Transmitir alertas para soluções de monitoramento

O Microsoft Defender para a Cloud pode transmitir alertas de segurança para várias soluções de Gestão de Informação e Eventos de Segurança (SIEM), Resposta Automatizada de Orquestração de Segurança (SOAR) e Gestão de Serviços de TI (ITSM). Os alertas de segurança são gerados quando são detetadas ameaças nos seus recursos. O Defender para a Cloud prioriza e lista os alertas na página de Alertas, juntamente com a informação necessária para investigar rapidamente o problema. Etapas detalhadas são fornecidas para ajudá-lo a remediar a ameaça detetada. Todos os dados de alertas são retidos por 90 dias.

Ferramentas integradas no Azure estão disponíveis para garantir que pode visualizar os seus dados de alerta nas seguintes soluções:

• Microsoft Sentinel
• Splunk Enterprise e Splunk Cloud
• Power BI
• ServiceNow
• IBM QRadar
• Palo Alto Networks
• ArcSight
• Dynatrace

Transmitir alertas para o Defender XDR com a API do Defender XDR

O Defender para a Cloud integra-se nativamente com o Microsoft Defender XDR para permitir que utilize a API de incidentes e alertas do Defender XDR para transmitir alertas e incidentes para soluções não Microsoft. Os clientes do Defender para a Cloud podem acessar uma API para todos os produtos de segurança da Microsoft e podem usar essa integração como uma maneira mais fácil de exportar alertas e incidentes.

Saiba como integrar as ferramentas SIEM com o Defender XDR.

Transmitir alertas para o Microsoft Sentinel

O Defender para a Cloud integra-se nativamente com o Microsoft Sentinel, a solução cloud native SIEM e SOAR do Azure.

Conectores do Microsoft Sentinel para o Defender para a Cloud

O Microsoft Sentinel inclui conectores internos para o Microsoft Defender para a Cloud nos níveis de assinatura e locatário.

É possível:

• Transmita alertas para o Microsoft Sentinel no nível da assinatura.
• Ligue todas as subscrições do seu inquilino ao Microsoft Sentinel.

Quando você conecta o Defender para a Cloud ao Microsoft Sentinel, o status dos alertas do Defender para a Cloud que são ingeridos no Microsoft Sentinel é sincronizado entre os dois serviços. Por exemplo, quando um alerta é fechado no Defender para a Cloud, esse alerta também é mostrado como fechado no Microsoft Sentinel. Quando você altera o status de um alerta no Defender para a Cloud, o status do alerta no Microsoft Sentinel também é atualizado. No entanto, os status de quaisquer incidentes do Microsoft Sentinel que contenham o alerta sincronizado do Microsoft Sentinel não são atualizados.

Você pode habilitar o recurso de sincronização de alertas bidirecionais para sincronizar automaticamente o status dos alertas originais do Defender para a Cloud com incidentes do Microsoft Sentinel que contêm as cópias dos alertas do Defender para a Cloud. Por exemplo, quando encerra um incidente do Microsoft Sentinel que contém um alerta do Defender para a Cloud, o Defender para a Cloud fecha automaticamente o alerta original correspondente.

Saiba como conectar alertas do Microsoft Defender para a Cloud.

Configurar a ingestão de todos os logs de auditoria no Microsoft Sentinel

Também pode investigar alertas do Defender para a Cloud no Microsoft Sentinel, transmitindo os seus registos de auditoria para o Microsoft Sentinel:

• Conectar eventos de segurança do Windows
• Coletar dados de fontes baseadas em Linux usando o Syslog
• Conectar dados do log de atividades do Azure

Transmitir alertas para QRadar e Splunk

Para exportar alertas de segurança para o Splunk e o QRadar, você precisa usar Hubs de Eventos e um conector integrado. Você pode usar um script do PowerShell ou o portal do Azure para configurar os requisitos de exportação de alertas de segurança para sua assinatura ou locatário. Depois de definir os requisitos, instale o conector na sua plataforma SIEM seguindo os passos QRadar ou Splunk descritos mais adiante neste artigo.

Pré-requisitos

Antes de configurar os serviços do Azure para exportar alertas, certifique-se de que tem:

• Subscrição do Azure (Criar uma conta gratuita)

• Grupo de recursos do Azure (Criar um grupo de recursos)

• Papel do proprietário no âmbito dos alertas (subscrição, grupo de gestão ou inquilino), ou estas permissões específicas:

  • Permissões de escrita para o Event Hubs e a Política do Event Hubs
  • Crie permissões para aplicativos Microsoft Entra, se você não estiver usando um aplicativo Microsoft Entra existente
  • Atribua permissões para políticas, se você estiver usando a Política do Azure 'DeployIfNotExist'

Configurar os serviços do Azure

Configura o teu ambiente Azure para suportar exportação contínua, usando um script PowerShell ou o portal Azure.

