Desenvolver uma solução SIEM para Microsoft Sentinel

As soluções do Microsoft Sentinel permitem que parceiros e fornecedores independentes de software (ISVs) agrupem um conector de dados com conteúdo de segurança relacionado, como workbooks, regras analíticas, consultas de busca, playbooks e analisadores, em um único pacote instalável. Em seguida, os clientes podem descobrir e implantar essas soluções no hub de conteúdo Microsoft Sentinel e Azure Marketplace.

Learn

Antes de começar a criar, você deverá concluir as seguintes etapas:

• Saiba mais sobre Microsoft Sentinel. Entenda como Microsoft Sentinel funciona, o que é uma solução e como os clientes descobrem e instalam soluções do hub de conteúdo. Veja o que é Microsoft Sentinel? e navegue pelo catálogo de soluções.

• Identifique o que criar. Decida qual tipo de conector você planeja usar e quais tipos de conteúdo SIEM você deseja incluir em sua solução. Os tipos de conteúdo do SIEM incluem workbooks, regras analíticas, consultas de busca, playbooks e analisadores. Consulte Criar um conector de dados para obter diretrizes sobre tipos de conector.

• Examine os documentos. Examine as diretrizes gerais de contribuição para Microsoft Sentinel e o wiki Microsoft Sentinel GitHub.

• Torne-se um Parceiro de Nuvem e crie uma conta de publicador. As soluções são publicadas por meio do Microsoft Partner Center. Você precisa de uma conta de editor antes de enviar sua solução para Azure Marketplace. Para obter mais informações, veja Criar uma conta do marketplace comercial no Centro de Parceiros.

Build

Na fase de build, você configura seu ambiente de desenvolvimento e, em seguida, cria o conector e o conteúdo da solução.

Prepare seu ambiente

Antes de criar, configure seu ambiente de desenvolvimento para que você possa criar, testar e enviar conteúdo da solução.

Bifurcar e clonar o repositório

Para bifurcar e clonar o repositório Azure-Sentinel, siga estas etapas:

1. Em GitHub, vá para o repositórioAzure-Sentinel e selecione Fork.

2. Faça um clone da bifurcação no computador local:

   git clone https://github.com/<your-github-username>/Azure-Sentinel.git
   cd Azure-Sentinel
   

3. Adicione o repositório remoto upstream de forma que você possa obter as alterações mais recentes:

   git remote add upstream https://github.com/Azure/Azure-Sentinel.git
   

Configurar um workspace de desenvolvimento/teste

Você precisa de um espaço de trabalho funcional do Microsoft Sentinel a fim de desenvolver e validar o conector e o conteúdo antes de enviá-los. Consulte Integrar o Microsoft Sentinel.

Depois que o espaço de trabalho tiver sido provisionado, atribua as seguintes permissões:

• Microsoft Sentinel Contributor no espaço de trabalho para implantar e gerenciar recursos
• Colaborador do Log Analytics no espaço de trabalho para criar e gerenciar tabelas personalizadas e regras de coleção de dados (DCRs)
• Colaborador no grupo de recursos para implantar os modelos do ARM durante o teste

Integrar-se ao portal do Defender

Integre seu workspace ao portal do Defender a fim de validar a instalação da solução, garantir a ingestão perfeita na Plataforma de Operações de Segurança Unificada e testar de ponta a ponta antes da publicação. Para obter mais informações, consulte o Microsoft Sentinel no portal do Microsoft Defender.

Criar uma solução

Uma solução Microsoft Sentinel é uma pasta de arquivos de conteúdo e conectores que a ferramenta de empacotamento monta em um pacote implantável. Crie a estrutura de pastas, adicione os arquivos de empacotamento e, em seguida, crie cada tipo de conteúdo.

Criar sua estrutura de pastas de solução no GitHub

Para configurar a estrutura de pastas da solução, siga estas etapas:

1. Crie uma nova ramificação e alterne para ela na bifurcação. Use um nome descritivo como add-<YourSolutionName>-solution:

   git checkout -b add-<YourSolutionName>-solution
   

2. Crie uma pasta com o nome da solução em Solutions/:

   Solutions/<YourSolutionName>/
   ├── Data/
   │   └── Solution_<YourSolutionName>.json
   ├── SolutionMetadata.json
   ├── ReleaseNotes.md
   ├── Data Connectors/
   ├── Workbooks/
   ├── Analytic Rules/
   ├── Hunting Queries/
   ├── Playbooks/
   └── Parsers/
   

