Desarrollo de una solución SIEM para Microsoft Sentinel

Las soluciones de Microsoft Sentinel permiten a los proveedores de software independientes (ISV) y a los socios agrupar un conector de datos con contenido de seguridad relacionado, como libros de trabajo, reglas analíticas, consultas de búsqueda proactiva, playbooks y analizadores, en un único paquete instalable. A continuación, los clientes pueden detectar e implementar estas soluciones desde el centro de contenido de Microsoft Sentinel y Azure Marketplace.

Learn

Antes de comenzar la compilación, complete los siguientes pasos:

• Obtenga información sobre Microsoft Sentinel. Comprenda cómo funciona Microsoft Sentinel, qué es una solución y cómo los clientes detectan e instalan soluciones desde el centro de contenido. Consulte ¿Qué es Microsoft Sentinel? y examine el catálogo de soluciones.

• Identifique qué crear. Decida qué tipo de conector planea usar y qué tipos de contenido SIEM desea incluir en la solución. Los tipos de contenido SIEM incluyen libros, reglas analíticas, consultas de búsqueda, cuadernos de estrategias y analizadores. Consulte Compilación de un conector de datos para obtener instrucciones sobre los tipos de conector.

• Revise los documentos. Revise las directrices generales de contribución para Microsoft Sentinel y la wiki de Microsoft Sentinel GitHub.

• Conviértase en Cloud Partner y cree una cuenta de publicador. Las soluciones se publican a través del Microsoft Partner Center. Necesita una cuenta de publicador para poder enviar la solución a Azure Marketplace. Para más información, vea Creación de una cuenta de marketplace comercial en el Centro de partners.

Build

En la fase de creación, configuras tu entorno de desarrollo y, a continuación, creas el contenido del conector y de la solución.

Configura tu entorno

Antes de compilar, configure el entorno de desarrollo para que pueda crear, probar y enviar contenido de la solución.

Bifurcación y clonación del repositorio

Para hacer un fork y clonar el repositorio de Azure-Sentinel, siga estos pasos:

1. En GitHub, vaya al repositorio Azure-Sentinel y seleccione Fork.

2. Clone la bifurcación en la máquina local:

   git clone https://github.com/<your-github-username>/Azure-Sentinel.git
   cd Azure-Sentinel
   

3. Añada el remoto upstream para poder traer los cambios más recientes:

   git remote add upstream https://github.com/Azure/Azure-Sentinel.git
   

Configuración de un área de trabajo de desarrollo y pruebas

Necesita un área de trabajo de Microsoft Sentinel operativa para desarrollar y validar el conector y el contenido antes de enviarlos. Consulte Incorporación de Microsoft Sentinel.

Una vez aprovisionado el área de trabajo, asigne los permisos siguientes:

• Colaborador de Microsoft Sentinel en el espacio de trabajo para desplegar y administrar recursos
• Colaborador de Log Analytics en el espacio de trabajo para crear y administrar tablas personalizadas y reglas de recopilación de datos (DCR)
• Colaborador en el grupo de recursos para implementar plantillas de ARM durante las pruebas

Incorporación al portal de Defender

Incorpore el área de trabajo al portal de Defender para validar la instalación de la solución, asegúrese de la ingesta sin problemas en la plataforma de operaciones de seguridad unificada y pruebe de un extremo a otro antes de la publicación. Para obtener más información, consulte Microsoft Sentinel en el portal de Microsoft Defender.

Compilar una solución

Una solución Microsoft Sentinel es una carpeta de archivos de contenido y conector que la herramienta de empaquetado ensambla en un paquete implementable. Cree la estructura de carpetas, agregue los archivos de empaquetado y, a continuación, compile cada tipo de contenido.

Creación de la estructura de carpetas de la solución en GitHub

Para configurar la estructura de carpetas de la solución, siga estos pasos:

1. Crea una nueva rama en la bifurcación y cambie a ella. Use un nombre descriptivo como add-<YourSolutionName>-solution:

   git checkout -b add-<YourSolutionName>-solution
   

2. Cree una carpeta con el nombre de la solución en Solutions/:

   Solutions/<YourSolutionName>/
   ├── Data/
   │   └── Solution_<YourSolutionName>.json
   ├── SolutionMetadata.json
   ├── ReleaseNotes.md
   ├── Data Connectors/
   ├── Workbooks/
   ├── Analytic Rules/
   ├── Hunting Queries/
   ├── Playbooks/
   └── Parsers/
   

