Descobrir e gerenciar o conteúdo pronto para uso do Microsoft Sentinel

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

O hub de Conteúdo do Microsoft Sentinel é seu local centralizado para descobrir e gerenciar conteúdo integrado (interno). No hub de conteúdo, você encontra soluções empacotadas para produtos de ponta a ponta por domínio ou setor. Você tem acesso ao grande número de contribuições autônomas hospedadas em nosso repositório no GitHub e nos painéis de recursos.

  • Descubra soluções e conteúdos autónomos com um conjunto consistente de capacidades de filtragem com base em status, tipo de conteúdo, suporte, fornecedor e categoria.

  • Instale conteúdo na sua área de trabalho de uma só vez ou individualmente.

  • Visualize o conteúdo no modo de exibição de lista e veja rapidamente quais soluções têm atualizações. Atualize as soluções de uma só vez enquanto o conteúdo autónomo é atualizado automaticamente.

  • Gerir uma solução para instalar os respetivos tipos de conteúdo e obter as alterações mais recentes.

  • Configure conteúdo autónomo para criar novos itens ativos com base no modelo mais atualizado.

Se for um parceiro que quer criar a sua própria solução, veja o Guia de Compilação Microsoft Sentinel Soluções para criação e publicação de soluções.

Importante

Após 31 de março de 2027, Microsoft Sentinel deixarão de ser suportados no portal do Azure e só estarão disponíveis no portal do Microsoft Defender. Todos os clientes que utilizem Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e utilizarão apenas Microsoft Sentinel no portal do Defender.

Se ainda estiver a utilizar Microsoft Sentinel no portal do Azure, recomendamos que comece a planear a transição para o portal do Defender para garantir uma transição suave e tirar o máximo partido da experiência de operações de segurança unificada oferecida pelo Microsoft Defender.

Pré-requisitos

Para instalar, atualizar ou excluir conteúdo ou soluções independentes no content hub, você precisa da função Microsoft Sentinel Contributor no nível do grupo de recursos.

Para obter mais informações sobre outras funções e permissões suportadas para Microsoft Sentinel, veja Permissões no Microsoft Sentinel.

Descobrir conteúdo

O hub de conteúdos oferece a melhor forma de encontrar novos conteúdos ou gerir as soluções que já instalou.

  1. Para Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Content management>Hub de conteúdos. Para Microsoft Sentinel na portal do Azure, em Gestão de conteúdos, selecione Hub de conteúdos.

    A página Hub de conteúdos apresenta uma grelha pesquisável ou uma lista de soluções e conteúdo autónomo.

  2. Procure as soluções ou itens de conteúdo autónomos de que precisa. Selecione valores específicos a partir dos filtros ou introduza um termo de pesquisa na caixa Procurar . As pesquisas utilizam IA para suportar pesquisas difusas e vocabulário aproximado.

    Pressione ENTER para iniciar a busca. Os resultados são limitados a 50 itens, incluindo soluções e itens de conteúdo dentro das soluções. Se você não encontrar o que precisa, refine sua busca ou tente filtros diferentes.

    Para obter mais informações, consulte Categorias do conteúdo e das soluções prontos para uso do Microsoft Sentinel.

  3. Na vista de lista ( ), selecione uma solução na lista para ver informações sobre a solução, bem como os tipos de itens de conteúdo que inclui.

    Expanda uma solução nos resultados da pesquisa ou do filtro para visualizar a lista de itens de conteúdo que ela inclui. O painel de informações na parte lateral apresenta informações detalhadas sobre o item de conteúdo.

    Como alternativa, selecione a visualização em cartões () para visualizar as soluções apresentadas em uma grade. Cada card mostra o nome, a descrição e as categorias da solução. Selecione um cartão para visualizar mais informações sobre a solução ao lado.

Para utilizar um item de conteúdo que faça parte de uma solução, tem de instalar toda a solução. Se tiver selecionado um item de conteúdo específico na vista de lista, selecione Instalar solução no painel de detalhes na parte lateral para instalar a solução relevante.

Para obter mais informações, consulte Categorias do conteúdo e das soluções prontos para uso do Microsoft Sentinel.

Instalar ou atualizar conteúdo

Instale conteúdos e soluções autónomos individualmente ou em conjunto em massa. Para obter mais informações sobre operações em massa, consulte Instalação e atualização em massa de conteúdo.

Se uma solução que implementou tiver atualizações desde a última vez que a implementou, a vista de lista mostra Atualizar na coluna status. A solução também está incluída na contagem de Atualizações na parte superior da página.

Eis um exemplo que mostra a instalação de uma solução individual.

