Een SIEM-integratie moet een analist helpen een authenticatievoorwaarde te onderzoeken, en niet een incident creëren voor elke mislukte rij met verzamelde rapporten. Kies een specifieke bestemming en workflow. Deze handleiding maakt gebruik van Azure Monitor-opname en Microsoft Sentinel-incidentbeheer als gedocumenteerd ontwerpvoorbeeld, met voorgestelde toewijzingen en hypothetische beslissingen in plaats van een geclaimde EmailAuth integratie.
Scheid observatie van vondst
Een samengesteld rapport registreert authenticatie-evaluaties. Een bevinding voegt interpretatie toe, zoals een goedgekeurde afzender van facturen die onverwachts verliest uitlijning. Behoud de bewijspopulatie, het tijdsbereik, de bekende afzender, het vertrouwen en de zakelijke impact. RFC 9990 verzorgt de rapportagesemantiek; er wordt niet vastgesteld dat elke fout kwaadwillig is of dat er een incident moet worden geopend.
Gebruik een begrensde correlatiesleutel die het klantbereik, het domein, de afzender en de voorwaarde bevat. Vermijd het plaatsen van berichtteksten of adressen van ontvangers in de gebeurtenis wanneer metagegevens en een door toegang gecontroleerde bewijsreferentie voldoende zijn. Vermeld de tijd van optreden en de tijd van opname afzonderlijk, zodat vertraagd bewijsmateriaal niet wordt aangezien voor een huidige storing.
Breng een werkelijke opnamegrens in kaart
Documentatie over de Logs Ingestion API van Azure Monitor beschrijft het verzenden van gegevens via een gegevensverzamelingsregel naar een doeltabel, met de bijbehorende authenticatie en machtigingen. Voor een implementatie zijn het daadwerkelijke tabelschema, de stream, het eindpunt, de DCR en de geautoriseerde identiteit nodig. Een succesvolle JSON-serialisatie alleen bewijst niet dat de service de gebeurtenis heeft geaccepteerd of geïndexeerd.
Een voorgestelde toewijzing wijst de waarde event_time toe aan TimeGenerated en definieert aangepaste kolommen TenantScope_s, Domain_s, FindingType_s, EvidenceRef_s, CorrelationKey_s, Severity_s en SchemaVersion_s. Deze aangepaste namen zijn een voorgesteld schema en geen ingebouwde Sentinel-velden. TenantScope_s is een applicatiecorrelatielabel; het dwingt geen Azure-tenantisolatie of -machtigingen af. Configureer en test de toegang afzonderlijk.
Correleer en beheer het incident
Bepaal of analyseregels incidenten creëren op basis van opgenomen gegevens of dat een geautoriseerde adapter incidenten rechtstreeks beheert. Vermijd het uitvoeren van beide paden zonder ontdubbeling. De Sentinel-incidenten maken of updaten API documenteert een PUT-bewerking tegen een specifiek incident-ID voor versie 2025-09-01, met de vereiste titel-, ernst- en statusvelden. Pin de daadwerkelijke versie in de implementatie en ga om met gelijktijdigheid in plaats van het werk van een analist blindelings te overschrijven.
Houd de correlatie-sleutel-naar-incident-ID-relatie vol. Wijs een afzonderlijke incident-ID toe voor elke vertrouwde sleutel op tenantniveau; Door één vast ID voor sleutels te hergebruiken, kan het incident van een andere klant worden overschreven. Valideer de tenantbinding vóór correlatie, aangezien een tenantreeks die wordt geleverd door een niet-vertrouwde gebeurtenis geen autoriteit is. Herhaalde observaties kunnen het bestaande incident bijwerken met aanvullend bewijsmateriaal in plaats van duplicaten te openen. Wijs een analist en een volgende actie toe. Bij de afsluiting moet worden vastgelegd wat er is onderzocht en waarom de uitkomst gerechtvaardigd is, met behulp van de ondersteunde status- en classificatievelden van de bestemming.
Houd klantcorrelatie en analistenbeslissingen gescheiden
Stel dat twee observaties van het uitlijningsverlies van dezelfde goedgekeurde afzender betrekking hebben op één klantspecifiek incident, terwijl een herhaalde levering van de eerste observatie geen dubbel bewijs toevoegt. De anderszins soortgelijke bevinding van een tweede klant moet overeenkomen met zijn eigen geautoriseerde bestemming en een duidelijke incidentidentiteit. Als u één vaste incident-ID voor beide sleutels opnieuw gebruikt, bestaat het risico dat de verkeerde record wordt overschreven, zelfs als het correlatielabel een tenantnaam bevat.
Daarnaast kan een analist het eerste incident afsluiten nadat hij een verwachte geplande test heeft bevestigd. Een late gebeurtenis mag die beslissing niet blindelings overschrijven of heropenen zonder de goedgekeurde levenscyclusregel. Bewaar het bestaande bewijsmateriaal, evalueer of de nieuwe waarneming de bevinding verandert en los gelijktijdige bewerkingen op met behulp van het bestemmingscontract. Dit zijn hypothetische beslissingen, geen daadwerkelijke incidenten, classificatieresultaten of uitgevoerde levenscyclustests.
Deze handleiding maakt geen DCR, verkrijgt geen token, neemt geen logboeken op en roept geen Sentinel API aan. Voordat u de productie accepteert, voert u een geautoriseerde testgebeurtenis uit via de echte bestemming, verifieert u geïndexeerde velden en huurdertoegang, oefent u dubbele levering uit en bevestigt u de afsluiting zonder niet-gerelateerde wijzigingen van analisten te overschrijven. Bewaar verzoek-ID's en waargenomen resultaten. Als er een fase ontbreekt, label de integratie dan als een gedocumenteerd ontwerp waarvan de uitvoering in behandeling is, en niet als een geïmplementeerd besturingselement.