Conectar o Microsoft Sentinel a outros serviços da Microsoft com um conector de dados baseado em agente para Windows

Este artigo descreve como ligar Microsoft Sentinel a outras ligações baseadas em agentes do Windows dos serviços Microsoft. Microsoft Sentinel utiliza o Agente do Azure Monitor para fornecer suporte nativo de serviço a serviço para ingestão de dados de muitos serviços do Azure e do Microsoft 365, da Amazon Web Services e de vários serviços do Windows Server.

O Agente Azure Monitor utiliza regras de recolha de dados (DCRs) para definir os dados a recolher de cada agente. As regras de recolha de dados oferecem-lhe duas vantagens distintas:

• Gerencie configurações de coleção em grande escala, sem deixar de permitir configurações específicas para subconjuntos de máquinas. São independentes da área de trabalho e independentes da máquina virtual, o que significa que podem ser definidas uma vez e reutilizadas em computadores e ambientes. Veja Configurar a recolha de dados para o Agente Azure Monitor.

• Crie filtros personalizados para escolher os eventos exatos que pretende ingerir. O Agente do Azure Monitor utiliza estas regras para filtrar os dados na origem e ingerir apenas os eventos que pretende, deixando tudo o resto para trás. Isto pode poupar-lhe muito dinheiro em custos de ingestão de dados!

Pré-requisitos

• Tem de ter permissões de leitura e escrita na área de trabalho Microsoft Sentinel.

• Para recolher eventos de qualquer sistema que não seja uma máquina virtual Azure, o sistema tem de ter Azure Arc instalado e ativado antes de ativar o conector baseado no Agente do Azure Monitor.

  Isso inclui:

  • Servidores Windows instalados em computadores físicos
  • Servidores Windows instalados em máquinas virtuais no local
  • Servidores Windows instalados em máquinas virtuais em clouds não Azure

• Para o conector de dados de Eventos Encaminhados do Windows:

  • Tem de ter a Coleção de Eventos do Windows (WEC) ativada e em execução, com o Agente Azure Monitor instalado no computador WEC.
  • Recomendamos que instale os analisadores do Modelo de Informação de Segurança Avançada (ASIM) para garantir o suporte total para a normalização de dados. Pode implementar estes analisadores a partir do repositório doAzure-Sentinel GitHub com o botão Implementar para Azure.
  • Os eventos coletados pelo Windows Event Forwarding são gravados na WindowsEvent tabela, incluindo os eventos encaminhados do Segurança do Windows log. Eles não estão escritos para a SecurityEvent mesa.

• Instale a solução de Microsoft Sentinel relacionada a partir do Hub de Conteúdos no Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerenciar o conteúdo pronto para uso do Microsoft Sentinel.

Criar regras de recolha de dados através da GUI

Execute as etapas a seguir para criar uma regra de coleta de dados no portal Microsoft Sentinel.

1. No Microsoft Sentinel, selecione Configuração>Conectores de dados. Selecione o conector na lista e, em seguida, selecione Abrir página do conector no painel de detalhes. Depois, siga as instruções na tela na aba Instruções e complete os passos restantes desse procedimento.

2. Verifique se tem as permissões adequadas, conforme descrito na secção Pré-requisitos na página do conector. No mínimo, você precisa de permissões de leitura e gravação no workspace Microsoft Sentinel.

3. Em Configuração, selecione +Adicionar regra de recolha de dados. O assistente Criar regra de coleta de dados será aberto à direita.

4. Em Noções básicas, introduza um Nome da regra e especifique uma Subscrição e um Grupo de recursos onde a regra de recolha de dados (DCR) será criada. Isso não precisa ser no mesmo grupo de recursos ou assinatura em que os computadores monitorados e as associações estão, desde que eles estejam no mesmo locatário.

5. No separador Recursos , selecione +Adicionar recursos para adicionar computadores aos quais a Regra de Recolha de Dados será aplicada. A caixa de diálogo Selecionar um âmbito será aberta e verá uma lista das subscrições disponíveis. Expanda uma assinatura para ver seus grupos de recursos e expanda um grupo de recursos para ver as máquinas disponíveis. Você verá máquinas virtuais do Azure e servidores habilitados para Azure Arc na lista. Você pode marcar as caixas de seleção de assinaturas ou grupos de recursos para selecionar todos os computadores que eles contêm ou pode selecionar computadores individuais. Selecione Aplicar quando tiver escolhido todas as suas máquinas. No final deste processo, o Agente do Azure Monitor será instalado em quaisquer computadores selecionados que ainda não o tenham instalado.

