Die Sentinels Archiv
12 Episoden
44 Minuten
Seit dem 23. September gibt es ISOC, das Integrated Security Operations Center im Microsoft Defender-Portal, als Public Preview. Viel gelesen haben wir darüber, gesehen haben wir noch wenig: Testen können aktuell nur Tenants mit Defender Suite, E5 oder E7, die keinen aktiven Sentinel-Workspace haben. Und das trifft auf unsere Kunden fast nie zu.
Andreas und Phillipe sortieren, was bisher feststeht. ISOC ist kein neues Produkt, sondern ein Benefit: Defender-Daten sind direkt da, Cases, Workbooks und Automation laufen ohne Workspace, und ab dem 15. November sollen die Defender-Daten für berechtigte Kunden 90 statt 30 Tage vorgehalten werden. Für Nicht-Microsoft-Daten gibt es seit dem 1. Oktober ein eigenes Meter für 2,40 US-Dollar pro GB (US-Preis, regional abweichend). Dazu sprechen wir über Data Lake und Fabric, das Ende von Sentinel im Azure-Portal und darüber, wer jetzt was bekommt.
Im zweiten Teil geht es um Project Perception: sechs Agents in einem roten, blauen und grünen Team, die nacheinander arbeiten. Würden wir Detection Rules, die ein Agent schreibt, einfach so live nehmen? Eher nicht. Warum Human in the Loop hier eingebaut ist, was Unified RBAC damit zu tun hat und was wir zu den Kosten wissen, steht in den Kapiteln „Human in the Loop“ und „Voraussetzungen und Kosten“.
An ein paar Stellen waren wir im Gespräch ungenau. Bestehende Sentinel-Kunden bekommen ISOC zum Beispiel nicht automatisch, sie können ab dem 15. November wechseln, wenn die Lizenz passt. Die Einblendungen ordnen das mit der Microsoft-Doku ein.
Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe.
Kapitel
00:00 Intro
00:40 ISOC – ein Defender-SIEM?
05:55 Kein Produkt, ein Benefit
07:58 Zeitplan und 90 Tage Retention
11:51 Data Lake und Fabric
13:50 Wer bekommt was?
18:32 Ein Jahr Umbau
22:24 Project Perception: sechs Agents
27:33 Würdest du das live nehmen?
33:15 Human in the Loop
37:29 Voraussetzungen und Kosten
43:54 Das nehmen wir mit
Links
- ISOC in Microsoft Defender (Preview): https://learn.microsoft.com/defender-xdr/isoc-overview
- Data ingestion and billing for ISOC: https://learn.microsoft.com/defender-xdr/integrated-security-operations-data-billing-retention
- ISOC-Ankündigung und FAQ (Tech Community): https://techcommunity.microsoft.com/t5/microsoft-defender-xdr-blog/integrated-security-operations-center-in-microsoft-defender/ba-p/4559097
- Agent categories in Project Perception: https://learn.microsoft.com/security/agentic-security/agentic-security-agent-categories
- Project Perception (Produktseite mit FAQ): https://www.microsoft.com/en-us/security/business/ai-powered-cybersecurity/project-perception-agentic-system
Stand der Quellen: 30.10.2026.
Andreas und Phillipe sortieren, was bisher feststeht. ISOC ist kein neues Produkt, sondern ein Benefit: Defender-Daten sind direkt da, Cases, Workbooks und Automation laufen ohne Workspace, und ab dem 15. November sollen die Defender-Daten für berechtigte Kunden 90 statt 30 Tage vorgehalten werden. Für Nicht-Microsoft-Daten gibt es seit dem 1. Oktober ein eigenes Meter für 2,40 US-Dollar pro GB (US-Preis, regional abweichend). Dazu sprechen wir über Data Lake und Fabric, das Ende von Sentinel im Azure-Portal und darüber, wer jetzt was bekommt.
Im zweiten Teil geht es um Project Perception: sechs Agents in einem roten, blauen und grünen Team, die nacheinander arbeiten. Würden wir Detection Rules, die ein Agent schreibt, einfach so live nehmen? Eher nicht. Warum Human in the Loop hier eingebaut ist, was Unified RBAC damit zu tun hat und was wir zu den Kosten wissen, steht in den Kapiteln „Human in the Loop“ und „Voraussetzungen und Kosten“.
An ein paar Stellen waren wir im Gespräch ungenau. Bestehende Sentinel-Kunden bekommen ISOC zum Beispiel nicht automatisch, sie können ab dem 15. November wechseln, wenn die Lizenz passt. Die Einblendungen ordnen das mit der Microsoft-Doku ein.
Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe.
Kapitel
00:00 Intro
00:40 ISOC – ein Defender-SIEM?
05:55 Kein Produkt, ein Benefit
07:58 Zeitplan und 90 Tage Retention
11:51 Data Lake und Fabric
13:50 Wer bekommt was?