   Arquivo / Pasta	Obrigatório	Conteúdos
   Data/Solution_<YourSolutionName>.json	Obrigatório	Manifesto da solução que lista todos os arquivos de conteúdo na solução e impulsiona a ferramenta de criação de pacote
   SolutionMetadata.json	Obrigatório	Publisher e metadados do marketplace: ID de publisher, ID da oferta, categorias e informações de suporte
   ReleaseNotes.md	Obrigatório	Tabela de histórico de alterações versionado, obrigatória para cada submissão de pacote
   Data Connectors/	Opcional	Arquivos JSON do conector ou código Azure Functions para conectores baseados em função
   Workbooks/	Opcional	Arquivos JSON do workbook e capturas de tela de pré-visualização em preto e branco
   Analytic Rules/	Opcional	Modelos de regra analítica do YAML
   Hunting Queries/	Opcional	Modelos de consulta de busca em YAML
   Playbooks/	Opcional	Definições de conectores personalizados dos Aplicativos Lógicos do Azure e arquivos JSON de playbook
   Parsers/	Opcional	Definições de função/analisador do YAML Kusto

   As subpastas de conteúdo são opcionais. Crie apenas as pastas que se aplicam à sua solução. Você não precisa incluir todos os tipos de conteúdo, mas atender aos requisitos mínimos de conteúdo melhora sua pontuação de qualidade.

   Para obter um exemplo de uma estrutura de pasta completa, abra as Soluções/ pasta no repositório e navegue por algumas das soluções existentes.

Criar os arquivos de empacotamento da solução

Data/Solution_<YourSolutionName>.json

Este arquivo controla a ferramenta V3 de empacotamento. Ele lista todos os arquivos de conteúdo em sua solução e controla como eles são montados em mainTemplate.json. Cada tipo de conteúdo é uma matriz. Adicione uma entrada por arquivo para cada parte do conteúdo que você tem. Para obter mais informações sobre a ferramenta de empacotamento, consulte Empacotar sua solução.

No exemplo a seguir, a solução tem duas regras analíticas, portanto, a "Analytic Rules" matriz tem duas entradas. Se, por exemplo, você não estiver criando playbooks, remova a chave "Playbooks" do arquivo.

{
  "Name": "Contoso MyProduct",
  "Author": "Contoso - support@contoso.com",
  "Logo": "<img src=\"https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Logos/contoso.svg\" width=\"75px\" height=\"75px\">",
  "Description": "The Contoso MyProduct solution for Microsoft Sentinel enables you to ingest MyProduct logs into Microsoft Sentinel.",
  "BasePath": "C:/GitHub/Azure-Sentinel/Solutions/Contoso MyProduct",
  "Version": "1.0.0",
  "Metadata": "SolutionMetadata.json",
  "TemplateSpec": true,
  "Data Connectors": [
    "Data Connectors/ContosoMyProduct.json"
  ],
  "Workbooks": [
    "Workbooks/ContosoMyProductWorkbook.json"
  ],
  "Analytic Rules": [
    "Analytic Rules/ContosoMyProductSuspiciousLogin.yaml",
    "Analytic Rules/ContosoMyProductDataExfiltration.yaml"
  ],
  "Hunting Queries": [
    "Hunting Queries/ContosoMyProductThreatHunt.yaml"
  ],
  "Parsers": [
    "Parsers/ContosoMyProduct.yaml"
  ],
  "Playbooks": [
    "Playbooks/ContosoMyProduct-EnrichIncident/azuredeploy.json"
  ]
}

SolutionMetadata.json

Esse arquivo contém os metadados do marketplace e do editor usados durante a certificação do Partner Center.

{
  "publisherId": "contoso",
  "offerId": "contoso-myproduct-sentinel",
  "firstPublishDate": "2026-06-15",
  "lastPublishDate": "2026-06-15",
  "providers": [
    "Contoso"
  ],
  "categories": {
    "domains": [
      "Security - Threat Intelligence"
    ]
  },
  "support": {
    "name": "Contoso",
    "email": "support@contoso.com",
    "tier": "Partner",
    "link": "https://support.contoso.com"
  }
}

publisherId e offerId vêm da oferta do Partner Center. support.tier deve ser "Partner" para soluções ISV. Para obter valores válidos categories.domains , consulte o catálogo de soluções.

ReleaseNotes.md

O ReleaseNotes.md arquivo registra o histórico de alterações da solução. Esse arquivo é validado durante as verificações de PR. As entradas ausentes ou malformadas causam a rejeição de PR.

