Découvrir et gérer le contenu prêt à l’emploi de Microsoft Sentinel

Le Hub de contenu Microsoft Sentinel est votre emplacement central pour découvrir et gérer le contenu prêt à l’emploi (intégré). Dans le hub de contenu, vous trouverez des solutions empaquetées pour les produits de bout en bout par domaine ou secteur. Vous avez accès au grand nombre de contributions autonomes hébergées dans notre dépôt GitHub et nos panneaux de fonctionnalités.

• Découvrez des solutions et du contenu autonome avec un ensemble cohérent de fonctionnalités de filtrage basées sur status, le type de contenu, la prise en charge, le fournisseur et la catégorie.

• Installez du contenu dans votre espace de travail en une seule fois ou individuellement.

• Affichez le contenu dans l’affichage liste et voyez rapidement quelles solutions ont des mises à jour. Mettez à jour toutes les solutions en même temps que le contenu autonome est mis à jour automatiquement.

• Gérez une solution pour installer ses types de contenu et obtenir les dernières modifications.

• Configurez du contenu autonome pour créer des éléments actifs basés sur le modèle le plus à jour.

Si vous êtes un partenaire qui souhaite créer votre propre solution, consultez le Guide de génération de solutions Microsoft Sentinel pour la création et la publication de solutions.

Prérequis

Pour installer, mettre à jour ou supprimer du contenu ou des solutions autonomes dans Content Hub, vous avez besoin du rôle de contributeur Microsoft Sentinel au niveau du groupe de ressources.

Pour plus d’informations sur les autres rôles et autorisations pris en charge pour Microsoft Sentinel, consultez Autorisations dans Microsoft Sentinel.

Découvrir du contenu

Le hub de contenu offre le meilleur moyen de trouver du nouveau contenu ou de gérer les solutions que vous avez déjà installées.

1. Pour Microsoft Sentinel dans le portail Defender, sélectionnez Microsoft Sentinel>Gestion du contenu>Hub de contenu. Pour Microsoft Sentinel dans le Portail Azure, sous Gestion du contenu, sélectionnez Hub de contenu.

   La page Hub de contenu affiche une grille pouvant faire l’objet d’une recherche ou une liste de solutions et de contenu autonome.

2. Recherchez les solutions ou les éléments de contenu autonomes dont vous avez besoin. Sélectionnez des valeurs spécifiques dans les filtres ou entrez un terme de recherche dans la zone Rechercher . Les recherches utilisent l’IA pour prendre en charge les recherches approximatives et le vocabulaire approximatif.

   Appuyez sur ENTRÉE pour lancer la recherche. Les résultats sont limités à 50 éléments, incluant les solutions et les éléments de contenu dans les solutions. Si vous ne trouvez pas ce dont vous avez besoin, affinez votre recherche ou essayez différents filtres.

   Pour plus d’informations, consultez Catégories de contenu et de solutions prêts à l’emploi pour Microsoft Sentinel.

3. Dans l’affichage liste ( ), sélectionnez une solution dans la liste pour afficher des informations sur la solution ainsi que les types d’éléments de contenu qu’elle inclut.

   Dépliez une solution dans les résultats de recherche ou de filtrage pour voir la liste des éléments de contenu qu’elle inclut. Le volet d’informations sur le côté présente des informations détaillées sur l’élément de contenu.

   • portail Microsoft Defender
   • Portail Azure

   

   Vous pouvez également sélectionner la vue carte ( ) pour afficher les solutions présentées dans une grille. Chaque carte affiche le nom, la description et les catégories de la solution. Sélectionnez une carte pour obtenir plus d’informations sur la solution dans le panneau latéral.

Pour utiliser un élément de contenu qui fait partie d’une solution, vous devez installer la solution entière. Si vous avez sélectionné un élément de contenu spécifique dans la liste, sélectionnez Installer la solution dans le volet d’informations sur le côté pour installer la solution appropriée.

Pour plus d’informations, consultez Catégories de contenu et de solutions prêts à l’emploi pour Microsoft Sentinel.

Installer ou mettre à jour le contenu

Installez du contenu et des solutions autonomes individuellement ou ensemble en bloc. Pour plus d’informations sur les opérations en bloc, consultez Installation en bloc et mise à jour du contenu.

Si une solution que vous avez déployée comporte des mises à jour depuis son dernier déploiement, l’affichage liste affiche Mettre à jour dans la colonne status. La solution est également incluse dans le nombre de Mises à jour en haut de la page.

Voici un exemple montrant l’installation d’une solution individuelle.

