Wer Third-Party-Quellen an Microsoft Sentinel anbinden will, landet fast immer beim Azure Monitor Agent. Andreas und Phillipe gehen den kompletten Weg einmal durch: die Architektur vom Syslog-Daemon bis zum Log Analytics Workspace, der Unterschied zwischen Syslog und CEF samt Ziel-Tabellen, DCR-Anlage im Defender-Portal, das Deployment auf einer Linux-VM und was der Forwarder-Installer eigentlich tut (Spoiler: den AMA installiert er nicht). Danach die Prüfpunkte, wenn keine Daten ankommen: rsyslog-Config, mdsd- und QoS-Dateien, der lokale Config Cache und die Metrik "Logs Rows Received per Min" an der DCR. Dazwischen ein Appell in eigener Sache: Der Umzug von Sentinel ins Defender-Portal steht an, wer sich jetzt damit beschäftigt, kann noch gefahrlos hin- und herwechseln.

Kapitel
00:00 Intro: AMA und die MMA-Vorgeschichte
01:40 Architektur: vom Syslog-Daemon zum Workspace
04:00 Syslog vs. CEF und die Ziel-Tabellen
05:30 Einschub: Sentinel-Umzug ins Defender-Portal
11:24 Content Hub: die AMA-Connectoren
12:15 CEF-DCR anlegen und das Template verstehen
19:40 AMA aufs System bringen: DCR, Extension, Azure Arc
21:42 Was der Forwarder-Installer wirklich macht
26:00 Auf der Maschine: Status-Checks und rsyslog-Config
31:30 Installer ausführen und Testnachrichten senden
33:00 Advanced Hunting: die Events sind da
37:00 Troubleshooting: mdsd-Logs und QoS-Datei
38:50 DCR im Config Cache nachvollziehen
42:26 Lokales Caching des AMA
43:21 DCR-Metriken im Azure Portal
47:26 Phillipes Sentinel-Newsletter

Links

• [Phillipes Sentinel-Newsletter auf LinkedIn] – https://www.linkedin.com/newsletters/sentinel-weekly-7488681611912282114
• [Azure Monitor Agent – Syslog und CEF sammeln (Microsoft Learn)] – https://learn.microsoft.com/de-de/azure/sentinel/cef-syslog-ama-overview?tabs=single

Feedback und Themenwünsche gerne an uns auf LinkedIn.

https://www.linkedin.com/in/andreas-rogge-58a722180/

https://www.linkedin.com/in/phillipecdl/

The podcast introduces a format change, focusing on workbook discussions, errors, custom connectors, advanced hunting, workbooks export feature, data sources, analytics, extensive workbook features, advanced hunting and data lake, workbook size and query output, advanced hunting retention limit, workbook quota and API limit, and concludes with feedback and future plans.

Takeaways

• Workbook changes and features
• Advanced hunting and data sources

Chapters

• 00:00 Introduction and Podcast Format Change
• 01:27 Discussion on Workbook Changes
• 02:25 Workbook Error and Resolution
• 03:16 Workbook Custom Connector
• 04:14 Advanced Hunting and Custom Connector
• 06:04 Workbooks Export Feature
• 08:58 Data Sources and Analytics
• 10:26 Extensive Workbook Features
• 11:06 Advanced Hunting and Data Lake
• 13:19 Workbook Size and Query Output
• 14:04 Advanced Hunting Retention Limit
• 25:14 Workbook Quota and API Limit
• 27:35 Conclusion and Feedback

Das Gespräch behandelt die Einführung neuer Funktionen im Defender Portal, darunter Filter-Rule und Split-Rule, Data-Lake-Exploration, Advanced-Hunting-Integration, Workbook-Integration und die Erweiterung des Defender Portals. Außerdem geht es um Berechtigungen und Datenverwaltung innerhalb des Portals. Die Diskussion umfasst eine detaillierte Betrachtung des Setzens von Berechtigungen, des Importierens von Rollen, delegierten Zugriffs, granularer delegierter Administratorrechte (GDAP), Row-Level-Scoping-Berechtigungen sowie Troubleshooting im Azure Portal und Microsoft Defender XDR. Die Hosts sprechen zudem über zukünftige Themen und wie wichtig es ist, bei neuen Features und Konfigurationen auf dem Laufenden zu bleiben.

Takeaways

• Neue Funktionen im Defender Portal verbessern Datenverwaltung und -analyse
• Die Integration von Advanced Hunting in Workbooks vereinfacht Datenzugriff und -analyse
• Detaillierte Anleitung zum Setzen von Berechtigungen im Azure Portal
• Verständnis des Prozesses zum Importieren von Rollen in Microsoft Defender XDR

Kapitel

• 00:00 Einführung in die neuen Defender-Portal-Features
• 05:51 Data-Lake-Exploration und Advanced-Hunting-Integration
• 24:02 Workbook-Integration und Datenverwaltung
• 50:40 Erweiterung des Defender Portals und Berechtigungen
• 55:35 Rollen-Import für Microsoft Sentinel
• 01:03:28 Granulare delegierte Administratorrechte (GDAP)
• 01:15:25 Row-Level-Scoping-Berechtigungen für Sentinel-Tabellen
• 01:22:17 Troubleshooting und Zugriffskontrolle
• 01:32:33 Fazit und zukünftige Themen

The conversation delves into the topics of Agentics Talk, Security Copilot, and Microsoft Foundry. It provides insights into the landscape of Agentics, the role of Security Copilot in enhancing security operations, and the exploration of Microsoft Foundry as a platform for creating and managing agents. The conversation delves into the comparison between the granularity of Foundry and the limitations of Security Copilot. It also explores the licensing aspects of Microsoft Foundry and Agent 365, providing insights into the considerations for customer adoption.

