Criar consultas de investigação personalizadas no Microsoft Sentinel

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Visão geral

Procure ameaças de segurança nas origens de dados da sua organização com consultas de investigação personalizadas. Microsoft Sentinel fornece consultas de investigação incorporadas para o ajudar a encontrar problemas nos dados que tem na sua rede. Além de consultas de busca internas, você pode criar consultas de busca personalizadas. Para obter mais informações sobre consultas de investigação, veja Investigação de ameaças no Microsoft Sentinel.

Criar uma nova consulta

Para criar uma consulta de caça personalizada, primeiro abra a Caça no Microsoft Sentinel e depois selecione a aba Consultas.

  1. Para o Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Gerenciamento de ameaças>Busca. Para Microsoft Sentinel no portal do Azure, em Gestão de ameaças, selecione Investigação.

  2. Selecione o separador Consultas .

  3. Na barra de comandos, selecione Nova consulta.

  4. Preencha todos os campos em branco.

    1. Crie mapeamentos de entidades ao selecionar tipos de entidade, identificadores e colunas.

      Captura de tela para mapear tipos de entidade em consultas de busca.

    2. Mapeie as técnicas do MITRE ATT&CK para suas consultas de busca selecionando a tática, a técnica e a subtécnica (se aplicável).

      Nova consulta

  5. Quando terminar de definir a consulta, selecione Criar.

Clonar uma consulta existente

Clone uma consulta personalizada ou incorporada e edite-a conforme necessário.

  1. Na guia Hunting>Queries, selecione a consulta de busca que deseja clonar.

  2. Selecione as reticências (...) na linha da consulta que você quer modificar e selecione Clonar.

  3. Edite a consulta e outros campos conforme necessário.

  4. Selecione Criar.

Editar uma consulta personalizada existente

Somente consultas provenientes de uma fonte de conteúdo personalizada podem ser editadas. Consultas de outras fontes de conteúdo, como soluções de hub de conteúdo ou repositórios, devem ser editadas na fonte de conteúdo onde a consulta foi originalmente criada.

  1. Na guia Busca>Consultas, selecione a consulta de busca que você quer alterar.

  2. Selecione as reticências (...) na linha da consulta que você quer alterar e selecione Editar.

  3. Atualize o campo Consulta com a consulta atualizada. Também pode alterar as técnicas e o mapeamento de entidades.

  4. Quando terminar, selecione Guardar.

Conteúdo relacionado

  • Last updated on