Desenvolver uma solução SIEM para Microsoft Sentinel

As soluções Microsoft Sentinel permitem que fornecedores de software independentes (ISVs) e parceiros agrupem um conector de dados com conteúdos de segurança relacionados, como cadernos de exercícios, regras analíticas, consultas de caça, playbooks e parsers num único pacote instalável. Os clientes podem então descobrir e implementar estas soluções a partir do Microsoft Sentinel Content Hub e do Azure Marketplace.

Learn

Antes de começar a construir, complete os seguintes passos:

• Saiba mais sobre o Microsoft Sentinel. Compreenda como funciona o Microsoft Sentinel, o que é uma solução e como os clientes descobrem e instalam soluções a partir do hub de conteúdos. Veja O que é o Microsoft Sentinel? e navegue pelo catálogo de soluções.

• Identifica o que construir. Decida que tipo de conector pretende usar e que tipos de conteúdo SIEM pretende incluir na sua solução. Os tipos de conteúdo SIEM incluem cadernos de exercícios, regras analíticas, consultas de caça, playbooks e analisadores. Consulte Construir um conector de dados para orientações sobre tipos de conectores.

• Revê a documentação. Consulte as diretrizes gerais de contribuição para Microsoft Sentinel e a wiki Microsoft Sentinel GitHub.

• Torne-se um Parceiro Cloud e crie uma conta de editor. As soluções são publicadas através do Centro de Parceiros Microsoft. Precisas de uma conta de editor antes de poderes submeter a tua solução ao Azure Marketplace. Para obter mais informações, veja Criar uma conta do marketplace comercial no Centro de Parceiros.

Build

Na fase de construção, configuras o teu ambiente de desenvolvimento e depois crias o teu conector e o conteúdo da solução.

Prepare o seu ambiente

Antes de construir, configure o seu ambiente de desenvolvimento para poder criar, testar e submeter conteúdo da solução.

Fazer um fork e clonar o repositório

Para fazer um fork e clonar o repositório Azure-Sentinel, siga estes passos:

1. No GitHub, vai ao repositórioAzure-Sentinel e seleciona Fork.

2. Clone o seu fork para a sua máquina local:

   git clone https://github.com/<your-github-username>/Azure-Sentinel.git
   cd Azure-Sentinel
   

3. Adiciona o remoto upstream para poderes ir buscar as alterações mais recentes:

   git remote add upstream https://github.com/Azure/Azure-Sentinel.git
   

Configura um espaço de trabalho de desenvolvimento/teste

Precisa de um espaço de trabalho Microsoft Sentinel funcional para desenvolver e validar o seu conector e conteúdo antes de submeter. Veja Onboard Microsoft Sentinel.

Depois de o seu espaço de trabalho ser provisionado, atribua as seguintes permissões:

• Microsoft Sentinel Contributor no espaço de trabalho para implementar e gerir recursos
• Log Analytics Contributor no espaço de trabalho para criar e gerir tabelas personalizadas e regras de recolha de dados (DCRs)
• Contribuidor no grupo de recursos para implementar modelos ARM durante os testes

Aderir ao portal do Defender

Integre o seu espaço de trabalho no portal Defender para validar a instalação da sua solução, garantir uma ingestão fluida na Plataforma Unificada de Operações de Segurança e testar de ponta a ponta antes de publicar. Para obter mais informações, consulte Microsoft Sentinel no portal do Microsoft Defender.

Crie uma solução

Uma solução Microsoft Sentinel é uma pasta com ficheiros de conector e conteúdo que a ferramenta de empacotamento reúne num pacote implantável. Cria a estrutura de pastas, adiciona os ficheiros de embalagem e depois constrói cada tipo de conteúdo.

Crie a estrutura de pastas da sua solução no GitHub

Para configurar a estrutura de pastas da sua solução, siga estes passos:

1. Cria uma nova ramificação na tua fork e muda para ela. Use um nome descritivo como add-<YourSolutionName>-solution:

   git checkout -b add-<YourSolutionName>-solution
   

2. Crie uma pasta com o nome da sua solução em :Solutions/

   Solutions/<YourSolutionName>/
   ├── Data/
   │   └── Solution_<YourSolutionName>.json
   ├── SolutionMetadata.json
   ├── ReleaseNotes.md
   ├── Data Connectors/
   ├── Workbooks/
   ├── Analytic Rules/
   ├── Hunting Queries/
   ├── Playbooks/
   └── Parsers/
   