1. Dans le hub de contenu, recherchez et sélectionnez la solution.

2. Dans le volet d’informations des solutions, en bas à droite, sélectionnez Afficher les détails.

3. Sélectionnez Créer ou Mettre à jour.

4. Sous l’onglet Informations de base , entrez l’abonnement, le groupe de ressources et l’espace de travail pour déployer la solution. Par exemple :

   

5. Sélectionnez Suivant pour parcourir les onglets restants pour en savoir plus sur et, dans certains cas, configurer chacun des composants de contenu.

   Les onglets correspondent au contenu proposé par la solution. Différentes solutions peuvent avoir des types de contenu différents, de sorte que vous risquez de ne pas voir les mêmes onglets dans chaque solution.

   Vous pouvez également être invité à entrer des informations d’identification pour un service non-Microsoft afin que Microsoft Sentinel puissent s’authentifier auprès de vos systèmes. Par exemple, avec des playbooks, vous souhaiterez peut-être effectuer des actions de réponse comme prévu dans votre système.

6. Sous l’onglet Vérifier + créer , attendez le Validation Passed message.

7. Sélectionnez Créer ou Mettre à jour pour déployer la solution. Vous pouvez également sélectionner le lien Télécharger un modèle pour l’automatisation pour déployer la solution en tant que code.

Installer avec les dépendances

Certaines solutions ont des dépendances à installer, notamment de nombreuses solutions de domaine et solutions qui utilisent les connecteurs d’agent de Azure Monitor unifiés (AMA) pour CEF, Syslog ou les journaux personnalisés.

Si la solution a des dépendances, sélectionnez Installer avec des dépendances pour vous assurer que les connecteurs de données requis sont également installés. Dans le volet de sélection des dépendances, sélectionnez une ou plusieurs des dépendances pour les installer avec la solution d’origine. La solution d’origine que vous avez choisi d’installer est toujours sélectionnée par défaut.

Si une ou plusieurs solutions de dépendance sont déjà installées, mais qu’elles ont des mises à jour, utilisez le bouton Installer/Mettre à jour pour installer et mettre à jour toutes les solutions sélectionnées en bloc. Par exemple :

Après avoir installé une solution, chaque type de contenu au sein de la solution peut nécessiter d’autres étapes de configuration. Pour plus d’informations, consultez Activer les éléments de contenu dans une solution.

Installer et mettre à jour en bloc le contenu

Le hub de contenu prend en charge un affichage liste en plus de l’affichage carte par défaut. Sélectionnez l’affichage liste pour installer plusieurs solutions et du contenu autonome à la fois. Le contenu autonome est automatiquement mis à jour. Tout contenu actif ou personnalisé créé à partir de solutions ou de contenu autonome installé à partir du hub de contenu reste intact.

1. Pour installer ou mettre à jour des éléments en bloc, passez à l’affichage liste.

2. Recherchez ou filtrez le contenu que vous souhaitez installer ou mettre à jour en bloc.

3. Cochez la case pour chaque solution ou contenu autonome que vous souhaitez installer ou mettre à jour.

4. Sélectionnez le bouton Installer/Mettre à jour .

   Si une solution ou un contenu autonome que vous avez sélectionné a déjà été installé ou mis à jour, aucune action n’est effectuée sur cet élément. Il n’interfère pas avec la mise à jour et l’installation des autres éléments.

5. Sélectionnez Gérer pour chaque solution que vous avez installée. Les types de contenu au sein de la solution peuvent nécessiter plus d’informations pour vous permettre de configurer. Pour plus d’informations, consultez Activer les éléments de contenu dans une solution.

Installer des packages et des modèles à l’aide de l’API

Si vous utilisez l’API pour installer des packages de solution ou des modèles individuels, procédez comme suit :

1. Récupérez le package ou le modèle de solution :

   • Pour récupérer un package, utilisez l’API Obtenir le package de produit.
   • Pour récupérer un modèle individuel, utilisez l’API Obtenir un modèle de produit.

2. Dans la réponse de l’API, recherchez le properties.mainTemplate champ . Ce champ contient le modèle JSON Azure Resource Manager (ARM) qui définit la solution ou les ressources du modèle.

3. Déployez le extrait mainTemplate à l’aide d’un déploiement de modèle ARM, via l’API Rest, Azure CLI ou PowerShell.

Activer les éléments de contenu dans une solution

Gérez de manière centralisée les éléments de contenu pour les solutions installées à partir du hub de contenu.