6. No separador Recolher , selecione os eventos que pretende recolher: selecione Todos os eventos ou Personalizado para especificar outros registos ou para filtrar eventos com consultas XPath. Introduza expressões na caixa que são avaliadas como critérios XML específicos para os eventos a recolher e, em seguida, selecione Adicionar. Pode introduzir até 20 expressões numa única caixa e até 100 caixas numa regra.

   Para obter mais informações, veja a documentação do Azure Monitor.

   Observação

   • O conector de Eventos de Segurança do Windows oferece outros dois conjuntos de eventos predefinidos que você pode escolher coletar: Comum e Mínimo.

   • O Agente do Azure Monitor suporta consultas XPath apenas para xPath versão 1.0.

   Para testar a validade de uma consulta XPath, utilize o cmdlet do PowerShell Get-WinEvent com o parâmetro -FilterXPath . Por exemplo:

   $XPath = '*[System[EventID=1035]]'
   Get-WinEvent -LogName 'Application' -FilterXPath $XPath
   

   • Se eventos são retornados, a consulta é válida.
   • Se receber a mensagem "Não foram encontrados eventos que correspondam aos critérios de seleção especificados", a consulta poderá ser válida, mas não existem eventos correspondentes no computador local.
   • Se receber a mensagem "A consulta especificada é inválida", a sintaxe da consulta é inválida.

7. Depois de adicionar todas as expressões de filtro que pretende, selecione Seguinte: Rever + criar.

8. Quando vir a mensagem Validação aprovada , selecione Criar.

Você verá todas as suas regras de coleta de dados, incluindo aquelas criadas usando a API, em Configuração na página do conector. A partir daí, pode editar ou eliminar regras existentes.

Criar regras de recolha de dados com a API

Você também pode criar regras de coleta de dados usando a API, o que facilita a vida se você estiver criando muitas regras, como se você for um provedor de serviços de segurança gerenciado (MSSP). Aqui está um exemplo (para o conector Eventos de Segurança do Windows via AMA) que você pode usar como modelo para criar uma regra:

Envie a seguinte solicitação PUT para criar ou atualizar uma regra de coleta de dados que define as fontes de evento, o destino Log Analytics workspace e o fluxo de dados entre elas.

URL e cabeçalho do pedido

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.Insights/dataCollectionRules/myCollectionRule?api-version=2019-11-01-preview

Corpo da solicitação

O corpo JSON a seguir define a configuração do DCR, incluindo as fontes de dados do log de eventos Windows, o destino Log Analytics workspace e os fluxos de dados que roteiam os eventos coletados para esse workspace.

{
    "location": "eastus",
    "properties": {
        "dataSources": {
            "windowsEventLogs": [
                {
                    "streams": [
                        "Microsoft-SecurityEvent"
                    ],
                    "xPathQueries": [
                        "Security!*[System[(EventID=) or (EventID=4688) or (EventID=4663) or (EventID=4624) or (EventID=4657) or (EventID=4100) or (EventID=4104) or (EventID=5140) or (EventID=5145) or (EventID=5156)]]"
                    ],
                    "name": "eventLogsDataSource"
                }
            ]
        },
        "destinations": {
            "logAnalytics": [
                {
                    "workspaceResourceId": "/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.OperationalInsights/workspaces/centralTeamWorkspace",
                    "name": "centralWorkspace"
                }
            ]
        },
        "dataFlows": [
            {
                "streams": [
                    "Microsoft-SecurityEvent"
                ],
                "destinations": [
                    "centralWorkspace"
                ]
            }
        ]
    }
}

Para saber mais, confira:

• Regras de recolha de dados (DCRs) no Azure Monitor
• Esquema de API de regras de recolha de dados

Próximas etapas

Para saber mais, confira:

• catálogo de soluções de Microsoft Sentinel
• Integração de informações sobre ameaças no Microsoft Sentinel