Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Este artigo explica como o Microsoft Sentinel atribui permissões a funções de usuário para o Microsoft Sentinel SIEM e o data lake do Microsoft Sentinel, identificando as ações permitidas para cada função.
O Microsoft Sentinel usa o controle de acesso baseado em função do Azure (Azure RBAC) para fornecer funções internas e personalizadas para o Microsoft Sentinel SIEM, e o controle de acesso baseado em função do Microsoft Entra ID (Microsoft Entra ID RBAC) para fornecer funções internas e personalizadas para o data lake do Microsoft Sentinel.
Antes de atribuir funções, consulte o guia de planejamento Etapas para atribuir uma função do Azure para obter ajuda para determinar quem precisa de acesso, qual função escolher e qual escopo aplicar.
Use as instruções passo a passo a seguir para atribuir funções a usuários, grupos e serviços, com base no seu tipo de função:
- Funções do Azure: atribuir funções do Azure usando o portal do Azure
- Funções do Microsoft Entra ID: atribuir funções do Microsoft Entra
Importante
Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.
Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.
Observação
Se você estiver participando do programa de prévia do Microsoft Defender XDR, agora pode conhecer o novo modelo Microsoft Defender Unified Role-Based Controle de Acesso (URBAC). Para obter mais informações, consulte RBAC (controle de acesso baseado em função) unificado do Microsoft Defender XDR.
Importante
A Microsoft recomenda que você use funções com o menor número de permissões. Isto ajuda a melhorar a segurança da sua organização. O Administrador Global é uma função altamente privilegiada que deve ser limitada a cenários de emergência quando não for possível usar uma função existente.
Funções internas do Azure para o Microsoft Sentinel
As seguintes funções internas do Azure são usadas no Microsoft Sentinel SIEM e concedem acesso de leitura aos dados do espaço de trabalho, incluindo suporte para o data lake do Microsoft Sentinel. Atribua essas funções no nível do grupo de recursos para obter melhores resultados.
| Função | Suporte SIEM | Suporte ao data lake |
|---|---|---|
| Microsoft Sentinel Reader | Exiba dados, incidentes, pastas de trabalho, recomendações e outros recursos | Acesse análise avançada e execute consultas interativas apenas em espaços de trabalho. |
| Respondente do Microsoft Sentinel | Todas as permissões de leitor, além de gerenciar incidentes | N/D |
| Colaborador do Microsoft Sentinel | Todas as permissões do Respondente, além de soluções de instalação/atualização, criação/edição de recursos | Acesse análise avançada e execute consultas interativas apenas em espaços de trabalho. |
| Operador do Guia Estratégico do Microsoft Sentinel | Listar, exibir e executar manualmente playbooks | N/D |
| Colaborador de Automação do Microsoft Sentinel | Permite que o Microsoft Sentinel adicione guias estratégicos a regras de automação. Não é usada para contas de usuário. | N/D |
Por exemplo, a tabela a seguir mostra exemplos de tarefas que cada função pode executar no Microsoft Sentinel:
| Função | Executar guias estratégicos | Criar/editar guias estratégicos | Criar/editar regras de análise, pastas de trabalho etc. | Gerenciar incidentes | Exibir dados, incidentes, pastas de trabalho, recomendações | Gerenciar hub de conteúdo |
|---|---|---|---|---|---|---|
| Microsoft Sentinel Reader | -- | -- | --* | -- | ✓ | -- |
| Respondente do Microsoft Sentinel | -- | -- | --* | ✓ | ✓ | -- |
| Colaborador do Microsoft Sentinel | -- | -- | ✓ | ✓ | ✓ | ✓ |
| Operador do Guia Estratégico do Microsoft Sentinel | ✓ | -- | -- | -- | -- | -- |
| Colaborador do Aplicativo Lógico | ✓ | ✓ | -- | -- | -- | -- |
*Com função de Colaborador de Pasta de Trabalho .
Recomendamos que você atribua funções ao grupo de recursos que contém o workspace do Microsoft Sentinel. Isso garante que todos os recursos relacionados, como Logic Apps e playbooks, estejam abrangidos pelas mesmas atribuições de função.
Como outra opção, atribua as funções diretamente ao próprio workspace do Microsoft Sentinel. Se você fizer isso, deverá atribuir as mesmas funções ao recurso de solução SecurityInsights nesse espaço de trabalho. Você também pode precisar atribuí-las a outros recursos e gerenciar continuamente as atribuições de função aos recursos.