1. Dans le hub de contenu, sélectionnez une solution installée dont la version est 2.0.0 ou ultérieure.

2. Dans la page détails des solutions, sélectionnez Gérer.

   

3. Passez en revue la liste des éléments de contenu.

   

4. Sélectionnez un élément de contenu pour commencer.

Gérer chaque type de contenu

Les sections suivantes décrivent comment travailler avec des connecteurs de données, des règles d’analyse, des requêtes de chasse, des cahiers d’exercices, des syntaxiseurs syntatiques et des playbooks pendant que vous gérez une solution.

Connecter un connecteur de données

Pour connecter un connecteur de données, effectuez les étapes de configuration.

1. Sélectionnez Ouvrir la page du connecteur.

2. Effectuez les étapes de configuration du connecteur de données.

   

   Une fois que vous avez configuré le connecteur de données et que les journaux sont détectés, le status devient Connecté.

Activer une règle d’analytique

Créez une règle à partir d’un modèle ou modifiez une règle existante.

1. Affichez le modèle dans la galerie de modèles d’analyse.

2. Si le modèle n’est pas encore utilisé, sélectionnez Ouvrir>créer une règle et suivez les étapes pour activer la règle d’analyse.

   Une fois que vous avez créé une règle, le nombre de règles actives créées à partir du modèle est affiché dans la colonne Contenu créé .

3. Sélectionnez le lien règles actives pour modifier la règle existante. Par exemple, le lien de règle active dans l’image suivante se trouve sous Contenu créé et affiche 2 éléments.

   

Exécuter ou personnaliser une requête de chasse

Exécutez la requête de repérage fournie ou personnalisez-la.

1. Pour commencer la recherche immédiatement, sélectionnez Exécuter la requête dans la page de détails pour obtenir des résultats rapides.

   

2. Pour personnaliser votre requête de repérage, sélectionnez le lien dans la colonne Nom du contenu .

   Dans la galerie de recherche, sélectionnez le menu des ellipses pour cloner le modèle de requête en lecture seule. Les requêtes clonées apparaissent dans la colonne contenu créé du hub de contenu.

Créer un classeur à partir d’un modèle

Pour personnaliser un classeur, enregistrez une copie du modèle.

1. Sélectionnez Afficher le modèle pour ouvrir le classeur et voir les visualisations.

2. Sélectionnez Enregistrer pour créer un instance du modèle de classeur.

3. Affichez votre classeur personnalisable enregistré en sélectionnant Afficher le classeur enregistré.

4. Dans le hub de contenu, sélectionnez le lien 1 élément dans la colonne Contenu créé pour gérer le classeur.

   

Utiliser un analyseur

Lorsqu’une solution est installée, tous les analyseurs inclus sont ajoutés en tant que fonctions d’espace de travail dans Log Analytics.

1. Sélectionnez Charger le code de la fonction pour ouvrir Log Analytics et afficher ou exécuter le code de la fonction.

2. Sélectionnez Utiliser dans l’éditeur pour ouvrir Log Analytics avec le nom de l’analyseur prêt à être ajouté à votre requête personnalisée.

   

Créer un playbook à partir d’un modèle

Créez un playbook à partir d’un modèle.

1. Sélectionnez le lien Nom du contenu du playbook.

2. Choisissez le modèle, puis sélectionnez Créer un playbook.

3. Une fois le playbook créé, le playbook actif est affiché dans la colonne Contenu créé .

4. Sélectionnez le lien 1 item du playbook actif pour gérer le playbook.

   

Rechercher le modèle de support pour votre contenu

Chaque solution et élément de contenu autonome affiche son modèle de support dans la boîte Support sur son panneau de détails. La boîte indique soit Microsoft, soit un nom de partenaire. Par exemple :

Lorsque vous contactez le support, vous pourriez avoir besoin de l’éditeur, du fournisseur ou de l’identifiant de forfait de votre solution. Trouvez ces détails dans l’onglet Informations d’utilisation et support de la page des détails.

Étapes suivantes

De nombreuses solutions incluent des connecteurs de données que vous devez configurer pour pouvoir commencer à ingérer vos données dans Microsoft Sentinel. Chaque connecteur de données a son propre ensemble d’exigences détaillées dans la page du connecteur de données dans Microsoft Sentinel.

Pour plus d’informations, consultez Connecter votre source de données.

Contenu connexe

• En savoir plus sur les solutions Microsoft Sentinel.
• Consultez le catalogue complet de solutions Microsoft Sentinel dans la Place de marché Azure.
• Recherchez des solutions spécifiques à un domaine dans le catalogue du hub de contenu Microsoft Sentinel.
• Supprimer le contenu et les solutions Microsoft Sentinel prêts à l’emploi installés.