Was ist Microsoft Sentinel data lake?
Microsoft Sentinel data lake ist ein speziell entwickelter, cloud-nativer Security Data Lake. Er nimmt große Mengen unterschiedlicher Sicherheitsdaten auf, speichert und analysiert sie in einem offenen, erweiterbaren Format. Durch die Zentralisierung der Sicherheitsdaten auf einer einzigen Plattform entstehen laut Microsoft tiefe Sichtbarkeit, Langzeitaufbewahrung und erweiterte Analysemöglichkeiten.
Der Dienst adressiert ein typisches Problem klassischer SIEM-Ansätze: Die Kosten und die Komplexität der Speicherung und Abfrage langfristiger Sicherheitsdaten führen dazu, dass Organisationen zwischen Abdeckung und Kosten wählen müssen. Microsoft Sentinel data lake ist vollständig verwaltet, Sie müssen also keine eigene Dateninfrastruktur betreiben oder pflegen. Es wird eine einzige Kopie der Sicherheitsdaten über Assets, Aktivitätsprotokolle und Threat Intelligence hinweg gehalten und über mehrere Analyse-Engines nutzbar gemacht.
Technisch setzt der Data Lake auf offene Parquet-Dateien für Interoperabilität und Erweiterbarkeit, trennt Storage und Compute und integriert sich nativ in Microsoft Sentinel SIEM und dessen Security-Operations-Workflows.
Kernfunktionen
- Zwei Speicher-Tiers: Analytics Tier für Hunting, Alerting und Incident Management sowie Data Lake Tier für kostengünstige Langzeitaufbewahrung von bis zu 12 Jahren
- Einheitliche Datenbasis über Microsoft Defender XDR, Drittanbieterquellen, Assets, Aktivitätsprotokolle und Threat Intelligence
- KQL-Query-Editor mit IntelliSense, Autocomplete und vollem KQL-Funktionsumfang inklusive Machine-Learning-Funktionen
- Jupyter Notebooks mit Python-Bibliotheken für Machine Learning, erweiterte Analysen und Visualisierungen
- Jobs zur einmaligen oder geplanten Promotion von Daten aus dem Lake- in den Analytics-Tier
- Aktivitäts-Audit für Datenzugriffe, Query-Events und Job-Verwaltung, standardmäßig aktiviert
- Kompatibilität mit allen bestehenden Microsoft-Sentinel-Datenconnectoren
Typische Anwendungsfälle
Langzeitaufbewahrung von Security-Telemetrie
Regulierte Unternehmen müssen Sicherheitsdaten über Jahre nachweisbar vorhalten. Der Data Lake Tier ist für Aufbewahrungszeiträume von bis zu 12 Jahren ausgelegt, ohne dass die Daten für Analysen unerreichbar werden.
Forensik und Incident Response
Bei der Aufarbeitung eines Sicherheitsvorfalls ist der historische Kontext entscheidend. Über KQL-Abfragen und Notebooks lassen sich zurückliegende Zeiträume auswerten und relevante Daten gezielt in den Analytics Tier befördern.
Anomalieerkennung mit eigenen Modellen
Security-Data-Science-Teams nutzen Jupyter Notebooks mit Python-Bibliotheken, um eigene Machine-Learning-Modelle auf den Rohdaten zu betreiben und Ergebnisse regelmäßig zu aktualisieren.
Konsolidierung heterogener Sicherheitsquellen
Neben Microsoft-Quellen lassen sich Firewall-, Proxy-, DNS-, EDR- und Identitätsprotokolle über die vorhandenen Sentinel-Connectoren zusammenführen und gemeinsam auswerten.
Vorteile
- Kostensteuerung durch gestufte Speicherung, bedarfsgerechte Datenpromotion und eine einzige Datenkopie
- Vollständig verwaltet: keine eigene Dateninfrastruktur erforderlich
- Offenes Parquet-Format sowie Trennung von Storage und Compute für Interoperabilität und Flexibilität
- Mehrere Analyse-Engines auf derselben Datenbasis: KQL für Abfragen, Python-Notebooks für vertiefte Analysen
- Native Integration in Microsoft Sentinel SIEM und die bestehenden Security-Operations-Workflows
- Nachvollziehbarkeit durch standardmäßig aktiviertes Auditing
Integration mit innFactory
Als Microsoft Solutions Partner unterstützt innFactory Sie bei der Einführung von Microsoft Sentinel data lake: Bewertung Ihrer bestehenden Datenquellen und Retention-Anforderungen, Aufteilung der Daten auf Analytics- und Data-Lake-Tier, Aufbau von KQL-Abfragen und Notebook-basierten Analysen sowie die Einbettung in Ihre Security-Operations-Prozesse.
Ergänzend beraten wir zur Architektur Ihres Azure-Sicherheits- und Datenstacks, etwa im Zusammenspiel mit Microsoft Defender, Microsoft Entra ID und Azure Monitor. Kontaktieren Sie uns für eine unverbindliche Beratung.
Typische Anwendungsfälle
Technische Spezifikationen
Häufig gestellte Fragen
Wie lange lassen sich Daten im Microsoft Sentinel data lake aufbewahren?
Der Data-Lake-Tier ist laut Microsoft für die kosteneffiziente Aufbewahrung großer Mengen an Sicherheitsdaten für bis zu 12 Jahre ausgelegt. Details zu Tiers und Retention beschreibt Microsoft unter 'Manage data tiers and retention in Microsoft Defender portal'.
Was ist der Unterschied zwischen Analytics Tier und Data Lake Tier?
Der Analytics Tier ist der bestehende Microsoft-Sentinel-Datentier für Advanced Hunting, Alerting und Incident Management und auf hochperformante Analysen sowie Echtzeitverarbeitung ausgelegt. Der Data Lake Tier bietet zentrale Langzeitspeicherung für Abfragen und Python-basierte Analysen. Daten aus dem Analytics Tier werden in den Lake Tier gespiegelt, sodass nur eine Kopie der Daten vorgehalten wird.
Welche Datenquellen lassen sich anbinden?
Der Data Lake arbeitet mit allen bestehenden Sentinel-Datenconnectoren. Microsoft nennt unter anderem alle Microsoft-Defender- und Microsoft-Sentinel-Datenquellen, Microsoft 365, Microsoft Entra ID, Microsoft Resource Graph, EDR-Plattformen, Firewall- und Netzwerklogs, Cloud-Infrastruktur-Telemetrie, Identitäts- und Zugriffslogs sowie DNS-, Proxy- und E-Mail-Telemetrie.
Mit welchen Werkzeugen werte ich die Daten aus?
Zur Verfügung stehen ein KQL-Query-Editor mit IntelliSense und Autocomplete sowie Jupyter Notebooks mit Python-Bibliotheken für Machine Learning, erweiterte Analysen und Visualisierungen. Beide Werkzeuge können Jobs erzeugen, die Daten vom Lake- in den Analytics-Tier befördern.
Werden Zugriffe auf den Data Lake protokolliert?
Ja. Microsoft Sentinel data lake protokolliert Aktivitäten im Lake, darunter Datenzugriffe über KQL-Abfragen, das Ausführen von Notebooks sowie das Anlegen, Bearbeiten, Ausführen und Löschen von Jobs. Das Auditing ist standardmäßig aktiviert.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von Azure (offizielle Dokumentation). Diese Seite stellt kein Angebot von Azure dar.
