Exportar e importar regras de automatização de e para modelos do ARM

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Faça a gestão das regras de automatização Microsoft Sentinel como código! Agora, é possível exportar suas regras de automação para arquivos de modelo do Azure Resource Manager (ARM) e importar regras desses arquivos, como parte da sua iniciativa para gerenciar e controlar suas implantações do Microsoft Sentinel como código. A ação de exportação cria um arquivo JSON na localização de downloads do seu navegador. Você pode então renomear, mover e lidar com o arquivo como qualquer outro arquivo.

O ficheiro JSON exportado é independente da área de trabalho, pelo que pode ser importado para outras áreas de trabalho e até mesmo para outros inquilinos. Como código, também pode ser controlado por versões, atualizado e implementado numa estrutura CI/CD gerida.

O arquivo JSON exportado inclui todos os parâmetros definidos na regra de automação. As regras de qualquer tipo de acionador podem ser exportadas para um ficheiro JSON.

Esta seção explica como exportar e importar regras de automação do Microsoft Sentinel.

Importante

Após 31 de março de 2027, Microsoft Sentinel deixarão de ser suportados no portal do Azure e só estarão disponíveis no portal do Microsoft Defender. Todos os clientes que utilizem Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e utilizarão apenas Microsoft Sentinel no portal do Defender.

Se ainda estiver a utilizar Microsoft Sentinel no portal do Azure, recomendamos que comece a planear a transição para o portal do Defender para garantir uma transição suave e tirar o máximo partido da experiência de operações de segurança unificada oferecida pelo Microsoft Defender.

Regras de automação de exportação para templates ARM

Para exportar uma ou mais regras de automação para um arquivo JSON, execute as seguintes etapas:

  1. No menu de navegação Microsoft Sentinel, selecione Automatização.

  2. Selecione a regra (ou regras— ver nota) que pretende exportar e selecione Exportar na barra na parte superior do ecrã.

    Captura de ecrã a mostrar como exportar uma regra de automatização.

    Localize o ficheiro exportado na pasta Transferências. Tem o mesmo nome que a regra de automatização, com uma extensão .json.

    Observação

    • Pode selecionar múltiplas regras de automatização ao mesmo tempo para exportação ao marcar as caixas de marcar junto às regras e ao selecionar Exportar no final.

    • Pode exportar todas as regras numa única página da grelha de visualização ao mesmo tempo, marcando a caixa de marcar na linha de cabeçalho antes de clicar em Exportar. No entanto, não pode exportar mais do que uma página de regras de cada vez.

    • Quando você exporta várias regras ao mesmo tempo, um único arquivo (chamado Azure_Sentinel_automation_rules.json) é criado e contém código JSON para todas as regras exportadas.

Regras de automação de importação a partir de templates ARM

Para importar regras de automação de um arquivo JSON de modelo do ARM, execute as seguintes etapas:

  1. Tenha um arquivo JSON do modelo ARM da regra de automação pronto.

  2. No menu de navegação Microsoft Sentinel, selecione Automatização.

  3. Selecione Importar na barra na parte superior do ecrã. Na caixa de diálogo resultante, navegue para e selecione o ficheiro JSON que representa a regra que pretende importar e selecione Abrir.

    Captura de ecrã a mostrar como importar uma regra de automatização.

    Observação

    Pode importar até 50 regras de automatização a partir de um único ficheiro de modelo do ARM.

Solução de problemas

Se você tiver algum problema para importar uma regra de automação exportada, consulte a tabela de solução de problemas nesta seção.

Comportamento (com erro) Motivo Ação sugerida
A regra de automatização importada está desativada
- e-
A condição da regra de análise da regra apresenta "Regra desconhecida"		 A regra contém uma condição que se refere a uma regra de análise que não existe na área de trabalho de destino.
  1. Exporte a regra de análise referenciada da área de trabalho original e importe-a para a de destino.
  2. Edite a regra de automação na área de trabalho de destino, escolhendo a regra de análise de dados agora disponível na lista suspensa.
  3. Ative a regra de automatização.
A regra de automatização importada está desativada
- e-
A condição de chave de detalhes personalizados da regra apresenta "Chave de detalhes personalizada desconhecida"		 A regra contém uma condição que se refere a uma chave de detalhes personalizada que não é definida em nenhuma regra de análise na área de trabalho de destino.
  1. Exporte a regra de análise referenciada da área de trabalho original e importe-a para a de destino.
  2. Edite a regra de automação na área de trabalho de destino, escolhendo a regra de análise de dados agora disponível na lista suspensa.
  3. Ative a regra de automatização.
A implementação falhou na área de trabalho de destino, com a mensagem de erro: "As regras de automatização não foram implementadas.".
Os detalhes da implantação contêm os motivos listados na coluna Motivo da falha.		 O guia estratégico foi movido.
- ou-
O manual de procedimentos foi eliminado.
- ou-
A área de trabalho de destino não tem acesso ao manual de procedimentos.		 Certifique-se de que o manual de procedimentos existe e de que a área de trabalho de destino tem o acesso certo ao grupo de recursos que contém o manual de procedimentos.
A implementação falhou na área de trabalho de destino, com a mensagem de erro: "As regras de automatização não foram implementadas.".
Os detalhes da implantação contêm os motivos listados na coluna Motivo da falha.		 A regra de automatização ultrapassou a data de expiração definida quando a importou. Se quiser que a regra permaneça expirada na área de trabalho original:
  1. Edite o ficheiro JSON que representa a regra de automatização exportada.
  2. Localize a data de expiração (que aparece imediatamente após a cadeia "expirationTimeUtc":) e substitua-a por uma nova data de expiração (no futuro).
  3. Guarde o ficheiro e importe-o novamente para a área de trabalho de destino.
Se quiser que a regra regresse ao status ativo na área de trabalho original:
  1. Edite a regra de automatização na área de trabalho original e altere a data de expiração para uma data no futuro.
  2. Exporte a regra novamente a partir da área de trabalho original.
  3. Importe a versão recentemente exportada para a área de trabalho de destino.
A implementação falhou na área de trabalho de destino, com a mensagem de erro:
"O ficheiro JSON que tentou importar tem um formato inválido. Por favor, marcar o ficheiro e tente novamente."		 O ficheiro importado não é um ficheiro JSON válido. Verifique se existem problemas no ficheiro e tente novamente. Para obter os melhores resultados, exporte novamente a regra original para um novo ficheiro e, em seguida, tente importar novamente.
A implementação falhou na área de trabalho de destino, com a mensagem de erro:
"Não foram encontrados recursos no ficheiro. Certifique-se de que o ficheiro contém recursos de implementação e tente novamente."		 A lista de recursos na chave "resources" (recursos) no ficheiro JSON está vazia. Verifique se existem problemas no ficheiro e tente novamente. Para obter os melhores resultados, exporte novamente a regra original para um novo ficheiro e, em seguida, tente importar novamente.

Conteúdo relacionado

  • Last updated on