Funções adicionais para tarefas específicas
Os usuários com requisitos de trabalho específicos podem precisar receber outras funções ou permissões específicas para realizar suas tarefas. Por exemplo:
| Tarefa | Funções/permissões necessárias |
|---|---|
| Conectar fontes de dados | Permissão de gravação no espaço de trabalho. Verifique a documentação do conector para saber quais permissões adicionais são exigidas para cada conector. |
| Gerenciar conteúdo do hub de conteúdo | Colaborador do Microsoft Sentinel no nível do grupo de recursos |
| Automatize as respostas com guias estratégicos |
Operador do Guia Estratégico do Microsoft Sentinel, para executar guias estratégicos, e Colaborador do Aplicativo Lógico para criar/editar guias estratégicos. O Microsoft Sentinel usa guias estratégicos para resposta automatizada a ameaças. Os playbooks são baseados no Aplicativos Lógicos do Azure e são um recurso separado no Azure. Para membros específicos de sua equipe de operações de segurança, talvez você queira atribuir a capacidade de usar Aplicativos Lógicos para operações de Orquestração, Automação e Resposta de Segurança (SOAR). |
| Permitir que o Microsoft Sentinel execute playbooks por meio da automação | A conta de serviço precisa de permissões explícitas para o grupo de recursos do playbook; sua conta precisa de permissões Owner para atribuir essas permissões. O Microsoft Sentinel usa uma conta de serviço especial para executar manualmente playbooks acionados por incidentes ou para chamá-los por meio de regras de automação. O uso dessa conta (ao contrário da sua conta de usuário) aumenta o nível de segurança do serviço. Para que uma regra de automação execute um guia estratégico, essa conta deve receber permissões explícitas ao grupo de recursos em que o guia estratégico reside. Nesse ponto, qualquer regra de automação pode executar qualquer guia estratégico nesse grupo de recursos. |
| Usuários convidados atribuem incidentes |
Leitor de Diretório E Respondente do Microsoft Sentinel A função de Leitor de Diretório não é uma função do Azure, mas uma função do Microsoft Entra ID, e os usuários regulares (não convidados) têm essa função atribuída por padrão. |
| Criar/excluir pastas de trabalho | Colaborador do Microsoft Sentinel ou uma função inferior do Microsoft Sentinel E Colaborador do Workbook |
Outras funções do Azure e do Log Analytics
Ao atribuir funções do Azure específicas do Microsoft Sentinel, você pode encontrar outras funções do Azure e do Log Analytics que podem ser atribuídas aos usuários para outras finalidades. Essas funções concedem um conjunto mais amplo de permissões que incluem acesso ao seu espaço de trabalho do Microsoft Sentinel e a outros recursos:
- Funções do Azure:Proprietário, Colaborador, Leitor – conceda amplo acesso aos recursos do Azure.
- Funções do Log Analytics:Colaborador do Log Analytics, Leitor do Log Analytics – conceder acesso a workspaces do Log Analytics.
Importante
As atribuições de função são cumulativas. Um usuário com funções de Leitor e Colaborador do Microsoft Sentinel pode ter mais permissões do que o pretendido.
Atribuições de função recomendadas para usuários do Microsoft Sentinel
| Tipo de usuário | Função | Grupo de recursos | Descrição |
|---|---|---|---|
| Analistas de segurança | Respondente do Microsoft Sentinel | Grupo de recursos do Microsoft Sentinel | Exibir/gerenciar incidentes, dados, pastas de trabalho |
| Operador do Guia Estratégico do Microsoft Sentinel | Grupo de recursos do Microsoft Sentinel/playbook | Anexar/executar guias estratégicos | |
| Engenheiros de segurança | Colaborador do Microsoft Sentinel | Grupo de recursos do Microsoft Sentinel | Gerenciar incidentes, conteúdo, recursos |
| Colaborador do Aplicativo Lógico | Grupo de recursos do Microsoft Sentinel/playbook | Executar/modificar playbooks | |
| Service Principal | Colaborador do Microsoft Sentinel | Grupo de recursos do Microsoft Sentinel | Tarefas de gerenciamento automatizado |
Funções e permissões para o data lake do Microsoft Sentinel
Para usar o data lake do Microsoft Sentinel, seu espaço de trabalho deve ser integrado ao portal do Defender e aodata lake do Microsoft Sentinel.
