Trabajar con reglas de análisis de detección casi en tiempo real (NRT) en Microsoft Sentinel

  • Se aplica a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Importante

Las detecciones personalizadas ahora son la mejor manera de crear nuevas reglas en Microsoft Sentinel Microsoft Defender XDR SIEM. Con las detecciones personalizadas, puede reducir los costes de ingesta, obtener detecciones ilimitadas en tiempo real y beneficiarse de una integración perfecta con los datos, las funciones y las acciones de corrección de Defender XDR, con asignación automática de entidades. Para obtener más información, consulte Las detecciones personalizadas son ahora la experiencia unificada para crear detecciones en Microsoft Defender XDR.

Las reglas de análisis casi en tiempo real de Microsoft Sentinel proporcionan detección de amenazas de forma inmediata. Las reglas de análisis casi en tiempo real están diseñadas para ser muy responsivas ejecutando sus consultas con intervalos de solo un minuto cada uno.

Por el momento, las plantillas de reglas de NRT tienen una aplicación limitada, como se describe en Consideraciones para las reglas de NRT, pero la tecnología está evolucionando y creciendo rápidamente.

Importante

Después del 31 de marzo de 2027, Microsoft Sentinel ya no se admitirá en el Azure Portal y solo estará disponible en el portal de Microsoft Defender. Todos los clientes que usen Microsoft Sentinel en el Azure Portal se redirigirán al portal de Defender y solo usarán Microsoft Sentinel en el portal de Defender.

Si sigue usando Microsoft Sentinel en el Azure Portal, le recomendamos que empiece a planear la transición al portal de Defender para garantizar una transición sin problemas y aprovechar al máximo la experiencia de operaciones de seguridad unificadas que ofrece Microsoft Defender.

Visualización de reglas casi en tiempo real (NRT)

Para ver las reglas de NRT existentes, filtre la lista de reglas de análisis por tipo de regla:

Para ver las normas NRT en el portal de Defender:

  1. En el menú de navegación Microsoft Defender, expanda Microsoft Sentinel y, a continuación, Configuración. Seleccione Análisis.

  2. En la pantalla Análisis , con la pestaña Reglas activas seleccionada, filtre la lista para las plantillas de NRT :

    1. Seleccione Agregar filtro y elija Tipo de regla en la lista de filtros.

    2. En la lista resultante, seleccione NRT. A continuación, seleccione Aplicar.

Creación de reglas de NRT

Crea reglas NRT siguiendo el mismo procedimiento que se usa para las reglas regulares de análisis de consultas programadas:

Para crear una regla de NRT en el portal de Defender:

  1. En el menú de navegación Microsoft Defender, expanda Microsoft Sentinel y, a continuación, Configuración. Seleccione Análisis.

  2. En la barra de acciones de la parte superior de la cuadrícula, seleccione +Crear y seleccione Regla de consulta NRT. Se abre el asistente de reglas de Analytics.

    Captura de pantalla que muestra cómo crear una nueva regla de NRT.

  1. Siga los pasos descritos en Creación de una regla de análisis de consultas programada para completar el Asistente para reglas de análisis.

    La configuración de las reglas de NRT es, en la mayoría de los casos, la misma que la de las reglas de análisis programadas.

    • Puede hacer referencia a varias tablas y listas de reproducción en la lógica de consulta.

    • Puede usar todos los métodos de enriquecimiento de alertas: asignación de entidades, detalles personalizados y detalles de alerta.

    • Puede elegir cómo agrupar alertas en incidentes y suprimir una consulta cuando se haya generado un resultado determinado.

    • Puede automatizar las respuestas a alertas e incidentes.

    • Puede ejecutar la consulta de regla en varias áreas de trabajo.

    Sin embargo, debido a la naturaleza y las limitaciones de las reglas de NRT, las siguientes características de las reglas de análisis programadas no estarán disponibles en el asistente:

    • La programación de consultas no es configurable, ya que las consultas se programan automáticamente para que se ejecuten una vez por minuto con un período de reversión de un minuto.
    • El umbral de alerta es irrelevante, ya que siempre se genera una alerta.
    • La configuración de agrupación de eventos ahora está disponible en un grado limitado. Puede elegir que una regla de NRT genere una alerta para cada evento para un máximo de 30 eventos. Si elige esta opción y la regla da como resultado más de 30 eventos, se generarán alertas de evento único para los primeros 29 eventos y una alerta 30 resumirá todos los eventos del conjunto de resultados.

    Además, debido a los límites de tamaño de las alertas, la consulta debería hacer uso de sentencias project para incluir solo los campos necesarios de su tabla. De lo contrario, la información que desea mostrar podría acabar truncándose.

Contenido relacionado

Para obtener más información sobre las reglas de NRT, consulte los siguientes artículos:

  • Last updated on