Sentinel Data Lake

Was Unternehmen davon abhält, alle Sicherheitsdaten in Microsoft Sentinel zu halten, sind fast immer die Kosten. Jahrelang hat der Analytics Tier vollständiges Logging unbezahlbar gemacht, also wurden hochvolumige Quellen gesampelt, verworfen oder in eine separate Plattform wie Azure Data Explorer geschoben. Das war keine Nachlässigkeit, sondern Rationierung: Erinnern war teuer, und Sichtbarkeit ging dabei verloren. Der Data Lake verändert diese Rechnung. Speicher kostet rund zwei Prozent des Analytics-Tarifs, Ingestion 0,065 statt 5,59 US-Dollar pro Gigabyte, bei einer Kompression von sechs zu eins und einer Aufbewahrung von bis zu zwölf Jahren. Speicher und Compute werden getrennt abgerechnet, große Volumen bleiben also günstig und bezahlt wird erst bei der Abfrage. Damit erledigen sich Basic und Auxiliary Logs, und ein zweiter, billiger Store neben Sentinel wird überflüssig. Der interessantere Teil liegt daneben: Weil die Daten günstig sind und live bleiben, ändert sich die Arbeit mit ihnen. Was daraus für eine bestehende Umgebung folgt, hängt an den Tabellen, die heute schon laufen.