Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Como parte de suas investigações de segurança e busca, inicie e execute blocos de anotações Jupyter para analisar seus dados de forma programática.
Neste artigo, você cria um espaço de trabalho do Azure Machine Learning, inicia um notebook do Microsoft Sentinel no seu espaço de trabalho do Azure Machine Learning e executa código no notebook.
Importante
Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.
Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.
Pré-requisitos
Recomendamos que você aprenda sobre os notebooks do Microsoft Sentinel antes de concluir as etapas deste artigo. Consulte Usar blocos de anotações Jupyter para procurar ameaças à segurança.
Para usar os notebooks do Microsoft Sentinel, você deve ter as seguintes funções e permissões:
| Tipo | Detalhes |
|---|---|
| Microsoft Sentinel | – A função Colaborador do Microsoft Sentinel, para salvar e iniciar notebooks do Microsoft Sentinel |
| Azure Machine Learning | - Uma função de Proprietário ou Colaborador no nível do grupo de recursos, para criar um novo espaço de trabalho do Azure Machine Learning, se necessário. - Uma função de Colaborador no workspace do Azure Machine Learning onde você executa seus notebooks do Microsoft Sentinel. Para obter mais informações, consulte Gerenciar o acesso a um workspace do Azure Machine Learning. |
Criar um workspace do Azure Machine Learning no Microsoft Sentinel
Para criar seu workspace, selecione o ponto de extremidade público ou a guia ponto de extremidade privado , dependendo da configuração de rede.
- Recomendamos que você use um endpoint público se o seu espaço de trabalho do Microsoft Sentinel tiver um, para evitar possíveis problemas na comunicação de rede.
- Se você quiser usar um workspace do Azure Machine Learning em uma rede virtual, use um endpoint privado.
Siga os passos abaixo para criar um espaço de trabalho do Azure Machine Learning com um ponto de extremidade público a partir do Microsoft Sentinel.
Para o Microsoft Sentinel no portal do Azure, em Gerenciamento de ameaças, selecione Notebooks.
Para o Microsoft Sentinel no Portal do Defender, selecione Microsoft Sentinel>>.Selecione Configurar o Azure Machine Learning>Criar um novo workspace do AML.
Insira os seguintes detalhes e selecione Avançar.
Campo Descrição Assinatura Selecione a assinatura do Azure que você deseja usar. Grupo de recursos Use um grupo de recursos existente na assinatura ou insira um nome para criar um novo grupo de recursos. Um grupo de recursos contém recursos relacionados para uma solução do Azure. Nome do espaço de trabalho Insira um nome exclusivo que identifique seu workspace. Os nomes devem ser exclusivos em todo o grupo de recursos. Use um nome que seja fácil de lembrar e diferenciar dos workspaces criados por outras pessoas. Região Selecione o local mais próximo dos usuários e dos recursos de dados para criar seu workspace. Conta de armazenamento Uma conta de armazenamento é usada como o repositório de dados padrão para o workspace. Você pode criar um novo recurso do Armazenamento do Azure ou selecionar um existente em sua assinatura. KeyVault Um cofre de chaves é usado para armazenar segredos e outras informações confidenciais necessárias para o espaço de trabalho. Você pode criar um novo recurso Azure Key Vault ou selecionar um existente em sua assinatura. Application Insights O workspace usa o Aplicativo Azure Insights para armazenar informações de monitoramento sobre seus modelos implantados. Você pode criar um novo recurso do Aplicativo Azure Insights ou selecionar um existente em sua assinatura. Registro de contêiner Um registro de contêiner é usado para registrar imagens do Docker usadas em treinamentos e implantações. Para minimizar os custos, um novo recurso do Registro de Contêiner do Azure é criado somente depois que você cria sua primeira imagem. Como alternativa, você pode optar por criar o recurso agora ou selecionar um existente em sua assinatura ou selecionar Nenhum se não quiser usar nenhum registro de contêiner. Na guia Rede , selecione Habilitar acesso público de todas as redes.
Defina as configurações relevantes nas guias Avançado ou Marcas e selecione Examinar + criar.
Na guia Examinar + criar , examine as informações para verificar se elas estão corretas e selecione Criar para começar a implantar seu workspace. Por exemplo:
Pode levar vários minutos para criar seu espaço de trabalho na nuvem. Durante esse tempo, a página Visão geral do workspace mostra o status da implantação atual e atualiza quando a implantação for concluída.
Após a conclusão da implantação, volte para Notebooks no Microsoft Sentinel e inicie os notebooks a partir do seu novo espaço de trabalho do Azure Machine Learning.
Se você tiver vários notebooks, selecione um AML workspace padrão para usar ao iniciar seus notebooks. Por exemplo:
Iniciar um notebook no seu espaço de trabalho do Azure Machine Learning
Depois de criar um espaço de trabalho do Azure Machine Learning, abra seu notebook nesse espaço de trabalho no Microsoft Sentinel.
Importante
Se os pontos de extremidade privados ou as restrições de acesso à rede pública estiverem habilitados na sua conta de Armazenamento do Azure, você não poderá iniciar notebooks no espaço de trabalho do Azure Machine Learning a partir do Microsoft Sentinel. Em vez disso, copie o modelo de bloco de anotações de Microsoft Sentinel e carregue o bloco de anotações para Estúdio do Azure Machine Learning.
