Exportación e importación de reglas de análisis hacia y desde plantillas de ARM

Este artículo te muestra cómo exportar las reglas de análisis de Microsoft Sentinel a archivos JSON plantilla de Azure Resource Manager (ARM) e importar reglas de esos archivos a otros espacios de trabajo o tenants. Utiliza esta función para gestionar tus reglas de analítica como código, habilitando el control de versiones y un despliegue consistente entre entornos.

Cómo funciona la exportación e importación de plantillas ARM para las reglas de análisis

Ahora puede exportar las reglas de análisis a archivos de plantilla de Azure Resource Manager (ARM) e importar reglas de estos archivos, como parte de la administración y el control de las implementaciones de Microsoft Sentinel como código. La acción de exportación creará un archivo JSON (denominado Azure_Sentinel_analytic_rule.json) en la ubicación de descargas del explorador, que luego puede cambiar el nombre, mover y controlar como cualquier otro archivo.

El archivo JSON exportado es independiente del área de trabajo, por lo que se puede importar a otras áreas de trabajo e incluso a otros inquilinos. Como código, también se puede controlar, actualizar e implementar en un marco de CI/CD administrado.

El archivo incluye todos los parámetros definidos en la regla de análisis, por lo que para las reglas programadas incluye la consulta subyacente y su configuración de programación adjunta, la gravedad, la creación de incidentes, la configuración de agrupación de eventos y alertas, las tácticas MITRE ATT&CK asignadas, etc. Cualquier tipo de regla de análisis, no solo Programada , se puede exportar a un archivo JSON.

Exportar reglas de analítica a plantillas ARM

Realice los pasos siguientes para exportar una regla de análisis a un archivo de plantilla de ARM:

1. En el menú de navegación Microsoft Sentinel, seleccione Análisis.

2. Seleccione la regla que desea exportar y haga clic en Exportar en la barra de la parte superior de la pantalla.

   

   Nota:

   • Puede seleccionar varias reglas de análisis a la vez para la exportación marcando las casillas situadas junto a las reglas y haciendo clic en Exportar al final.

   • Puede exportar todas las reglas en una sola página de la cuadrícula de visualización a la vez, marcando la casilla en la fila de encabezado (junto a SEVERITY) antes de hacer clic en Exportar. Sin embargo, no puede exportar más de una página de reglas a la vez.

   • Tenga en cuenta que en este escenario, se creará un único archivo (denominado Azure_Sentinel_analytic_rules.json) y contendrá código JSON para todas las reglas exportadas.

Importar reglas de analítica desde plantillas ARM

Realice los pasos siguientes para importar una regla de análisis desde un archivo de plantilla de ARM:

1. Tenga preparado un archivo JSON de una plantilla ARM para una regla de análisis.

2. En el menú de navegación Microsoft Sentinel, seleccione Análisis.

3. Haga clic en Importar desde la barra de la parte superior de la pantalla. En el cuadro de diálogo resultante, vaya a y seleccione el archivo JSON que representa la regla que desea importar y seleccione Abrir.

   

   Nota:

   Puede importar hasta 50 reglas de análisis desde un único archivo de plantilla de ARM.

Pasos siguientes

Puede exportar e importar reglas de análisis hacia y desde plantillas de ARM para administrar las implementaciones de Microsoft Sentinel como código.

• Obtenga más información sobre las reglas de análisis, incluidas las reglas programadas personalizadas.
• Obtenga más información sobre las plantillas de ARM.