Criar regras de análise agendadas a partir de modelos

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

De longe o tipo mais comum de regra de análise, as regras agendadas são baseadas em consultas Kusto configuradas para serem executadas em intervalos regulares e examinar dados brutos de um período de "lookback" definido. Essas consultas podem executar operações estatísticas complexas em seus dados de destino, revelando linhas de base e exceções em grupos de eventos. Se o número de resultados capturados pela consulta ultrapassar o limite configurado na regra, a regra produzirá um alerta.

A Microsoft disponibiliza uma vasta gama de modelos de regras de análise para você por meio das várias soluções fornecidas no Hub de conteúdo e incentiva fortemente você a usá-los para criar suas regras. As consultas em modelos de regra agendada são escritas por especialistas em segurança e ciência de dados, da Microsoft ou do fornecedor da solução que fornece o modelo.

O procedimento a seguir mostra como criar uma regra de análise agendada a partir de um modelo.

Importante

Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.

Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.

Exibir as regras de análise existentes

Para exibir as regras de análise instaladas no Microsoft Sentinel, acesse a página Análise. A guia Modelos de regra exibe todos os modelos de regra instalados. Para encontrar mais modelos de regra, vá para o Hub de Conteúdo no Microsoft Sentinel para instalar soluções de produto que contêm os modelos de regra necessários ou instale conteúdo autônomo.

Use os passos a seguir para visualizar os modelos de regras de análise existentes no portal Defender.

  1. No menu de navegação do Microsoft Defender, expanda Microsoft Sentinel e Configuração. Selecione Análise.

  2. Na tela Análise , selecione a guia Modelos de regra .

  3. Se você quiser filtrar a lista por Modelos agendados :

    1. Selecione Adicionar filtro e escolha Tipo de regra na lista de filtros.

    2. Na lista resultante, selecione Agendado. Em seguida, selecione Aplicar.

    Captura de tela dos modelos de regra de análise agendados no portal do Microsoft Defender.

Criar uma regra a partir de um modelo

Este procedimento descreve como criar uma regra de análise a partir de um modelo.

No menu de navegação do Microsoft Defender, expanda Microsoft Sentinel e Configuração. Selecione Análise.

  1. Na tela Análise , selecione a guia Modelos de regra .

  2. Selecione um nome de modelo e, em seguida, selecione o botão Criar regra no painel de detalhes para criar uma nova regra ativa com base nesse modelo.

    Cada modelo tem uma lista de fontes de dados necessárias. Quando você abre o modelo selecionado, as fontes de dados são verificadas automaticamente quanto à disponibilidade. Se uma fonte de dados não estiver habilitada, o botão Criar regra poderá estar desabilitado ou você poderá ver uma mensagem nesse sentido.

    Captura de tela do painel de visualização da regra de análise.

  3. O assistente de criação de regra é aberto. Todos os detalhes são preenchidos automaticamente.

  4. Percorra as abas do assistente, personalizando a lógica e outras configurações da regra, sempre que possível, para atender melhor às suas necessidades específicas. Para saber mais, confira:

    Quando você chegar ao final do assistente de criação de regra, o Microsoft Sentinel criará a regra. A nova regra será exibida na guia Regras ativas .

    Repita essas etapas de criação de regras para criar mais regras. Para obter mais detalhes sobre como personalizar suas regras no assistente de criação de regras, consulte Criar uma regra de análise personalizada do zero.

Dica

  • Habilite todas as regras associadas às fontes de dados conectadas para garantir a cobertura total de segurança do seu ambiente. A maneira mais eficiente de habilitar regras de análise é diretamente na página do conector de dados, que lista todas as regras relacionadas. Para obter mais informações, consulte Conectar fontes de dados.

  • Você também pode enviar regras por push para Microsoft Sentinel por meio da API REST Microsoft Sentinel e do PowerShell, embora isso exija esforço adicional.

    Ao usar a API ou o PowerShell, primeiro você deve exportar as regras de análise que deseja habilitar para JSON antes de habilitá-las. A API ou o PowerShell podem ser úteis ao habilitar regras em várias instâncias do Microsoft Sentinel com configurações idênticas em cada instância.

Próximas etapas

  • Última atualização em