Para iniciar o bloco de anotações do Microsoft Sentinel no workspace do Azure Machine Learning, conclua as etapas a seguir.
Para o Microsoft Sentinel no portal do Azure, em Gerenciamento de ameaças, selecione Notebooks.
Para o Microsoft Sentinel no Portal do Defender, selecione Microsoft Sentinel>>.Selecione a guia Modelos para ver os notebooks fornecidos pelo Microsoft Sentinel.
Selecione um notebook para exibir sua descrição, os tipos de dados necessários e as fontes de dados.
Quando encontrar o bloco de anotações que você deseja usar, selecione Criar a partir do modelo e Salvar para cloná-lo em seu próprio espaço de trabalho. Somente espaços de trabalho do Azure Machine Learning na mesma assinatura podem ser selecionados.
Edite o nome conforme necessário. Se o bloco de anotações já existir na área de trabalho, substitua o bloco de anotações existente ou crie um novo. Por padrão, seu bloco de anotações é salvo no diretório /Users/<Your_User_Name>/ do espaço de trabalho AML selecionado.
Depois que o bloco de anotações é salvo, o botão Salvar bloco de anotações é alterado para Iniciar bloco de anotações. Selecione Iniciar o notebook para abri-lo no seu espaço de trabalho do AML.
Por exemplo:
Na parte superior da página, selecione uma instância de Computação a ser usada para o servidor de notebook.
Se você não tiver uma instância de computação, crie uma instância de computação no Azure Machine Learning. Se sua instância de computação for interrompida, certifique-se de iniciá-la. Para obter mais informações, consulte Executar um notebook no Estúdio do Azure Machine Learning.
Somente você pode ver e usar as instâncias de computação criadas. Seus arquivos de usuário são armazenados separadamente da VM e compartilhados entre todas as instâncias de computação no espaço de trabalho.
Se você estiver criando uma nova instância de computação para testar seus notebooks, crie sua instância de computação com a categoria Uso Geral.
O kernel também é mostrado no canto superior direito da janela do Azure Machine Learning. Se o kernel de que você precisa não estiver selecionado, selecione uma versão diferente na lista suspensa.
Depois que o servidor do notebook for criado e iniciado, execute as células do notebook. Em cada célula, selecione o ícone Executar para executar o código do bloco de anotações.
Para obter mais informações sobre como executar células de notebook, consulte Executar notebooks Jupyter no Estúdio do Azure Machine Learning.
Se o notebook travar ou se você desejar recomeçar, é possível reiniciar o kernel e executar novamente as células do notebook desde o início. Se você reiniciar o kernel, as variáveis e outros estados serão excluídos. Execute novamente quaisquer células de inicialização e autenticação após reiniciar.
Para recomeçar, selecione Operações> do kernelReiniciar kernel. Por exemplo:
Executar código em seu notebook
Sempre execute as células de código do notebook em sequência. Ignorar células pode resultar em erros.
Em um bloco de anotações:
- As células Markdown contêm texto, incluindo HTML, e imagens estáticas.
- As células de código contêm código. Depois de selecionar uma célula de código, execute o código na célula clicando no ícone Executar à esquerda da célula, ou pressionando SHIFT+ENTER.
A célula de código de exemplo a seguir demonstra operações básicas em Python e mostra como as células de código funcionam no ambiente do notebook. Execute a seguinte célula de código no seu caderno:
# This is your first code cell. This cell contains basic Python code.
# You can run a code cell by selecting it and then selecting
# the Play button to the left of the cell, or by pressing SHIFT+ENTER.
# Code output displays below the code.
print("Congratulations, you just ran this code cell")
y = 2 + 2
print("2 + 2 =", y)
Após rodar a célula de amostra, o notebook exibe a seguinte saída, confirmando que o kernel do notebook está funcionando corretamente:
Congratulations, you just ran this code cell
2 + 2 = 4
As variáveis definidas em uma célula de código do notebook persistem entre as células, para que você possa encadear as células. Por exemplo, a célula de código seguinte usa o valor de y da célula anterior. Este exemplo também mostra como Jupyter exibe automaticamente o resultado da última expressão em uma célula, mesmo que você não chame print():
# Note that output from the last line of a cell is automatically
# sent to the output cell, without needing the print() function.
y + 2
O caderno exibe o resultado avaliado da expressão y + 2 na área de saída:
6
Baixar todos os notebooks do Microsoft Sentinel
Esta seção descreve como usar o Git para baixar todos os notebooks disponíveis no repositório GitHub do Microsoft Sentinel, de dentro de um notebook do Microsoft Sentinel, diretamente para o workspace do Azure Machine Learning.
Armazenar os notebooks do Microsoft Sentinel no seu espaço de trabalho do Azure Machine Learning permite mantê-los facilmente atualizados.
Em um bloco de anotações do Microsoft Sentinel, insira o seguinte código em uma célula vazia e, em seguida, execute a célula:
!git clone https://github.com/Azure/Azure-Sentinel-Notebooks.git azure-sentinel-nbUma cópia do conteúdo do repositório GitHub é criada no diretório azure-Sentinel-nb em sua pasta de usuário em seu espaço de trabalho do Azure Machine Learning.
Copie os blocos de anotações desejados dessa pasta para o diretório de trabalho.
Para atualizar seus notebooks com as alterações recentes do GitHub, execute:
!cd azure-sentinel-nb && git pull