Eliminación de incidentes en Microsoft Sentinel en el Azure Portal

La capacidad de crear incidentes desde cero en Microsoft Sentinel en el Azure Portal abre la posibilidad de crear un incidente que más adelante decida que no debe tener. Por ejemplo, es posible que haya creado un incidente basado en un informe de empleado, antes de haber recibido pruebas (como alertas) y, poco después, reciba alertas que generen automáticamente el incidente en cuestión. Ahora tiene un incidente duplicado sin datos en él. En este escenario, puede eliminar su incidente duplicado directamente desde la cola de incidentes en el portal de Azure.

Eliminar un incidente no sustituye el cierre de un incidente. La eliminación de un incidente solo debe realizarse cuando se cumpla al menos una de las condiciones siguientes:

• El incidente se creó manualmente por error.
• El incidente duplica exactamente otro incidente.
• Se generaron incidencias erróneas en masa por una regla de analítica defectuosa.
• El incidente no contiene datos: alertas, entidades, marcadores, etc.

En todos los demás casos, cuando ya no se necesita un incidente, debe cerrarse, no eliminarse. El cierre de un incidente requiere que especifique el motivo para cerrarlo y le permite agregar comentarios adicionales para el contexto y la aclaración. El cierre de incidentes antiguos de esta manera conserva la transparencia y la integridad de su SOC, y también permite la posibilidad de volver a abrir el incidente si el problema vuelve a aparecer.

Eliminación de un incidente mediante el Azure Portal

Puede eliminar uno o varios incidentes directamente desde la cola de incidentes del portal de Azure.

Para eliminar un único incidente:

1. En el menú de navegación Microsoft Sentinel, seleccione Incidentes.

2. En la página Incidentes , seleccione el incidente que desea eliminar.

3. Seleccione Ver detalles completos en el panel de detalles para especificar la vista de detalles completa del incidente.

4. Seleccione Eliminar incidente en la barra de botones de la parte superior.

5. Responda Sí al mensaje de confirmación que aparece.

Alternativamente, puedes eliminar un solo incidente de la cola de incidentes seleccionando solo una casilla y utilizando el flujo de eliminación múltiple descrito en el procedimiento "Para eliminar múltiples incidentes".

Para eliminar varios incidentes:

1. En el menú de navegación Microsoft Sentinel, seleccione Incidentes.

2. En la página Incidentes , seleccione el incidente o los incidentes que desea eliminar, marcando las casillas situadas junto a cada uno de los incidentes de la cuadrícula de incidentes.

3. Seleccione Eliminar en la barra de botones.

4. Responda Sí al mensaje de confirmación que aparece.

Eliminación de un incidente mediante la API de Microsoft Sentinel

El grupo de operaciones Incidentes permite eliminar incidentes , así como crear y actualizar (editar),obtener (recuperar) e enumerar incidentes.

Para eliminar un incidente, envíe una DELETE solicitud al siguiente punto de conexión y especifique el incidente de destino por su identificador de incidente. Una vez realizada esta solicitud, el incidente ya no estará visible en la cola de incidentes del portal.

Utiliza esta solicitud para eliminar un incidente existente de un espacio de trabajo de Microsoft Sentinel por ID de incidente:

DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/incidents/{incidentId}?api-version=2022-07-01-preview

Notas

• Para eliminar un incidente, debe tener el rol colaborador de Microsoft Sentinel.

• Eliminar un incidente no es reversible. Después de eliminar un incidente, la única referencia a él serán los datos de auditoría de la tabla SecurityIncident de la pantalla Registros. (Consulte la documentación del esquema de la tabla en Log Analytics). El campo Estado de esa tabla se actualizará a "Eliminado" para ese incidente.

  Nota:

  Debido al límite de 64 KB del tamaño de registro en la tabla SecurityIncident, los comentarios del incidente pueden truncarse (empezando por los más antiguos) si se supera ese límite.

• No se pueden eliminar incidentes desde dentro de Microsoft Sentinel que se importaron y sincronizaron con Microsoft Defender XDR.

• Si se actualiza una alerta relacionada con un incidente eliminado o si una nueva alerta se agrupa en un incidente eliminado, se creará un nuevo incidente para reemplazar el eliminado.

Siguientes pasos

Aprende más:

• Cree sus propios incidentes manualmente en Microsoft Sentinel
• Relacionar alertas con incidentes en Microsoft Sentinel
• Navegar, evaluar y administrar incidentes de Microsoft Sentinel
• Investigar en profundidad los incidentes de Microsoft Sentinel