Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
O mapeamento de entidade é parte integrante da configuração de regras de análise agendadas. Ele enriquece os resultados gerados pelas regras (alertas e incidentes) com informações essenciais que servem de base para qualquer processo investigativo e para as ações corretivas subsequentes.
Use o procedimento a seguir para adicionar ou alterar mapeamentos de entidades em uma regra de análise existente, ou ao criar uma nova regra de análise agendada.
Importante
- Consulte Anotações sobre a nova versão para obter informações importantes sobre compatibilidade com versões anteriores e diferenças entre as versões novas e antigas do mapeamento de entidade.
- Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender. A partir de julho de 2025, muitos novos clientes serão automaticamente integrados e redirecionados para o portal do Defender. Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender. Para obter mais informações, consulte É hora de mudar: desativando o portal do Azure do Microsoft Sentinel para maior segurança.
Como mapear entidades
Para mapear entidades em uma regra de análise, execute as seguintes etapas:
Entre na página Análise no portal por meio do qual você acessa o Microsoft Sentinel:
Na seção Configuração do menu de navegação do Microsoft Sentinel, selecione Análise.
Selecione uma regra de consulta agendada e selecione Editar no painel de detalhes. Ou crie uma nova regra clicando em Criar > regra de consulta agendada na parte superior da tela.
Selecione a guia Definir lógica de regra . Se for uma nova regra, digite uma consulta na janela Consulta de regra .
Na seção Aprimoramento do alerta, expanda Mapeamento de entidades.
Na seção Mapeamento de entidade , agora expandida, selecione Adicionar nova entidade.
Selecione um tipo de entidade na lista suspensa Entidade .
Selecione um identificador para a entidade. Identificadores são atributos de uma entidade que podem identificá-la suficientemente. Escolha um na lista suspensa Identificador e escolha um campo de dados na lista suspensa Valor que corresponderá ao identificador. Com algumas exceções, a Lista de valores é preenchida pelos campos de dados na tabela definida como assunto da consulta de regra.
Você pode definir até três identificadores para um dado mapeamento de entidade. Alguns identificadores são necessários, outros são opcionais. Você deve escolher pelo menos um identificador necessário. Caso contrário, uma mensagem de aviso indicará quais identificadores são necessários. Para melhores resultados — para máxima identificação única — você deve usar identificadores fortes sempre que possível, e usar múltiplos identificadores fortes permitirá uma maior correlação entre as fontes de dados. Veja a lista completa de entidades e identificadores disponíveis.
Selecione Adicionar nova entidade para mapear mais entidades. Você pode definir até 10 mapeamentos de entidade em uma única regra de análise. Você também pode mapear mais de um do mesmo tipo. Por exemplo, você pode mapear duas entidades IP , uma de um campo de endereço IP de origem e outra de um campo de endereço IP de destino . Mapeando ambos os campos, você pode rastrear ambas as entidades IP.
Se mudar de ideia ou cometer um erro, você pode remover um mapeamento de entidade clicando no ícone de lixeira ao lado da lista suspensa de entidades.
Quando terminar de mapear entidades, clique na guia Revisar e criar . Quando a validação da regra for bem-sucedida, clique em Salvar.
Observação
Até 500 entidades podem ser identificadas coletivamente em um único alerta, divididas igualmente entre todos os mapeamentos de entidades definidos na regra.
- Por exemplo, se dois mapeamentos de entidade forem definidos na regra, cada mapeamento poderá identificar até 250 entidades; Se cinco mapeamentos forem definidos, cada um poderá identificar até 100 entidades e assim por diante.
- Vários mapeamentos de um único tipo de entidade (digamos, IP de origem e IP de destino) contam separadamente.
- Se um alerta contiver itens que excedem esse limite, esses itens em excesso não serão reconhecidos e extraídos como entidades.
O limite de tamanho para toda a área da entidade de um alerta (o campo Entidades ) é de 64 KB.
- Os campos de entidades que crescerem mais do que 64 KB serão truncados. À medida que as entidades são identificadas, elas são adicionadas ao alerta uma a uma até que o tamanho do campo atinja 64 KB, e todas as entidades ainda não identificadas são removidas do alerta.
Notas sobre a nova versão
A experiência de mapeamento de entidades foi atualizada a partir de uma versão anterior. Tenha em mente os seguintes detalhes de compatibilidade com versões anteriores:
Como a nova versão agora está em disponibilidade geral (GA), a solução alternativa via feature flag para usar a versão antiga deixou de estar disponível.
Se você tiver definido mapeamentos de entidade anteriormente para essa regra de análise usando a versão antiga, eles serão automaticamente convertidos para a nova versão.