Reduzir os custos do Microsoft Sentinel

Os custos do Microsoft Sentinel são apenas uma parte dos custos mensais na sua fatura do Azure. Embora este artigo explique como reduzir os custos do Microsoft Sentinel, você será cobrado por todos os serviços e recursos do Azure que sua assinatura do Azure usa, incluindo serviços de parceiros.

Definir ou alterar o nível de preços

Para otimizar para obter a maior economia, monitore seu volume de ingestão para garantir que você tenha o nível de compromisso que se alinha mais de perto com seus padrões de volume de ingestão. Considere aumentar ou diminuir seu nível de compromisso para se alinhar aos volumes de dados em constante mudança.

Você pode aumentar seu nível de compromisso a qualquer momento, o que reinicia o período de compromisso de 31 dias. No entanto, para voltar ao pagamento conforme o uso ou a um nível de compromisso inferior, você deve aguardar até que o período de compromisso de 31 dias termine. A cobrança dos níveis de compromisso é feita diariamente.

Para ver seu tipo de preço atual do Microsoft Sentinel, selecione Configurações na navegação à esquerda do Microsoft Sentinel e selecione a guia Preços. Seu tipo de preço atual está marcado como Nível atual.

Para alterar seu compromisso de tipo de preço, selecione um dos outros níveis na página de preços e selecione Aplicar. Você deve ter a função Contributor ou Owner no espaço de trabalho do Microsoft Sentinel para alterar a camada de preço.

Para saber mais sobre como monitorar seus custos, confira Gerenciar e monitorar os custos do Microsoft Sentinel.

Para os espaços de trabalho que ainda usam camadas clássicas de preços, as camadas de preços do Microsoft Sentinel não incluem os encargos do Log Analytics. Para obter mais informações, confira Entender o modelo de cobrança completo do Microsoft Sentinel.

Comprar um plano de pré-compra

Economize nos custos do nível de análise do Microsoft Sentinel ao comprar antecipadamente unidades de compromisso (CUs) do Microsoft Sentinel. Use as CUs pré-compradas a qualquer momento durante o período de compra de um ano.

Todos os custos elegíveis do Microsoft Sentinel são automaticamente abatidos primeiro das CUs pré-compradas. Você não precisa fazer uma nova implantação nem atribuir um plano pré-adquirido aos seus espaços de trabalho do Microsoft Sentinel para que o uso de CUs receba os descontos de pré-compra.

Para obter mais informações, consulte Otimizar os custos do Microsoft Sentinel com um plano de pré-compra.

Separar dados não relacionados à segurança em um workspace diferente

O Microsoft Sentinel analisa todos os dados ingeridos nos espaços de trabalho do Log Analytics habilitados para o Microsoft Sentinel. É melhor ter um workspace separado para dados de operações não relacionados à segurança, para garantir que eles não incorram em custos do Microsoft Sentinel.

Use o data lake do Microsoft Sentinel para dados de segurança de menor fidelidade ou secundários

Embora a camada de análise seja mais apropriada para detecção contínua e em tempo real de ameaças, o data lake do Microsoft Sentinel é adequado para consulta e análise de dados de segurança secundários que não são necessários para detecção de ameaças em tempo real. O data lake do Microsoft Sentinel oferece ingestão e armazenamento a um custo significativamente reduzido. Para obter mais informações, consulte Preços do Microsoft Sentinel.

Otimizar os custos do Log Analytics com clusters dedicados

Se você ingerir pelo menos 100 GB no seu espaço de trabalho do Microsoft Sentinel ou em espaços de trabalho na mesma região, considere migrar para um cluster dedicado do Log Analytics para reduzir os custos. Uma camada de compromisso de um cluster dedicado do Log Analytics agrega o volume de dados entre espaços de trabalho que, em conjunto, ingerem um total de 100 GB ou mais. Para obter mais informações, consulte Tipo de preço simplificado para cluster dedicado.

Você pode adicionar vários workspaces do Microsoft Sentinel a um cluster dedicado do Log Analytics. Há algumas vantagens em usar um cluster dedicado do Log Analytics para o Microsoft Sentinel:

• As consultas entre espaços de trabalho são executadas mais rapidamente se todos os espaços de trabalho envolvidos na consulta estiverem no cluster dedicado. Ainda é melhor ter o menor número possível de workspaces em seu ambiente, e um cluster dedicado ainda mantém o limite de 100 workspaces para inclusão em uma única consulta entre workspaces.

