Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
La herramienta de migración SIEM analiza las detecciones de Splunk y QRadar, incluidas las detecciones personalizadas, y recomienda las detecciones de Microsoft Sentinel más adecuadas y Defender XDR detecciones nativas. También proporciona recomendaciones para conectores de datos, tanto conectores de Microsoft como de terceros disponibles en Content Hub para habilitar las detecciones recomendadas. Para realizar un seguimiento de la migración, asigne el estado correcto a cada tarjeta de recomendación.
La experiencia de migración de SIEM incluye las siguientes características:
- La experiencia se centra en migrar la supervisión de seguridad de Splunk y QRadar a Microsoft Sentinel y asignar reglas de análisis predefinidas (OOTB) siempre que sea posible.
- La funcionalidad admite la migración de detecciones de Splunk y QRadar a reglas de análisis de Microsoft Sentinel.
Requisitos previos
- Microsoft Sentinel en Microsoft Defender portal
- Al menos permisos de Microsoft Sentinel Contributor en el espacio de trabajo de Microsoft Sentinel
- Security Copilot habilitado en su inquilino con al menos un rol de operador del área de trabajo asignado
Nota:
La herramienta de Migración SIEM está impulsada por Security Copilot, por lo que necesitas tener Security Copilot habilitado en tu tenant para usar la herramienta de Migración SIEM. Sin embargo, la herramienta de migración SIEM no consume SCUs ni genera cargos basados en SCU, independientemente de cómo configures Security Copilot. Puede optimizar la configuración de Security Copilot en función de sus preferencias de acceso y administración de costos, y el flujo de trabajo permanece completamente libre de SCU. Cualquier uso de SCU solo se aplicaría a otras características de Security Copilot que use intencionadamente.
Exportación de reglas de detección desde el SIEM actual
Exporta tus reglas de detección existentes desde tu SIEM actual para que la experiencia de migración de SIEM pueda analizarlas.
En la aplicación Buscar e informes de Splunk, ejecute la consulta siguiente:
| rest splunk_server=local count=0 /servicesNS/-/-/saved/searches | search disabled=0 | search alert_threshold != "" | table title, search, description, cron_schedule, dispatch.earliest_time, alert.severity, alert_comparator, alert_threshold, alert.suppress.period, id, eai:acl.app, actions, action.correlationsearch.annotations, action.correlationsearch.enabled | tojson | table _raw | rename _raw as alertrules | mvcombine delim=", " alertrules | append [ | rest splunk_server=local count=0 /servicesNS/-/-/admin/macros | table title,definition,args,iseval | tojson | table _raw | rename _raw as macros | mvcombine delim=", " macros ] | filldown alertrules |tail 1
Necesita un rol de administrador de Splunk para exportar todas las alertas de Splunk. Para obtener más información, vea Acceso de usuario basado en rol de Splunk.
Inicio de la experiencia de migración de SIEM
Después de exportar las reglas, haga lo siguiente:
Ve a
security.microsoft.com.En la pestaña Optimización de SOC , seleccione Configurar el nuevo SIEM.
Seleccione Migrar desde el SIEM actual:
Seleccione el SIEM desde el que va a migrar.
Sube los datos de configuración que exportaste (consulta Reglas de detección de exportación desde tu SIEM actual) y selecciona Siguiente.
La herramienta de migración analiza la exportación e identifica el número de orígenes de datos y las reglas de detección en el archivo que proporcionó. Utilice esta información para confirmar que tiene la exportación correcta.
Si los datos no tienen el aspecto correcto, seleccione Reemplazar archivo en la esquina superior derecha y cargue una nueva exportación. Cuando se cargue el archivo correcto, seleccione Siguiente.
Seleccione un área de trabajo y, a continuación, seleccione Iniciar análisis.
La herramienta de migración asigna las reglas de detección a los orígenes de datos y las reglas de detección de Microsoft Sentinel. Si no hay ninguna recomendación en el área de trabajo, se crean recomendaciones. Si existen recomendaciones existentes, la herramienta de migración SIEM las elimina y reemplaza por nuevas.
