Reducción de los costos de Microsoft Sentinel

Los costos de Microsoft Sentinel son solo una parte de los costos mensuales de la factura de Azure. Aunque en este artículo se explica cómo reducir los costos de Microsoft Sentinel, se le facturan todos los servicios y recursos de Azure que usa la suscripción de Azure, incluidos los servicios de asociados.

Establecer o cambiar el nivel de precios

Para optimizar el máximo ahorro, supervise el volumen de ingesta para asegurarse de que tiene el nivel de compromiso que se alinea más estrechamente con los patrones de volumen de ingesta. Considere la posibilidad de aumentar o reducir el nivel de compromiso para alinearse con los volúmenes de datos cambiantes.

Puede aumentar el nivel de compromiso en cualquier momento, lo que reinicia el período de compromiso de 31 días. Sin embargo, para volver al nivel de pago por uso o a un nivel de compromiso inferior, debe esperar hasta que finalice el período de compromiso de 31 días. La facturación de los niveles de compromiso se realiza diariamente.

Para ver el plan de tarifa actual de Microsoft Sentinel, seleccione Configuración en el panel de navegación izquierdo de Microsoft Sentinel y, a continuación, seleccione la pestaña Precios . El plan de tarifa actual está marcado como Nivel actual.

Para cambiar el compromiso del plan de tarifa, seleccione uno de los otros planes en la página de precios y, a continuación, seleccione Aplicar. Debe tener el rol Colaborador o Propietario en el área de trabado de Microsoft Sentinel para cambiar el plan de tarifa.

Para más información sobre cómo supervisar los costos, consulte Administración y supervisión de costos de Microsoft Sentinel.

En el caso de las áreas de trabajo que siguen usando planes de tarifa clásicos, los planes de tarifa de Microsoft Sentinel no incluyen los cargos de Log Analytics. Para obtener más información, consulte Descripción del modelo de facturación completo para Microsoft Sentinel.

Comprar un plan de prepago

Ahorre en los costes de nivel de análisis de Microsoft Sentinel al comprar previamente unidades de confirmación (CU) de Microsoft Sentinel. Use las CU adquiridas previamente en cualquier momento durante el periodo de vigencia de un año desde la compra.

Los costes aplicables de Microsoft Sentinel se descuentan automáticamente primero de las CU adquiridas por adelantado. No es necesario volver a implementar ni asignar un plan adquirido previamente a sus área de trabajo de Microsoft Sentinel para que el uso de CU se beneficie de los descuentos por compra anticipada.

Para obtener más información, consulte Optimización de los costos de Microsoft Sentinel con un plan de compra previa.

Separación de datos que no son de seguridad en un área de trabajo diferente

Microsoft Sentinel analiza todos los datos ingeridos en áreas de trabajo de Log Analytics habilitadas para Microsoft Sentinel. Es mejor tener un área de trabajo independiente para los datos de operaciones que no son de seguridad, para asegurarse de que no incurre en costos de Microsoft Sentinel.

Uso del lago de datos de Microsoft Sentinel para obtener una fidelidad menor o datos de seguridad secundarios

Aunque el nivel de análisis es más adecuado para la detección continua de amenazas en tiempo real, el lago de datos de Microsoft Sentinel es adecuado para la consulta y el análisis de datos de seguridad secundarios que no son necesarios para la detección de amenazas en tiempo real. El lago de datos de Microsoft Sentinel ofrece ingesta y almacenamiento a un costo significativamente menor. Para obtener más información, consulte Precios de Microsoft Sentinel.

Optimización de los costos de Log Analytics con clústeres dedicados

Si ingiere al menos 100 GB en el área de trabajo de Microsoft Sentinel o en las áreas de trabajo de la misma región, considere la posibilidad de pasar a un clúster dedicado de Log Analytics para reducir los costos. Un nivel de compromiso de clúster dedicado de Log Analytics agrega el volumen de datos en áreas de trabajo que ingieren colectivamente un total de 100 GB o más. Para obtener más información, consulte Plan de tarifa simplificado para clústeres dedicados.

Puede agregar varias áreas de trabajo de Microsoft Sentinel a un clúster dedicado de Log Analytics. El uso de un clúster dedicado de Log Analytics para Microsoft Sentinel ofrece un par de ventajas:

• Las consultas entre áreas de trabajo se ejecutan más rápido si todas las áreas de trabajo implicadas en la consulta están en el clúster dedicado. Sigue siendo mejor tener el menor número posible de áreas de trabajo en su entorno y un clúster dedicado conserva el límite de 100 áreas de trabajo para su inclusión en una sola consulta entre áreas de trabajo.

