Descubra e gerencie o conteúdo pronto para uso do Microsoft Sentinel

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

O Hub de Conteúdo do Microsoft Sentinel é o local centralizado para descobrir e gerenciar conteúdo pronto para uso (integrado). No hub de conteúdo, você encontra soluções empacotadas para produtos de ponta a ponta por domínio ou setor. Você tem acesso ao grande número de contribuições independentes hospedadas em nosso repositório GitHub e folhas de recursos.

  • Descubra soluções e conteúdo autônomo com um conjunto consistente de recursos de filtragem com base no status, tipo de conteúdo, suporte, provedor e categoria.

  • Instale o conteúdo em seu workspace de uma só vez ou individualmente.

  • Exiba o conteúdo no modo de exibição de lista e veja rapidamente quais soluções têm atualizações. Atualize as soluções de uma só vez enquanto o conteúdo autônomo é atualizado automaticamente.

  • Gerenciar uma solução para instalar seus tipos de conteúdo e obter as alterações mais recentes.

  • Configure o conteúdo autônomo para criar novos itens ativos com base no modelo mais atualizado.

Se você for um parceiro que deseja criar sua própria solução, confira o Guia de Criação de Soluções do Microsoft Sentinel para criação e publicação de soluções.

Importante

Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.

Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.

Pré-requisitos

Para instalar, atualizar ou excluir conteúdo ou soluções independentes no content hub, você precisa da função Microsoft Sentinel Contributor no nível do grupo de recursos.

Para obter mais informações sobre outras funções e permissões com suporte para o Microsoft Sentinel, consulte Permissões no Microsoft Sentinel.

Descobrir conteúdo

O hub de conteúdo oferece a melhor maneira de encontrar novos conteúdos ou gerenciar as soluções já instaladas.

  1. Para o Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Gerenciamento de conteúdo>Hub de conteúdo. Para o Microsoft Sentinel no portal do Azure, em Gerenciamento de conteúdo, selecione Hub de conteúdo.

    A página Hub de conteúdo exibe uma grade pesquisável ou uma lista de soluções e conteúdo autônomo.

  2. Procure as soluções ou itens de conteúdo autônomos de que você precisa. Selecione valores específicos nos filtros ou insira um termo de pesquisa na caixa de pesquisa . As pesquisas usam IA para dar suporte a pesquisas difusas e vocabulário aproximado.

    Pressione ENTER para iniciar a busca. Os resultados são limitados a 50 itens, incluindo soluções e itens de conteúdo dentro das soluções. Se você não encontrar o que precisa, refine sua busca ou tente filtros diferentes.

    Para obter mais informações, consulte Categorias de conteúdo e soluções prontas para uso do Microsoft Sentinel.

  3. No modo de exibição de lista ( ), selecione uma solução na lista para exibir informações sobre a solução, bem como os tipos de itens de conteúdo que ela inclui.

    Expanda uma solução nos resultados da pesquisa ou do filtro para exibir a lista de itens de conteúdo que ela inclui. O painel de informações ao lado apresenta informações detalhadas sobre o item de conteúdo.

    Como alternativa, selecione a exibição em cartões () para ver as soluções em grade. Cada card mostra o nome, a descrição e as categorias da solução. Selecione um card para exibir mais informações sobre a solução ao lado.

Para usar um item de conteúdo que faz parte de uma solução, você deve instalar a solução inteira. Se você selecionou um item de conteúdo específico no modo de exibição de lista, selecione Instalar solução no painel de detalhes ao lado para instalar a solução relevante.

Para obter mais informações, consulte Categorias de conteúdo e soluções prontas para uso do Microsoft Sentinel.

Instalar ou atualizar conteúdo

Instale conteúdo independente e soluções independentemente, ou tudo de uma vez, em lote. Para obter mais informações sobre operações em massa, consulte Instalação e atualização em massa de conteúdo.

Se uma solução que você implantou tiver atualizações desde a última implantação, a exibição de lista mostrará Atualizar na coluna de status. A solução também está incluída na contagem de Atualizações na parte superior da página.

Aqui está um exemplo que mostra a instalação de uma solução individual.

  1. No Hub de conteúdo, pesquise e selecione a solução.

  2. No painel de detalhes das soluções, no canto inferior direito, selecione Exibir detalhes.

  3. Selecione Criar ou Atualizar.

  4. Na guia Básico, insira a assinatura, o grupo de recursos e o espaço de trabalho para implantar a solução. Por exemplo:

    Captura de tela de um assistente de instalação de solução mostrando a guia Noções básicas.