   Archivo/carpeta	Obligatorio	Contenido
   Data/Solution_<YourSolutionName>.json	Obligatorio	Manifiesto de solución que enumera todos los archivos de contenido de la solución y impulsa la herramienta de creación de paquetes
   SolutionMetadata.json	Obligatorio	Metadatos del publicador y del marketplace: identificador del publicador, identificador de la oferta, categorías e información de soporte
   ReleaseNotes.md	Obligatorio	Tabla de historial de cambios con versiones, necesaria para cada envío de paquete
   Data Connectors/	Opcional	Archivos JSON del conector o código Azure Functions para conectores basados en funciones
   Workbooks/	Opcional	Archivos JSON del libro de trabajo y capturas de pantalla de vista previa en blanco y negro
   Analytic Rules/	Opcional	Plantillas de reglas analíticas de YAML
   Hunting Queries/	Opcional	Plantillas YAML de consultas de búsqueda
   Playbooks/	Opcional	Archivos JSON de cuadernos de estrategias y definiciones de conectores personalizados de Azure Logic Apps
   Parsers/	Opcional	Definiciones en YAML de funciones y analizadores de Kusto

   Las subcarpetas de contenido son opcionales. Cree solo las carpetas que correspondan a su solución. No es necesario incluir todos los tipos de contenido, pero cumplir los requisitos mínimos de contenido mejora la puntuación de calidad.

   Para obtener un ejemplo de una estructura de carpetas completa, abra la carpeta Solutions/ en el repositorio y examine algunas de las soluciones existentes.

Creación de los archivos de empaquetado de soluciones

Data/Solution_<YourSolutionName>.json

Este archivo controla la herramienta de empaquetado V3. Enumera todos los archivos de contenido de la solución y controla cómo se ensamblan en mainTemplate.json. Cada tipo de contenido es una matriz. Agregue una entrada por archivo para cada fragmento de contenido que tenga. Para obtener más información sobre la herramienta de empaquetado, consulte Empaquetar la solución.

En el ejemplo siguiente, la solución tiene dos reglas analíticas, por lo que la "Analytic Rules" matriz tiene dos entradas. Si, por ejemplo, no va a crear ningún cuaderno de estrategias, elimine por completo la clave "Playbooks" del archivo.

{
  "Name": "Contoso MyProduct",
  "Author": "Contoso - support@contoso.com",
  "Logo": "<img src=\"https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Logos/contoso.svg\" width=\"75px\" height=\"75px\">",
  "Description": "The Contoso MyProduct solution for Microsoft Sentinel enables you to ingest MyProduct logs into Microsoft Sentinel.",
  "BasePath": "C:/GitHub/Azure-Sentinel/Solutions/Contoso MyProduct",
  "Version": "1.0.0",
  "Metadata": "SolutionMetadata.json",
  "TemplateSpec": true,
  "Data Connectors": [
    "Data Connectors/ContosoMyProduct.json"
  ],
  "Workbooks": [
    "Workbooks/ContosoMyProductWorkbook.json"
  ],
  "Analytic Rules": [
    "Analytic Rules/ContosoMyProductSuspiciousLogin.yaml",
    "Analytic Rules/ContosoMyProductDataExfiltration.yaml"
  ],
  "Hunting Queries": [
    "Hunting Queries/ContosoMyProductThreatHunt.yaml"
  ],
  "Parsers": [
    "Parsers/ContosoMyProduct.yaml"
  ],
  "Playbooks": [
    "Playbooks/ContosoMyProduct-EnrichIncident/azuredeploy.json"
  ]
}

SolutionMetadata.json

Este archivo contiene los metadatos de la tienda y del editor que se utilizan durante la certificación de Partner Center.

{
  "publisherId": "contoso",
  "offerId": "contoso-myproduct-sentinel",
  "firstPublishDate": "2026-06-15",
  "lastPublishDate": "2026-06-15",
  "providers": [
    "Contoso"
  ],
  "categories": {
    "domains": [
      "Security - Threat Intelligence"
    ]
  },
  "support": {
    "name": "Contoso",
    "email": "support@contoso.com",
    "tier": "Partner",
    "link": "https://support.contoso.com"
  }
}

publisherId y offerId proceden de la oferta del Centro de partners. support.tier debe ser "Partner" para las soluciones de ISV. Para obtener valores válidos categories.domains , consulte el catálogo de soluciones.

ReleaseNotes.md

El ReleaseNotes.md archivo registra el historial de cambios de la solución. Este archivo se valida durante las validaciones de PR. Las entradas ausentes o mal formadas hacen que se rechace la PR.

La tabla debe tener exactamente tres columnas con estos nombres de encabezado exactos (incluidos los marcadores de negrita):

| **Version** | **Date Modified (DD-MM-YYYY)** | **Change History** |
|---|---|---|
| 1.0.1 | 12-06-2026 | Updated analytic rule query to fix false positives. |
| 1.0.0 | 01-06-2026 | Initial solution release. |

Reglas de validación

• Formato de versión: X.Y.Z no incluya un v prefijo. Se requieren las tres partes.
• Las versiones se muestran en orden descendente con la más reciente de la fila en primer lugar
• Formato de fecha: DD-MM-YYYY con guiones (no YYYY-MM-DD)
• Los encabezados de columna deben coincidir exactamente, incluidos los **bold** marcadores
• La celda Historial de cambios no debe estar vacía
• Agregue una nueva fila para cada salto de versión, incluidas las correcciones de errores tipográficos.