• Todos os workspaces no cluster dedicado podem compartilhar o nível de compromisso do Log Analytics definido no cluster. Não ter que se comprometer com camadas de compromisso separadas do Log Analytics para cada espaço de trabalho pode permitir economia de custos e eficiência. Ao habilitar um cluster dedicado, você assume um nível mínimo de compromisso no Log Analytics de 100 GB de ingestão por dia.

Aqui estão outras considerações sobre a migração para um cluster dedicado para otimização de custos:

• O número máximo de clusters por região e assinatura é dois.
• Todos os workspaces vinculados a um cluster devem estar na mesma região.
• O máximo de workspaces vinculados a um cluster é 1000.
• Você pode desvincular um espaço de trabalho vinculado do seu cluster. O número de operações de vinculação em um determinado espaço de trabalho é limitado a duas em um período de 30 dias.
• Não é possível mover um workspace existente para um cluster de CMK (chave gerenciada pelo cliente). Você deve criar o espaço de trabalho no cluster.
• Atualmente, não há suporte para mover um cluster para outro grupo de recursos ou assinatura.
• Um link de espaço de trabalho para um cluster falhará se o espaço de trabalho estiver vinculado a outro cluster.

Para obter mais informações sobre clusters dedicados, consulte Clusters dedicados do Log Analytics.

Reduza os custos de retenção de dados com retenção total

O Microsoft Sentinel retém, por padrão, os dados da camada analítica nos primeiros 90 dias da retenção analítica. À medida que os dados envelhecem, eles perdem seu valor para análise e investigação em tempo real. Os usuários do SOC (centro de operações de segurança) podem não acessar dados mais antigos com tanta frequência, mas ainda desejam acessar os dados para investigações históricas mais amplas ou fins de auditoria. Para ajudar você a reduzir os custos de retenção de dados do Microsoft Sentinel, a retenção total está disponível. Os dados que ultrapassam seu período de retenção para análise ainda podem ser mantidos, a um custo muito menor, e acessados por meio de recursos de exploração do data lake. Para obter mais informações, consulte Exploração do lago, consultas KQL.

Use Tabelas de gerenciamento de dados> para ajustar o período de retenção de Análise e Total.

Usar regras de coleta de dados para eventos de Segurança do Windows

O conector de Eventos de Segurança do Windows permite que você transmita eventos de segurança de qualquer computador que execute o Windows Server conectado ao seu espaço de trabalho do Microsoft Sentinel, incluindo servidores físicos, virtuais ou locais, ou em qualquer nuvem. Esse conector inclui suporte para o Agente do Azure Monitor, que usa regras de coleta de dados para definir os dados a serem coletados de cada agente.

As regras de coleta de dados permitem que você gerencie as configurações de coleta em escala, enquanto ainda permitem configurações exclusivas e com escopo para subconjuntos de computadores. Para obter mais informações, consulte Configurar a coleta de dados para o Agente do Azure Monitor.

Além dos conjuntos predefinidos de eventos que você pode selecionar para assimilar, como Todos os eventos, Mínimo ou Comum, as regras de coleta de dados permitem que você crie filtros personalizados e selecione eventos específicos para assimilar. O Agente do Azure Monitor usa essas regras para filtrar os dados na origem e, em seguida, ingerir apenas os eventos selecionados, deixando todo o resto para trás. Selecionar eventos específicos para ingestão pode ajudar você a otimizar seus custos e economizar mais.

Próximas etapas

• Saiba como otimizar seu investimento em nuvem com o Gerenciamento de Custos da Microsoft.
• Saiba mais sobre como gerenciar custos com a análise de custos.
• Saiba como evitar custos inesperados.
• Faça o curso de aprendizado guiado Gerenciamento de Custos .
• Para obter mais dicas sobre como reduzir o volume de dados do Log Analytics, consulte Práticas recomendadas do Monitor do Azure – Gerenciamento de custos.
• Para entender mais sobre o data lake do Microsoft Sentinel, consulte data lake do Microsoft Sentinel.
• Para integrar o data lake do Microsoft Sentinel, confira Integrar dados ao data lake do Microsoft Sentinel.