Conectar fontes de dados ao Microsoft Sentinel usando conectores de dados

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Para conectar fontes de dados ao Microsoft Sentinel, você precisa instalar e configurar conectores de dados. Este artigo geralmente explica como instalar conectores de dados disponíveis no hub de conteúdo do Microsoft Sentinel para ingerir e analisar dados para melhorar a detecção de ameaças.

Importante

Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.

Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.

Pré-requisitos

Antes de começar, verifique se você tem o acesso apropriado e se você ou alguém em sua organização instalou a solução relacionada.

Habilitar um conector de dados

Depois que você ou alguém da sua organização instalar a solução que inclui o conector de dados de que você precisa, configure o conector de dados para começar a ingerir dados.

  1. Para o Microsoft Sentinel no portal do Microsoft Defender, selecione Microsoft Sentinel>>. Para o Microsoft Sentinel no portal do Azure, em Configuração, selecione Conectores de dados.

  2. Procure e selecione o conector. Se você não encontrar o conector de dados desejado, verifique novamente se a solução relevante está instalada na Central de conteúdo.

  3. Selecione Abrir página do conector.

  4. Examine os pré-requisitos do conector de dados e verifique se eles foram atendidos.

  5. Siga as etapas descritas na seção Configurações do conector de dados.

    Para alguns conectores, encontre informações de configuração mais específicas na seção Coletar dados do artigo relevante sobre conectores em Find your Microsoft Sentinel data connector.

Configurar a retenção e a hierarquização de dados

Se você tiver se integrado ao data lake do Microsoft Sentinel, poderá configurar a retenção de dados e a camada para o conector de dados. O data lake consiste em uma camada de análise, seus workspaces atuais do Microsoft Sentinel e uma camada de data lake, na qual você pode armazenar dados por até 12 anos. Para obter mais informações sobre integração, confira Integração com o data lake do Microsoft Sentinel.

Quando você habilita um conector, por padrão, os dados são enviados para a camada de análise e espelhados na camada do data lake. Configure a retenção de dados em cada camada ou envie os dados apenas para a camada do data lake. A retenção e a definição de camadas são gerenciadas a partir das páginas de configuração do conector ou pela página Gerenciamento de tabelas no portal do Defender. Para obter mais informações sobre gerenciamento e retenção de tabelas, confira Gerenciar camadas de dados e retenção no Portal do Microsoft Defender.

Depois de configurar o conector, configure a retenção e a hierarquização de dados usando as seguintes etapas:

  1. Na página Detalhes do conector , na seção Gerenciamento de tabelas , selecione a tabela que você deseja gerenciar.

    Uma captura de tela mostrando uma página de detalhes do conector.

  2. O painel de tabela é exibido, mostrando as configurações atuais de retenção.

  3. Para configurar a retenção, selecione Gerenciar tabela. Uma captura de tela mostrando o painel de gerenciamento da tabela.

  4. O painel Gerenciar tabela é exibido, mostrando as configurações de retenção atuais. Você pode alterar as configurações de retenção para a camada de análise e a camada do data lake. O padrão é espelhar os dados na camada do data lake com a mesma retenção que a camada de análise.

  5. Em Retenção de análises, selecione o período de retenção para a camada de análises.

  6. Para configurar a camada do data lake, selecione um período de retenção na lista suspensa de Retenção total. Uma captura de tela mostrando as opções de camada de análise e data lake.

  7. Para alterar a camada para apenas data lake, selecione a camada Data lake e selecione um período de retenção na lista suspensa Retenção. Selecionar essa opção interrompe a ingestão adicional na camada de análise.

  8. Selecione Salvar para salvar as alterações.

Uma captura de tela mostrando a opção apenas de retenção da camada de data lake.

Depois de configurar o conector de dados, pode levar algum tempo para que os dados sejam ingeridos no Microsoft Sentinel. Leva de 90 a 120 minutos para que os dados sejam ingeridos no data lake. Quando o conector de dados está conectado, você vê um resumo dos dados no gráfico Dados recebidos e o status de conectividade dos tipos de dados.

Captura de tela de uma página do conector de dados com o status conectado e o gráfico que mostra os dados recebidos.

Habilitar Análise do Comportamento de Usuários e Entidades (UEBA) em conectores compatíveis

A Análise do Comportamento de Usuários e Entidades (UEBA) no Microsoft Sentinel analisa logs e alertas de fontes de dados conectadas para criar perfis comportamentais de linha de base das entidades da sua organização, como usuários, hosts, endereços IP e aplicativos. Usando o aprendizado de máquina, a UEBA identifica atividades anômalas que podem indicar um ativo comprometido.

Para habilitar o UEBA a partir de conectores de dados com suporte no portal do Microsoft Defender:

  1. No menu de navegação do portal do Microsoft Defender, selecione Microsoft Sentinel > Configuração > Conectores de dados.

  2. Selecione um conector de dados compatível com UEBA que dê suporte a UEBA. Para obter mais informações sobre tabelas e conectores de dados com suporte da UEBA, consulte a referência da UEBA do Microsoft Sentinel.

  3. No painel do conector de dados, selecione Abrir página do conector.

  4. Na página Detalhes do conector , selecione Opções avançadas.

  5. Em Configurar UEBA, alterne as tabelas que deseja habilitar para a UEBA.

    Captura de tela da configuração do UEBA no conector de dados.

Encontre seus dados

Depois de habilitar o conector com êxito, o conector começará a transmitir dados para os esquemas de tabela relacionados aos tipos de dados configurados.

No portal do Defender, consulte dados na página de busca avançada ou, no portal do Azure, consulte dados na página Logs.

Navegue até Data lake explorer>Consultas KQL para consultar dados no data lake. Para obter mais informações, consulte KQL e o data lake do Microsoft Sentinel.

Encontrar suporte para um conector de dados

A Microsoft e outras organizações criam conectores de dados do Microsoft Sentinel. Encontre o contato de suporte na página de detalhes do conector no Microsoft Sentinel.

  1. Na página Conectores de dados do Microsoft Sentinel, selecione o conector relevante.

  2. Para acessar o suporte e a manutenção do conector, use o link de contato de suporte no campo Suporte por no painel lateral do conector.

    Captura de tela mostrando o campo Supported by para um conector de dados no Microsoft Sentinel.

Para obter mais informações, consulte Suporte ao conector de dados.

Conteúdo relacionado

  • Última atualização em