  1. No Hub de conteúdos, procure e selecione a solução.

  2. No painel de detalhes das soluções, no canto inferior direito, selecione Ver detalhes.

  3. Selecione Criar ou Atualizar.

  4. No separador Informações básicas , introduza a subscrição, o grupo de recursos e a área de trabalho para implementar a solução. Por exemplo:

    Captura de ecrã a mostrar um assistente de instalação de soluções, com o separador Noções Básicas.

  5. Selecione Avançar para percorrer as abas restantes e conhecer, e em alguns casos configurar, cada componente de conteúdo.

    As abas correspondem ao conteúdo disponibilizado pela solução. Diferentes soluções podem ter diferentes tipos de conteúdo, por isso talvez você não veja as mesmas abas em todas as soluções.

    Também poderá ser-lhe pedido que introduza credenciais para um serviço que não seja da Microsoft, para que Microsoft Sentinel possa autenticar-se nos seus sistemas. Por exemplo, com os guias estratégicos, talvez você queira executar ações de resposta conforme prescrito em seu sistema.

  6. Na guia Examinar + criar, aguarde a mensagem Validation Passed.

  7. Selecione Criar ou Atualizar para implementar a solução. Também pode selecionar a ligação Transferir um modelo para automatização para implementar a solução como código.

Instalar com dependências

Algumas soluções têm dependências a serem instaladas, incluindo muitas soluções de domínio e soluções que usam os conectores unificados do Azure Monitor Agent (AMA) para CEF, Syslog ou logs personalizados.

Se a solução tiver dependências, selecione Instalar com dependências para garantir que os conectores de dados necessários também estejam instalados. No painel de seleção de dependência, selecione uma ou mais dependências para instalá-las junto com a solução original. A solução original que escolheu instalar está sempre selecionada por predefinição.

Se uma ou mais das soluções de dependência já estiverem instaladas, mas tiverem atualizações, utilize o botão Instalar/Atualizar para instalar e atualizar todas as soluções selecionadas em massa. Por exemplo:

Captura de ecrã a mostrar a instalação de várias dependências de soluções em massa.

Depois de instalar uma solução, cada tipo de conteúdo na solução poderá necessitar de mais passos para configurar. Para obter mais informações, veja Ativar itens de conteúdo numa solução.

Instalar e atualizar conteúdo em massa

O Hub de conteúdo dá suporte ao modo de exibição de lista além do modo de exibição de cartão padrão. Selecione a vista de lista para instalar várias soluções e conteúdos autónomos de uma só vez. O conteúdo independente é mantido atualizado automaticamente. Qualquer conteúdo ativo ou personalizado criado com base em soluções ou conteúdos autónomos instalados a partir do hub de conteúdos permanece inalterado.

  1. Para instalar ou atualizar itens em massa, mude para a vista de lista.

  2. Procure ou filtre para encontrar o conteúdo que pretende instalar ou atualizar em massa.

  3. Selecione a caixa de verificação para cada solução ou conteúdo autónomo que pretende instalar ou atualizar.

  4. Selecione o botão Instalar/Atualizar . Captura de ecrã da vista de lista de soluções com várias soluções selecionadas e em curso para instalação.

    Se uma solução ou conteúdo autónomo selecionado já estiver instalado ou atualizado, não será efetuada qualquer ação nesse item. Não interfere com a atualização e instalação dos outros itens.

  5. Selecione Gerir para cada solução que instalou. Os tipos de conteúdo na solução podem exigir mais informações para configurar. Para obter mais informações, veja Ativar itens de conteúdo numa solução.

Instalar pacotes e modelos com a API

Se estiver a utilizar a API para instalar pacotes de soluções ou modelos individuais, siga estes passos:

  1. Obtenha o pacote ou modelo da solução:

  2. Na resposta da API, localize o properties.mainTemplate campo . Este campo contém o template JSON do Azure Resource Manager (ARM) que define a solução ou os recursos do template.

  3. Implante o extraído mainTemplate usando uma implantação de modelo do ARM, por meio da API Rest, da CLI do Azure ou do PowerShell.

Ativar itens de conteúdo numa solução

Gerir centralmente itens de conteúdo para soluções instaladas a partir do hub de conteúdos.

  1. No hub de conteúdos, selecione uma solução instalada onde a versão seja 2.0.0 ou superior.

  2. Na página de detalhes das soluções, selecione Gerir.

    Captura de tela do botão Gerenciar na página de detalhes da solução do hub de conteúdo Azure Activity.

  3. Reveja a lista de itens de conteúdo.

    Captura de ecrã a mostrar a descrição da solução e a lista de itens de conteúdo para Azure Solução de atividade.

