Diferenças no esquema de alerta: Conector standalone vs. Microsoft Defender XDR

Este artigo explica as diferenças entre alertas ingeridos através de conectores autónomos e alertas ingeridos através do conector Microsoft Defender XDR no Microsoft Sentinel.

Os conectores autónomos ingerem alertas diretamente dos produtos de segurança originais, enquanto o conector Microsoft Defender XDR recebe alertas através do pipeline Microsoft Defender XDR. Isto inclui conectores como Microsoft Defender para Office 365, Microsoft Defender para Endpoint, Microsoft Defender para Identidade, Information Risk Management (IRM), Data Loss Prevention (DLP), Microsoft Defender para a Cloud (MDC) e Microsoft Defender for Cloud Apps (MDA).

Estas diferenças podem afetar mapeamentos de campos, comportamento derivado dos campos, estrutura do esquema, ingestão de alertas e comportamento dos conectores, o que pode afetar as suas consultas existentes, regras analíticas, livros de exercícios e automação. Revise estas diferenças antes de migrar para o conector XDR ou integrar o Microsoft Sentinel no portal Defender com o Microsoft Defender XDR.

Para obter o esquema de alerta completo, veja Referência do esquema de alertas de segurança.

Comportamento do conector autónomo após a integração no portal Defender

Depois de integrar o Microsoft Sentinel no portal Defender com o Microsoft Defender XDR, os alertas dos produtos de segurança da Microsoft são encaminhados através do conector Microsoft Defender XDR em vez da Microsoft autónoma conectores de alerta de produto de segurança.

Num ambiente de espaço de trabalho único, os alertas dos produtos de segurança da Microsoft continuam disponíveis no Microsoft Sentinel, mas são recebidos através do conector Microsoft Defender XDR. Esta alteração pode afetar campos relacionados com a fonte, mapeamentos de campos, comportamento de esquemas, consultas, regras analíticas, livros de exercícios e automação.

Num ambiente multi-espaço de trabalho, o conector Microsoft Defender XDR está ligado apenas ao espaço de trabalho principal. Para evitar alertas duplicados baseados em inquilinos em espaços de trabalho, conectores de dados independentes para Microsoft Defender para Office 365, Microsoft Entra ID Protection, Microsoft Defender for Cloud Apps, Microsoft Defender para Endpoint e Microsoft Defender para Identidade são automaticamente desligados nos espaços de trabalho secundários durante a integração.

Como resultado, os alertas baseados em inquilinos destes produtos de segurança da Microsoft estão disponíveis apenas no espaço de trabalho principal. Quaisquer consultas, regras analíticas, livros de exercícios, regras de automação ou integrações que dependam de alertas de conectores de produtos de segurança Microsoft independentes em espaços de trabalho secundários deixam de funcionar como esperado após a integração.

Os conectores de dados que não são da Microsoft não são afetados por este comportamento.

Para obter mais informações, veja Várias áreas de trabalho Microsoft Sentinel no portal do Defender.

Comportamento de CompromisedEntity

O campo CompromisedEntity é tratado de forma diferente em todos os produtos quando os alertas são ingeridos através do conector XDR.

Nos alertas de MDI, o CompromisedEntity não representa um anfitrião ou utilizador e é sempre a cadeia "CompromisedEntity"literal .

Alterações ao mapeamento de campos

Alguns campos são renomeados ou utilizam conjuntos de valores diferentes em alertas do conector XDR.

Transformações estruturais de esquemas (MDI)

Por vezes, o conector de Microsoft Defender para Identidade autónomo (MDI) utilizava entidades de marcador de posição para armazenar informações adicionais. No conector XDR, estas informações são dobradas em propriedades na resourceAccessEvents coleção.

ResourceAccessInfo.ComputerId já não é necessário porque é idêntico à entidade Host onde o ResourceAccessInfo está definido.

Filtragem de ingestão de alertas

Alguns alertas disponíveis através de conectores autónomos não são ingeridos através do conector XDR.

Comportamento de âmbito (Microsoft Defender para a Cloud)

Microsoft Defender para alertas da Cloud utilizam âmbitos diferentes quando ingeridos através do conector XDR.

Passos seguintes

• Criar e gerir regras analíticas
• Utilizar livros no Microsoft Sentinel