A tabela deve ter exatamente três colunas com esses nomes de cabeçalho exatos (incluindo os marcadores em negrito):

| **Version** | **Date Modified (DD-MM-YYYY)** | **Change History** |
|---|---|---|
| 1.0.1 | 12-06-2026 | Updated analytic rule query to fix false positives. |
| 1.0.0 | 01-06-2026 | Initial solution release. |

Regras de validação

• Formato de versão: X.Y.Z não inclua um v prefixo. Todas as três partes são necessárias.
• As versões são listadas em ordem decrescente, com a mais recente na primeira linha.
• Formato de data: DD-MM-YYYY com hifens (não YYYY-MM-DD)
• Os cabeçalhos de coluna devem corresponder exatamente, incluindo os marcadores **bold**
• A célula Histórico de Alterações não deve estar vazia
• Adicionar uma nova linha para cada incremento de versão, incluindo correções de erros de digitação

A versão em ReleaseNotes.md deve corresponder à versão em SolutionMetadata.json, em Data/Solution_*.json e ao nome do arquivo ZIP do pacote.

Adicionar seu logotipo

Coloque seu logotipo em Logos/<YourProductName>.svg na raiz do repositório. Faça referência a isso em Data/Solution_<YourSolutionName>.json usando uma tag HTML <img> apontando para a URL bruta do GitHub:

"Logo": "<img src=\"https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Logos/YourProductName.svg\" width=\"75px\" height=\"75px\">"

O arquivo SVG deve atender aos seguintes requisitos:

Um logotipo limpo usa somente os atributos fill e stroke diretamente em elementos path, sem atributos id, a menos que façam referência a um elemento <defs>. Para um exemplo válido mínimo, veja Logos/XBOW.svg.

Criar um conector de dados

Se você estiver criando um conector usando o fluxo de trabalho do agente de IA, consulte Criar conectores personalizados usando o agente de IA no Microsoft Sentinel em vez de seguir as etapas abaixo.

Escolha seu tipo de conector

Microsoft Sentinel dá suporte a vários tipos de conector, muitos dos quais usam o CCF (Codeless Connector Framework). Escolha aquele que melhor se ajuste à sua fonte de dados e à experiência desejada do cliente.

Criar a definição do conector

As etapas de build detalhadas são específicas para cada tipo de conector. As etapas de build detalhadas são específicas para cada tipo de conector. Siga as diretrizes para o tipo escolhido na tabela de tipos de conector. .

Use as soluções a seguir no repositório Azure-Sentinel como referências para cada tipo de conector.

Quando o JSON do conector estiver concluído, coloque-o na subpasta da pasta da solução e nomeie-o Data Connectors/ProviderNameApplianceName.json (sem espaços).

Testar seu conector

Criar seu conteúdo

Além do conector de dados, enriqueça sua solução com conteúdo SIEM que ajuda os clientes a obter valor imediato de seus dados. O conteúdo SIEM adicional inclui:

• Pastas de Trabalho
• Regras analíticas
• Consultas de busca
• Playbooks
• Analisadores

Esse conteúdo é opcional, mas recomendado. Para obter requisitos mínimos e pontuação de qualidade, consulte Microsoft Sentinel diretrizes de qualidade da solução.

Criar pastas de trabalho

Workbooks são painéis e visualizações que ajudam os clientes a entender seus dados. Para criar uma pasta de trabalho, consulte Criar pastas de trabalho para Microsoft Sentinel.

Consulte os seguintes exemplos de referência no repositório Azure-Sentinel para obter diretrizes sobre design e layout da pasta de trabalho:

• Microsoft Entra ID - AzureActiveDirectorySignins.json
• XBOW - XBOW.json
• PaloAlto-PAN-OS - PaloAltoOverview.json

Criar regras analíticas

As regras analíticas são modelos que detectam ameaças em seus dados. Cada regra é um arquivo YAML. Para criar uma regra analítica, consulte Criar regras analíticas para Microsoft Sentinel.

Consulte os seguintes exemplos de referência no repositório Azure-Sentinel para obter diretrizes sobre design e layout de regra analítica:

• Microsoft Entra ID - FailedLogonToAzurePortal.yaml
• CrowdStrike Falcon - DetecçõesDeSeveridadeCríticaOuAltaPorUsuário.yaml
• XBOW - XbowCriticalHighFindings.yaml

Criar consultas de busca

Consultas de busca são modelos que ajudam os clientes a procurar ameaças proativamente em seus dados. Elas aparecem na folha Busca para que os analistas as executem manualmente. Elas compartilham a mesma estrutura YAML que as regras analíticas, mas não são automatizadas; Campos de execução agendada não se aplicam e causam falha na revisão se incluídos. Para criar uma consulta de busca, consulte Criar consultas de busca para Microsoft Sentinel.

