Regras de análise agendadas no Microsoft Sentinel

De longe o tipo mais comum de regra de análise, as regras agendadas são baseadas em consultas Kusto configuradas para serem executadas em intervalos regulares e examinar dados brutos de um período de "lookback" definido. As consultas podem executar operações estatísticas complexas em seus dados de destino, revelando linhas de base e exceções em grupos de eventos. Se o número de resultados capturados pela consulta ultrapassar o limite configurado na regra, a regra produzirá um alerta.

Este artigo ajuda você a entender como as regras de análise agendadas são criadas e apresenta todas as opções de configuração e seus significados. As informações neste artigo são úteis em dois cenários:

• Criar uma regra de análise a partir de um modelo: use a lógica de consulta e as configurações de agendamento e lookback, conforme definido no modelo, ou personalize-as para criar novas regras.

• Crie uma regra de análise do zero: crie sua própria consulta e regra do zero. Para fazer isso de forma eficaz, você deve ter uma base sólida em ciência de dados e linguagem de consulta Kusto.

Modelos de regras analíticas

As consultas em modelos de regras agendadas foram escritas por especialistas em segurança e ciência de dados, da Microsoft ou do fornecedor da solução que fornece o modelo.

Use um modelo de regra de análise selecionando um nome de modelo na lista de modelos e criando uma regra com base nele.

Cada modelo tem uma lista de fontes de dados necessárias. Quando você abre o modelo, as fontes de dados são verificadas automaticamente quanto à disponibilidade. Disponibilidade significa que a fonte de dados está conectada e que os dados estão sendo ingeridos regularmente por meio dela. Se qualquer uma das fontes de dados necessárias não estiver disponível, você não terá permissão para criar a regra e também poderá ver uma mensagem de erro nesse sentido.

Quando você cria uma regra a partir de um modelo, o assistente de criação de regra é aberto com base no modelo selecionado. Todos os detalhes são preenchidos automaticamente e você pode personalizar a lógica e outras configurações de regra para melhor atender às suas necessidades específicas. Você pode repetir esse processo para criar mais regras com base no modelo. Quando você chegar ao final do assistente de criação de regra, suas personalizações serão validadas e a regra será criada. As novas regras aparecem na guia Regras ativas na página Análise . Da mesma forma, na guia Modelos de regra , o modelo a partir do qual você criou a regra agora é exibido com a In use marca.

Os modelos de regra de análise são constantemente mantidos por seus autores, seja para corrigir bugs ou para refinar a consulta. Quando um modelo recebe uma atualização, todas as regras baseadas nesse modelo são exibidas com a Update tag e você tem a chance de modificar essas regras para incluir as alterações feitas no modelo. Você também pode reverter as alterações feitas em uma regra de volta para sua versão original baseada em modelo. Para obter mais informações, consulte Gerenciar versões de modelo para suas regras de análise agendadas no Microsoft Sentinel.

Depois de se familiarizar com as opções de configuração neste artigo, consulte Criar regras de análise agendadas a partir de modelos.

O restante deste artigo explica todas as possibilidades de personalizar a configuração de suas regras.

Configuração de regra de análise

Esta seção explica as principais considerações que você precisa levar em conta antes de começar a configurar suas regras.

Nome e detalhes da regra de análise

A primeira página do assistente de regra de análise contém as informações básicas da regra.

Nome: O nome da regra conforme aparece na lista de regras e em todos os filtros baseados em regras. O nome deve ser exclusivo para seu workspace.

Descrição: Uma descrição em texto livre da finalidade da regra.

ID: O GUID da regra como um recurso do Azure, usado em solicitações e respostas à API, entre outras coisas. Esse GUID é atribuído somente quando a regra é criada, portanto, é exibido somente quando você estiver editando uma regra existente. Por ser um campo somente leitura, ele aparece esmaecido e não pode ser alterado. Ela ainda não existe ao criar uma nova regra, seja a partir de um modelo ou do zero.

Gravidade: Um nível atribuído aos alertas gerados por esta regra. A gravidade de uma atividade é um cálculo do potencial impacto negativo da ocorrência da atividade.

Os padrões de nível de gravidade não são uma garantia do nível de impacto atual ou ambiental. Personalize os detalhes do alerta para personalizar a gravidade, as táticas e outras propriedades de uma determinada instância de um alerta com os valores de todos os campos relevantes de uma saída de consulta.

