Uso de una regla personalizada de colección de datos para la ingesta en Defender para servidores

Puede usar una regla de recopilación de datos (DCR) personalizada para controlar qué eventos de seguridad de Windows se envían a Log Analytics para Defender para Servidores. Este enfoque puede ayudar a reducir el volumen de ingestión filtrando los eventos que no necesitas.

Con un DCR personalizado, puede hacer lo siguiente:

• Filtrado de eventos de seguridad de gran volumen
• Recopilación de un subconjunto específico de eventos de seguridad de Windows
• Aplicar transformaciones antes de la ingesta

Prerequisites

Antes de crear un DCR personalizado, asegúrate de que tienes:

• Azure Monitor Agent (AMA) instalado en las máquinas que envían datos a Log Analytics.

• Un espacio de trabajo de Log Analytics en la misma región que el DCR.

Creación de un DCR

Para crear un DCR personalizado en el portal de Azure, sigue estos pasos:

1. Inicie sesión en Azure Portal.

2. Ve a Monitor>ConfiguraciónReglas de recopilación de datos y, a continuación, selecciona >.

3. Escriba un nombre y una suscripción.

4. Elija o cree un grupo de recursos.

5. Seleccione la región. La región debe coincidir con la región de los espacios de trabajo de Log Analytics a los que envíes.

6. En Tipo de plataforma, seleccione Windows para recopilar eventos de Seguridad de Windows para obtener la ventaja de la ingesta SecurityEvent.

7. Elige Linux o All si también necesitas esos registros.

8. En Punto de conexión de colección de datos, deje seleccionado <ninguno> a menos que esté utilizando un punto de conexión de colección de datos para Private Link u otra configuración de red avanzada.

9. Seleccione Siguiente: Recursos >.

10. Seleccione + Agregar recursos y elija los recursos pertinentes.

11. Si tu entorno requiere un punto final de recogida de datos, por ejemplo, al usar Private Link, selecciona + Crear punto final. Crea el punto final en la misma región que el DCR.

12. Seleccione Siguiente: Recopilar y entregar >.

13. Seleccione + Agregar origen de datos.

14. En Tipo de origen de datos, seleccione Registros de eventos de Windows y elija Básico o Personalizado:

    • Básico:

      • En Seguridad, selecciona Auditoría exitosa o Fallo de auditoría para enviar eventos de Seguridad de Windows a la SecurityEvent tabla.
      • Si es necesario, selecciona registros de eventos de aplicación o sistema para recopilar más eventos. Estos eventos van a la tabla Event y se facturan como una ingestión normal. El beneficio de la ingestión de Defender para servidores no los cubre.

    • Personalizado:

      • En Usar consultas XPath para filtrar registros de eventos y limitar la recogida de datos, introduzca una consulta XPath. Por ejemplo: Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]]

    

15. Selecciona Agregar.

16. Seleccione Siguiente: Destino >.

17. Seleccione + Agregar destino.

    

18. En Tipo de destino, elija Registros de Azure Monitor.

19. Seleccione al menos un área de trabajo de Log Analytics en la misma región que dcR.

20. Haga clic en Guardar.

21. Seleccione Siguiente: Etiquetas > y agregue las etiquetas que necesite para la organización de recursos o la administración de costos.

22. Seleccione Siguiente: Revisar y crear >.

23. Seleccione Crear para desplegar el DCR.

Comprobación de la ingesta de datos

Después de desplegar el DCR, espera unos minutos a que los datos empiecen a fluir.

Ejecute la siguiente consulta KQL en el área de trabajo de Log Analytics:

SecurityEvent
| take 10

Fragmento JSON de ejemplo

En el ejemplo siguiente se muestra una configuración de DCR que recopila eventos de seguridad de Windows seleccionados:

{
  "dataSources": {
    "windowsEventLogs": [
      {
        "name": "SecurityEvents",
        "streams": ["Microsoft-SecurityEvent"],
        "xPathQueries": [
          "Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]]"
        ]
      }
    ]
  },
  "destinations": {
    "logAnalytics": [
      { "workspaceId": "<workspace-id>" }
    ]
  }
}

Implementación mediante Azure Policy

Si gestionas muchas suscripciones, utiliza Azure Policy para crear y asignar DCRs a gran escala. La iniciativa de directiva Implementar AMA DCR para la recopilación de eventos de seguridad aplica las reglas de recopilación de eventos de seguridad para su entorno.

Paso siguiente