La versión de ReleaseNotes.md debe coincidir con la versión de SolutionMetadata.json, Data/Solution_*.jsony el nombre de archivo ZIP del paquete.

Agregar el logotipo

Coloque el logotipo en Logos/<YourProductName>.svg en la raíz del repositorio. Inclúyala en Data/Solution_<YourSolutionName>.json mediante una etiqueta HTML <img> que apunte a la URL sin procesar de GitHub:

"Logo": "<img src=\"https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Logos/YourProductName.svg\" width=\"75px\" height=\"75px\">"

El archivo SVG debe cumplir los siguientes requisitos:

Un logotipo limpio solo usa atributos fill y stroke directamente en elementos de trazado, sin atributos id salvo cuando hagan referencia a un elemento <defs>. Para un ejemplo válido mínimo, véase Logos/XBOW.svg.

Creación de un conector de datos

Si va a crear un conector mediante el flujo de trabajo del agente de IA, consulte Creación de conectores personalizados mediante el agente de IA en Microsoft Sentinel en lugar de seguir los pasos siguientes.

Elección del tipo de conector

Microsoft Sentinel admite varios tipos de conector, muchos de los cuales usan Codeless Connector Framework (CCF). Elija la que mejor se adapte a su origen de datos y la experiencia de cliente deseada.

Compilación de la definición del conector

Los pasos de compilación detallados son específicos de cada tipo de conector. Los pasos de compilación detallados son específicos de cada tipo de conector. Siga las instrucciones del tipo elegido de la tabla de tipos de conector. .

Use las siguientes soluciones en el repositorio de Azure-Sentinel como referencias para cada tipo de conector.

Cuando el JSON del conector esté completo, colóquelo en la subcarpeta Data Connectors/ de la carpeta de la solución y asígnele el nombre ProviderNameApplianceName.json (sin espacios).

Pruebe el conector

Compilación del contenido

Además del conector de datos, enriquezca la solución con contenido SIEM que ayude a los clientes a obtener valor inmediato de los datos. El contenido de SIEM adicional incluye:

• Libros de trabajo
• Reglas analíticas
• Consultas de búsqueda
• Playbooks
• Analizadores

Este contenido es opcional, pero se recomienda. Para conocer los requisitos mínimos y la puntuación de calidad, consulte Microsoft Sentinel directrices de calidad de la solución.

Crear libros de trabajo

Los libros de trabajo son paneles y visualizaciones que ayudan a los clientes a comprender sus datos. Para crear un libro, consulte Crear libros para Microsoft Sentinel.

Consulte los siguientes ejemplos de referencia en el repositorio de Azure-Sentinel para obtener orientación sobre el diseño y la disposición del libro:

• Microsoft Entra ID - AzureActiveDirectorySignins.json
• XBOW - XBOW.json
• PaloAlto-PAN-OS - PaloAltoOverview.json

Creación de reglas analíticas

Las reglas analíticas son plantillas que detectan amenazas en los datos. Cada regla es un archivo YAML. Para crear una regla analítica, consulte Creación de reglas analíticas para Microsoft Sentinel.

Consulte los ejemplos de referencia siguientes en el repositorio de Azure-Sentinel para obtener instrucciones sobre el diseño y el diseño de reglas analíticas:

• Microsoft Entra ID - FailedLogonToAzurePortal.yaml
• CrowdStrike Falcon - DeteccionesDeSeveridadCríticaOAltaPorUsuario.yaml
• XBOW - XbowCriticalHighFindings.yaml

Creación de consultas de búsqueda

Las consultas de búsqueda son plantillas que ayudan a los clientes a buscar amenazas de forma proactiva en sus datos. Aparecen en el panel Búsqueda para que los analistas los ejecuten manualmente. Comparten la misma estructura YAML que las reglas analíticas, pero no están automatizadas; Los campos de ejecución programada no se aplican y causan un fallo de revisión si se incluyen. Para crear una consulta de búsqueda, consulte Creación de consultas de búsqueda para Microsoft Sentinel.