As definições de gravidade para os modelos de regra de análise do Microsoft Sentinel são relevantes apenas para alertas criados por regras de análise. Para alertas ingeridos de outros serviços, a gravidade é definida pelo serviço de segurança de origem.

MITRE ATT&CK: Uma especificação das táticas e técnicas de ataque representadas pelas atividades capturadas por esta regra. Eles são baseados nas táticas e técnicas da estrutura MITRE ATT&CK®.

As táticas e técnicas MITRE ATT&CK definidas aqui na regra se aplicam a todos os alertas gerados pela regra. Eles também se aplicam a quaisquer incidentes criados a partir desses alertas.

Para obter mais informações sobre como maximizar sua cobertura do cenário de ameaças MITRE ATT&CK, consulte Entender a cobertura de segurança pela estrutura MITRE ATT&CK®.

Status: Quando você cria a regra, seu Status é Habilitado por padrão, o que significa que ela é executada imediatamente após o término de criá-la. Se não quiser que ele seja executado imediatamente, você tem duas opções:

• Selecione Desabilitado e a regra será criada sem execução. Quando quiser que a regra seja executada, localize-a na guia Regras ativas e habilite-a a partir daí.
• Agende a regra para ser executada pela primeira vez em uma data e hora específicas. Este método está atualmente em VERSÃO PRÉVIA. Consulte Agendamento de consulta mais adiante neste artigo.

Consulta de regras

Esta é a essência da regra: você decide quais informações estão nos alertas criados por essa regra e como as informações são organizadas. Essa configuração tem efeitos subsequentes sobre a aparência dos incidentes resultantes e o quão fácil ou difícil é investigá-los, corrigi-los e resolve. É importante tornar seus alertas o mais ricos em informações possíveis e torná-las facilmente acessíveis.

Exiba ou insira a consulta Kusto que analisa os dados brutos do log. Se você estiver criando uma regra do zero, é uma boa ideia planejar e estruturar sua consulta antes de abrir este assistente. Você pode criar e testar consultas na página Logs .

Tudo o que você digita na janela de consulta de regras é validado instantaneamente, para que você descubra imediatamente se cometeu algum erro.

Práticas recomendadas para consultas de regra de análise

• Recomendamos que você use um analisador ASIM (Modelo de Informação de Segurança Avançada) como sua fonte de consulta, em vez de usar uma tabela nativa. Isso garantirá que a consulta dê suporte a qualquer fonte de dados relevante atual ou futura ou família de fontes de dados, em vez de depender de uma única fonte de dados.

• O comprimento da consulta deve estar entre 1 e 10.000 caracteres e não pode conter "search *" ou "union *". Você pode usar funções definidas pelo usuário para superar a limitação de comprimento da consulta, pois uma única função pode substituir dezenas de linhas de código.

• Não há suporte para o uso de funções ADX para criar consultas Azure Data Explorer dentro da janela de consulta do Log Analytics.

• Ao usar a bag_unpack função em uma consulta, se você projetar as colunas como campos usando "project field1" e a coluna não existir, a consulta falhará. Para evitar que isso aconteça, você deve projetar a coluna da seguinte maneira:

  project field1 = column_ifexists("field1","")

Para saber mais, confira:

• Linguagem de Consulta Kusto no Microsoft Sentinel
• Guia de referência rápida KQL
• Práticas recomendadas para consultas de Linguagem de Consulta Kusto

Aprimoramento de alerta

Se você quiser que seus alertas revelem suas descobertas para que possam ficar imediatamente visíveis em incidentes e rastreados e investigados adequadamente, use a configuração de aprimoramento de alerta para exibir todas as informações importantes nos alertas.

Esse aprimoramento de alerta tem o benefício adicional de apresentar as descobertas de maneira facilmente visível e acessível.

Há três tipos de aprimoramentos de alerta que você pode configurar:

• Mapeamento de entidades
• Detalhes personalizados
• Detalhes do alerta (também conhecidos como conteúdo dinâmico)

Mapeamento de entidades

Entidades são os jogadores de ambos os lados de qualquer história de ataque. Identificar todas as entidades em um alerta é essencial para detectar e investigar ameaças. Para garantir que o Microsoft Sentinel identifique as entidades em seus dados brutos, você deve mapear os tipos de entidade reconhecidos pelo Microsoft Sentinel nos campos dos resultados da consulta. Esse mapeamento integra as entidades identificadas no campo Entidades em seu esquema de alerta.