18:32 Ein Jahr Umbau
22:24 Project Perception: sechs Agents
27:33 Würdest du das live nehmen?
33:15 Human in the Loop
37:29 Voraussetzungen und Kosten
43:54 Das nehmen wir mit
Links
- ISOC in Microsoft Defender (Preview): https://learn.microsoft.com/defender-xdr/isoc-overview
- Data ingestion and billing for ISOC: https://learn.microsoft.com/defender-xdr/integrated-security-operations-data-billing-retention
- ISOC-Ankündigung und FAQ (Tech Community): https://techcommunity.microsoft.com/t5/microsoft-defender-xdr-blog/integrated-security-operations-center-in-microsoft-defender/ba-p/4559097
- Agent categories in Project Perception: https://learn.microsoft.com/security/agentic-security/agentic-security-agent-categories
- Project Perception (Produktseite mit FAQ): https://www.microsoft.com/en-us/security/business/ai-powered-cybersecurity/project-perception-agentic-system
Stand der Quellen: 30.10.2026.
27 Minuten
Seit dem 23. September können Kunden den Data Lake in Microsoft Sentinel ohne eigenes Onboarding nutzen. Gemerkt haben wir das zuerst bei einem Kunden: Im Table Management stand auf einmal "Data Lake" als Tier zur Auswahl, obwohl dort nie jemand etwas aktiviert hatte. Kurz danach war es bei allen unseren Kunden so.
Andreas zeigt im Defender-Portal, wie die neue Ansicht aussieht: Tier pro Tabelle, Lake-Tabellen direkt im Advanced Hunting und der Hinweis auf die Abfragekosten. Phillipe zeigt zum Vergleich einen Tenant, der vor dem 23.09. onboardet wurde, mit Data Lake Exploration. Dazu sprechen wir über die Retention-Lücke im Advanced Hunting, Fabric als Analyseschicht, die fehlenden KQL-Jobs und die Grenzen von Lake-Abfragen.
Am Ende steht eine Checkliste für den Umstieg. Welche Tabellen dürfen in den Lake, welche Regeln brechen dabei, und was kostet es, wenn Analysten regelmäßig Lake-Tabellen abfragen? Wo wir im Gespräch etwas ungenau waren, ordnen die Einblendungen das mit der Microsoft-Doku ein. Ein Beispiel ist Germany West Central: Laut Learn gibt es dort aktuell keinen Data Lake.
Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe.
Kapitel
00:00 Intro
00:40 Plötzlich Data Lake
03:40 Die neue Ansicht
05:16 Retention & Search Jobs
07:25 Fabric als Analyseschicht
08:44 Lake bleibt kalt
10:58 Kosten und Grenzen
13:15 Die alte Ansicht
15:08 Checkliste
19:10 Tabellen sortieren
21:51 Fazit
26:16 Das nehmen wir mit
Links
- What's new in Microsoft Sentinel (September 2026): https://learn.microsoft.com/azure/sentinel/whats-new
- Manage data tiers and retention: https://learn.microsoft.com/azure/sentinel/manage-data-overview
- Advanced hunting with Microsoft Sentinel data (Known issues): https://learn.microsoft.com/defender-xdr/advanced-hunting-microsoft-defender
- Run KQL queries on the Microsoft Sentinel data lake: https://learn.microsoft.com/azure/sentinel/datalake/kql-queries
- Plan costs and understand Microsoft Sentinel pricing and billing: https://learn.microsoft.com/azure/sentinel/billing
- Geographical availability and data residency: https://learn.microsoft.com/azure/sentinel/geographical-availability-data-residency
- Transform data using filter and split: https://learn.microsoft.com/azure/sentinel/transformation-filter-split
- ISOC in Microsoft Defender (Preview): https://learn.microsoft.com/defender-xdr/isoc-overview
Aufgenommen am 12.10.2026. Die besprochenen Erfahrungen und Produktstände beziehen sich auf diesen Zeitpunkt.
Andreas zeigt im Defender-Portal, wie die neue Ansicht aussieht: Tier pro Tabelle, Lake-Tabellen direkt im Advanced Hunting und der Hinweis auf die Abfragekosten. Phillipe zeigt zum Vergleich einen Tenant, der vor dem 23.09. onboardet wurde, mit Data Lake Exploration. Dazu sprechen wir über die Retention-Lücke im Advanced Hunting, Fabric als Analyseschicht, die fehlenden KQL-Jobs und die Grenzen von Lake-Abfragen.
Am Ende steht eine Checkliste für den Umstieg. Welche Tabellen dürfen in den Lake, welche Regeln brechen dabei, und was kostet es, wenn Analysten regelmäßig Lake-Tabellen abfragen? Wo wir im Gespräch etwas ungenau waren, ordnen die Einblendungen das mit der Microsoft-Doku ein. Ein Beispiel ist Germany West Central: Laut Learn gibt es dort aktuell keinen Data Lake.
Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe.
Kapitel
00:00 Intro
00:40 Plötzlich Data Lake
03:40 Die neue Ansicht
05:16 Retention & Search Jobs
07:25 Fabric als Analyseschicht
08:44 Lake bleibt kalt
10:58 Kosten und Grenzen
13:15 Die alte Ansicht
15:08 Checkliste
19:10 Tabellen sortieren
21:51 Fazit
26:16 Das nehmen wir mit
Links
- What's new in Microsoft Sentinel (September 2026): https://learn.microsoft.com/azure/sentinel/whats-new
- Manage data tiers and retention: https://learn.microsoft.com/azure/sentinel/manage-data-overview
- Advanced hunting with Microsoft Sentinel data (Known issues): https://learn.microsoft.com/defender-xdr/advanced-hunting-microsoft-defender
- Run KQL queries on the Microsoft Sentinel data lake: https://learn.microsoft.com/azure/sentinel/datalake/kql-queries
- Plan costs and understand Microsoft Sentinel pricing and billing: https://learn.microsoft.com/azure/sentinel/billing
- Geographical availability and data residency: https://learn.microsoft.com/azure/sentinel/geographical-availability-data-residency
- Transform data using filter and split: https://learn.microsoft.com/azure/sentinel/transformation-filter-split
- ISOC in Microsoft Defender (Preview): https://learn.microsoft.com/defender-xdr/isoc-overview
Aufgenommen am 12.10.2026. Die besprochenen Erfahrungen und Produktstände beziehen sich auf diesen Zeitpunkt.
35 Minuten
Microsoft Sentinel zieht ins Microsoft Defender-Portal, ab dem 1. April 2027 gibt es keinen Weg mehr zurück ins Azure-Portal. Für den Betrieb bedeutet das, Zugriffe und bestehende Abläufe neu zu prüfen. Wie kommt ihr als MSSP in die Kundenumgebung? Welche Rollen braucht ihr wirklich, und was passiert mit euren Automatisierungen?
Andreas und Phillipe sprechen über ihre Erfahrungen mit dem Portalwechsel. Es geht um GDAP, Azure Lighthouse und B2B-Zugriffe, um Unified RBAC und die Frage, wie sich Berechtigungen möglichst gezielt vergeben lassen. Außerdem schauen wir auf Workspace-Abfragen, Playbooks und Integration Profiles sowie die Arbeit mit Tabellen und Data Collection Rules.
Zum Schluss geht es um Governance und den Betrieb über mehrere Umgebungen hinweg: Wie passen GitHub oder Azure DevOps in den Ablauf, wo braucht es Reviews und Freigaben, und was solltet ihr vor dem Wechsel selbst testen?
Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe.
Kapitel
00:00 Intro
00:39 Der Portalwechsel
02:27 Erste Erfahrungen
05:46 Zugriff als MSSP
12:33 Unified RBAC
16:46 Workspace-Abfragen
18:07 Automatisierung
22:48 Daten & DCR
24:23 Governance
28:57 Zugriffsebenen
30:41 Unser Fazit
34:42 Das nehmen wir mit
Links
- Transition your Microsoft Sentinel environment to the Defender portal – https://learn.microsoft.com/azure/sentinel/move-to-defender
- Connect Microsoft Sentinel to the Microsoft Defender portal – https://learn.microsoft.com/azure/sentinel/microsoft-sentinel-onboard
- Microsoft Defender unified RBAC – https://learn.microsoft.com/defender-xdr/manage-rbac
- Microsoft Defender multitenant management – https://learn.microsoft.com/defender-xdr/mto-overview
- Generate playbooks using AI in Microsoft Sentinel – https://learn.microsoft.com/azure/sentinel/automation/generate-playbook
- Transform data using filter and split – https://learn.microsoft.com/azure/sentinel/transformation-filter-split
- Manage content as code with Microsoft Sentinel repositories – https://learn.microsoft.com/azure/sentinel/ci-cd-custom-content
- Configure Microsoft Sentinel scoping (row-level RBAC) – https://learn.microsoft.com/defender-xdr/scoping
Aufgenommen am 07.08.2026. Die besprochenen Erfahrungen und Produktstände beziehen sich auf diesen Zeitpunkt.
Andreas und Phillipe sprechen über ihre Erfahrungen mit dem Portalwechsel. Es geht um GDAP, Azure Lighthouse und B2B-Zugriffe, um Unified RBAC und die Frage, wie sich Berechtigungen möglichst gezielt vergeben lassen. Außerdem schauen wir auf Workspace-Abfragen, Playbooks und Integration Profiles sowie die Arbeit mit Tabellen und Data Collection Rules.
Zum Schluss geht es um Governance und den Betrieb über mehrere Umgebungen hinweg: Wie passen GitHub oder Azure DevOps in den Ablauf, wo braucht es Reviews und Freigaben, und was solltet ihr vor dem Wechsel selbst testen?