Consulte los siguientes ejemplos de referencia en el repositorio de Azure-Sentinel para obtener orientación sobre el diseño y la estructura de las consultas de búsqueda proactiva:

• Okta Single Sign-On - AdminPrivilegeGrant.yaml
• PaloAlto-PAN-OS - Palo Alto - posible baliza detectada. yaml
• Azure Firewall - Azure Firewall - Primera vez que una IP de origen se comunica con un destino usando un puerto.yaml

Crear guías de estrategias

Los libros de estrategias son flujos de trabajo automatizados de respuesta que ayudan a los clientes a responder a amenazas que afectan a sus datos. Cada playbook es un flujo de trabajo de Azure Logic Apps que se exporta como una plantilla de ARM. Los dos archivos necesarios son azuredeploy.json y readme.md, colocados en Solutions/<YourSolutionName>/Playbooks/<PlaybookName>/. Para crear un cuaderno de estrategias, consulte Creación de cuadernos de estrategias para Microsoft Sentinel.

Consulte los siguientes ejemplos de referencia en el repositorio de Azure-Sentinel como guía sobre el diseño y la disposición del playbook:

• Microsoft Entra ID - Block-AADUser (incidentes + alertas + desencadenadores de entidad)
• CrowdStrike Falcon - CrowdStrike_Base (Key Vault + patrón base del libro de jugadas)
• Okta Single Sign-On - OktaCustomConnector (plantilla ARM de conector personalizado)

Creación de analizadores

Un analizador es una función de Kusto guardada en su área de trabajo de Log Analytics que actúa sobre los datos de registro sin procesar y los normaliza en campos limpios y consultables. En lugar de escribir lógica de extracción de campos en cada consulta, los clientes llaman al alias del analizador una vez y obtienen resultados estructurados. Los analizadores se definen como archivos YAML e implementan automáticamente cuando un cliente instala la solución. Para crear un analizador, consulte Creación de analizadores para Microsoft Sentinel.

Consulte los siguientes ejemplos de referencia en el repositorio de Azure-Sentinel como guía sobre el diseño y la estructura del analizador:

• Cloudflare CCF - Cloudflare.yaml
• Halcón CrowdStrike - Replicador CrowdStrike V2.yaml

Prueba tu paquete

Las pruebas siguen el paquete → implementar → habilitar → ciclo de validación . El ciclo es el mismo independientemente de la cantidad de contenido que haya creado. La herramienta de empaquetado V3 convierte los archivos de solución en una plantilla de ARM implementable (mainTemplate.json). Implemente la plantilla en un área de trabajo de desarrollo de Microsoft Sentinel, habilite cada tipo de contenido y confirme que funciona antes de enviar una solicitud de incorporación de cambios.

Repita este ciclo a medida que compila. No es necesario finalizar todos los tipos de contenido antes de empezar a probar. Empaquete e implemente a medida que complete cada tipo de contenido, compruebe que funciona y agregue más contenido y vuelva a empaquetar.

Si la solución incluye un conector de datos, pruebe primero el conector antes de compilar contenido dependiente, como reglas de análisis y libros. Todo el contenido de SIEM depende de los datos que fluyen a las tablas correctas con el esquema correcto. Si el conector no funciona o el esquema no coincide con lo que esperan las reglas, deberá volver a trabajar el contenido dependiente. Asegúrese de que los datos fluyen primero para ahorrar tiempo.

Empaquetar la solución

Después de desarrollar y probar los componentes de la solución de Microsoft Sentinel, el empaquetado es el siguiente paso crítico en el ciclo de vida de la solución. La herramienta de empaquetado consolida todo el contenido de la solución —conectores de datos, analizadores, libros de trabajo, reglas analíticas, consultas de búsqueda proactiva, conectores personalizados de Azure Logic Apps y flujos de trabajo— en un formato estandarizado para su implementación. Para obtener más información, consulte Empaquetar una solución SIEM para Microsoft Sentinel.

Ir al mercado

Al seleccionar Publicar, la solución pasa por una comprobación de certificación final antes de estar disponible públicamente. Después de la certificación, la solución aparece en el centro de contenido Microsoft Sentinel y se muestra en el área de trabajo de Sentinel de cada inquilino del cliente en el centro de contenido. También se puede descubrir en Azure Marketplace. La solución ahora está disponible para todos los clientes Microsoft Sentinel. Para más información, consulte Publicar soluciones SIEM para Microsoft Sentinel.

A partir de este momento, cualquier actualización de la solución, como cambios en el contenido, correcciones de errores y actualizaciones de versión, requiere una nueva PR de GitHub, una nueva versión del paquete y un nuevo envío a Partner Center con el ZIP actualizado. Para realizar el seguimiento del estado posterior a la publicación y los problemas de soporte técnico, consulte Seguimiento de la solución después de publicarla en el Centro de partners.

Contenido relacionado

• Empaquetar una solución SIEM para Microsoft Sentinel.
• Creación de un conector sin código para Microsoft Sentinel
• catálogo de soluciones de Microsoft Sentinel
• Directrices generales de contribución para Microsoft Sentinel