  5. Selecione Avançar para percorrer as guias restantes para saber mais e, em alguns casos, configurar cada um dos componentes de conteúdo.

    As abas correspondem ao conteúdo oferecido pela solução. Soluções diferentes podem ter tipos de conteúdo diferentes, portanto, talvez você não veja as mesmas guias em todas as soluções.

    Você também pode ser solicitado a inserir credenciais em um serviço que não seja da Microsoft para que o Microsoft Sentinel possa se autenticar em seus sistemas. Por exemplo, com os manuais, talvez você queira executar ações de resposta conforme prescrito em seu sistema.

  6. Na aba Revisar + criar, aguarde a mensagem Validation Passed.

  7. Selecione Criar ou Atualizar para implantar a solução. Você também pode selecionar o link Baixar um modelo para automação para implantar a solução como código.

Instalar com dependências

Algumas soluções têm dependências a serem instaladas, incluindo muitas soluções de domínio e soluções que usam os conectores unificados do Azure Monitor Agent (AMA) para CEF, Syslog ou logs personalizados.

Se a solução tiver dependências, selecione Instalar com dependências para garantir que os conectores de dados necessários também estejam instalados. No painel de seleção de dependência, selecione uma ou mais dependências para instalá-las junto com a solução original. A solução original que você escolheu instalar é sempre selecionada por padrão.

Se uma ou mais soluções de dependência já estiverem instaladas, mas tiverem atualizações, use o botão Instalar/Atualizar para instalar e atualizar todas as soluções selecionadas em massa. Por exemplo:

Captura de tela da instalação de várias dependências de solução em massa.

Depois de instalar uma solução, cada tipo de conteúdo na solução pode exigir mais etapas para configurar. Para obter mais informações, consulte Habilitar itens de conteúdo em uma solução.

Instalar e atualizar conteúdo em massa

O hub de conteúdo suporta uma exibição em lista, além da exibição padrão em cartões. Selecione o modo de exibição de lista para instalar várias soluções e conteúdo autônomo de uma só vez. O conteúdo independente é mantido atualizado automaticamente. Qualquer conteúdo ativo ou personalizado criado com base em soluções ou conteúdo autônomo instalado do hub de conteúdo permanece intocado.

  1. Para instalar ou atualizar itens em massa, altere para o modo de exibição de lista.

  2. Pesquise ou filtre para encontrar o conteúdo que você deseja instalar ou atualizar em massa.

  3. Marque a caixa de seleção para cada solução ou conteúdo autônomo que você deseja instalar ou atualizar.

  4. Selecione o botão Instalar/Atualizar . Captura de tela da exibição da lista de soluções com várias soluções selecionadas e em andamento para instalação.

    Se uma solução ou conteúdo autônomo que você selecionou já tiver sido instalado ou atualizado, nenhuma ação será executada nesse item. Ele não interfere na atualização e instalação dos outros itens.

  5. Selecione Gerenciar para cada solução instalada. Os tipos de conteúdo na solução podem exigir mais informações para você configurar. Para obter mais informações, consulte Habilitar itens de conteúdo em uma solução.

Instalar pacotes e modelos usando a API

Se você estiver usando a API para instalar pacotes de soluções ou modelos individuais, siga estas etapas:

  1. Recupere o pacote ou modelo de solução:

  2. Na resposta da API, localize o properties.mainTemplate campo. Este campo contém o template JSON do Azure Resource Manager (ARM) que define a solução ou os recursos do template.

  3. Implante o conteúdo extraído mainTemplate usando uma implantação com modelo ARM, por meio da API REST, da CLI do Azure ou do PowerShell.

Habilitar itens de conteúdo em uma solução

Gerencie centralmente os itens de conteúdo para soluções instaladas no hub de conteúdo.

  1. No hub de conteúdo, selecione uma solução instalada em que a versão seja 2.0.0 ou superior.

  2. Na página de detalhes das soluções, selecione Gerenciar.

    Captura de tela do botão gerenciar na página de detalhes da solução de hub de conteúdo de atividade do Azure.

  3. Examine a lista de itens de conteúdo.

    Captura de tela da descrição da solução e da lista de itens de conteúdo para a solução de Atividade do Azure.

