Eliminar incidentes em Microsoft Sentinel no portal do Azure

A capacidade de criar incidentes do zero no Microsoft Sentinel, no portal do Azure, abre a possibilidade de que você crie um incidente e, mais tarde, decida que não deveria tê-lo criado. Por exemplo, pode ter criado um incidente com base num relatório de funcionário, antes de ter recebido qualquer prova (como alertas) e, pouco tempo depois, receber alertas que geram automaticamente o incidente em questão. Mas agora você tem um incidente duplicado sem nenhum dado. Neste cenário, pode eliminar o incidente duplicado diretamente da fila de incidentes no portal do Azure.

Eliminar um incidente não substitui o encerramento de um incidente! A eliminação de um incidente só deve ser efetuada quando for cumprida, pelo menos, uma das seguintes condições:

• O incidente foi criado manualmente por engano.
• O incidente duplica exatamente outro incidente.
• Os incidentes defeituosos foram gerados em massa por uma regra de análise quebrada.
• O incidente não contém dados - alertas, entidades, marcadores, etc.

Em todos os outros casos, quando um incidente já não é necessário, deve ser fechado e não eliminado. Fechar um incidente requer que especifique o motivo para fechá-lo e permite-lhe adicionar comentários adicionais para contexto e esclarecimentos. Fechar incidentes antigos desta forma preserva a transparência e integridade do SOC e também permite a possibilidade de reabrir o incidente se o problema reaparecer.

Eliminar um incidente com o portal do Azure

Você pode excluir um ou mais incidentes diretamente da fila de incidentes do portal Azure.

Para eliminar um único incidente:

1. No menu de navegação Microsoft Sentinel, selecione Incidentes.

2. Na página Incidentes , selecione o incidente que pretende eliminar.

3. Selecione Ver detalhes completos no painel de detalhes para introduzir a vista de detalhes completa do incidente.

4. Selecione Eliminar incidente na barra de botões na parte superior.

5. Responda Sim ao pedido de confirmação apresentado.

Alternativamente, você pode excluir um único incidente da fila de incidentes selecionando apenas uma caixa de seleção e usando o fluxo de multi-exclusão descrito no procedimento "Para excluir múltiplos incidentes".

Para eliminar vários incidentes:

1. No menu de navegação Microsoft Sentinel, selecione Incidentes.

2. Na página Incidentes , selecione o incidente ou incidentes que pretende eliminar ao marcar as caixas de verificação junto a cada um na grelha de incidentes.

3. Selecione Eliminar na barra de botões.

4. Responda Sim ao pedido de confirmação apresentado.

Eliminar um incidente com a API de Microsoft Sentinel

O grupo de operações Incidentes permite que você exclua incidentes, bem como crie e atualize (editar), obtenha (recupere)e liste incidentes.

Você exclui um incidente enviando uma DELETE requisição para o endpoint a seguir, especificando o incidente de interesse pelo ID do incidente. Depois que essa solicitação for feita, o incidente não ficará mais visível na fila de incidentes no portal.

Use esta solicitação para excluir um incidente existente de um workspace do Microsoft Sentinel por ID de incidente:

DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/incidents/{incidentId}?api-version=2022-07-01-preview

Observações

• Para excluir um incidente, você deve ter a função "Colaborador do Microsoft Sentinel".

• Eliminar um incidente não é reversível! Depois de eliminar um incidente, a única referência aos mesmos serão os dados de auditoria na tabela SecurityIncident no ecrã Registos. (Veja a documentação do esquema da tabela no Log Analytics). O campo Estado nessa tabela será atualizado para "Eliminado" para esse incidente.

  Observação

  Devido ao limite de 64 KB do tamanho do registo na tabela SecurityIncident , os comentários de incidentes podem ser truncados (a partir do mais antigo) se o limite for excedido.

• Não pode eliminar incidentes a partir de Microsoft Sentinel que foram importados e sincronizados com Microsoft Defender XDR.

• Se um alerta relacionado com um incidente eliminado for atualizado ou se um novo alerta for agrupado num incidente eliminado, será criado um novo incidente para substituir o eliminado.

Próximas etapas

Saiba mais:

• Criar os seus próprios incidentes manualmente no Microsoft Sentinel
• Relacionar alertas com incidentes no Microsoft Sentinel
• Navegar, fazer a triagem e gerir incidentes de Microsoft Sentinel
• Investigue incidentes do Microsoft Sentinel em profundidade