Conectores de dados do Microsoft Sentinel

Depois de integrar o Microsoft Sentinel no seu espaço de trabalho, use conectores de dados para iniciar a ingestão de dados no Microsoft Sentinel. O Microsoft Sentinel vem com muitos conectores prontos para uso para serviços Microsoft, que se integram em tempo real. Por exemplo, o conector do Microsoft Defender XDR é um conector de serviço a serviço que integra dados do Office 365, do Microsoft Entra ID, do Microsoft Defender para Identidade e Microsoft Defender para Aplicativos de Nuvem.

Os conectores internos permitem a conexão com o ecossistema de segurança mais amplo para produtos que não são da Microsoft. Por exemplo, use Syslog, CEF (Common Event Format) ou APIs REST para conectar suas fontes de dados com o Microsoft Sentinel.

Considerações sobre o gerenciamento de dados para o data lake do Microsoft Sentinel

As seguintes considerações devem ser levadas em consideração no planejamento de conformidade e gerenciamento de dados:

• GDPR e retenção de dados

  • Os administradores de locatários podem exercer os direitos previstos no GDPR por meio do recurso Purge para a camada de análise. Isso não afeta a camada do data lake.
  • Registros específicos não podem ser removidos do data lake do Sentinel. O data lake retém os dados ingeridos pelo período de retenção definido, mesmo que os dados sejam excluídos na origem ou na camada de análise.

• Integração com o Purview. As alterações nas configurações do Purview não afetam os dados armazenados no data lake do Sentinel.

• Local de Armazenamento Os locais de armazenamento do Sentinel Data Lake são selecionados pelo administrador do locatário e podem ser diferentes do local de armazenamento primário dos serviços de origem.

Conectores de dados fornecidos com soluções

As soluções do Microsoft Sentinel fornecem conteúdo de segurança empacotado, incluindo conectores de dados, pastas de trabalho, regras de análise, guias estratégicos e muito mais. Ao implantar uma solução com um conector de dados, você obtém o conector de dados juntamente com o conteúdo relacionado na mesma implantação.

A página Conectores de dados do Microsoft Sentinel lista os conectores de dados instalados ou em uso.

Para adicionar mais conectores de dados, instale a solução associada ao conector de dados do Hub de Conteúdo. Para saber mais, confira os seguintes artigos:

• Localizar seu conector de dados do Microsoft Sentinel
• Sobre o conteúdo e as soluções do Microsoft Sentinel
• Descubra e gerencie o conteúdo pronto para uso do Microsoft Sentinel
• Catálogo do hub de conteúdo do Microsoft Sentinel
• Soluções de domínio baseadas em ASIM (Modelo Avançado de Informações de Segurança) para o Microsoft Sentinel

Criar conectores personalizados

Se você não conseguir conectar sua fonte de dados ao Microsoft Sentinel usando nenhuma das soluções existentes disponíveis, considere criar seu próprio conector de fonte de dados. Por exemplo, muitas soluções de segurança fornecem um conjunto de APIs para recuperar arquivos de log e outros dados de segurança de seu produto ou serviço. Essas APIs se conectam ao Microsoft Sentinel com um dos seguintes métodos:

• As APIs de fonte de dados são configuradas com o Codeless Connector Framework.
• O conector de dados usa a API de Ingestão de Log para o Azure Monitor como parte de uma função do Azure ou aplicativo lógico.

Você também pode usar o Azure Monitor Agent diretamente ou o Logstash para criar seu conector personalizado. Para obter mais informações, consulte Recursos para criar conectores personalizados do Microsoft Sentinel.

Integração baseada em agente para conectores de dados

O Microsoft Sentinel pode usar agentes fornecidos pelo serviço Azure Monitor (no qual o Microsoft Sentinel se baseia) para coletar dados de qualquer fonte de dados que possa executar o streaming de log em tempo real. Por exemplo, a maioria das fontes de dados locais se conecta usando a integração baseada em agente.

As seções a seguir descrevem os diferentes tipos de conectores de dados baseados em agente do Microsoft Sentinel. Para configurar conexões usando mecanismos baseados em agente, siga as etapas em cada página do conector de dados do Microsoft Sentinel.

Syslog e CEF (Common Event Format)

Você pode transmitir eventos de dispositivos baseados em Linux com suporte a Syslog para o Microsoft Sentinel usando o AMA (agente do Azure Monitor). Os formatos de log variam, mas muitas fontes dão suporte à formatação baseada em CEF. Dependendo do tipo de dispositivo, o agente é instalado diretamente no dispositivo ou em um encaminhador de log dedicado baseado em Linux. O AMA recebe mensagens de evento Syslog ou CEF simples do daemon Syslog por UDP. O daemon do Syslog encaminha eventos para o agente internamente, comunicando-se por TCP ou UDS (Unix Domain Sockets), dependendo da versão. Em seguida, o AMA transmite esses eventos para o espaço de trabalho do Microsoft Sentinel.

Aqui está um fluxo simples que mostra como o Microsoft Sentinel transmite dados do Syslog.

1. O daemon Syslog interno do dispositivo coleta eventos locais dos tipos especificados e encaminha os eventos localmente para o agente.
2. O agente transmite os eventos para seu workspace do Log Analytics.
3. Após a configuração bem-sucedida, as mensagens Syslog são exibidas na tabela do Log Analytics Syslog, e as mensagens CEF são exibidas na tabela CommonSecurityLog.

Para obter mais informações, consulte Syslog e CEF (Formato Comum de Evento) via conectores AMA do Microsoft Sentinel.

Logs personalizados

Para algumas fontes de dados, você pode coletar logs como arquivos em computadores Windows ou Linux usando o agente de coleta de logs personalizado do Log Analytics.

Para se conectar usando o agente de coleta de log personalizado do Log Analytics, siga as etapas em cada página do conector de dados do Microsoft Sentinel. Após a configuração bem-sucedida, os dados aparecem em tabelas personalizadas.

Para obter mais informações, consulte Logs personalizados via conector de dados AMA – Configurar a ingestão de dados no Microsoft Sentinel a partir de aplicativos específicos.

Integração entre serviços para conectores de dados

O Microsoft Sentinel usa a fundação Azure para fornecer suporte pronto para uso de serviço a serviço para serviços Microsoft e Amazon Web Services.

Para saber mais, confira os seguintes artigos:

• Conectar o Microsoft Sentinel aos serviços do Azure, Windows, Microsoft e Amazon
• Localizar seu conector de dados do Microsoft Sentinel

Suporte ao conector de dados

A Microsoft e outras organizações criam conectores de dados do Microsoft Sentinel. Cada conector de dados tem um dos seguintes tipos de suporte listados na página do conector de dados no Microsoft Sentinel.

Para obter mais informações, consulte Encontrar suporte para um conector de dados.

Próximas etapas

Para obter mais informações sobre conectores de dados, consulte os seguintes artigos.

• Conectar suas fontes de dados ao Microsoft Sentinel usando conectores de dados
• Localizar seu conector de dados do Microsoft Sentinel
• Recursos para criar conectores personalizados do Microsoft Sentinel

Para consultar uma referência básica de IaC (Infraestrutura como Código) para Bicep, Azure Resource Manager e Terraform a fim de implantar conectores de dados no Microsoft Sentinel, consulte referência de IaC para conectores de dados do Microsoft Sentinel.