Permissões de leitura do data lake do Microsoft Sentinel
As funções do Microsoft Entra ID fornecem amplo acesso a todo o conteúdo do data lake. Use as seguintes funções para conceder acesso de leitura a todos os espaços de trabalho no lago de dados do Microsoft Sentinel, por exemplo, para executar consultas.
| Tipo de permissão | Funções compatíveis |
|---|---|
| Acesso de leitura em todos os espaços de trabalho | Use qualquer uma das seguintes funções do Microsoft Entra ID: - Leitor global - Leitor de segurança - Operador de segurança - Administrador de segurança - Administrador global |
Como alternativa, talvez você queira atribuir a capacidade de ler tabelas de dentro de um espaço de trabalho específico. Nesses casos, use um destes procedimentos:
| Tarefas | Permissões |
|---|---|
| Permissões de leitura nas tabelas do sistema | Use uma função RBAC unificada personalizada do Microsoft Defender XDR com permissões básicas de dados de segurança (leitura) sobre a coleta de dados do Microsoft Sentinel. |
| Permissões de leitura em qualquer outro espaço de trabalho habilitado para o Microsoft Sentinel no lago de dados | Use uma das seguintes funções internas no RBAC do Azure para permissões nesse espaço de trabalho: - Leitor do Log Analytics - Colaborador do Log Analytics - Colaborador do Microsoft Sentinel - Microsoft Sentinel Reader - Leitor - Colaborador - Proprietário |
Permissões de gravação do data lake do Microsoft Sentinel
As funções do Microsoft Entra ID oferecem amplo acesso em todos os espaços de trabalho do data lake. Use as seguintes funções para conceder acesso de gravação às tabelas do data lake do Microsoft Sentinel:
| Tipo de permissão | Funções compatíveis |
|---|---|
| Gravar dados em tabelas na camada de analytics usando trabalhos do KQL ou notebooks | Use uma das seguintes funções do Microsoft Entra ID: - Operador de segurança - Administrador de segurança - Administrador global |
| Gravar em tabelas no data lake do Microsoft Sentinel | Use uma das seguintes funções do Microsoft Entra ID: - Operador de segurança - Administrador de segurança - Administrador global |
Alternativamente, talvez você queira conceder a um espaço de trabalho específico a permissão para gravar dados de saída. Isso pode incluir a capacidade de configurar conectores para esse workspace, modificar as configurações de retenção para tabelas no workspace ou criar, atualizar e excluir tabelas personalizadas nesse workspace. Nesses casos, use um destes procedimentos:
| Tarefas | Permissões |
|---|---|
| Atualizar tabelas do sistema no data lake | Use uma função RBAC unificada do Microsoft Defender XDR personalizada com permissões de dados (gerenciar) na coleção de dados do Microsoft Sentinel. |
| Para qualquer outro workspace do Microsoft Sentinel no data lake | Use qualquer função interna ou personalizada que inclua as seguintes permissões de insights operacionais da Microsoft do RBAC do Azure nesse workspace: - Microsoft.OperationalInsights/Workspaces/write - Microsoft.OperationalInsights/Workspaces/Tables/Write - Microsoft.OperationalInsights/Workspaces/Tables/Delete Por exemplo, funções internas que incluem estas permissões: Colaborador do Log Analytics, Proprietário e Colaborador. |
Gerenciar trabalhos no data lake do Microsoft Sentinel
Para criar trabalhos agendados ou gerenciar trabalhos no data lake do Microsoft Sentinel, você deve ter uma das seguintes funções do Microsoft Entra ID:
Funções personalizadas e RBAC avançado
Para restringir o acesso a dados específicos, mas não a todo o espaço de trabalho, use o RBAC de contexto de recurso ou o RBAC de nível de tabela. Isso é útil para equipes que precisam de acesso apenas a determinados tipos de dados ou tabelas.
Caso contrário, use uma das opções a seguir para RBAC avançado:
- Para acesso ao SIEM do Microsoft Sentinel, use funções personalizadas do Azure.
- Para o data lake do Microsoft Sentinel, use as funções RBAC personalizadas unificadas do Defender XDR.
Conteúdo relacionado
Para obter mais informações, consulte Gerenciar dados de log e workspaces no Azure Monitor