Consulte os exemplos de referência a seguir no repositório Azure-Sentinel para obter orientação sobre o design e o layout da consulta de busca:

• Okta Single Sign-On - AdminPrivilegeGrant.yaml
• PaloAlto-PAN-OS - Palo Alto - possível sinalização detectada.yaml
• Firewall do Azure - Firewall do Azure - Primeira vez IP de origem para destino usando Port.yaml

Criar playbooks

Os playbooks são fluxos de trabalho de resposta automatizados que ajudam os clientes a responder a ameaças aos dados. Cada playbook é um fluxo de trabalho do Aplicativos Lógicos do Azure exportado como um modelo ARM. Os dois arquivos necessários são azuredeploy.json e readme.md, colocados em Solutions/<YourSolutionName>/Playbooks/<PlaybookName>/. Para criar um guia estratégico, consulte Criar guias estratégicos para Microsoft Sentinel.

Consulte os seguintes exemplos de referência no repositório Azure-Sentinel para obter diretrizes sobre design e layout de guia estratégico:

• Microsoft Entra ID - Block-AADUser (gatilhos de incidente + alerta + entidade)
• CrowdStrike Falcon - CrowdStrike_Base (Key Vault + padrão de guia estratégico base)
• Okta Single Sign-On - OktaCustomConnector (modelo ARM de conector personalizado)

Criar analisadores

Um parser é uma função Kusto salva em seu workspace do Log Analytics que atua sobre os dados de log brutos e os normaliza em campos limpos e consultáveis. Em vez de escrever a lógica de extração de campo em cada consulta, os clientes chamam o alias do analisador uma vez e obtêm resultados estruturados. Os analisadores são definidos como arquivos YAML e implantados automaticamente quando um cliente instala sua solução. Para criar um analisador, consulte Criar analisadores para Microsoft Sentinel.

Consulte os seguintes exemplos de referência no repositório Azure-Sentinel para obter diretrizes sobre design e layout do analisador:

• Cloudflare CCF - Cloudflare.yaml
• Falcon CrowdStrike - Replicador CrowdStrike V2.yaml

Teste seu pacote

O teste segue o pacote → implantação → habilitar → ciclo de validação . O ciclo é o mesmo, independentemente da quantidade de conteúdo que você criou. A ferramenta de empacotamento V3 converte seus arquivos de solução em um modelo arm implantável (mainTemplate.json). Implante o modelo em um workspace de desenvolvimento Microsoft Sentinel, habilite cada tipo de conteúdo e confirme se ele funciona antes de enviar uma PR.

Repita esse ciclo à medida que você cria. Você não precisa concluir todos os tipos de conteúdo antes de começar a testar. Empacote e implante à medida que concluir cada tipo de conteúdo, verifique se funciona e depois adicione mais conteúdo e reempacote.

Se sua solução incluir um conector de dados, teste o conector primeiro antes de criar conteúdo dependente, como regras analíticas e pastas de trabalho. Todo o conteúdo do SIEM depende de os dados chegarem às tabelas corretas com o esquema correto. Se o conector não estiver funcionando ou o esquema não corresponder ao que suas regras esperam, você precisará refazer o conteúdo dependente. Verifique se os dados estão fluindo primeiro para economizar tempo.

Empacotar sua solução

Depois de desenvolver e testar os componentes da solução Microsoft Sentinel, o empacotamento é a próxima etapa crítica no ciclo de vida da solução. A ferramenta de empacotamento consolida todo o conteúdo da solução – conectores de dados, analisadores, workbooks, regras analíticas, consultas de busca, conectores personalizados dos Aplicativos Lógicos do Azure e playbooks – em um formato padronizado para a implantação. Para obter mais informações, consulte Empacotar uma solução SIEM para Microsoft Sentinel.

Entrada no mercado

Quando você seleciona Ir ao vivo, a solução passa por uma verificação de certificação final antes de se tornar publicamente disponível. Após a certificação, a solução é exibida no hub de conteúdo do Microsoft Sentinel e fica visível no espaço de trabalho do Sentinel de cada locatário de cliente em Hub de conteúdo. Também é possível descobrir no Azure Marketplace. A solução agora está disponível para todos os clientes Microsoft Sentinel. Para mais informações, veja Publicar soluções SIEM para Microsoft Sentinel.

A partir desse ponto, qualquer atualização na solução, como alterações de conteúdo, correções de bugs e atualizações de versão, requer uma nova PR no GitHub, uma nova versão do pacote e um novo envio ao Partner Center com o arquivo zip atualizado. Para acompanhar o status pós-publicação e problemas de suporte, consulte Acompanhar sua solução após a publicação no Partner Center.

Conteúdo relacionado

• Empacotar uma solução do SIEM para o Microsoft Sentinel.
• Criar um conector sem código para Microsoft Sentinel
• catálogo de soluções de Microsoft Sentinel
• Diretrizes gerais de contribuição para Microsoft Sentinel