Sie betreiben drei Microsoft Sentinel-Arbeitsbereiche in verschiedenen Regionen. Sie benötigen ein einziges SOC-Dashboard, das die Anzahl der Incidents nach Schweregrad und Trends bei Anmeldefehlern über alle Arbeitsbereiche hinweg anzeigt, mit einem Zeitbereichs- und Arbeitsbereichsselektor. Außerdem müssen Sie Analysten schreibgeschützten Zugriff gewähren, ohne ihnen Schreibberechtigungen für die Arbeitsbereiche zu geben. Welche zwei Aktionen sollten Sie durchführen?

Um ein konsolidiertes SOC-Dashboard über mehrere Sentinel-Arbeitsbereiche hinweg zu erstellen, ist eine Azure Monitor-Arbeitsmappe die ideale Lösung. Sie unterstützt arbeitsbereichsübergreifendes KQL (Kusto Query Language) mithilfe der Syntax workspace('WorkspaceName').TableName und des union-Operators, um Daten aus verschiedenen Arbeitsbereichen zu aggregieren. Parameter in Arbeitsmappen ermöglichen es Benutzern, Zeitbereiche und Arbeitsbereiche dynamisch auszuwählen, was die Anforderungen erfüllt. Die Zuweisung der Rolle „Log Analytics Reader“ zu den Zielarbeitsbereichen stellt sicher, dass Analysten die Daten abfragen können, ohne Schreibberechtigungen zu erhalten. Die Rolle „Reader“ für die Arbeitsmappenressource ermöglicht den Zugriff auf das Dashboard selbst. Das Anheften eines Blatts an ein Azure-Dashboard ist unzureichend, da es keine arbeitsbereichsübergreifende Aggregation oder dynamische Parameter bietet. Der Export nach Power BI ist eine Option, aber eine Arbeitsmappe ist für diesen Anwendungsfall integrierter und flexibler, insbesondere für dynamische Abfragen. Die Migration aller Arbeitsbereiche in einen einzigen ist oft nicht praktikabel oder wünschenswert aus Gründen der Datenhoheit, Compliance oder Skalierung.