Utilizar a API de transmissão em fluxo com Microsoft Defender para Empresas

Se sua organização possui um Centro de Operações de Segurança (SOC), você pode usar a API de streaming do Microsoft Defender para Ponto de Extremidade com o Defender para Empresas e o Microsoft 365 Business Premium. A API de streaming Microsoft Defender para Ponto de Extremidade permite transmitir dados, como arquivo de dispositivo, registro, rede, eventos de entrada e muito mais para um dos seguintes serviços:

• Microsoft Sentinel: uma solução dimensionável nativa da cloud que fornece informações de segurança e gestão de eventos (SIEM) e capacidades de orquestração, automatização e resposta de segurança (SOAR).
• Hubs de Eventos do Azure: uma plataforma moderna de transmissão em fluxo de macrodados e um serviço de ingestão de eventos que pode ser totalmente integrado com outros serviços Azure e Microsoft. Por exemplo, Azure Stream Analytics, Power BI e Grade de Eventos do Azure, junto com serviços externos como Apache Spark.
• armazenamento Azure: a solução de armazenamento na cloud da Microsoft para cenários de armazenamento de dados modernos, com armazenamento altamente disponível, extremamente dimensionável, durável e seguro para uma variedade de objetos de dados na cloud.

Ao usar a API de streaming do Defender for Endpoint, você pode usar a busca avançada e a detecção de ataques com o Defender para Empresas e o Microsoft 365 Business Premium. A API de transmissão em fluxo permite que os centros de operações de segurança vejam mais dados sobre dispositivos, compreendam melhor como ocorreu um ataque e tomem medidas para melhorar a segurança do dispositivo.

Use a API de streaming com Microsoft Sentinel

Para transmitir Defender para Empresas dados para Microsoft Sentinel, conclua as etapas a seguir.

1. Certifique-se de implantar e configurar o Defender para Empresas, e de integrar os dispositivos. Veja Configurar Microsoft Defender para Empresas.

2. Crie uma área de trabalho do Log Analytics para utilizar com Microsoft Sentinel. Veja Criar uma área de trabalho do Log Analytics.

3. Integrar-se ao Microsoft Sentinel. Veja Início Rápido: Integrar Microsoft Sentinel.

4. Habilite o conector do Microsoft Defender. Veja Conectar dados do Microsoft Defender ao Microsoft Sentinel.

Use a API de streaming com o Event Hubs

Para usar o Hubs de Eventos do Azure, você precisa de uma assinatura do Azure. Antes de começar, certifique-se de criar um hub de eventos em sua organização. Em seguida, entre no portal do Azure, acesse Assinaturas>Sua assinatura>Provedores de Recursos>Registrar Microsoft.insights.

Para configurar o streaming para Hubs de Eventos do Azure, conclua as etapas a seguir.

1. Aceda ao portal Microsoft Defender e inicie sessão.

2. Aceda à página Definições de exportação de dados.

3. Selecione Adicionar definições de exportação de dados.

4. Escolha um nome para as suas novas definições.

5. Selecione Reencaminhar eventos para Hubs de Eventos do Azure.

6. Insira o nome do seu Event Hubs e o seu ID do Event Hubs.

   Observação

   Se você deixar o campo de nome do Event Hub vazio, o sistema cria um hub de eventos para cada categoria no namespace selecionado. Se você não usar um Dedicated Event Hubs Cluster, que é uma implantação de locatário único com capacidade dedicada, lembre-se de que há um limite de 10 namespaces de Hubs de Eventos.

   Para obter seu ID do Event Hubs, acesse a página do namespace do seu Event Hubs no portal do Azure. No separador Propriedades , copie o texto em ID.

7. Selecione os eventos que pretende transmitir em fluxo e, em seguida, selecione Guardar.

Exibir o esquema de eventos no Hubs de Eventos do Azure

O exemplo JSON a seguir mostra o formato de cada mensagem do hub de eventos que o Event Hubs recebe quando o encaminhamento de eventos é ativado. Cada mensagem contém uma records matriz com uma ou mais entradas de evento:

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the organization that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}

Cada mensagem do hub de eventos no Hubs de Eventos do Azure contém uma lista de registos. Cada registro contém o nome do evento, o horário em que o Defender para Empresas recebeu o evento, a organização à qual ele pertence (você recebe eventos apenas da sua organização) e o evento em formato JSON em uma propriedade chamada properties. Para obter mais informações sobre o esquema de eventos de Busca Avançada transmitidos para Hubs de Eventos do Azure, consulte Proativamente procurar ameaças com busca avançada em Microsoft Defender.

Use a API de streaming com o Armazenamento do Azure

Para configurar o streaming para Armazenamento do Azure, conclua as etapas a seguir.

Ativar o streaming de dados brutos

O streaming de dados brutos encaminha dados de eventos de segurança de Defender para Empresas diretamente para sua conta de Armazenamento do Azure, em que você pode retê-los e analisá-los. Para habilitar o streaming de dados brutos para Armazenamento do Azure, conclua as etapas a seguir.

1. Aceda ao portal Microsoft Defender e inicie sessão.

2. Aceda à página Definições de exportação de dados no Microsoft Defender XDR.

3. Selecione Adicionar definições de exportação de dados.

4. Escolha um nome para as suas novas definições.

5. Selecione Encaminhar eventos para o Armazenamento do Azure.

6. Digite o ID do recurso da conta de armazenamento. Para obter o ID do recurso da conta de armazenamento, acesse a página da sua conta de Armazenamento no portal do Azure. Em seguida, no separador Propriedades , copie o texto em ID do recurso da conta de armazenamento.

7. Selecione os eventos que pretende transmitir em fluxo e, em seguida, selecione Guardar.

Exibir o esquema de eventos no Armazenamento do Azure

É criado um contentor de blobs para cada tipo de evento. O exemplo JSON a seguir mostra o esquema de uma única linha de evento gravada em Armazenamento do Azure. Cada linha inclui o carimbo de data/hora do evento, o identificador do locatário, a categoria de Busca Avançada e os dados do evento no formato JSON:

{
  "time": "<The time WDATP received the event>"
  "tenantId": "<Your tenant ID>"
  "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
  "properties": { <WDATP Advanced Hunting event as Json> }
}

Cada blob contém várias linhas. Cada linha contém o nome do evento, a hora em que Defender para Empresas recebido o evento, a organização à qual o evento pertence (você obtém eventos somente da sua organização) e o evento nas propriedades de formato JSON. Para obter mais informações sobre os dados avançados de eventos de busca transmitidos para Armazenamento do Azure, consulte Proativamente procurar ameaças com busca avançada em Microsoft Defender.

Conteúdo relacionado

• API de Streaming de Dados Brutos no Defender para Endpoint
• Visão geral do gerenciamento e APIs