  4. Selecione um item de conteúdo para começar.

Gerir cada tipo de conteúdo

As seções a seguir descrevem como trabalhar com conectores de dados, regras de análise, consultas de caça,workbooks, analisadores sintáciles e playbooks enquanto você gerencia uma solução.

Conectar um conector de dados

Para ligar um conector de dados, conclua os passos de configuração.

  1. Selecione Abrir página do conector.

  2. Conclua os passos de configuração do conector de dados.

    Captura de tela do item de conteúdo do conector de dados da solução Azure Activity, cujo status está desconectado.

    Depois que você configurar o conector de dados e os logs forem detectados, o status mudará para Conectado.

Habilitar uma regra de análise

Criar uma regra a partir de um modelo ou editar uma regra existente.

  1. Ver o modelo na galeria de modelos de análise.

  2. Se o modelo ainda não estiver a ser utilizado, selecione Abrir>Criar regra e siga os passos para ativar a regra de análise.

    Depois de criar uma regra, o número de regras ativas criadas a partir do modelo é apresentado na coluna Conteúdo criado .

  3. Selecione a ligação regras ativas para editar a regra existente. Por exemplo, a ligação de regra ativa na imagem seguinte encontra-se em Conteúdo criado e mostra 2 itens.

    Captura de tela do item de conteúdo da regra analítica na solução do Azure Activity.

Executar ou personalizar uma consulta de busca

Execute a consulta de busca proativa fornecida ou personalize-a.

  1. Para começar a procurar imediatamente, selecione Executar consulta na página de detalhes para obter resultados rápidos.

    Captura de tela do item de conteúdo da consulta de busca clonada na solução do Azure Activity.

  2. Para personalizar sua consulta de busca, selecione o link na coluna Nome do conteúdo.

    Na galeria de caça, selecione o menu de reticências para clonar o modelo de consulta somente leitura. Consultas clonadas aparecem na coluna de conteúdo criado do hub.

Criar uma pasta de trabalho a partir de um modelo

Para personalizar um livro de exercícios, salve uma cópia do modelo.

  1. Selecione Ver modelo para abrir o livro e ver as visualizações.

  2. Selecione Salvar para criar uma instância do modelo de pasta de trabalho.

  3. Veja o seu livro personalizável guardado ao selecionar Ver livro guardado.

  4. No hub de conteúdo, selecione o link 1 item na coluna Conteúdo criado para gerenciar a pasta de trabalho.

    Captura de tela do item da pasta de trabalho salvo na solução para Atividade do Azure.

Usar um analisador

Quando uma solução é instalada, todos os analisadores incluídos são adicionados como funções de área de trabalho no Log Analytics.

  1. Selecione Carregar o código da função para abrir o Log Analytics e ver ou executar o código de função.

  2. Selecione Utilizar no editor para abrir o Log Analytics com o nome do analisador pronto para adicionar à sua consulta personalizada.

    Captura de ecrã do tipo de conteúdo do analisador numa solução.

Criar um manual de procedimentos a partir de um modelo

Criar um manual de procedimentos a partir de um modelo.

  1. Selecione o link Nome do conteúdo do guia estratégico.

  2. Selecione o modelo e selecione Criar manual de procedimentos.

  3. Após a criação do manual de procedimentos, o manual de procedimentos ativo é apresentado na coluna Conteúdo criado .

  4. Selecione o link de 1 item do guia estratégico ativo para gerenciar o guia estratégico.

    Captura de tela do tipo conteúdo do tipo de guia estratégico na solução.

Localizar o modelo de suporte para o seu conteúdo

Cada solução e item de conteúdo independente mostra seu modelo de suporte na caixa de Suporte em seu painel de detalhes. A caixa lista o nome da Microsoft ou de um parceiro. Por exemplo:

Captura de ecrã a mostrar onde pode encontrar o seu modelo de suporte para a sua solução.

Quando você entrar em contato com o suporte, pode precisar do editor, provedor ou ID do plano para sua solução. Encontre esses detalhes na aba Informações de Uso e suporte da página de detalhes.

Captura de ecrã a mostrar os detalhes de utilização e suporte de uma solução.

Próximas etapas

Muitas soluções incluem conectores de dados que precisa de configurar para que possa começar a ingerir os seus dados em Microsoft Sentinel. Cada conector de dados tem o seu próprio conjunto de requisitos que são detalhados na página do conector de dados no Microsoft Sentinel.

Para obter mais informações, veja Ligar a origem de dados.

Conteúdo relacionado

  • Last updated on