Para saber mais sobre o mapeamento de entidades e obter instruções completas, consulte Mapear campos de dados para entidades no Microsoft Sentinel.

Detalhes personalizados

Por padrão, somente as entidades de alerta e os metadados são visíveis em incidentes sem detalhar os eventos brutos nos resultados da consulta. Para dar visibilidade imediata a outros campos dos resultados da sua consulta em seus alertas e incidentes, defina-os como detalhes personalizados. O Microsoft Sentinel integra esses detalhes personalizados ao campo ExtendedProperties em seus alertas, fazendo com que eles sejam exibidos antecipadamente em seus alertas e em todos os incidentes criados a partir desses alertas.

Para saber mais sobre como exibir detalhes de eventos personalizados e obter instruções completas, consulte Exibir detalhes de eventos personalizados em alertas no Microsoft Sentinel.

Detalhes do alerta

Essa configuração permite que você personalize propriedades de alerta padrão de acordo com o conteúdo de vários campos em cada alerta individual. Essas personalizações são integradas ao campo ExtendedProperties em seus alertas. Por exemplo, você pode personalizar o nome ou a descrição do alerta para incluir um nome de usuário ou endereço IP em destaque no alerta.

Para saber mais sobre como personalizar detalhes de alerta e obter instruções completas, consulte Personalizar detalhes de alerta no Microsoft Sentinel.

Agendamento de consulta

Os parâmetros a seguir determinam a frequência com que a regra agendada é executada e o período de tempo que ela examina cada vez que é executada.

• O intervalo permitido para ambos os parâmetros é de 5 minutos a 14 dias.

• O intervalo de consulta deve ser menor ou igual ao período de lookback. Se for menor, os períodos de consulta se sobrepõem, o que pode causar alguma duplicação de resultados. A validação da regra não permite que você defina um intervalo maior do que o período de lookback, pois isso resultaria em lacunas em sua cobertura.

A configuração Iniciar execução, agora em VISUALIZAÇÃO, permite criar uma regra com o status Habilitado, mas atrasar sua primeira execução até uma data e hora predeterminadas. Essa configuração será útil se você quiser cronometrar a execução de suas regras de acordo com quando os dados devem ser ingeridos da origem ou quando seus analistas SOC iniciam seu dia de trabalho.

• O tempo de início da execução deve ser entre 10 minutos e 30 dias após o tempo de criação (ou habilitação) da regra.

• A linha de texto abaixo da configuração Iniciar execução (com o ícone de informações à esquerda) mostra um resumo das configurações atuais de agendamento da consulta e de retrospectiva.

  

Limite de alerta

Muitos tipos de eventos de segurança são normais ou até esperados em pequenos números, mas são um sinal de uma ameaça em números maiores. Diferentes escalas de grandes números podem significar diferentes tipos de ameaças. Por exemplo, duas ou três tentativas de entrada com falha no espaço de um minuto é um sinal de que um usuário não se lembra de uma senha, mas 50 em um minuto pode ser um sinal de um ataque humano e mil é provavelmente um ataque automatizado.

Dependendo do tipo de atividade que sua regra está tentando detectar, você pode definir um número mínimo de eventos (resultados de consulta) necessários para disparar um alerta. O limite se aplica separadamente a cada vez que a regra é executada, não coletivamente.

O limite também pode ser definido como um número máximo de resultados ou um número exato.

Agrupamento de eventos

Há duas maneiras de lidar com o agrupamento de eventos em alertas:

• Agrupar todos os eventos em um único alerta: Esse é o padrão. A regra gera um único alerta toda vez que é executada, desde que a consulta retorne mais resultados do que o limite de alerta especificado explicado na seção anterior. Esse alerta único resume todos os eventos retornados nos resultados da consulta.

• Dispare um alerta para cada evento: A regra gera um alerta exclusivo para cada evento (resultado) retornado pela consulta. Esse modo é útil se você quiser que os eventos sejam exibidos individualmente ou se quiser agrupá-los por determinados parâmetros, por usuário, nome de host ou qualquer outra coisa. Você pode definir esses parâmetros na consulta.