Die Sentinels: Microsoft Security aus der Praxis. Mit Andreas und Phillipe.
Kapitel
00:00 Intro
00:39 Der Portalwechsel
02:27 Erste Erfahrungen
05:46 Zugriff als MSSP
12:33 Unified RBAC
16:46 Workspace-Abfragen
18:07 Automatisierung
22:48 Daten & DCR
24:23 Governance
28:57 Zugriffsebenen
30:41 Unser Fazit
34:42 Das nehmen wir mit
Links
- Transition your Microsoft Sentinel environment to the Defender portal – https://learn.microsoft.com/azure/sentinel/move-to-defender
- Connect Microsoft Sentinel to the Microsoft Defender portal – https://learn.microsoft.com/azure/sentinel/microsoft-sentinel-onboard
- Microsoft Defender unified RBAC – https://learn.microsoft.com/defender-xdr/manage-rbac
- Microsoft Defender multitenant management – https://learn.microsoft.com/defender-xdr/mto-overview
- Generate playbooks using AI in Microsoft Sentinel – https://learn.microsoft.com/azure/sentinel/automation/generate-playbook
- Transform data using filter and split – https://learn.microsoft.com/azure/sentinel/transformation-filter-split
- Manage content as code with Microsoft Sentinel repositories – https://learn.microsoft.com/azure/sentinel/ci-cd-custom-content
- Configure Microsoft Sentinel scoping (row-level RBAC) – https://learn.microsoft.com/defender-xdr/scoping
Aufgenommen am 07.08.2026. Die besprochenen Erfahrungen und Produktstände beziehen sich auf diesen Zeitpunkt.
53 Minuten
Die SCUs aus der E5-Lizenz sind freigeschaltet, aber wie arbeitet man mit Security Copilot im Defender-Portal eigentlich? Phillipe zeigt den Threat Hunting Assistant im Advanced Hunting, lässt Copilot Query-Ergebnisse auswerten und arbeitet einen Incident durch: priorisierte Response-Schritte, Zusammenfassungen für Analyst, Lead und CISO und eine Schritt-für-Schritt-Erklärung für Junior-Analysten. Anschließend schaut er in den SCU-Verbrauch, wo ein einzelner Prompt deutlich teurer war als der Rest. Vorher geht es darum, warum man KI-Output immer prüfen muss, am Beispiel einer Copilot-Query, die an has statt contains gescheitert ist.
Andreas übernimmt die Agents: den Phishing Triage Agent und seinen Nachfolger Security Alert Triage Agent mit Unified RBAC als Voraussetzung, dazu den Threat Intelligence Briefing Agent und den SIEM Migration Agent. Außerdem gibt es eine gute Nachricht zum Playbook Generator: Er zieht keine SCUs mehr.
Kapitel
00:00 Intro: Demo-Folge und die freien SCUs
02:06 KI-Output prüfen, statt ungeprüft weiterzugeben
07:17 Praxisfall: has vs. contains in einer Copilot-Query
10:54 Threat Hunting Assistant im Advanced Hunting
15:56 Analyze with Copilot: Ergebnisse auswerten lassen
~23:00 Incidents: Guided Response und Incident Assistant
27:48 Security Copilot im Incident: priorisierte Response-Schritte
~32:00 Zusammenfassungen je Rolle und Hilfe für Junior-Analysten
36:01 SCU-Verbrauch nachvollziehen
39:10 Phishing Triage Agent und Security Alert Triage Agent
~45:00 Alert Tuning, Threat Intelligence Briefing Agent, SIEM Migration Agent
~48:30 Playbook Generator ohne SCU-Kosten
49:47 Outro und Ausblick auf die nächste Folge
Links
Security Alert Triage Agent (Microsoft Learn) – https://learn.microsoft.com/en-us/defender-xdr/security-alert-triage-agent?tabs=email-alerts
Interesse an einer Folge über KI-Skills? Schreibt es in die Kommentare. Feedback und Themenwünsche gerne an uns auf LinkedIn.
https://www.linkedin.com/in/andreas-rogge-58a722180/
https://www.linkedin.com/in/phillipecdl/
Andreas übernimmt die Agents: den Phishing Triage Agent und seinen Nachfolger Security Alert Triage Agent mit Unified RBAC als Voraussetzung, dazu den Threat Intelligence Briefing Agent und den SIEM Migration Agent. Außerdem gibt es eine gute Nachricht zum Playbook Generator: Er zieht keine SCUs mehr.