   Ficheiro / Pasta	Obrigatório	Conteúdos
   Data/Solution_<YourSolutionName>.json	Obrigatório	Manifesto da solução que lista todos os ficheiros de conteúdo da solução e gere a ferramenta de criação de pacotes
   SolutionMetadata.json	Obrigatório	Metadados do Publisher e do marketplace: ID do publisher, ID da oferta, categorias e informações de suporte
   ReleaseNotes.md	Obrigatório	Tabela de histórico de alterações versionada, obrigatória para cada submissão de pacotes
   Data Connectors/	Opcional	Ficheiros JSON de conectores, ou código Funções do Azure para conectores baseados em funções
   Workbooks/	Opcional	Ficheiros JSON do caderno de exercícios e capturas de ecrã de pré-visualização a preto e branco
   Analytic Rules/	Opcional	Modelos de regras analíticas YAML
   Hunting Queries/	Opcional	Modelos YAML de consultas de pesquisa
   Playbooks/	Opcional	Ficheiros JSON Playbook e definições personalizadas de conectores do Azure Logic Apps
   Parsers/	Opcional	Definições de função e de analisador do Kusto em YAML

   As subpastas de conteúdo são opcionais. Cria apenas as pastas que se aplicam à tua solução. Não é obrigado a incluir todos os tipos de conteúdo, mas cumprir os requisitos mínimos de conteúdo melhora a sua pontuação de qualidade.

   Para um exemplo de uma estrutura completa de pastas, abra a pasta Solutions/ no repositório e explore algumas das soluções existentes.

Criar os ficheiros de empacotamento da solução

Data/Solution_<YourSolutionName>.json

Este ficheiro controla a ferramenta de empacotamento do V3. Lista todos os ficheiros de conteúdo da sua solução e controla como são organizados em mainTemplate.json. Cada tipo de conteúdo é um array. Adiciona uma entrada por ficheiro para cada conteúdo que tiveres. Para mais informações sobre a ferramenta de embalagem, consulte Embalar a sua solução.

No exemplo seguinte, a solução tem duas regras analíticas, pelo que o "Analytic Rules" array tem duas entradas. Se, por exemplo, não estiveres a criar quaisquer playbooks, remove completamente a chave "Playbooks" do ficheiro.

{
  "Name": "Contoso MyProduct",
  "Author": "Contoso - support@contoso.com",
  "Logo": "<img src=\"https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Logos/contoso.svg\" width=\"75px\" height=\"75px\">",
  "Description": "The Contoso MyProduct solution for Microsoft Sentinel enables you to ingest MyProduct logs into Microsoft Sentinel.",
  "BasePath": "C:/GitHub/Azure-Sentinel/Solutions/Contoso MyProduct",
  "Version": "1.0.0",
  "Metadata": "SolutionMetadata.json",
  "TemplateSpec": true,
  "Data Connectors": [
    "Data Connectors/ContosoMyProduct.json"
  ],
  "Workbooks": [
    "Workbooks/ContosoMyProductWorkbook.json"
  ],
  "Analytic Rules": [
    "Analytic Rules/ContosoMyProductSuspiciousLogin.yaml",
    "Analytic Rules/ContosoMyProductDataExfiltration.yaml"
  ],
  "Hunting Queries": [
    "Hunting Queries/ContosoMyProductThreatHunt.yaml"
  ],
  "Parsers": [
    "Parsers/ContosoMyProduct.yaml"
  ],
  "Playbooks": [
    "Playbooks/ContosoMyProduct-EnrichIncident/azuredeploy.json"
  ]
}

SolutionMetadata.json

Este ficheiro contém os metadados do marketplace e do editor usados durante a certificação do Partner Center.

{
  "publisherId": "contoso",
  "offerId": "contoso-myproduct-sentinel",
  "firstPublishDate": "2026-06-15",
  "lastPublishDate": "2026-06-15",
  "providers": [
    "Contoso"
  ],
  "categories": {
    "domains": [
      "Security - Threat Intelligence"
    ]
  },
  "support": {
    "name": "Contoso",
    "email": "support@contoso.com",
    "tier": "Partner",
    "link": "https://support.contoso.com"
  }
}

publisherId e offerId provêm da sua oferta no Partner Center. support.tier deve ser "Partner" para soluções ISV. Para valores válidos categories.domains , consulte o catálogo de soluções.

ReleaseNotes.md

O ReleaseNotes.md ficheiro regista o histórico de alterações da sua solução. Este ficheiro é validado durante as verificações de PR. Entradas em falta ou mal formadas causam rejeição de relações públicas.

