Mapear campos de dados para entidades no Microsoft Sentinel

O mapeamento de entidades é parte integrante da configuração das regras de análise agendada. Enriquece os resultados gerados pelas regras (alertas e incidentes) com informações essenciais que servem como elementos fundamentais para qualquer processo investigativo e para as ações de remediação subsequentes.

Use o procedimento a seguir para adicionar ou alterar mapeamentos de entidades em uma regra de análise existente, ou ao criar uma nova regra de análise agendada.

Importante

Como mapear entidades

Para mapear entidades em uma regra de análise, execute as seguintes etapas:

  1. Acesse a página Analytics no portal por meio do qual você acessa o Microsoft Sentinel:

    Na secção Configuração do menu de navegação Microsoft Sentinel, selecione Análise.

  2. Selecione uma regra de consulta agendada e selecione Editar no painel de detalhes. Em alternativa, crie uma nova regra ao clicar em Criar > regra de consulta agendada na parte superior do ecrã.

  3. Selecione o separador Definir lógica de regra . Se for uma nova regra, escreva uma consulta na janela consulta Regra .

  4. Na secção Melhoramento de alertas , expanda Mapeamento de entidades.

    Expandir mapeamento de entidades

  5. Na secção Mapeamento de entidades agora expandida, selecione Adicionar nova entidade.

    Captura de ecrã a mostrar como adicionar uma nova entidade.

  6. Selecione um tipo de entidade na lista suspensa Entidade.

    Escolher um tipo de entidade

  7. Selecione um identificador para a entidade. Os identificadores são atributos de uma entidade que pode identificá-la suficientemente. Escolha um na lista pendente Identificador e, em seguida, escolha um campo de dados na lista pendente Valor que corresponda ao identificador. Com algumas exceções, a lista Valor é preenchida pelos campos de dados na tabela definida como o assunto da consulta de regra.

    Você pode definir até três identificadores para um dado mapeamento de entidade. Alguns identificadores são necessários, outros são opcionais. Você deve escolher pelo menos um identificador obrigatório. Se não o fizer, uma mensagem de aviso irá indicar-lhe que identificadores são necessários. Para melhores resultados — para máxima identificação única — você deve usar identificadores fortes sempre que possível, e usar múltiplos identificadores fortes permitirá uma maior correlação entre as fontes de dados. Veja a lista completa de entidades e identificadores disponíveis.

    Mapear campos para entidades

  8. Selecione Adicionar nova entidade para mapear mais entidades. Você pode definir até 10 mapeamentos de entidade em uma única regra de análise. Você pode também mapear mais que um do mesmo tipo. Por exemplo, pode mapear duas entidades IP , uma de um campo de endereço IP de origem e outra de um campo de endereço IP de destino . Mapeando ambos os campos, você pode rastrear ambas as entidades IP.

    Se você mudar de ideia ou se cometer um erro, poderá remover um mapeamento da entidade clicando no ícone lixeira ao lado da lista suspensa da entidade.

  9. Quando terminar de mapear entidades, clique no separador Rever e criar . Assim que a validação da regra for concluída com êxito, clique em Guardar.

Observação

  • Até 500 entidades podem ser identificadas coletivamente em um único alerta, divididas igualmente entre todos os mapeamentos de entidades definidos na regra.

    • Por exemplo, se forem definidos dois mapeamentos de entidades na regra, cada mapeamento pode identificar até 250 entidades; Se forem definidos cinco mapeamentos, cada um pode identificar até 100 entidades, etc.
    • Os múltiplos mapeamentos de um único tipo de entidade (por exemplo, IP de origem e IP de destino) contam separadamente.
    • Se um alerta contiver itens que excedam este limite, esses itens em excesso não serão reconhecidos e extraídos como entidades.
  • O limite de tamanho para toda a área da entidade de um alerta (o campo Entidades ) é de 64 KB.

    • Os campos de entidades que crescerem mais de 64 KB serão truncados. À medida que as entidades são identificadas, são adicionadas ao alerta uma a uma até o tamanho do campo atingir 64 KB e todas as entidades ainda não identificadas são retiradas do alerta.

Notas sobre a nova versão

A experiência de mapeamento de entidades foi atualizada a partir de uma versão anterior. Tenha em mente os seguintes detalhes de compatibilidade com versões anteriores:

  • Uma vez que a nova versão está agora disponível globalmente (GA), a solução do sinalizador de funcionalidade para utilizar a versão antiga já não está disponível.

  • Se tiver definido anteriormente mapeamentos de entidades para esta regra de análise com a versão antiga, estes serão automaticamente convertidos para a nova versão.