As regras de análise podem gerar até 150 alertas. Se o agrupamento de eventos estiver definido como Disparar um alerta para cada evento e a consulta da regra retornar mais de 150 eventos, os primeiros 149 eventos gerarão um alerta exclusivo (para 149 alertas) e o 150º alerta resumirá todo o conjunto de eventos retornados. Em outras palavras, o 150º alerta é o que teria sido gerado se o agrupamento de eventos tivesse sido definido como Agrupar todos os eventos em um único alerta.

A seção Consulta do alerta é diferente em cada um desses dois modos. No modo Agrupar todos os eventos em um único modo de alerta , o alerta retorna uma consulta que permite ver todos os eventos que dispararam o alerta. Você pode fazer uma busca detalhada dos resultados da consulta para ver os eventos individuais. No modo Disparar um alerta para cada evento, o alerta retorna um resultado codificado em Base64 na área de consulta. Copie e execute esta saída no Log Analytics para decodificar o base64 e mostrar o evento original.

Disparar um alerta para cada configuração de evento pode causar um problema em que os resultados da consulta parecem estar ausentes ou diferentes do esperado. Para obter mais informações sobre esse cenário, consulte Solução de problemas de regras de análise no Microsoft Sentinel | Problema: nenhum evento aparece nos resultados da consulta.

Supressão

Se você quiser que essa regra pare de funcionar por um período depois que ela gerar um alerta, deixe a configuração Parar a execução da consulta após a geração de um alerta como Ativado. Em seguida, você deve definir Parar a execução da consulta para o período de tempo que a consulta deve parar de executar, até 24 horas.

Simulação de resultados

O assistente de regra de análise permite que você teste sua eficácia executando-o no conjunto de dados atual. Quando você executa o teste, a janela Simulação de resultados mostra um gráfico dos resultados que a consulta teria gerado nas últimas 50 vezes que teria sido executada, de acordo com a programação definida no momento. Se você modificar a consulta, poderá executar o teste novamente para atualizar o gráfico. O gráfico mostra o número de resultados durante o período definido, que é determinado pelo agendamento de consulta definido.

Aqui está a aparência da simulação de resultados para a consulta na captura de tela anterior. O lado esquerdo é a exibição padrão e o lado direito é o que você vê ao passar o mouse sobre um ponto no tempo no gráfico.

Se perceber que sua consulta dispararia alertas demasiados ou muito frequentes, pode experimentar as configurações de agendamento e limite e executar a simulação novamente.

Configurações de incidente

Escolha se o Microsoft Sentinel transforma alertas em incidentes acionáveis.

A criação de incidentes está habilitada por padrão. O Microsoft Sentinel cria um único incidente separado de cada alerta gerado pela regra.

Se você não quiser que essa regra resulte na criação de incidentes (por exemplo, se essa regra for apenas para coletar informações para análise subsequente), defina-a como Desabilitada.

Se você quiser que um único incidente seja criado a partir de um grupo de alertas, em vez de um para cada alerta, consulte a próxima seção.

Agrupamento de alertas

Escolha se os alertas são agrupados em incidentes. Por padrão, o Microsoft Sentinel cria um incidente para cada alerta gerado. Você tem a opção de agrupar vários alertas em um único incidente.

O incidente é criado somente depois que todos os alertas forem gerados. Todos os alertas são adicionados ao incidente imediatamente após sua criação.

Até 150 alertas podem ser agrupados em apenas um incidente. Se mais de 150 alertas forem gerados por uma regra que os agrupa em um único incidente, um novo incidente será gerado com os mesmos detalhes de incidente que o original, e os alertas em excesso serão agrupados no novo incidente.

Para agrupar alertas, defina a configuração de agrupamento de alertas como Habilitado.

Existem algumas opções a serem consideradas ao agrupar alertas:

• Prazo: Por padrão, alertas criados até 5 horas após o primeiro alerta em um incidente são adicionados ao mesmo incidente. Após cinco horas, um novo incidente é criado. Você pode alterar esse período de tempo para algo entre 5 minutos e sete dias.

