简化企业安全管理：在 Microsoft Sentinel 中集成 MongoDB Atlas 日志
内容提要
MongoDB Atlas 原生集成 Microsoft Sentinel，可通过 Marketplace 或 Content Hub 一键部署，借助 Azure Function 经 Atlas Admin API 自动采集 Atlas 日志并汇入 Log Analytics，无需手动连接器或脚本。日志支持 KQL 查询、工作簿可视化和 Logic Apps 自动化，统一 Atlas 与云环境的安全可见性，简化事件检测与响应，强化合规治理。
延伸解读
集成机制与部署要点
该集成通过 Azure Function 调用 Atlas Admin API 拉取日志，再经 Log Ingestion API 送入 Log Analytics。部署时需提供 Log Analytics 工作区信息、MongoDB 项目 ID 和集群列表，以及服务账号凭据或 Key Vault 引用。可选配置日志类别过滤（NETWORK、ACCESS、QUERY）、特定 Category ID 排除和轮询频率。部署后自动创建函数应用、DCE、DCR、存储账户和 Key Vault，日志按计划流入 Sentine
日志结构与分析能力
Atlas 日志包含时间戳、类别、严重性、类别 ID、消息及附加属性，存入 MDBALogTable_CL 表。安全团队可在 Sentinel 中使用 KQL 查询、过滤日志，构建自定义工作簿进行可视化，并针对特定严重性或类别定义告警，触发 Logic Apps 自动化剧本实现实时响应。这使 Atlas 日志能与云环境中其他数据源关联分析，提升事件检测与调查效率。
对安全运营的实际价值
集成后，企业可在单一 AI 驱动的安全运营视图中管理 Atlas 工作负载与其余云资产，减少可见性盲区。具体收益包括：简化事件检测与响应以缩短平均解决时间；通过集中监控和自动报告加强治理与合规；从 Microsoft Marketplace 直接部署并统一计费，加快价值实现。该方案适合已使用 Microsoft Sentinel 并希望将数据库安全事件纳入统一监控的组织。
Q&A
MongoDB Atlas 如何与 Microsoft Sentinel 集成？
MongoDB Atlas 通过原生的数据连接器与 Microsoft Sentinel 集成。该连接器可从 Microsoft Marketplace 或 Sentinel Content Hub 一键部署，利用 Azure Function 通过 Atlas Admin API 自动采集 Atlas 日志，并汇入 Log Analytics 工作区，无需手动连接器或脚本。
集成后，安全团队能在 Microsoft Sentinel 中对 Atlas 日志做什么？
日志进入 Log Analytics 工作区后，团队可以使用 KQL 进行查询和过滤，通过工作簿进行可视化，并利用 Logic Apps 定义警报和自动化响应流程，实现实时补救。
设置 MongoDB Atlas 数据连接器需要哪些步骤？
步骤包括：1. 创建 Log Analytics 工作区并连接到 Microsoft Sentinel；2. 在 Marketplace 或 Content Hub 搜索并安装“MongoDB Atlas Data Connector”；3. 在 Sentinel 的 Data Connectors 中选择该连接器并点击“Deploy to Azure”；4. 提供工作区详细信息、MongoDB 项目 ID 和集群列表、服务账户凭据（或 Key Vault 引用）；5. 可选配置日志类别过滤器、排除特定 Category ID 以及轮询频率。部署后，函数应用、DCE、DCR、存储账户和 Key Vault 会自动创建，日志按计划流入。
这个集成对企业有什么好处？
该集成提供单一、AI 就绪的安全运营视图，好处包括：简化事件检测与响应，缩短平均解决时间；通过集中监控和自动报告加强治理与合规；直接从 Microsoft Marketplace 部署，统一计费并利用熟悉的 Azure 管理，加速价值实现。
集成架构包含哪些技术组件？
架构组件包括：连接器 UI（捕获工作区、Atlas 信息和计划）、Azure Function（定期检索 MongoDB 日志）、JobState 表（维护上次运行时间戳以实现增量收集）、DCE 和 DCR（在摄入到 MDBALogTable_CL 前处理数据转换）以及 Azure Key Vault（安全存储 MongoDB API 凭据）。
Atlas 日志在 Sentinel 中的存储表结构是怎样的？
Atlas 日志被摄入到 MDBALogTable_CL 表中，其模式包含时间戳、类别、严重性、类别 ID、消息以及其他属性。