Kapitel
00:00 Intro: Demo-Folge und die freien SCUs
02:06 KI-Output prüfen, statt ungeprüft weiterzugeben
07:17 Praxisfall: has vs. contains in einer Copilot-Query
10:54 Threat Hunting Assistant im Advanced Hunting
15:56 Analyze with Copilot: Ergebnisse auswerten lassen
~23:00 Incidents: Guided Response und Incident Assistant
27:48 Security Copilot im Incident: priorisierte Response-Schritte
~32:00 Zusammenfassungen je Rolle und Hilfe für Junior-Analysten
36:01 SCU-Verbrauch nachvollziehen
39:10 Phishing Triage Agent und Security Alert Triage Agent
~45:00 Alert Tuning, Threat Intelligence Briefing Agent, SIEM Migration Agent
~48:30 Playbook Generator ohne SCU-Kosten
49:47 Outro und Ausblick auf die nächste Folge
Links
Security Alert Triage Agent (Microsoft Learn) – https://learn.microsoft.com/en-us/defender-xdr/security-alert-triage-agent?tabs=email-alerts
Interesse an einer Folge über KI-Skills? Schreibt es in die Kommentare. Feedback und Themenwünsche gerne an uns auf LinkedIn.
https://www.linkedin.com/in/andreas-rogge-58a722180/
https://www.linkedin.com/in/phillipecdl/
33 Minuten
Mit 1.000 E5-Lizenzen liegen jeden Monat 400 SCUs für Security Copilot ungenutzt im Tenant. Phillipe erzählt aus seiner neuen Abteilung Detection AIOps, wie er Bestandskunden gerade genau damit abholt: vom Prompting-Basics-Workshop über den Persona-Katalog bis zum ersten selbst gebauten Agent. Andreas hält die MSSP-Brille dagegen und erklärt, warum verstreute Copilot-Rollouts über viele Kundenumgebungen hinweg das eigentliche Problem im Managed SOC sind.
Kapitel
00:00 Intro und neues Format
01:39 Detection AIOps und die freien SCUs mit E5
05:42 Security Triage Agent (ehemals Phishing Triage) und TI Agent
11:08 Agents aus MSSP-Sicht: Skalierung über Kundenumgebungen
16:16 Vertrauen, Governance und Shadow AI
18:48 Der Security-Copilot-Workshop: Prompting, Personas, Agent bauen
25:29 Halluzinationen und KQL-Stolperfallen
31:45 Ausblick: Onboardings in der nächsten Folge und die neue Videoreihe
Links
Security Copilot Standalone-Portal – https://securitycopilot.microsoft.com
Security Triage Agent (Microsoft Learn) – https://learn.microsoft.com/en-us/defender-xdr/security-alert-triage-agent?tabs=email-alerts
Feedback und Themenwünsche gerne an uns – ihr findet uns auf LinkedIn.
Kapitel
00:00 Intro und neues Format
01:39 Detection AIOps und die freien SCUs mit E5
05:42 Security Triage Agent (ehemals Phishing Triage) und TI Agent
11:08 Agents aus MSSP-Sicht: Skalierung über Kundenumgebungen
16:16 Vertrauen, Governance und Shadow AI
18:48 Der Security-Copilot-Workshop: Prompting, Personas, Agent bauen
25:29 Halluzinationen und KQL-Stolperfallen
31:45 Ausblick: Onboardings in der nächsten Folge und die neue Videoreihe
Links
Security Copilot Standalone-Portal – https://securitycopilot.microsoft.com
Security Triage Agent (Microsoft Learn) – https://learn.microsoft.com/en-us/defender-xdr/security-alert-triage-agent?tabs=email-alerts
Feedback und Themenwünsche gerne an uns – ihr findet uns auf LinkedIn.
49 Minuten
Wer Third-Party-Quellen an Microsoft Sentinel anbinden will, landet fast immer beim Azure Monitor Agent. Andreas und Phillipe gehen den kompletten Weg einmal durch: die Architektur vom Syslog-Daemon bis zum Log Analytics Workspace, der Unterschied zwischen Syslog und CEF samt Ziel-Tabellen, DCR-Anlage im Defender-Portal, das Deployment auf einer Linux-VM und was der Forwarder-Installer eigentlich tut (Spoiler: den AMA installiert er nicht). Danach die Prüfpunkte, wenn keine Daten ankommen: rsyslog-Config, mdsd- und QoS-Dateien, der lokale Config Cache und die Metrik "Logs Rows Received per Min" an der DCR. Dazwischen ein Appell in eigener Sache: Der Umzug von Sentinel ins Defender-Portal steht an, wer sich jetzt damit beschäftigt, kann noch gefahrlos hin- und herwechseln.