Takeaways

• Agentics Talk
• Security Copilot
• Microsoft Foundry Granularity of Foundry
• Security Copilot limitations

Chapters

• 00:00 Exploring Microsoft Foundry
• 41:47 Granularity of Foundry vs. Security Co-Pilot
• 55:57 Microsoft Foundry and Agent 365 Licensing

Das Gespräch beschäftigt sich mit der Einführung und Weiterentwicklung der Microsoft E7-Lizenz. Im Fokus stehen Preisgestaltung, Funktionsumfang und der Vergleich mit der E5-Lizenz. Außerdem wird beleuchtet, welchen Einfluss E7 auf Lizenzstrategien, KI und Sicherheitsherausforderungen hat sowie die Kundenadoption von Agent 365.

Darüber hinaus geht es um die Microsoft-Landschaft rund um Agenten und KI sowie die damit verbundenen Herausforderungen beim Management dieser Agenten. Ein weiterer Teil der Diskussion behandelt die Schwierigkeiten bei der Definition einer Agent Entry-ID, die Auswirkungen der Agentennutzung auf SOC-Detection und Analytics Rules in Microsoft Sentinel sowie den Aufbau eigener Detection-Logiken für Agenten. Abschließend werden wichtige Überlegungen zur Einführung und Implementierung von E7 diskutiert.

Wichtige Erkenntnisse

• Microsoft hat die E7-Lizenz angekündigt
• E7 bringt neue KI-Funktionalitäten mit
• Preis und Funktionsumfang im Vergleich zu E5 sind zentral zu bewerten
• E7 ist eine bedeutende Erweiterung im Microsoft-Portfolio
• Vor dem Kauf von E7 ist eine strategische Planung entscheidend

Kapitel

00:00 Herausforderungen beim Agenten-Management
25:35 Überlegungen zur Einführung und Implementierung von E7

Die Diskussion umfasst die Rolle von KI in der SOC-Technik, Datenschutz und Virtual Tools in Deutschland, die Implementierung von KI und MCP-Servern, die kritische Rolle des Menschen bei der KI-Nutzung, die Herausforderungen der KI-Nutzung in der Security und die Veränderung der Position von KI-Nutzern und Nicht-Nutzern. KI ist in vielen Tools bereits vorhanden und wird oft unbemerkt genutzt, während Datenschutz und die Verwendung von Virtual Tools in Deutschland ein großes Problem darstellen. Die Einführung von KI erfordert Unterstützung und Anleitung für diejenigen, die sich damit nicht beschäftigen wollen, und die Nutzung von KI führt zu einer Veränderung der Position von KI-Nutzern und Nicht-Nutzern. The conversation covers topics related to data integrity, AI adoption, Microsoft Foundry, ethical considerations, integration of third-party solutions, and recommendations for enterprise security and AI usage. It emphasizes the importance of data integrity in security and the cautious approach to AI usage, especially with sensitive data. The discussion also highlights the continuous improvement and optimization of AI, as well as the human interaction with AI in the context of security.

Takeaways

• KI ist in vielen Tools bereits vorhanden und wird oft unbemerkt genutzt
• Datenschutz und die Verwendung von Virtual Tools sind in Deutschland ein großes Problem
• Unterschiedliche Grundlagen und Hemmungen im Security-Kontext in Bezug auf KI und personenbezogene Daten
• KI ermöglicht schnelleres Arbeiten in verschiedenen Bereichen wie Detection Engineering und Dokumentation
• MCP-Server als zentrale Anlaufstelle für die Verbindung mit verschiedenen APIs
• Die Verwendung von KI erfordert eine kritische Evaluation und Kontrolle durch den Menschen
• Die Nutzung von KI führt zu einer Veränderung der Position von KI-Nutzern und Nicht-Nutzern
• Die Einführung von KI erfordert Unterstützung und Anleitung für diejenigen, die sich damit nicht beschäftigen wollen Data integrity is crucial in the context of security, and the use of AI can simplify this process.
• The use of AI should be approached with caution, especially when dealing with sensitive data.

Chapters

• 00:00 Die Veränderung der Position von KI-Nutzern und Nicht-Nutzern
• 23:10 Data Integrity and AI in Security
• 29:15 Continuous Improvement and Optimization of AI
• 35:41 Integration of Third-Party Solutions and Use Cases in Sentinel

Andreas und Phillipe stellen sich vor und diskutieren die Perspektiven in der Security-Branche, die Herausforderungen im SOC Engineering und den Blick in die Zukunft mit KI und neuen Tools.