  4. Selecione um item de conteúdo para começar.

Gerenciar cada tipo de conteúdo

As seções a seguir descrevem como trabalhar com conectores de dados, regras de análise, consultas de busca, pastas de trabalho, analisadores e guias estratégicos ao gerenciar uma solução.

Conectar um conector de dados

Para conectar um conector de dados, conclua as etapas de configuração.

  1. Selecione Abrir página do conector.

  2. Conclua as etapas de configuração do conector de dados.

    Captura de tela do item de conteúdo do conector de dados da solução Azure Activity com status desconectado.

    Depois que você configura o conector de dados e os logs são detectados, o status muda para Conectado.

Habilitar uma regra de análise

Crie uma regra a partir de um modelo ou edite uma regra existente.

  1. Veja o modelo na galeria de modelos de análise.

  2. Se o modelo ainda não for usado, selecione Abrir>Criar regra e siga as etapas para habilitar a regra de análise.

    Depois de criar uma regra, o número de regras ativas criadas a partir do modelo é mostrado na coluna Conteúdo criado .

  3. Selecione o link de regras ativas para editar a regra existente. Por exemplo, o link de regra ativo na imagem a seguir está em Conteúdo criado e mostra 2 itens.

    Captura de tela do item de conteúdo da regra de análise na solução do Azure Activity.

Executar ou personalizar uma consulta de busca

Execute a consulta de busca fornecida ou personalize-a.

  1. Para começar a pesquisar imediatamente, selecione Executar consulta na página de detalhes para obter resultados rápidos.

    Captura de tela do item de conteúdo da consulta de busca clonada na solução do Azure Activity.

  2. Para personalizar sua consulta de busca, selecione o link na coluna Nome do conteúdo .

    Na galeria Hunting, selecione o menu de três pontos para clonar o modelo de consulta somente para leitura. Consultas clonadas aparecem na coluna de conteúdo criado do hub.

Criar uma pasta de trabalho a partir de um modelo

Para personalizar um livro de exercícios, salve uma cópia do modelo.

  1. Selecione Exibir modelo para abrir a pasta de trabalho e ver as visualizações.

  2. Selecione Salvar para criar uma instância do modelo de pasta de trabalho.

  3. Exiba a pasta de trabalho personalizável salva selecionando Exibir pasta de trabalho salva.

  4. No hub de conteúdo, selecione o link de 1 item na coluna Conteúdo criado para gerenciar a pasta de trabalho.

    Captura de tela do item de pasta de trabalho salvo em solução para atividade do Azure.

Usar um analisador

Quando uma solução é instalada, todos os analisadores incluídos são adicionados como funções de espaço de trabalho no Log Analytics.

  1. Selecione Carregar o código de função para abrir o Log Analytics e exibir ou executar o código de função.

  2. Selecione Usar no editor para abrir o Log Analytics com o nome do analisador pronto para ser adicionado à sua consulta personalizada.

    Captura de tela do tipo de conteúdo do analisador em uma solução.

Criar um manual de procedimentos a partir de um modelo

Crie um guia estratégico a partir de um modelo.

  1. Selecione o link Nome do conteúdo do playbook.

  2. Escolha o modelo e selecione Criar guia estratégico.

  3. Depois que o playbook é criado, o playbook ativo é exibido na coluna Conteúdo criado.

  4. Selecione o link de 1 item do guia estratégico ativo para gerenciar o guia estratégico.

    Captura de tela do tipo de conteúdo do tipo guia estratégico em uma solução.

Encontrar o modelo de suporte para seu conteúdo

Cada solução e item de conteúdo independente mostra seu modelo de suporte na caixa de Suporte em seu painel de detalhes. A caixa lista o nome da Microsoft ou de um parceiro. Por exemplo:

Captura de tela de onde você pode encontrar seu modelo de suporte para sua solução.

Quando você entrar em contato com o suporte, talvez precise do publicador, provedor ou ID do plano da sua solução. Encontre esses detalhes na aba Informações de Uso e suporte da página de detalhes.

Captura de tela dos detalhes de uso e suporte para uma solução.

Próximas etapas

Muitas soluções incluem conectores de dados que você precisa configurar para poder começar a ingerir seus dados no Microsoft Sentinel. Cada conector de dados tem seu próprio conjunto de requisitos detalhados na página do conector de dados no Microsoft Sentinel.

Para obter mais informações, consulte Conectar sua fonte de dados.

Conteúdo relacionado

  • Última atualização em