Kapitel
00:00 Intro: AMA und die MMA-Vorgeschichte
01:40 Architektur: vom Syslog-Daemon zum Workspace
04:00 Syslog vs. CEF und die Ziel-Tabellen
05:30 Einschub: Sentinel-Umzug ins Defender-Portal
11:24 Content Hub: die AMA-Connectoren
12:15 CEF-DCR anlegen und das Template verstehen
19:40 AMA aufs System bringen: DCR, Extension, Azure Arc
21:42 Was der Forwarder-Installer wirklich macht
26:00 Auf der Maschine: Status-Checks und rsyslog-Config
31:30 Installer ausführen und Testnachrichten senden
33:00 Advanced Hunting: die Events sind da
37:00 Troubleshooting: mdsd-Logs und QoS-Datei
38:50 DCR im Config Cache nachvollziehen
42:26 Lokales Caching des AMA
43:21 DCR-Metriken im Azure Portal
47:26 Phillipes Sentinel-Newsletter
Links
[Phillipes Sentinel-Newsletter auf LinkedIn] – https://www.linkedin.com/newsletters/sentinel-weekly-7488681611912282114
[Azure Monitor Agent – Syslog und CEF sammeln (Microsoft Learn)] – https://learn.microsoft.com/de-de/azure/sentinel/cef-syslog-ama-overview?tabs=single
Feedback und Themenwünsche gerne an uns auf LinkedIn.
https://www.linkedin.com/in/andreas-rogge-58a722180/
https://www.linkedin.com/in/phillipecdl/
Kapitel
00:00 Intro: AMA und die MMA-Vorgeschichte
01:40 Architektur: vom Syslog-Daemon zum Workspace
04:00 Syslog vs. CEF und die Ziel-Tabellen
05:30 Einschub: Sentinel-Umzug ins Defender-Portal
11:24 Content Hub: die AMA-Connectoren
12:15 CEF-DCR anlegen und das Template verstehen
19:40 AMA aufs System bringen: DCR, Extension, Azure Arc
21:42 Was der Forwarder-Installer wirklich macht
26:00 Auf der Maschine: Status-Checks und rsyslog-Config
31:30 Installer ausführen und Testnachrichten senden
33:00 Advanced Hunting: die Events sind da
37:00 Troubleshooting: mdsd-Logs und QoS-Datei
38:50 DCR im Config Cache nachvollziehen
42:26 Lokales Caching des AMA
43:21 DCR-Metriken im Azure Portal
47:26 Phillipes Sentinel-Newsletter
Links
[Phillipes Sentinel-Newsletter auf LinkedIn] – https://www.linkedin.com/newsletters/sentinel-weekly-7488681611912282114
[Azure Monitor Agent – Syslog und CEF sammeln (Microsoft Learn)] – https://learn.microsoft.com/de-de/azure/sentinel/cef-syslog-ama-overview?tabs=single
Feedback und Themenwünsche gerne an uns auf LinkedIn.
https://www.linkedin.com/in/andreas-rogge-58a722180/
https://www.linkedin.com/in/phillipecdl/
22 Minuten
The podcast introduces a format change, focusing on workbook discussions, errors, custom connectors, advanced hunting, workbooks export feature, data sources, analytics, extensive workbook features, advanced hunting and data lake, workbook size and query output, advanced hunting retention limit, workbook quota and API limit, and concludes with feedback and future plans.
Takeaways
Workbook changes and features
Advanced hunting and data sources
Chapters
00:00 Introduction and Podcast Format Change
01:27 Discussion on Workbook Changes
02:25 Workbook Error and Resolution
03:16 Workbook Custom Connector
04:14 Advanced Hunting and Custom Connector
06:04 Workbooks Export Feature
08:58 Data Sources and Analytics
10:26 Extensive Workbook Features
11:06 Advanced Hunting and Data Lake
13:19 Workbook Size and Query Output
14:04 Advanced Hunting Retention Limit
25:14 Workbook Quota and API Limit
27:35 Conclusion and Feedback
Takeaways
Workbook changes and features
Advanced hunting and data sources
Chapters
00:00 Introduction and Podcast Format Change
01:27 Discussion on Workbook Changes
02:25 Workbook Error and Resolution
03:16 Workbook Custom Connector
04:14 Advanced Hunting and Custom Connector
06:04 Workbooks Export Feature
08:58 Data Sources and Analytics
10:26 Extensive Workbook Features
11:06 Advanced Hunting and Data Lake
13:19 Workbook Size and Query Output
14:04 Advanced Hunting Retention Limit
25:14 Workbook Quota and API Limit
27:35 Conclusion and Feedback
1 Stunde 11 Minuten
Das Gespräch behandelt die Einführung neuer Funktionen im Defender Portal, darunter Filter-Rule und Split-Rule, Data-Lake-Exploration, Advanced-Hunting-Integration, Workbook-Integration und die Erweiterung des Defender Portals. Außerdem geht es um Berechtigungen und Datenverwaltung innerhalb des Portals. Die Diskussion umfasst eine detaillierte Betrachtung des Setzens von Berechtigungen, des Importierens von Rollen, delegierten Zugriffs, granularer delegierter Administratorrechte (GDAP), Row-Level-Scoping-Berechtigungen sowie Troubleshooting im Azure Portal und Microsoft Defender XDR. Die Hosts sprechen zudem über zukünftige Themen und wie wichtig es ist, bei neuen Features und Konfigurationen auf dem Laufenden zu bleiben.