Actualice la página y seleccione el estado del análisis de configuración de SIEM para ver el progreso del análisis:
La página de estado del análisis de configuración de SIEM no se actualiza automáticamente. Para ver el estado más reciente, cierre y vuelva a abrir la página.
El análisis se completa cuando las tres marcas de verificación son verdes. Si las tres marcas de verificación son verdes pero no hay recomendaciones, significa que no se encontraron coincidencias para tus reglas.
Cuando finaliza el análisis de migración SIEM, la herramienta de migración genera recomendaciones basadas en casos de uso, agrupadas por soluciones de Content Hub. También puede descargar un informe detallado del análisis. El informe contiene un análisis detallado de los trabajos de migración recomendados, incluidas las reglas de Splunk y QRadar que no tienen una buena coincidencia, no se detectaron o no son aplicables.
Filtre el tipo de recomendación por el programa de instalación de SIEM para ver las recomendaciones de migración.
Seleccione una de las tarjetas de recomendación para ver las fuentes de datos y las reglas asociadas.
La herramienta de migración SIEM empareja las reglas Splunk y QRadar con conectores de datos Microsoft Sentinel de fábrica, reglas de detección Microsoft Sentinel de fábrica y detecciones nativas de Defender XDR. En la pestaña Conectores se muestran los conectores de datos coincidentes con las reglas del SIEM y el estado (conectado o no desconectado). Si el conector que quieres usar no está ya conectado, puedes conectarlo desde la pestaña de conectores. Si no hay un conector instalado, ve al Microsoft Sentinel Content Hub e instala la solución que contenga el conector que quieres usar.
La pestaña de detecciones muestra la siguiente información:
- Recomendaciones de la herramienta de migración SIEM.
- La regla de detección actual de Splunk o QRadar del archivo cargado.
- El producto, que indica si la detección correspondiente es una regla de detección de Microsoft Sentinel o una detección nativa de Defender XDR.
- Estado de la regla de detección en Microsoft Sentinel. El estado puede ser:
- Habilitado: la regla de detección se crea a partir de la plantilla de regla, habilitada y activa (a partir de una acción anterior)
- Deshabilitado: la regla de detección se instala desde el Centro de contenido, pero no está habilitada en el área de trabajo de Microsoft Sentinel
- No en uso: la regla de detección se instaló desde Content Hub y está disponible como plantilla para habilitarse
- No instalado: la regla de detección no se instaló desde el Centro de contenido
- Los conectores necesarios que deben configurarse para traer los registros necesarios para la regla de detección recomendada. Si no hay disponible un conector necesario, hay un panel lateral con un asistente para instalarlo desde el Centro de contenido. Si todos los conectores necesarios están conectados, aparece una marca de verificación verde.
Habilitación de reglas de detección
Tras revisar los resultados coincidentes, puedes activar las reglas recomendadas de detección de Microsoft Sentinel o revisar las detecciones nativas de Defender XDR.
Cuando seleccionas una regla de detección recomendada, se abre el panel lateral de detalles de la regla y puedes ver los detalles de la plantilla de regla.
Si el conector de datos asociado está instalado y configurado, seleccione Habilitar detección para habilitar la regla de detección.
Seleccione Más acciones>Crear manualmente para abrir el Asistente para reglas de análisis para que pueda revisar y editar la regla antes de habilitarla.
Si la regla ya está habilitada, seleccione Editar para abrir el Asistente para reglas de análisis para revisar y editar la regla.
El asistente muestra la regla SPL de Splunk y puede compararla con la Microsoft Sentinel KQL.
Sugerencia
En lugar de crear reglas manualmente desde cero, considera habilitar la regla desde la plantilla y luego editarla según sea necesario.
Habilitar la detección solo está habilitada si el conector de datos está instalado y configurado para transmitir registros.
Para habilitar varias reglas a la vez, active las casillas situadas junto a cada regla que quiera habilitar y, a continuación, seleccione Habilitar detecciones seleccionadas en la parte superior de la página.
La herramienta de migración SIEM no instala explícitamente ningún conector ni habilita las reglas de detección.
Limitaciones
La herramienta de migración asigna las reglas exportadas a los conectores de datos integrados y a las reglas de detección integradas de Microsoft Sentinel.