Exportar e importar regras analíticas de/para templates do ARM

Este artigo mostra como exportar regras de análise do Microsoft Sentinel para arquivos JSON modelo do Azure Resource Manager (ARM) e importar regras desses arquivos para outros workspaces ou inquilinos. Use esse recurso para gerenciar suas regras de análise como código, permitindo controle de versões e implantação consistente entre ambientes.

Como funciona a exportação e importação de modelo do ARM para regras de análise

Agora, você já pode exportar suas regras de análise para arquivos de modelo do Azure Resource Manager (ARM) e importar regras desses arquivos, como parte do gerenciamento e controle das implantações do Microsoft Sentinel como código. A ação de exportação criará um arquivo JSON (chamado Azure_Sentinel_analytic_rule.json) no local de downloads do seu navegador, que você poderá então renomear, mover e manipular como qualquer outro arquivo.

O ficheiro JSON exportado é independente da área de trabalho, pelo que pode ser importado para outras áreas de trabalho e até mesmo para outros inquilinos. Como código, também pode ser controlado por versões, atualizado e implementado numa estrutura CI/CD gerida.

O ficheiro inclui todos os parâmetros definidos na regra de análise, pelo que, para regras agendadas , inclui a consulta subjacente e as respetivas definições de agendamento, a gravidade, a criação de incidentes, as definições de agrupamento de eventos e alertas, as táticas MITRE ATT&CK atribuídas, etc. Qualquer tipo de regra de análise - não apenas Agendada - pode ser exportada para um ficheiro JSON.

Exportar regras de análise para templates ARM

Execute as seguintes etapas para exportar uma regra de análise para um arquivo de modelo do ARM:

1. No menu de navegação Microsoft Sentinel, selecione Análise.

2. Selecione a regra que pretende exportar e clique em Exportar a partir da barra na parte superior do ecrã.

   

   Observação

   • Pode selecionar múltiplas regras de análise de uma só vez para exportação marcando as caixas de marcar junto às regras e clicando em Exportar no final.

   • Você pode exportar todas as regras em uma única página da grade de exibição ao mesmo tempo marcando a caixa de seleção na linha do cabeçalho (ao lado de SEVERIDADE) antes de clicar em Exportar. No entanto, não pode exportar mais do que uma página de regras de cada vez.

   • Tenha em atenção que, neste cenário, será criado um único ficheiro (com o nome Azure_Sentinel_analytic_rules.json) e irá conter código JSON para todas as regras exportadas.

Importar regras de análise a partir de templates ARM

Execute as seguintes etapas para importar uma regra de análise de um arquivo de modelo do ARM:

1. Tenha um arquivo JSON de modelo ARM de regra analítica pronto.

2. No menu de navegação Microsoft Sentinel, selecione Análise.

3. Clique em Importar a partir da barra na parte superior do ecrã. Na caixa de diálogo resultante, navegue para e selecione o ficheiro JSON que representa a regra que pretende importar e selecione Abrir.

   

   Observação

   Pode importar até 50 regras de análise a partir de um único ficheiro de modelo do ARM.

Próximas etapas

Você pode exportar e importar regras analíticas para modelos ARM e a partir deles para gerenciar suas implantações do Microsoft Sentinel como código.

• Saiba mais sobre regras de análise, incluindo regras agendadas personalizadas.
• Saiba mais sobre os modelos do ARM.