Takeaways
Neue Funktionen im Defender Portal verbessern Datenverwaltung und -analyse
Die Integration von Advanced Hunting in Workbooks vereinfacht Datenzugriff und -analyse
Detaillierte Anleitung zum Setzen von Berechtigungen im Azure Portal
Verständnis des Prozesses zum Importieren von Rollen in Microsoft Defender XDR
Kapitel
00:00 Einführung in die neuen Defender-Portal-Features
05:51 Data-Lake-Exploration und Advanced-Hunting-Integration
24:02 Workbook-Integration und Datenverwaltung
50:40 Erweiterung des Defender Portals und Berechtigungen
55:35 Rollen-Import für Microsoft Sentinel
01:03:28 Granulare delegierte Administratorrechte (GDAP)
01:15:25 Row-Level-Scoping-Berechtigungen für Sentinel-Tabellen
01:22:17 Troubleshooting und Zugriffskontrolle
01:32:33 Fazit und zukünftige Themen
Takeaways
Neue Funktionen im Defender Portal verbessern Datenverwaltung und -analyse
Die Integration von Advanced Hunting in Workbooks vereinfacht Datenzugriff und -analyse
Detaillierte Anleitung zum Setzen von Berechtigungen im Azure Portal
Verständnis des Prozesses zum Importieren von Rollen in Microsoft Defender XDR
Kapitel
00:00 Einführung in die neuen Defender-Portal-Features
05:51 Data-Lake-Exploration und Advanced-Hunting-Integration
24:02 Workbook-Integration und Datenverwaltung
50:40 Erweiterung des Defender Portals und Berechtigungen
55:35 Rollen-Import für Microsoft Sentinel
01:03:28 Granulare delegierte Administratorrechte (GDAP)
01:15:25 Row-Level-Scoping-Berechtigungen für Sentinel-Tabellen
01:22:17 Troubleshooting und Zugriffskontrolle
01:32:33 Fazit und zukünftige Themen
58 Minuten
The conversation delves into the topics of Agentics Talk, Security Copilot, and Microsoft Foundry. It provides insights into the landscape of Agentics, the role of Security Copilot in enhancing security operations, and the exploration of Microsoft Foundry as a platform for creating and managing agents. The conversation delves into the comparison between the granularity of Foundry and the limitations of Security Copilot. It also explores the licensing aspects of Microsoft Foundry and Agent 365, providing insights into the considerations for customer adoption.
Takeaways
Agentics Talk
Security Copilot
Microsoft Foundry Granularity of Foundry
Security Copilot limitations
Chapters
00:00 Exploring Microsoft Foundry
41:47 Granularity of Foundry vs. Security Co-Pilot
55:57 Microsoft Foundry and Agent 365 Licensing
Takeaways
Agentics Talk
Security Copilot
Microsoft Foundry Granularity of Foundry
Security Copilot limitations
Chapters
00:00 Exploring Microsoft Foundry
41:47 Granularity of Foundry vs. Security Co-Pilot
55:57 Microsoft Foundry and Agent 365 Licensing
40 Minuten
Das Gespräch beschäftigt sich mit der Einführung und Weiterentwicklung der Microsoft E7-Lizenz. Im Fokus stehen Preisgestaltung, Funktionsumfang und der Vergleich mit der E5-Lizenz. Außerdem wird beleuchtet, welchen Einfluss E7 auf Lizenzstrategien, KI und Sicherheitsherausforderungen hat sowie die Kundenadoption von Agent 365.
Darüber hinaus geht es um die Microsoft-Landschaft rund um Agenten und KI sowie die damit verbundenen Herausforderungen beim Management dieser Agenten. Ein weiterer Teil der Diskussion behandelt die Schwierigkeiten bei der Definition einer Agent Entry-ID, die Auswirkungen der Agentennutzung auf SOC-Detection und Analytics Rules in Microsoft Sentinel sowie den Aufbau eigener Detection-Logiken für Agenten. Abschließend werden wichtige Überlegungen zur Einführung und Implementierung von E7 diskutiert.
Wichtige Erkenntnisse
Microsoft hat die E7-Lizenz angekündigt
E7 bringt neue KI-Funktionalitäten mit
Preis und Funktionsumfang im Vergleich zu E5 sind zentral zu bewerten
E7 ist eine bedeutende Erweiterung im Microsoft-Portfolio
Vor dem Kauf von E7 ist eine strategische Planung entscheidend
Kapitel
00:00 Herausforderungen beim Agenten-Management
25:35 Überlegungen zur Einführung und Implementierung von E7
Darüber hinaus geht es um die Microsoft-Landschaft rund um Agenten und KI sowie die damit verbundenen Herausforderungen beim Management dieser Agenten. Ein weiterer Teil der Diskussion behandelt die Schwierigkeiten bei der Definition einer Agent Entry-ID, die Auswirkungen der Agentennutzung auf SOC-Detection und Analytics Rules in Microsoft Sentinel sowie den Aufbau eigener Detection-Logiken für Agenten. Abschließend werden wichtige Überlegungen zur Einführung und Implementierung von E7 diskutiert.