• Todas las áreas de trabajo del clúster dedicado pueden compartir el nivel de compromiso de Log Analytics establecido en el clúster. No tener que comprometerse a separar los niveles de compromiso de Log Analytics para cada área de trabajo puede permitir ahorros de costos y eficiencias. Al habilitar un clúster dedicado, se confirma un nivel de compromiso mínimo de Log Analytics de 100 GB de ingesta al día.

Estas son algunas otras consideraciones para pasar a un clúster dedicado para la optimización de costos:

• El número máximo de clústeres por región y suscripción es dos.
• Todas las áreas de trabajo vinculadas a un clúster deben estar en la misma región.
• El máximo de áreas de trabajo vinculadas a un clúster es 1000.
• Puede desvincular un área de trabajo vinculada del clúster. El número de operaciones de vínculo en un área de trabajo determinada está limitado a dos en un período de 30 días.
• No se puede mover un área de trabajo existente a un clúster de clave administrada por el cliente (CMK). Debe crear el área de trabajo en el clúster.
• Actualmente no se admite el traslado de un clúster a otro grupo de recursos o suscripción.
• La vinculación de un área de trabajo a un clúster falla si el área de trabajo está vinculada a otro clúster.

Para obtener más información sobre los clústeres dedicados, consulte Clústeres dedicados de Log Analytics.

Reducir los costos de retención de datos con la retención total

Microsoft Sentinel conserva los datos de nivel de análisis de forma predeterminada durante los primeros 90 días en la retención de análisis. A medida que los datos envejecen, pierde su valor para el análisis y la investigación en tiempo real. Es posible que los usuarios del Centro de operaciones de seguridad (SOC) no tengan acceso a los datos anteriores con tanta frecuencia, pero que todavía quieran acceder a los datos con fines de auditoría o investigaciones históricas más amplias. Para ayudarle a reducir los costos de retención de datos de Microsoft Sentinel, la retención total está disponible. Los datos que superan el período de retención para análisis todavía pueden conservarse, con un coste mucho menor, y consultarse mediante capacidades de exploración del lago de datos. Para obtener más información, consulte Exploración de lago, consultas KQL.

Use > Tablas para ajustar el período de retención total y análisis.

Uso de reglas de recopilación de datos para los eventos de seguridad de Windows

El conector de eventos de seguridad de Windows permite transmitir eventos de seguridad desde cualquier equipo que ejecute Windows Server que esté conectado al área de trabajo de Microsoft Sentinel, incluidos servidores físicos, virtuales o locales, o en cualquier nube. Este conector incluye compatibilidad con el agente de Azure Monitor, que usa reglas de recopilación de datos para definir los datos que se recopilan de cada agente.

Las reglas de recopilación de datos permiten administrar la configuración de recopilación a escala, a la vez que permiten configuraciones únicas y con ámbito para subconjuntos de máquinas. Para obtener más información, consulte Configuración de la recopilación de datos para el agente de Azure Monitor.

Además de para los conjuntos predefinidos de eventos que puede seleccionar para ingerir, como Todos los eventos, Mínimo o Común, las reglas de recopilación de datos le permiten crear filtros personalizados y seleccionar eventos específicos para ingerir. El agente de Azure Monitor usa estas reglas para filtrar los datos en el origen y, a continuación, ingerir solo los eventos seleccionados, dejando todo lo demás atrás. Seleccionar eventos específicos para ingerir puede ayudarle a optimizar los costos y ahorrar más.

Pasos siguientes

• Obtenga información sobre cómo optimizar la inversión en la nube con Microsoft Cost Management.
• Obtenga más información sobre la administración de costos con el análisis de costos.
• Obtenga información sobre cómo evitar costos inesperados.
• Realice el curso de aprendizaje guiado Cost Management .
• Para obtener más sugerencias sobre cómo reducir el volumen de datos de Log Analytics, consulte Procedimientos recomendados de Azure Monitor: administración de costos.
• Para obtener más información sobre El lago de datos de Microsoft Sentinel, consulte Lago de datos de Microsoft Sentinel.
• Para incorporarse al lago de datos de Microsoft Sentinel, consulte Incorporación de datos al lago de datos de Microsoft Sentinel.