Use o script PowerShell (Recomendado)

Para configurar os serviços do Azure usando um script PowerShell, siga estes passos:

1. Descarregue e execute os scripts PowerShell de integração de SIEM de terceiros para o Defender para a Cloud.

2. Insira os parâmetros necessários.

3. Executa o script.

O script executa todas as etapas para você. Quando o script terminar, use a saída para instalar a solução na plataforma SIEM.

Utilizar o portal do Azure

Para criar os recursos necessários no portal Azure, siga estes passos:

1. Inicie sessão no portal Azure.

2. Procure e selecione Centros de Eventos.

3. Crie um espaço de nomes do Event Hubs e um hub de eventos.

4. Defina uma política para o Event Hub com permissões Send.

   • Se estiver a transmitir alertas para o QRadar:

     1. Crie uma política de hub Listen de eventos.
     2. Copie e salve a cadeia de conexão da política para usar no QRadar.
     3. Crie um grupo de consumidores.
     4. Copie e salve o nome para usar na plataforma SIEM.
     5. Habilite a exportação contínua de alertas de segurança para o hub de eventos definido.
     6. Crie uma conta de armazenamento.
     7. Copie e salve a cadeia de conexão na conta para usar no QRadar.

     Para mais informações sobre a configuração do QRadar, veja Preparar recursos do Azure para exportar para Splunk e QRadar.

   • Se estás a transmitir alertas para o Splunk:

     1. Crie uma aplicação Entra.
     2. Salve o locatário, a ID do aplicativo e a senha do aplicativo.
     3. Dê permissões à Aplicação Entra para ler do hub de eventos que criou anteriormente.

     Para mais informações sobre a configuração do Splunk, consulte Preparar recursos do Azure para exportar para Splunk e QRadar.

Conecte o hub de eventos à sua solução preferida usando os conectores integrados

Cada plataforma SIEM tem uma ferramenta que lhe permite receber alertas dos Event Hubs. Instale a ferramenta para que a sua plataforma comece a receber alertas.

Alertas de fluxo com exportação contínua

Para transmitir alertas para ArcSight, SumoLogic, servidores Syslog, LogRhythm, Logz.io Cloud Observability Platform, Dynatrace e outras soluções de monitoramento, conecte o Defender para a Cloud usando exportação contínua e Hubs de Eventos do Azure.

Para transmitir alertas com exportação contínua:

1. Habilite a exportação contínua:

   • No nível de subscrição com exportação contínua.
   • No nível do Grupo de Gerenciamento usando a Política do Azure.

2. Conecte o hub de eventos à sua solução preferida usando os conectores integrados:

   Tool	Hospedado no Azure	Description
   SumoLogic	No	As instruções para configurar o SumoLogic para consumir dados de um hub de eventos estão disponíveis em Coletar Logs para o Aplicativo de Auditoria do Azure dos Hubs de Eventos.
   ArcSight	No	O conector inteligente ArcSight Hubs de Eventos do Azure está disponível como parte da coleção de conectores inteligentes do ArcSight.
   Servidor Syslog	No	Se quiser transmitir dados do Azure Monitor diretamente para um servidor syslog, você pode usar uma solução baseada em uma função do Azure.
   LogRhythm	No	Instruções para configurar o LogRhythm para recolher logs de um hub de eventos estão disponíveis em Six tips para proteger o seu ambiente cloud Azure.
   Logz.io	Yes	Para obter mais informações, consulte Introdução ao monitoramento e registro em log usando o Logz.io para aplicativos Java em execução no Azure
   Dynatrace	No	Para obter instruções sobre como configurar a integração no Dynatrace, leia Ingest Microsoft Defender para a Cloud security events

3. (Opcional) Transmita os logs brutos para o hub de eventos e conecte-se à sua solução preferida. Saiba mais em Monitoramento de dados disponíveis.

Para exibir os esquemas de eventos dos tipos de dados exportados, visite os esquemas de eventos dos Hubs de Eventos.

Usar a API de Segurança do Microsoft Graph para transmitir alertas para aplicativos que não são da Microsoft

O Defender para a Cloud inclui uma integração integrada com a API de Segurança do Microsoft Graph que pode usar para transmitir alertas sem necessidade adicional de configuração.

Utilize esta API para transmitir alertas de todo o tenant e dados de muitos produtos de Segurança da Microsoft para SIEMs não Microsoft e outras plataformas populares:

• Splunk Enterprise e Splunk Cloud: Usa o API de Segurança do Microsoft Graph Add-On para Splunk.
• Power BI: Ligar à API Microsoft Graph Security a partir do Power BI Desktop.
• ServiceNow: Instale e configure a aplicação API de Segurança do Microsoft Graph a partir da ServiceNow Store.
• QRadar: Utilize o Módulo de Suporte de Dispositivos da IBM para o Microsoft Defender para a Cloud via Microsoft Graph API.
• Palo Alto Networks, Anomali, Lookout, InSpark e outros: Utilize a API de Segurança do Microsoft Graph.

Conteúdo relacionado

• O que é o Microsoft Sentinel?
• Validação de alertas no Microsoft Defender para a Cloud
• Exporte continuamente dados do Defender para a Cloud