Use uma Regra de Recolha de Dados personalizada para a ingestão do Defender for Servers

Pode usar uma Regra de Recolha de Dados (DCR) personalizada para controlar quais os eventos de Segurança do Windows que são enviados para o Log Analytics for Defender for Servers. Esta abordagem pode ajudar a reduzir o volume de ingestão ao filtrar eventos que não precisa.

Com um DCR personalizado, pode fazer o seguinte:

• Filtrar eventos de segurança de alto volume
• Recolha um subconjunto específico de eventos de Segurança do Windows
• Aplicar transformações antes da ingestão

Pré-requisitos

Antes de criar um DCR personalizado, certifique-se de que tem:

• Azure Monitor Agent (AMA) instalado nas máquinas que enviam dados para a Log Analytics.

• Um espaço de trabalho de Log Analytics na mesma região do DCR.

Criar um DCR

Para criar um DCR personalizado no portal Azure, siga estes passos:

1. Inicie sessão no portal Azure.

2. Aceda a Monitor>> e, em seguida, selecione + Criar.

3. Introduza um nome e uma subscrição.

4. Escolha ou crie um grupo de recursos.

5. Selecione a região. A região deve corresponder à região dos espaços de trabalho do Log Analytics para os quais envia.

6. Em Tipo de Plataforma, selecione Windows para recolher eventos de Segurança do Windows para o benefício de ingestão SecurityEvent.

7. Escolhe Linux ou All se também precisares desses logs.

8. Em Data Collection Endpoint, não deixe <nenhum> , a menos que esteja a usar um Data Collection Endpoint para Private Link ou outra configuração avançada de rede.

9. Selecionar Próximo: Recursos >.

10. Selecione + Adicionar recursos e escolha os recursos relevantes.

11. Se o seu ambiente exigir um Data Collection Endpoint, por exemplo, ao usar Private Link, selecione + Criar endpoint. Crie o endpoint na mesma região do DCR.

12. Selecionar Próximo: Recolher e entregar >.

13. Selecionar + Adicionar fonte de dados.

14. Para o tipo de fonte de dados, selecione Registos de Eventos do Windows e escolha Básico ou Personalizado:

    • Básico:

      • Em Segurança, selecione Sucesso de Auditoria ou Falha de Auditoria para enviar eventos de Segurança do Windows para a SecurityEvent tabela.
      • Se necessário, selecione registos de eventos de Aplicação ou Sistema para recolher mais eventos. Estes eventos são enviados para a tabela Event e são cobrados como ingestão regular. O benefício de ingestão do Defender for Servers não se aplica aos mesmos.

    • Personalizado:

      • Em Usar consultas XPath para filtrar registos de eventos e limitar a recolha de dados, introduza uma consulta XPath. Por exemplo, Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]]

    

15. Selecione Adicionar.

16. Selecione Próximo: Destino >.

17. Selecionar + Adicionar destino.

    

18. Para o tipo de destino, escolha Azure Monitor Logs.

19. Selecione pelo menos um espaço de trabalho de Log Analytics na mesma região do DCR.

20. Selecione Guardar.

21. Selecione Próximo: Etiquetas > e adicione quaisquer etiquetas que precise para organização de recursos ou gestão de custos.

22. Selecione Seguinte : Rever e criar >.

23. Selecione Criar para implementar o DCR.

Verificar a ingestão de dados

Depois de implantares o DCR, espera alguns minutos até que os dados comecem a fluir.

Execute a seguinte consulta KQL no espaço de trabalho de Log Analytics:

SecurityEvent
| take 10

Exemplo de fragmento JSON

O exemplo seguinte mostra uma configuração DCR que recolhe eventos selecionados de Segurança do Windows:

{
  "dataSources": {
    "windowsEventLogs": [
      {
        "name": "SecurityEvents",
        "streams": ["Microsoft-SecurityEvent"],
        "xPathQueries": [
          "Security!*[System[(EventID=4624 or EventID=4625 or EventID=4688)]]"
        ]
      }
    ]
  },
  "destinations": {
    "logAnalytics": [
      { "workspaceId": "<workspace-id>" }
    ]
  }
}

Implementar usando Azure Policy

Se gerir muitas subscrições, use o Azure Policy para criar e atribuir DCRs em grande escala. A iniciativa de política Deploy AMA DCR para a recolha de eventos de segurança aplica regras de recolha de eventos de segurança ao seu ambiente.

Passo seguinte