Wichtige Erkenntnisse
Microsoft hat die E7-Lizenz angekündigt
E7 bringt neue KI-Funktionalitäten mit
Preis und Funktionsumfang im Vergleich zu E5 sind zentral zu bewerten
E7 ist eine bedeutende Erweiterung im Microsoft-Portfolio
Vor dem Kauf von E7 ist eine strategische Planung entscheidend
Kapitel
00:00 Herausforderungen beim Agenten-Management
25:35 Überlegungen zur Einführung und Implementierung von E7
44 Minuten
Die Diskussion umfasst die Rolle von KI in der SOC-Technik, Datenschutz und Virtual Tools in Deutschland, die Implementierung von KI und MCP-Servern, die kritische Rolle des Menschen bei der KI-Nutzung, die Herausforderungen der KI-Nutzung in der Security und die Veränderung der Position von KI-Nutzern und Nicht-Nutzern. KI ist in vielen Tools bereits vorhanden und wird oft unbemerkt genutzt, während Datenschutz und die Verwendung von Virtual Tools in Deutschland ein großes Problem darstellen. Die Einführung von KI erfordert Unterstützung und Anleitung für diejenigen, die sich damit nicht beschäftigen wollen, und die Nutzung von KI führt zu einer Veränderung der Position von KI-Nutzern und Nicht-Nutzern. The conversation covers topics related to data integrity, AI adoption, Microsoft Foundry, ethical considerations, integration of third-party solutions, and recommendations for enterprise security and AI usage. It emphasizes the importance of data integrity in security and the cautious approach to AI usage, especially with sensitive data. The discussion also highlights the continuous improvement and optimization of AI, as well as the human interaction with AI in the context of security.
Takeaways
KI ist in vielen Tools bereits vorhanden und wird oft unbemerkt genutzt
Datenschutz und die Verwendung von Virtual Tools sind in Deutschland ein großes Problem
Unterschiedliche Grundlagen und Hemmungen im Security-Kontext in Bezug auf KI und personenbezogene Daten
KI ermöglicht schnelleres Arbeiten in verschiedenen Bereichen wie Detection Engineering und Dokumentation
MCP-Server als zentrale Anlaufstelle für die Verbindung mit verschiedenen APIs
Die Verwendung von KI erfordert eine kritische Evaluation und Kontrolle durch den Menschen
Die Nutzung von KI führt zu einer Veränderung der Position von KI-Nutzern und Nicht-Nutzern
Die Einführung von KI erfordert Unterstützung und Anleitung für diejenigen, die sich damit nicht beschäftigen wollen Data integrity is crucial in the context of security, and the use of AI can simplify this process.
The use of AI should be approached with caution, especially when dealing with sensitive data.
Chapters
00:00 Die Veränderung der Position von KI-Nutzern und Nicht-Nutzern
23:10 Data Integrity and AI in Security
29:15 Continuous Improvement and Optimization of AI
35:41 Integration of Third-Party Solutions and Use Cases in Sentinel
Takeaways
KI ist in vielen Tools bereits vorhanden und wird oft unbemerkt genutzt
Datenschutz und die Verwendung von Virtual Tools sind in Deutschland ein großes Problem
Unterschiedliche Grundlagen und Hemmungen im Security-Kontext in Bezug auf KI und personenbezogene Daten
KI ermöglicht schnelleres Arbeiten in verschiedenen Bereichen wie Detection Engineering und Dokumentation
MCP-Server als zentrale Anlaufstelle für die Verbindung mit verschiedenen APIs
Die Verwendung von KI erfordert eine kritische Evaluation und Kontrolle durch den Menschen
Die Nutzung von KI führt zu einer Veränderung der Position von KI-Nutzern und Nicht-Nutzern
Die Einführung von KI erfordert Unterstützung und Anleitung für diejenigen, die sich damit nicht beschäftigen wollen Data integrity is crucial in the context of security, and the use of AI can simplify this process.
The use of AI should be approached with caution, especially when dealing with sensitive data.
Chapters
00:00 Die Veränderung der Position von KI-Nutzern und Nicht-Nutzern
23:10 Data Integrity and AI in Security
29:15 Continuous Improvement and Optimization of AI
35:41 Integration of Third-Party Solutions and Use Cases in Sentinel
2 Minuten
Andreas und Phillipe stellen sich vor und diskutieren die Perspektiven in der Security-Branche, die Herausforderungen im SOC Engineering und den Blick in die Zukunft mit KI und neuen Tools.
