Gerenciar listas de observação no Microsoft Sentinel

Recomendamos que você edite uma lista de observação existente em vez de excluir e recriar uma lista de observação. O Log Analytics tem um SLA de cinco minutos para ingestão de dados. Se você excluir e recriar uma watchlist, poderá ver as entradas excluídas e recriadas no Log Analytics durante essa janela de cinco minutos. Se você vir essas entradas duplicadas no Log Analytics por um período prolongado, envie um chamado de suporte.

Editar um item do Watchlist

Edite uma lista de observação para editar ou adicionar um item à lista de observação.

1. Para o Microsoft Sentinel no Portal do Defender, selecione Microsoft Sentinel>Configuração>Lista de observação. Para o Microsoft Sentinel no portal do Azure, em Configuração, selecione Watchlist.

2. Selecione o Watchlist que você deseja editar.

3. No painel de detalhes, selecione Atualizar Watchlist>Editar itens da watchlist.

   

4. Para editar um item existente da watchlist,

   1. Marque a caixa de seleção desse item da Watchlist.

   2. Edite o item.

   3. Selecione Salvar.

      

   4. Selecione Sim no prompt de confirmação.

      

5. Para adicionar um novo item ao seu Watchlist,

   1. Selecione Adicionar novo.

      

   2. Preencha os campos do painel Adicionar item à lista de acompanhamento.

   3. Na parte inferior desse painel, selecione Adicionar.

Atualização em massa de lista de observação

Se você tiver muitos itens para adicionar a uma lista de observação, use a atualização em lote. Uma atualização em massa de uma lista de monitoramento adiciona itens à lista de monitoramento existente. Em seguida, ela elimina as duplicatas dos itens na watchlist em que todo o valor em cada coluna corresponde.

Se você deletou um item do seu arquivo de lista de observação e enviou o arquivo, a atualização em massa não vai apagar o item da lista de observação existente. Exclua o item do Watchlist individualmente. Ou, quando você tiver muitas exclusões, exclua e recrie a lista de observação.

O arquivo de watchlist atualizado que você carrega deve conter o campo de chave de pesquisa usado pela watchlist sem valores em branco.

Para atualizar uma lista de observação em lote,

1. Para o Microsoft Sentinel no portal do Azure, em Configuração, selecione Watchlist.
   Para o Microsoft Sentinel no Portal do Defender, selecione Microsoft Sentinel>Configuração>Lista de observação.

2. Selecione o Watchlist que você deseja editar.

3. No painel de detalhes, selecione Atualizar watchlist>Atualização em massa.

   

4. Em Carregar arquivo, arraste e solte ou navegue até o arquivo a ser carregado.

   

5. Se você receber um erro, corrija o problema no arquivo. Em seguida, selecione Redefinir e tente carregar o arquivo novamente.

6. Selecione Avançar: Revisar e atualizar>Atualizar.

Conteúdo relacionado

Para saber mais sobre o Microsoft Sentinel, consulte os seguintes artigos:

• Usar listas de observação no Microsoft Sentinel
• Saiba como obter visibilidade de seus dados e ameaças potenciais.
• Introdução à detecção de ameaças com o Microsoft Sentinel.
• Use as pastas de trabalho para monitorar seus dados.