Security & Compliance

Microsoft Sentinel

Allgemeine Infos

Microsoft Sentinel sammelt Sicherheitsdaten aus Microsoft-Diensten, Firewalls, Servern, Cloud-Plattformen und Fachanwendungen, korreliert sie mit Analyseregeln und erzeugt Vorfälle, die Analysten untersuchen. Playbooks auf Basis von Logic Apps und Automatisierungsregeln reagieren automatisch, etwa durch Sperren eines Kontos. Bis 2021 hieß der Dienst Azure Sentinel.

Sentinel läuft im Microsoft-Defender-Portal allgemein verfügbar, auch für Kunden ohne Defender XDR oder E5-Lizenz. Microsoft stellt die Nutzung im Azure-Portal ein: Nach dem 31. März 2027 wird Sentinel dort nicht mehr unterstützt und nur noch im Defender-Portal bereitgestellt. Neue Kunden, die seit Juli 2025 ihren ersten Workspace mit den Rollen Besitzer oder Benutzerzugriffsadministrator anlegen, werden automatisch ins Defender-Portal aufgenommen.

Mit dem Sentinel Data Lake gibt es neben dem Analytics-Tier eine günstigere Speicherstufe für große, selten abgefragte Datenmengen, sie ersetzt frühere Meter wie Langzeitaufbewahrung, Suche und Auxiliary Logs. Abgrenzung: Defender for Cloud bewertet und schützt Cloud-Workloads, Sentinel ist die übergreifende Auswertung und Reaktion.

Funktionsweise & Details

Sentinel baut auf einem Log-Analytics-Workspace auf:

  1. Datenkonnektoren und der Content Hub binden Quellen an, etwa Entra ID, Microsoft 365, Defender, Azure-Aktivität, Syslog/CEF über den Azure Monitor Agent oder APIs von Drittanbietern.
  2. Analyseregeln (geplante KQL-Abfragen, Near-Real-Time, Microsoft-Regeln) erzeugen Warnungen, die zu Vorfällen zusammengefasst werden. Im Defender-Portal übernimmt die Korrelations-Engine von Defender XDR diese Aufgabe, Fusion wird dort deaktiviert.
  3. Analysten untersuchen Vorfälle, nutzen Hunting-Abfragen, Watchlists und Threat Intelligence.
  4. Automatisierungsregeln und Playbooks reagieren automatisch oder auf Knopfdruck.
  5. Daten liegen im Analytics-Tier (schnelle Abfragen, Erkennungsregeln) oder im Data-Lake-Tier (günstig, für Langzeit und Forensik).

Beim Umzug ins Defender-Portal ändern sich Rechte (Unified RBAC), APIs für Vorfälle (Microsoft Graph Security API) und einige Felder, etwa fehlt im SecurityIncident-Table das Feld Description. Benutzerdefinierte Erkennungsregeln können dort Sentinel- und XDR-Tabellen gemeinsam abfragen.

Vorteile & Nutzen

  • Zentrale Sicht: Ereignisse aus Cloud, lokalen Systemen und Drittanbietern laufen in einer Konsole zusammen.
  • Automatisierte Reaktion: Playbooks verkürzen die Zeit zwischen Erkennung und Eindämmung.
  • Kein eigener SIEM-Betrieb: Speicher, Skalierung und Updates übernimmt Microsoft.
  • Kostenlose Quellen: Azure-Aktivitätsprotokolle, Office-365-Auditprotokolle und Warnungen der Defender-Produkte verursachen keine Aufnahmekosten.
  • Enge Verzahnung mit Defender XDR: Im Defender-Portal bilden SIEM und XDR eine gemeinsame Vorfallswarteschlange.

Praxisbeispiel

Ein Logistikdienstleister mit 1.000 Mitarbeitenden und eigenem kleinen SOC-Team führt Sentinel ein, um die NIS2-Anforderungen an Erkennung und Meldung von Sicherheitsvorfällen zu erfüllen. Die IT bindet Entra ID, Microsoft 365, die Defender-Produkte, die Firewalls per Syslog und die Domänencontroller an und legt Firewall-Rohlogs in den Data-Lake-Tier. Ein Playbook sperrt bei bestätigtem Kontodiebstahl das Konto und erstellt ein Ticket. Weil der Workspace noch im Azure-Portal läuft, plant das Team den Umzug ins Defender-Portal für das erste Quartal 2027 und passt Automatisierungsregeln an.

Worauf sollte man achten?

  • Plane den Wechsel ins Defender-Portal vor dem 31. März 2027 und prüfe Automatisierungsregeln, die auf Vorfalltitel oder das Feld Description bauen.
  • Steuere Kosten über das Datenvolumen: Nur erkennungsrelevante Daten ins Analytics-Tier, Massendaten in den Data Lake, Commitment Tiers ab 100 GB pro Tag prüfen.
  • Pflege Analyseregeln aktiv und tune Fehlalarme, sonst überlastet die Vorfallswarteschlange das Team.
  • Trenne Rechte für Analysten, Regelautoren und Administratoren und prüfe die Zuordnung zu Unified RBAC vor dem Umzug.
  • Lege Aufbewahrungszeiten passend zu Vorgaben aus NIS2, Verträgen und Datenschutz fest.

Lizenz & Verfügbarkeit

Abrechnung nach Datenvolumen: Analytics-Tier per Pay-as-you-go pro GB oder über Commitment Tiers ab 100 GB pro Tag, Data-Lake-Tier getrennt nach Aufnahme, Verarbeitung, Speicher und Abfragen. Kostenlos sind u. a. Azure-Aktivitätsprotokolle, Office-365-Auditprotokolle und Warnungen der Defender-Produkte. Testphase: 31 Tage lang 10 GB pro Tag frei je Workspace. Die Nutzung im Defender-Portal kostet nichts zusätzlich und setzt keine E5-Lizenz voraus. Stand: Oktober 2026.

Fazit

Sentinel ist das SIEM im Microsoft-Ökosystem und für NIS2-pflichtige Unternehmen ein naheliegender Baustein. Bereite den Wechsel ins Defender-Portal rechtzeitig vor und steuere die Kosten über das Datenvolumen.

Weiterführende Links

Verwandte Artikel