借助 SIEM 迁移体验迁移到 Microsoft Sentinel

重要

注意：根据世纪互联发布的公告，Azure 中国区中的所有 Microsoft Sentinel 功能将于2026 年 8 月 18 日正式停用。

将所有安全监视用例的 SIEM 迁移到 Microsoft Sentinel。 SIEM 迁移体验中的自动帮助简化了迁移。

SIEM 迁移体验中当前包括以下功能：

Splunk

此方案侧重于将 Splunk 安全监控迁移到 Microsoft Sentinel，并尽可能映射开箱即用的 (OOTB) 分析规则。
此体验支持将 Splunk 检测迁移为 Microsoft Sentinel 分析规则，包括映射 Splunk 数据源和查找表。

先决条件

你需要从源 SIEM 系统获取以下内容：

Splunk

该迁移体验与 Splunk Enterprise 和 Splunk Cloud 版本兼容。
如需导出所有 Splunk 警报，则需要 Splunk 管理员角色。有关详细信息，请参阅 Splunk 基于角色的用户访问。
将历史数据从 Splunk 导出到 Log Analytics 工作区中的相关表。有关详细信息，请参阅从 Splunk 导出历史数据。

你需要在目标 Microsoft Sentinel 上满足以下要求：

SIEM 迁移体验会部署分析规则。此功能需要 Microsoft Sentinel Contributor 角色。有关详细信息，请参阅 Microsoft Sentinel 中的权限。
将以前在源 SIEM 中使用的安全数据引入 Microsoft Sentinel。在转换和启用分析规则之前，该规则的数据源必须存在于 Log Analytics 工作区中。在 内容中心 中安装并启用开箱即用 (OOTB) 数据连接器，以匹配源 SIEM 中的安全监控环境。如果不存在任何数据连接器，请创建自定义引入管道。

有关详细信息，请参阅以下文章：
- 发现和管理 Microsoft Sentinel 现成内容
- 自定义数据引入和转换
根据 Splunk 查找表创建 Microsoft Sentinel 监视列表，以便将所使用的字段映射到已转换的分析规则中。

翻译 Splunk 检测规则

Splunk 检测规则的核心是搜索处理语言 (SPL)。 SIEM 迁移体验会系统地将每个 Splunk 规则的 SPL 转换为 Kusto 查询语言 (KQL)。请仔细审查所做的转换并进行调整，以确保迁移的规则在 Microsoft Sentinel 工作区中按预期运行。有关转换检测规则时的重要概念的更多信息，请参阅迁移 Splunk 检测规则。

当前功能：

将 Splunk 检测映射到 OOTB Microsoft Sentinel 分析规则。
通过单一数据源转换简单查询。
针对文章 Splunk to Kusto cheat sheet 中列出的映射关系，将 SPL 自动转换为 KQL。
架构映射（预览版）通过将 Splunk 数据源映射到 Microsoft Sentinel 表以及将 Splunk 查找映射到监视列表，为转换后的规则创建逻辑链接。
转换后查询评审提供具有编辑功能的错误反馈，以节省转换检测规则过程中所用的时间。
转换状态，表示 SPL 语法在语法级别转换成 KQL 的完整程度。
支持在 SPL 查询中使用内联替换宏定义进行 Splunk 宏翻译。
从 Splunk 通用信息模型 (CIM) 到 Microsoft Sentinel 的高级安全信息模型 (ASIM) 的转换支持。
可下载的迁移前和迁移后摘要。

开启 SIEM 迁移体验

从 Azure 门户的内容管理>内容中心下，找到 Microsoft Sentinel 中的 SIEM 迁移体验。
选择“SIEM 迁移”。

屏幕截图显示了 Azure 门户的内容中心，其中包含 SIEM 迁移体验的菜单项。

上传 Splunk 检测

在 Splunk Web 中，从“应用”面板中选择“搜索和报告”。

运行以下查询：

|rest splunk_server=local count=0 /servicesNS/-/-/saved/searches
|search disabled=0 
|search alert_threshold != ""
|table title,search,description,cron_schedule,dispatch.earliest_time,alert.severity,alert_comparator,alert_threshold,alert.suppress.period,id
|tojson|table _raw
|rename _raw as alertrules|mvcombine delim=", " alertrules
|append [| rest splunk_server=local count=0 /servicesNS/-/-/admin/macros|table title,definition,args,iseval|tojson|table _raw |rename _raw as macros|mvcombine delim=", " macros]
|filldown alertrules
|tail 1

选择导出按钮，然后选择 JSON 作为格式。
保存文件。
上传导出的 Splunk JSON 文件。

注意

Splunk 导出内容必须是有效的 JSON 文件，上传大小限制为 50 MB。

显示“上传文件”选项卡的屏幕截图。

配置规则

选择“配置规则”。
查看对 Splunk 导出的分析。
- “名称”是原始 Splunk 检测规则名称。
- “转换类型”指示 Sentinel OOTB 分析规则是否与 Splunk 检测逻辑相匹配。
- 转换状态反映了 Splunk 检测语法被转换为 KQL 的完整程度。转换状态不测试规则或验证数据源。
  - 已完全转换 - 此规则中的查询已完全转换为 KQL，但规则逻辑和数据源尚未经过验证。
  - 部分已翻译 - 此规则中的查询语句未完全翻译为 KQL。
  - 未转换 - 指示转换时出错。
  - 已手动转换 - 编辑并保存任何规则时都会设置此状态。
突出显示一条用于解决翻译问题的规则，然后选择编辑。如果对结果满意，请选择“保存更改”。
对于要部署的分析规则，打开“部署”切换开关。
审查完成后，请选择“审查并迁移”。

部署分析规则

选择“部署”。

翻译类型	已部署资源
开箱即用	已安装“内容中心”中包含匹配分析规则模板的相应解决方案。匹配的规则在禁用状态下部署为活动分析规则。有关详细信息，请参阅管理分析规则模板。
自定义	规则在禁用状态下部署为活动分析规则。

（可选）选择“导出模板”以将所有转换的规则下载为 ARM 模板，以便在 CI/CD 或自定义部署过程中使用。
退出 SIEM 迁移体验之前，请选择“下载迁移摘要”以保留分析部署的摘要。

验证和启用规则

在 Microsoft Sentinel“分析”中查看已部署规则的属性。
- 所有已迁移的规则在部署时均带有前缀 [Splunk Migrated]。
- 所有已迁移的规则均已禁用。
- 在可能的情况下，从 Splunk 导出时会保留以下属性：
  Severity
  queryFrequency
  queryPeriod
  triggerOperator
  triggerThreshold
  suppressionDuration
在查看并验证规则后启用它们。

Last updated on 2026-08-28