Camadas de retenção de logs no Microsoft Sentinel

Para os espaços de trabalho do Microsoft Sentinel conectados ao Defender, o gerenciamento em camadas e o gerenciamento da retenção devem ser feitos na nova experiência de gerenciamento de tabelas no portal do Defender. Para os espaços de trabalho do Microsoft Sentinel não anexados, continue usando os recursos descritos abaixo para gerenciar dados em seus espaços de trabalho.

Existem dois aspectos concorrentes da coleta e retenção de logs que são essenciais para um programa de detecção de ameaças bem-sucedido. Por um lado, você deseja maximizar o número de fontes de log coletadas, para ter a cobertura de segurança mais abrangente possível. Por outro lado, você precisa minimizar os custos incorridos pela ingestão de todos esses dados.

Essas necessidades concorrentes exigem uma estratégia de gerenciamento de logs que equilibre a acessibilidade dos dados, o desempenho da consulta e os custos de armazenamento.

Este artigo discute as categorias de dados e os estados de retenção usados para armazenar e acessar seus dados. Ele também descreve as camadas de log que o Microsoft Sentinel oferece para criar uma estratégia de gerenciamento e retenção de logs.

Categorias de dados ingeridos

A Microsoft recomenda classificar os dados ingeridos no Microsoft Sentinel em duas categorias gerais:

• Dados primários de segurança são dados que contêm um valor de segurança crítico. Esses dados são usados para monitoramento proativo em tempo real, alertas agendados e análises para detectar ameaças à segurança. Os dados precisam estar prontamente disponíveis para todas as experiências do Microsoft Sentinel em tempo real.

• Os dados de segurança secundários são dados complementares, muitas vezes em logs detalhados e volumosos. Esses dados têm um valor de segurança limitado, mas podem fornecer maior riqueza e contexto para detecções e investigações, ajudando a desenhar o quadro completo de um incidente de segurança. Ele não precisa estar prontamente disponível, mas deve estar acessível sob demanda, conforme necessário e em doses apropriadas.

Dados primários de segurança

Essa categoria consiste em logs que contêm um valor de segurança crítico para sua organização. Os casos de uso de dados de segurança primários para operações de segurança incluem:

• Monitoramento frequente. As regras de detecção de ameaças (análise) são executadas nesses dados em intervalos frequentes ou quase em tempo real.

• Caça sob demanda. Consultas complexas são executadas nesses dados para executar a busca interativa e de alto desempenho de ameaças à segurança.

• Correlação. Os dados dessas fontes são correlacionados com dados de outras fontes primárias de dados de segurança para detectar ameaças e criar histórias de ataque.

• Relatórios regulares. Os dados dessas fontes estão prontamente disponíveis para serem compilados em relatórios regulares sobre o nível de segurança da organização, tanto para tomadores de decisão da área de segurança quanto para tomadores de decisão em geral.

• Análise de comportamento. Os dados dessas fontes são usados para criar perfis de comportamento de linha de base para seus usuários e dispositivos, permitindo que você identifique comportamentos periféricos como suspeitos.

Alguns exemplos de fontes de dados primárias incluem:

• Logs de sistemas antivírus ou de detecção e resposta corporativa (EDR)
• Logs de autenticação
• Trilhas de auditoria em plataformas de nuvem
• Fontes de inteligência de ameaças
• Alertas de sistemas externos

Os logs que contêm dados primários de segurança devem ser armazenados usando a camada de análise.

Dados de segurança secundários

Essa categoria abrange logs cujo valor de segurança individual é limitado, mas são essenciais para fornecer uma visão abrangente de um incidente ou violação de segurança. Normalmente, esses logs são de alto volume e podem ser verbosos. Os casos de uso de operações de segurança para esses dados incluem o seguinte:

• Inteligência contra ameaças. Os dados primários podem ser verificados em relação a listas de Indicadores de Comprometimento (IoC) ou Indicadores de Ataque (IoA) para detectar ameaças de forma rápida e fácil.

• Caça e investigações ad hoc. Os dados podem ser consultados interativamente por 30 dias, facilitando a análise crucial para a busca e investigação de ameaças.

• Pesquisas em larga escala. Os dados podem ser ingeridos e pesquisados em segundo plano em escala de petabytes, enquanto são armazenados de forma eficiente com processamento mínimo.

• Sumarização usando trabalhos KQL. Resuma logs de alto volume em informações agregadas e armazene os resultados na camada de análise.

Alguns exemplos de fontes secundárias de logs de dados são logs de acesso ao armazenamento em nuvem, logs do NetFlow, logs de certificados TLS/SSL, logs de firewall, logs de proxy e logs de IoT.

Para logs contendo dados de segurança secundários, use o data lake do Microsoft Sentinel, que foi projetado para oferecer recursos aprimorados de escalabilidade, flexibilidade e integração para cenários avançados de segurança e conformidade.

Níveis de gerenciamento de logs

O Microsoft Sentinel fornece duas camadas ou tipos de armazenamento de log diferentes para acomodar essas categorias de dados ingeridos.

• O plano de camada de análise foi projetado para armazenar dados de segurança primários e torná-los acessíveis de forma fácil e constante com alto desempenho.

• A camada do data lake é otimizada para armazenar dados de segurança secundários de forma econômica por longos períodos, mantendo a acessibilidade.

Camada de análise

A camada de análise mantém os dados no estado de retenção interativo por 90 dias por padrão, extensível por até dois anos. Esse estado interativo, embora caro, permite que você consulte seus dados de forma ilimitada, com alto desempenho, sem nenhum custo por consulta.

Camada do data lake

O data lake do Microsoft Sentinel é um data lake moderno e totalmente gerenciado que unifica e retém dados de segurança em escala, permitindo análises avançadas em várias modalidades e detecção de ameaças baseada em agente de IA. Ele capacita as equipes de segurança a investigar ameaças de longo prazo, enriquecer alertas e criar linhas de base comportamentais usando meses de dados.

Quando a retenção total é configurada para ser maior do que a retenção da camada de análise ou quando o período de retenção da camada de análise termina, os dados armazenados além da retenção da camada de análise continuam acessíveis na camada do data lake.

Conteúdo relacionado

• Para entender mais sobre o data lake do Microsoft Sentinel, consulte data lake do Microsoft Sentinel.
• Para integrar o data lake do Microsoft Sentinel, confira Integrar dados ao data lake do Microsoft Sentinel.