• Critérios de agrupamento: Escolha como determinar quais alertas serão incluídos no grupo. A tabela a seguir mostra as opções possíveis:

  Opção	Descrição
  Agrupar alertas em apenas um incidente se todas as entidades corresponderem	Os alertas serão agrupados se compartilharem valores idênticos para cada uma das entidades mapeadas definidas anteriormente. Essa é a configuração recomendada.
  Agrupar todos os alertas disparados por essa regra em apenas um incidente	Todos os alertas gerados por essa regra são agrupados, mesmo que não compartilhem valores idênticos.
  Agrupe alertas em apenas um incidente se as entidades e os detalhes selecionados corresponderem	Os alertas serão agrupados se compartilharem valores idênticos para todas as entidades mapeadas, detalhes de alerta e detalhes personalizados selecionados para essa configuração. Escolha as entidades e os detalhes nas listas suspensas exibidas quando você seleciona essa opção. Talvez você queira usar essa configuração se, por exemplo, quiser criar incidentes separados com base nos endereços IP de origem ou de destino ou se quiser agrupar alertas que correspondam a uma entidade e gravidade específicas. Nota: Ao selecionar essa opção, você deve ter pelo menos uma entidade ou detalhe selecionado para a regra. Caso contrário, a validação da regra falhará e a regra não será criada.

• Reabertura de incidentes: se um incidente tiver sido resolvido e fechado e, posteriormente, for gerado outro alerta que deveria pertencer a esse incidente, defina essa configuração como Habilitado se quiser que o incidente fechado seja reaberto e deixe como Desabilitado se quiser que o novo alerta crie um novo incidente.

  A opção de reabrir incidentes fechados não estará disponível se você tiver integrado o Microsoft Sentinel ao portal do Defender.

Resposta automatizada

O Microsoft Sentinel permite definir respostas automatizadas para ocorrer quando:

• Um alerta é gerado por essa regra de análise.
• Um incidente é criado a partir de alertas gerados por essa regra de análise.
• Um incidente é atualizado com alertas gerados por essa regra de análise.

Para saber tudo sobre os diferentes tipos de respostas que podem ser criadas e automatizadas, confira Automatizar a resposta a ameaças no Microsoft Sentinel com regras de automação.

No título Regras de automação , o assistente exibe uma lista das regras de automação já definidas em todo o espaço de trabalho, cujas condições se aplicam a essa regra de análise. Você pode editar qualquer uma dessas regras existentes ou criar uma nova regra de automação que se aplique apenas a essa regra de análise.

Use regras de automação para executar triagem básica, atribuição, fluxo de trabalho e fechamento de incidentes.

Automatize tarefas mais complexas e acione respostas de sistemas remotos para remediar ameaças chamando playbooks a partir destas regras de automação. Você pode invocar guias estratégicos para incidentes, bem como para alertas individuais.

• Para obter mais informações e instruções sobre como criar guias estratégicos e regras de automação, consulte Automatizar respostas a ameaças.

• Para obter mais informações sobre quando usar o gatilho criado pelo incidente, o gatilho atualizado do incidente ou o gatilho criado pelo alerta, confira Usar gatilhos e ações nos guias estratégicos do Microsoft Sentinel.

• Sob o título Automação de alertas (clássico), você poderá ver uma lista de playbooks configurados para serem executados automaticamente usando um método antigo que será descontinuado em março de 2026. Você não pode adicionar nada a esta lista. Todos os playbooks listados aqui devem ter regras de automação criadas com base no gatilho de alerta criado para acionar os playbooks. Depois de fazer isso, selecione as reticências no final da linha do manual listado aqui e selecione Remover. Veja Migre seus manuais de acionamento de alertas do Microsoft Sentinel para regras de automação para obter instruções completas.

Próximas etapas

Ao usar as regras de análise do Microsoft Sentinel para detectar ameaças em seu ambiente, certifique-se de habilitar todas as regras associadas às suas fontes de dados conectadas para garantir a cobertura total de segurança para seu ambiente.

Para automatizar a habilitação de regras, envie-as por push para o Microsoft Sentinel por meio da API e do PowerShell, mesmo que isso exija mais esforço. Ao usar a API ou o PowerShell, você deve primeiro exportar as regras para JSON antes de habilitá-las. A API ou o PowerShell podem ajudar ao habilitar regras em várias instâncias do Microsoft Sentinel com configurações idênticas em cada instância.

Para saber mais, confira:

• Exportar e importar regras de análise para e de templates do ARM
• Solução de problemas de regras analíticas no Microsoft Sentinel
• Navegar e investigar incidentes no Microsoft Sentinel
• Entidades no Microsoft Sentinel
• Tutorial: Usar guias estratégicos com regras de automação no Microsoft Sentinel

Além disso, aprenda com um exemplo de uso de regras de análise personalizadas ao monitorar o Zoom com um conector personalizado.