Microsoft Sentinel เป็นโซลูชัน Security Information and Event Management (SIEM) และ Security Orchestration Automation and Response (SOAR) แบบ cloud-native ที่สร้างบน Azure ช่วยให้องค์กรเก็บรวบรวม ตรวจจับ สืบสวน และตอบสนองต่อภัยคุกคามด้านความปลอดภัยในระดับองค์กร
ความสามารถหลัก
- Data Collection at Cloud Scale: รวบรวม logs จากแหล่งหลากหลาย (Azure, Microsoft 365, on-premises, third-party) ผ่าน data connectors 100+ built-in connectors
- Built-in Analytics Rules: กฎการวิเคราะห์สำเร็จรูป (scheduled, NRT, machine learning, anomaly) จาก Microsoft และ community
- UEBA (User and Entity Behavior Analytics): ML-based anomaly detection สำหรับ users, entities, IP addresses
- Threat Intelligence: Integrated threat intelligence (Microsoft + third-party) enrich alerts และ hunting
- Incident Management: รวม alerts เป็น incidents, timeline, evidence, collaboration tools
- SOAR (Automation): Playbooks (Logic Apps) สำหรับ automated response, enrichment, containment, remediation
- Workbooks (Dashboards): Visualizations และ reporting แบบ customizable
- Hunting: Proactive threat hunting ด้วย KQL (Kusto Query Language)
สถาปัตยกรรม
- Log Analytics Workspace: Foundation สำหรับ data storage และ query (KQL)
- Data Connectors: Service-to-service (Azure, Microsoft 365), Agents (AMA, legacy MMA), Syslog/CEF, API/Functions, Custom logs
- Analytics Engine: Rules, ML, UEBA, Threat Intelligence
- Automation (Playbooks): Logic Apps workflows trigger จาก incidents/alerts
ข้อได้เปรียบเทียบ SIEM แบบดั้งเดิม (On-premises)
- Cloud-native: ไม่ต้องจัดการ infrastructure, auto-scale, pay-as-you-go
- Deployment เร็ว: เริ่มใช้ได้ในนาที ไม่ใช่สัปดาห์/เดือน
- Built-in content: 100+ connectors, analytics rules, workbooks, playbooks, hunting queries
- Integrated Microsoft ecosystem: Native integration กับ Microsoft 365 Defender, Entra ID, Defender for Cloud
- UEBA และ ML built-in: ไม่ต้องซื้อ/ติดตั้งแยก
Pricing Model
- Pay-as-you-go: ต่อ GB ingested per month (หลัง free tier 5 GB/day ต่อ workspace)
- Capacity Reservations: Commitment 100 GB+/day สำหรับส่วนลด (10-25%)
- Free data sources: Microsoft 365 Defender alerts, Azure AD sign-in/audit logs, Azure activity logs, Microsoft 365 activity logs, AWS CloudTrail, ฯลฯ
กรณีการใช้งาน
- Centralized security monitoring สำหรับ hybrid/multi-cloud environments
- Compliance reporting และ audit readiness
- Insider threat detection (UEBA)
- Automated incident response (SOAR playbooks)
- Threat hunting และ threat intelligence enrichment