A tabela deve ter exatamente três colunas com estes nomes de cabeçalho exatos (incluindo os marcadores a negrito):

| **Version** | **Date Modified (DD-MM-YYYY)** | **Change History** |
|---|---|---|
| 1.0.1 | 12-06-2026 | Updated analytic rule query to fix false positives. |
| 1.0.0 | 01-06-2026 | Initial solution release. |

Regras de validação

• Formato da versão: X.Y.Z Não inclua prefixo v . São obrigatórias as três partes.
• As versões estão listadas por ordem decrescente, com a mais recente na linha em primeiro lugar
• Formato de data: DD-MM-YYYY com hífens (não YYYY-MM-DD)
• Os cabeçalhos das colunas devem corresponder exatamente, incluindo os **bold** marcadores
• A célula do Histórico de Alterações não pode estar vazia
• Adicione uma nova linha para cada aumento de versão, incluindo correções de erros tipográficos

A versão em ReleaseNotes.md deve corresponder à versão em SolutionMetadata.json, Data/Solution_*.json, e ao nome do ficheiro zip do Pacote.

Adicione o seu logótipo

Coloque o seu logótipo na raiz Logos/<YourProductName>.svg do repositório. Faça referência ao mesmo em Data/Solution_<YourSolutionName>.json utilizando uma tag HTML <img> que aponte para a URL bruta do GitHub:

"Logo": "<img src=\"https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Logos/YourProductName.svg\" width=\"75px\" height=\"75px\">"

O ficheiro SVG deve cumprir os seguintes requisitos:

Um logótipo limpo usa apenas fill atributos e stroke diretamente sobre elementos de caminho, sem id atributos a não ser que faça referência a um <defs> elemento. Para um exemplo mínimo válido, veja Logos/XBOW.svg.

Construir um conector de dados

Se estiver a construir um conector usando o fluxo de trabalho do agente de IA, veja Criar conectores personalizados usando agente de IA no Microsoft Sentinel em vez de seguir os passos abaixo.

Escolha o tipo de ligação

O Microsoft Sentinel suporta vários tipos de conectores, muitos dos quais utilizam o Codeless Connector Framework (CCF). Escolha aquele que melhor se adequa à sua fonte de dados e à experiência do cliente desejado.

Criar a definição do conector

Os passos detalhados de construção são específicos para cada tipo de conector. Os passos detalhados de construção são específicos para cada tipo de conector. Siga as orientações para o tipo escolhido na tabela de tipos de conectores. .

Use as seguintes soluções no repositório Azure-Sentinel como referências para cada tipo de conector.

Quando o JSON do seu conector estiver completo, coloque-o na Data Connectors/ subpasta da sua pasta de soluções e nomeie-o ProviderNameApplianceName.json (sem espaços).

Teste o seu conector

Constrói o teu conteúdo

Para além do conector de dados, enriqueça a sua solução com conteúdo SIEM que ajude os clientes a obter valor imediato dos seus dados. Conteúdos SIEM adicionais incluem:

• Livros
• Regras analíticas
• Consultas de pesquisa
• Playbooks
• Analisadores

Este conteúdo é opcional, mas recomendado. Para requisitos mínimos e pontuação de qualidade, consulte as diretrizes de qualidade da solução Microsoft Sentinel.

Criar cadernos de exercícios

Os cadernos de trabalho são painéis e visualizações que ajudam os clientes a compreender os seus dados. Para criar um livro de exercícios, consulte Criar cadernos de exercícios para Microsoft Sentinel.

Consulte os seguintes exemplos de referência no repositório Azure-Sentinel para orientações sobre o design e o layout do caderno de exercícios:

• Microsoft Entra ID - AzureActiveDirectorySignins.json
• XBOW - XBOW.json
• PaloAlto-PAN-OS - PaloAltoOverview.json

Criar regras analíticas

As regras analíticas são modelos que detetam ameaças nos seus dados. Cada regra é um ficheiro YAML. Para criar uma regra analítica, veja Criar regras analíticas para Microsoft Sentinel.

Consulte os seguintes exemplos de referência no repositório Azure-Sentinel para orientações sobre o desenho e disposição de regras analíticas:

• Microsoft Entra ID - FailedLogonToAzurePortal.yaml
• Falcão CrowdStrike - CriticalOrHighSeverityDetectionsByUser.yaml
• XBOW - XbowCriticalHighFindings.yaml

Criar consultas de caça

As consultas de caça são modelos que ajudam os clientes a procurar proativamente ameaças nos seus dados. Aparecem na lâmina de caça para os analistas executarem manualmente. Partilham a mesma estrutura YAML que as regras analíticas, mas não são automatizadas; Campos de execução agendada não se aplicam e causam falha na revisão se incluídos. Para criar uma consulta de caça, veja Criar consultas de caça para Microsoft Sentinel.

