中创建数据收集规则 (DCR) 的订阅和资源组。 这不必与被监视的计算机及其关联对象所在的资源组或订阅相同，只要它们位于同一租户中即可。

5. 在“资源”选项卡中，选择“+ 添加资源”以添加将要应用数据收集规则的计算机。 “选择作用域”对话框将打开，并显示可用订阅的列表。 展开订阅以查看其资源组，然后展开资源组以查看可用的计算机。 列表中将显示 Azure 虚拟机和已启用 Azure Arc 的服务器。 你可以选中订阅或资源组的复选框以选择它们包含的所有计算机，也可以选择单个计算机。 选择完所有计算机后，选择应用。 此过程结束时，Azure Monitor 代理将安装在任何尚未安装该代理的选定计算机上。

6. 在“收集”选项卡上，选择要收集的事件：选择“所有事件”或选择“自定义”来指定其他日志，或者使用 XPath 查询来筛选事件。 在框中输入其结果符合用于收集事件的特定 XML 条件的表达式，然后选择 Add。 一个框中最多可输入 20 个表达式，一项规则中最多可有 100 个输入框。

   有关详细信息，请参阅 Azure Monitor 文档。

   注意

   • Windows 安全事件连接器还提供另外两个预构建的事件集，你可以选择收集：Common 和 Minimal。

   • Azure Monitor 代理仅支持 XPath 版本 1.0 的 XPath 查询。

   若要测试 XPath 查询的有效性，请使用带有 -FilterXPath 参数的 PowerShell cmdlet 命令 Get-WinEvent。 例如：

   $XPath = '*[System[EventID=1035]]'
   Get-WinEvent -LogName 'Application' -FilterXPath $XPath
   

   • 如果返回事件，则查询有效。
   • 如果收到消息“找不到任何与指定的选择条件匹配的事件”，则查询可能有效，但在本地计算机上没有匹配的事件。
   • 如果收到消息“指定的查询无效”，则查询语法无效。

7. 添加所有需要的筛选表达式后，选择“下一步：查看 + 创建”。

8. 看到“验证通过”消息时，选择“创建” 。

你将在连接器页上的“配置”下看到所有数据收集规则，包括使用 API 创建的数据收集规则。 你还可以在此处编辑或删除现有规则。

使用 API 创建数据收集规则

你还可以使用 API 创建数据收集规则；如果你要创建许多规则（比如说你是一名 MSSP），这可以简化你的工作。 以下是一个示例（以通过 AMA 获取 Windows 安全事件连接器为例），您可以将其用作创建规则的模板：

发送以下 PUT 请求以创建或更新定义事件源、目标Log Analytics工作区以及它们之间的数据流的数据收集规则。

请求 URL 和标头

PUT https://management.chinacloudapi.cn/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.Insights/dataCollectionRules/myCollectionRule?api-version=2019-11-01-preview

请求正文

以下 JSON 正文定义了 DCR 配置，包括Windows事件日志数据源、目标Log Analytics工作区以及将收集的事件路由到该工作区的数据流。

{
    "location": "chinaeast2",
    "properties": {
        "dataSources": {
            "windowsEventLogs": [
                {
                    "streams": [
                        "Microsoft-SecurityEvent"
                    ],
                    "xPathQueries": [
                        "Security!*[System[(EventID=) or (EventID=4688) or (EventID=4663) or (EventID=4624) or (EventID=4657) or (EventID=4100) or (EventID=4104) or (EventID=5140) or (EventID=5145) or (EventID=5156)]]"
                    ],
                    "name": "eventLogsDataSource"
                }
            ]
        },
        "destinations": {
            "logAnalytics": [
                {
                    "workspaceResourceId": "/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.OperationalInsights/workspaces/centralTeamWorkspace",
                    "name": "centralWorkspace"
                }
            ]
        },
        "dataFlows": [
            {
                "streams": [
                    "Microsoft-SecurityEvent"
                ],
                "destinations": [
                    "centralWorkspace"
                ]
            }
        ]
    }
}

有关详细信息，请参阅：

• Azure Monitor 中的数据收集规则 (DCR)
• 数据收集规则 API 架构

后续步骤

有关详细信息，请参阅：

• Microsoft Sentinel 解决方案目录