מיקרוסופט פרסמה את עדכוני Microsoft Sentinel לאוקטובר 2026, ובהם שתי יכולות שהגיעו לזמינות כללית: גישה מואצלת בין דיירים באמצעות מודל ממשל אחיד, וסכמת ASIM EmailEvent שמנרמלת אירועי דואר ממקורות שונים. במקביל נוספו שתי יכולות Preview: ניהול נתונים מאוחד וכלל זיהוי ממוקד ליישומי SAP פגיעים שנמצאים בשימוש פעיל.
תפעול SOC בין מספר Tenants בלי חשבונות אורח
Cross-tenant delegated access ב-Microsoft Defender זמין כעת באופן כללי ומרחיב את מודל Microsoft Entra Tenant Governance גם למשאבי Sentinel. צוות SOC מרכזי או ספק MSSP יכול להתחבר באמצעות חשבון ה-Home Tenant שלו, במקום לתחזק חשבון מנהל מקומי או חשבון B2B Guest בכל סביבת לקוח.
כל Tenant מנוהל מאשר את הקשר ובוחר אילו תפקידים ואילו משאבים זמינים. ההרשאות ניתנות באמצעות Unified RBAC של Defender, וניהול החברות בקבוצות מתבצע בצד של צוות האבטחה. כך אפשר להרחיב פעילות בין חברות בנות או לקוחות, תוך שמירה על עקרון ההרשאה המזערית.
- אין צורך להחזיק זהות מנהלית נפרדת בכל Tenant.
- הלקוח שולט בהיקף המשאבים ובתפקידים שמוקצים לספק.
- שינוי חברי צוות מתבצע בקבוצות של ה-Home Tenant.
- אותו מודל ממשל משמש לזהות ולפעילות האבטחה.
ASIM EmailEvent: שפה אחת לאירועי דואר
סכמת EmailEvent של Advanced Security Information Model זמינה גם היא באופן כללי. היא מאחדת שדות ממוצרי דואר ואבטחה שונים למבנה קבוע הכולל שולח, נמען, נושא, מיקום מסירה, קישורים, קבצים מצורפים ותוצאות SPF, DKIM ו-DMARC.
המשמעות המעשית היא שאפשר לכתוב Hunting Query, כלל Analytics או Workbook פעם אחת מול השדות המנורמלים. כאשר נוסף Parser עבור מקור דואר נוסף, התוכן הקיים יכול לעבוד מולו בלי לתרגם מחדש שמות טבלאות ושדות. עבור MSSP זו דרך להפחית התאמות פרטניות בין לקוחות ומערכות דואר.
שתי יכולות Preview נוספות
Unified Data Management מרכז ב-Defender Portal את ה-Connectors, הטבלאות ובריאות קליטת הנתונים. המסך מציג נפחי קליטה, קפיצות או ירידות חריגות, Latency, עלויות משוערות והגדרות Retention ללא צורך להתחיל משאילתת KQL.
בנוסף, פתרון Sentinel עבור SAP BTP כולל כלל שמצליב ממצאי חולשות עם Audit Logs. ההתראה עולה רק כאשר מזוהה שימוש פעיל באפליקציה מותאמת עם חולשה גבוהה או קריטית. ברירת המחדל היא CVSS של 7 ומעלה וחלון בדיקה של 14 יום, במטרה לתעדף חשיפה פעילה ולא רק רשימת ממצאים.
מה כדאי לצוותי SOC לבדוק עכשיו?
- מיפוי הרשאות: להגדיר תפקידים מצומצמים לפי פעולות Analyst, Responder ו-Engineering ולא להעניק הרשאות רחבות לכל הספק.
- פיילוט Tenant: להתחיל בלקוח או יחידה אחת ולבדוק Incident Queue, Workspaces ופעולות תגובה.
- נרמול דואר: לפרוס Parsers של EmailEvent ולבדוק התאמה של Queries וכללי זיהוי קיימים.
- בריאות קליטה: לבחון את Unified Data Management בסביבת Preview לפני שימוש תפעולי מלא.
השורה התחתונה
העדכון מחזק שני כיוונים חשובים ב-Sentinel: הפעלה מרכזית של SOC בין מספר דיירים, ואחידות נתונים שמאפשרת לבנות זיהויים פעם אחת. עבור MSSP, החיבור בין Delegated Access לבין ASIM עשוי לצמצם גם עומס זהויות וגם תחזוקת תוכן אבטחה נפרד לכל לקוח.
מקור
קרדיט תמונה: AMORIE SAM / Pexels. תמונת המחשה ללא זיקה למיקרוסופט.