Consulte os seguintes exemplos de referência no repositório Azure-Sentinel para orientações sobre o design e layout de consultas de caça:

• Okta Single Sign-On - AdminPrivilegeGrant.yaml
• PaloAlto-PAN-OS - Palo Alto - potencial beaconing detetado.yaml
• Azure Firewall - Azure Firewall - Primeira vez IP de origem para o destino usando a porta.yaml

Crie manuais de jogadas

Os playbooks são fluxos de trabalho automatizados de resposta que ajudam os clientes a responder a ameaças aos seus dados. Cada manual de procedimentos é um fluxo de trabalho do Azure Logic Apps exportado como um modelo ARM. Os dois ficheiros obrigatórios são azuredeploy.json e readme.md, colocados em Solutions/<YourSolutionName>/Playbooks/<PlaybookName>/. Para criar um playbook, consulte Criar playbooks para Microsoft Sentinel.

Consulte os seguintes exemplos de referência no repositório de Azure-Sentinel para orientações sobre o design e o layout do playbook:

• Microsoft Entra ID - Block-AADUser (incidente + alerta + ativação de entidade)
• CrowdStrike Falcon - CrowdStrike_Base (Key Vault + padrão base do playbook)
• Okta Single Sign-On - OktaCustomConnector (modelo ARM de conector personalizado)

Criar analisadores

Um parser é uma função Kusto guardada no seu espaço de trabalho Log Analytics que se coloca em frente a dados brutos de log e os normaliza em campos limpos e consultáveis. Em vez de escrever lógica de extração de campos em cada consulta, os clientes chamam o alias do parser uma vez e obtêm resultados estruturados. Os analisadores são definidos como ficheiros YAML e implementados automaticamente quando um cliente instala a sua solução. Para criar um parser, veja Criar analisadores para Microsoft Sentinel.

Consulte os seguintes exemplos de referência no repositório Azure-Sentinel para orientações sobre design e layout de parser:

• Cloudflare CCF - Cloudflare.yaml
• CrowdStrike Falcon - CrowdStrikeReplicatorV2.yaml

Testa o teu pacote

Os testes seguem o pacote → implementação → ativar → ciclo de validação . O ciclo é o mesmo independentemente da quantidade de conteúdo que tenhas construído. A ferramenta de empacotamento V3 converte os seus ficheiros de solução num template ARM deployable (mainTemplate.json). Implemente o modelo num espaço de trabalho de desenvolvimento do Microsoft Sentinel, ative cada tipo de conteúdo e confirme que funciona antes de submeter uma PR.

Repete este ciclo à medida que vais construindo. Não precisas de terminar todos os tipos de conteúdo antes de começares a testar. Empacota e distribui à medida que completas cada tipo de conteúdo, verifica se funciona, depois adiciona mais conteúdo e reembala.

Se a sua solução incluir um conector de dados, teste primeiro o conector antes de construir conteúdos dependentes como regras analíticas e livros de exercícios. Todo o conteúdo SIEM depende de os dados fluírem para as tabelas certas com o esquema correto. Se o conector não estiver a funcionar ou o esquema não corresponder ao que as tuas regras esperam, terás de refazer o conteúdo dependente. Certifica-te primeiro de que os dados estão a fluir para poupar tempo.

Empacota a tua solução

Depois de desenvolver e testar os componentes da sua solução Microsoft Sentinel, a embalagem é o próximo passo crítico no ciclo de vida da solução. A ferramenta de empacotamento consolida todo o conteúdo da sua solução — conectores de dados, analisadores, livros, regras analíticas, consultas de pesquisa, conectores personalizados do Azure Logic Apps e playbooks — num formato padronizado para implementação. Para mais informações, consulte Pacote de solução SIEM para Microsoft Sentinel.

Ir ao mercado

Quando seleciona Go live, a solução passa por uma verificação final de certificação antes de se tornar publicamente disponível. Após a certificação, a solução é apresentada no hub de conteúdo do Microsoft Sentinel e fica visível no espaço de trabalho do Sentinel de cada cliente, em Content hub. Também é possível descobrir no Azure Marketplace. A solução está agora disponível para todos os clientes da Microsoft Sentinel. Para mais informações, consulte Publicar soluções SIEM para Microsoft Sentinel.

A partir deste ponto, qualquer atualização da solução, como alterações de conteúdo, correções de bugs e aumentos de versão, requer um novo PR no GitHub, uma nova versão do pacote e uma nova submissão ao Partner Center com o zip atualizado. Para acompanhar o estado pós-publicação e questões de suporte, consulte Acompanhar a sua solução após a publicação no Centro de Parceiros.

Conteúdo relacionado

• Empacotar uma solução SIEM para Microsoft Sentinel.
• Criar um conector sem código para Microsoft Sentinel
• catálogo de soluções de Microsoft Sentinel
• Diretrizes gerais de contribuição para o Microsoft Sentinel