Personalizar detalhes de alerta no Microsoft Sentinel

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Este artigo explica como substituir as propriedades padrão de alertas pelo conteúdo dos resultados da consulta subjacente.

Ao criar uma regra de análise agendada, na primeira etapa, você define um nome e uma descrição para a regra e define a severidade e as táticas do MITRE ATT&CK. Todos os alertas gerados por uma determinada regra - e todos os incidentes criados como resultado - herdarão o nome, a descrição, a gravidade e as táticas definidas na regra, sem levar em conta o conteúdo específico de uma instância específica do alerta.

Com o recurso de detalhes do alerta , você pode substituir o nome, a descrição, a gravidade, as táticas e outras propriedades padrão dos alertas de duas maneiras:

  • Crie nomes e descrições personalizados de variáveis para seus alertas. Você pode selecionar campos na saída da consulta do alerta cujo conteúdo pode ser incluído no nome ou na descrição de cada instância do alerta. Se o campo selecionado não tiver nenhum valor em uma determinada instância, os detalhes do alerta dessa instância serão revertidos para os padrões especificados na página Geral do assistente de regra de análise.

  • Personalize a gravidade, as táticas e outras propriedades de uma determinada instância de um alerta (consulte a tabela de propriedades dos detalhes do alerta neste artigo) usando os valores de quaisquer campos relevantes retornados pela consulta. Se os campos selecionados estiverem vazios ou tiverem valores que não correspondam ao tipo de dados de campo, as respectivas propriedades de alerta serão revertidas para seus padrões (para táticas e gravidade, os valores especificados na página Geral do assistente de regra de análise).

Importante

Use o procedimento a seguir para personalizar os detalhes do alerta. Essas etapas fazem parte do assistente de criação de regras de análise de Microsoft Sentinel, mas são abordadas aqui de forma independente para abordar o cenário de adição ou alteração de detalhes de alerta em uma regra de análise existente.

Como personalizar detalhes de alerta

  1. Entre na página Análise no portal por meio do qual você acessa o Microsoft Sentinel:

    Na seção Configuração do menu de navegação do Microsoft Sentinel, selecione Análise.

  2. Selecione uma regra de consulta agendada e selecione Editar. Ou crie uma nova regra selecionando Criar > regra de consulta agendada na parte superior da tela.

  3. Selecione a guia Definir lógica de regra .

  4. Na seção Enriquecimento do alerta , expanda Detalhes do alerta.

    Personalizar detalhes do alerta

  5. Na seção Detalhes do alerta , agora expandida, adicione texto livre que inclua propriedades correspondentes aos detalhes que você deseja exibir no alerta:

    1. No campo Formato do Nome do Alerta , insira o texto que você deseja que apareça como o nome do alerta (o texto do alerta) e inclua, entre chaves duplas, todos os campos de saída da consulta que você deseja que façam parte do texto do alerta.

      Exemplo: Alert from {{ProviderName}}: {{AccountName}} failed to sign in to computer {{ComputerName}}.

    2. Faça o mesmo com o campo Formato de Descrição do Alerta .

      Observação

      No momento, você está limitado a três parâmetros nos campos Formato do Nome do Alerta e Formato da Descrição do Alerta .

    3. Para substituir outras propriedades padrão, selecione uma propriedade de alerta na lista suspensa Propriedade de alerta. Depois, nos resultados da consulta, na lista suspensa Valor, selecione o campo cujo conteúdo deverá preencher a propriedade de alerta.

    4. Para substituir mais propriedades padrão, selecione + Adicionar novo e repita a etapa anterior. As propriedades a seguir podem ser substituídas:

      Nome Descrição
      AlertName Cadeia de caracteres. Suporta apenas texto sem formatação.
      Descrição Cadeia de caracteres. Dá suporte somente a texto sem formatação, se o Microsoft Sentinel estiver integrado ao portal do Defender.
      AlertSeveridade Um dos seguintes valores:
      - Informativo
      - Baixo
      - Medium
      - Alta
      Táticas Um dos seguintes valores:
      - Reconhecimento
      - ResourceDevelopment
      - InitialAccess
      - Execução
      - Persistência
      - Escalação de Privilégios
      - DefenseEvasion
      - CredentialAccess
      - Descoberta
      - LateralMovement
      - Coleção
      - Exfiltração
      - Comando e controle
      - Impacto
      - Pré-ataque
      - ImpairProcessControl
      - InhibitResponseFunction
      Técnicas (versão prévia) Uma cadeia de caracteres que corresponde à seguinte expressão regular: ^T(?<Digits>\d{4})$.
      Por exemplo: T1234
      AlertLink (versão prévia) Cadeia de caracteres
      ConfidenceLevel (versão prévia) Um dos seguintes valores:
      - Baixo
      - Alta
      - Desconhecido
      ConfidenceScore (versão prévia) Inteiro, entre 0-1 (inclusivo)
      ExtendedLinks (versão prévia) Cadeia de caracteres
      ProductComponentName (versão prévia)
      * Se integrado ao portal Defender, esse campo não estará mais disponível para personalização.      		 Cadeia de caracteres
      ProductName (versão prévia)
      * Se estiver integrado ao portal do Defender, não personalize esse campo para fontes da Microsoft; isso faz com que os alertas do Defender XDR sejam descartados.      		 Cadeia de caracteres
      ProviderName (versão prévia)
      * Se integrado ao portal Defender, esse campo não estará mais disponível para personalização.      		 Cadeia de caracteres
      RemediationSteps (versão prévia) Cadeia de caracteres

      Cuidado

      Se você integrou o Microsoft Sentinel ao portal do Microsoft Defender:

      • Não personalize o campo ProductName para receber alertas de fontes da Microsoft. Isso fará com que esses alertas sejam removidos do Microsoft Defender XDR e nenhum incidente seja criado.

      • Os campos ProductComponentName e ProviderName não estão mais disponíveis para serem personalizados.

      Se qualquer uma dessas personalizações já existir em qualquer uma das suas regras, remova-as para manter a compatibilidade e evitar resultados inesperados.

    Se mudar de ideia ou cometer um erro, você pode remover um detalhe do alerta clicando no ícone da lixeira ao lado do par Propriedade/Valor do alerta ou excluir o texto livre dos campos Formato do nome/descrição do alerta .

  6. Quando terminar de personalizar os detalhes do alerta, se você estiver criando a regra, vá para a próxima guia do assistente. Se você estiver editando uma regra existente, selecione a guia Revisar e criar . Depois que a validação da regra for bem-sucedida, selecione Salvar.

Limites de serviço

Os seguintes limites se aplicam quando você personaliza os detalhes do alerta:

  • Você pode substituir um campo com até 50 valores em uma única consulta. Quando sua consulta excede 50 valores personalizados, todos os valores personalizados são descartados e, em todos os resultados da consulta, o campo é revertido para seu valor padrão. Ajuste sua consulta para produzir no máximo 50 valores para garantir que nenhum valor personalizado seja descartado.
  • O limite de tamanho do AlertName campo e de quaisquer outras propriedades que não sejam de coleta é de 256 bytes.
  • O limite de tamanho do campo e de Description quaisquer outras propriedades da coleção é 5 KB.
  • Os valores que excederem os limites de tamanho serão descartados.

Próximas etapas

Para mais informações sobre enriquecimento de alertas, regras de análise e entidades no Microsoft Sentinel, veja estes artigos:

  • Última atualização em