Ligar o Microsoft Sentinel a outros serviços da Microsoft com um conector de dados baseado no agente do Windows

Este artigo descreve como ligar Microsoft Sentinel a outras ligações baseadas em agentes do Windows dos serviços Microsoft. Microsoft Sentinel utiliza o Agente do Azure Monitor para fornecer suporte integrado entre serviços para a ingestão de dados de muitos serviços do Azure e do Microsoft 365, da Amazon Web Services e de vários serviços do Windows Server.

O Agente Azure Monitor utiliza regras de recolha de dados (DCRs) para definir os dados a recolher de cada agente. As regras de recolha de dados oferecem-lhe duas vantagens distintas:

• Gerir definições de coleção à escala, permitindo ainda configurações únicas e específicas para subconjuntos de máquinas. São independentes da área de trabalho e independentes da máquina virtual, o que significa que podem ser definidas uma vez e reutilizadas em computadores e ambientes. Veja Configurar a recolha de dados para o Agente Azure Monitor.

• Crie filtros personalizados para escolher os eventos exatos que pretende ingerir. O Agente do Azure Monitor utiliza estas regras para filtrar os dados na origem e ingerir apenas os eventos que pretende, deixando tudo o resto para trás. Isto pode poupar-lhe muito dinheiro em custos de ingestão de dados!

Pré-requisitos

• Tem de ter permissões de leitura e escrita na área de trabalho Microsoft Sentinel.

• Para recolher eventos de qualquer sistema que não seja uma máquina virtual Azure, o sistema tem de ter Azure Arc instalado e ativado antes de ativar o conector baseado no Agente do Azure Monitor.

  Isto inclui:

  • Servidores Windows instalados em computadores físicos
  • Servidores Windows instalados em máquinas virtuais no local
  • Servidores Windows instalados em máquinas virtuais em clouds não Azure

• Para o conector de dados Eventos Reencaminhados do Windows:

  • Tem de ter a Coleção de Eventos do Windows (WEC) ativada e em execução, com o Agente Azure Monitor instalado no computador WEC.
  • Recomendamos que instale os analisadores do Modelo de Informação de Segurança Avançada (ASIM) para garantir o suporte total para a normalização de dados. Pode implementar estes analisadores a partir do repositório doAzure-Sentinel GitHub com o botão Implementar para Azure.
  • Os eventos recolhidos através do Windows Event Forwarding são gravados na WindowsEvent tabela, incluindo os eventos encaminhados a partir do Segurança do Windows log. Não estão escritos para a SecurityEvent mesa.

• Instale a solução de Microsoft Sentinel relacionada a partir do Hub de Conteúdos no Microsoft Sentinel. Para obter mais informações, consulte Detetar e gerir o conteúdo pronto a utilizar do Microsoft Sentinel.

Criar regras de recolha de dados através da GUI

Execute os seguintes passos para criar uma regra de recolha de dados no portal Microsoft Sentinel.

1. No Microsoft Sentinel, selecione Configuração>Conectores de dados. Selecione o conector na lista e, em seguida, selecione Abrir página do conector no painel de detalhes. Depois, siga as instruções no ecrã no separador Instruções e complete os passos restantes deste procedimento.

2. Verifique se tem as permissões adequadas, conforme descrito na secção Pré-requisitos na página do conector. No mínimo, precisas de permissões de leitura e escrita no espaço de trabalho do Microsoft Sentinel.

3. Em Configuração, selecione +Adicionar regra de recolha de dados. O assistente Criar regra de recolha de dados abre-se à direita.

4. Em Noções básicas, introduza um Nome da regra e especifique uma Subscrição e um Grupo de recursos onde a regra de recolha de dados (DCR) será criada. Não tem de ser o mesmo grupo de recursos nem a mesma subscrição onde se encontram as máquinas monitorizadas e as associações correspondentes, desde que estejam no mesmo tenant.

5. No separador Recursos , selecione +Adicionar recursos para adicionar computadores aos quais a Regra de Recolha de Dados será aplicada. A caixa de diálogo Selecionar um âmbito será aberta e verá uma lista das subscrições disponíveis. Expanda uma subscrição para ver os respetivos grupos de recursos e expanda um grupo de recursos para ver as máquinas disponíveis. Verá máquinas virtuais do Azure e servidores ativados pelo Azure Arc na lista. Pode marcar as caixas de seleção das subscrições ou dos grupos de recursos para selecionar todas as máquinas que estes contêm, ou pode selecionar máquinas individuais. Selecione Aplicar quando tiver escolhido todas as suas máquinas. No final deste processo, o Agente do Azure Monitor será instalado em quaisquer computadores selecionados que ainda não o tenham instalado.

6. No separador Recolher , selecione os eventos que pretende recolher: selecione Todos os eventos ou Personalizado para especificar outros registos ou para filtrar eventos com consultas XPath. Introduza expressões na caixa que são avaliadas como critérios XML específicos para os eventos a recolher e, em seguida, selecione Adicionar. Pode introduzir até 20 expressões numa única caixa e até 100 caixas numa regra.

   Para obter mais informações, veja a documentação do Azure Monitor.

   Nota

   • O conector Segurança do Windows Events disponibiliza dois outros conjuntos de eventos pré-definidos que pode optar por recolher: Comum e Mínimo.

   • O Agente do Azure Monitor suporta consultas XPath apenas para xPath versão 1.0.

   Para testar a validade de uma consulta XPath, utilize o cmdlet do PowerShell Get-WinEvent com o parâmetro -FilterXPath . Por exemplo:

   $XPath = '*[System[EventID=1035]]'
   Get-WinEvent -LogName 'Application' -FilterXPath $XPath
   

   • Se a consulta retornar eventos, é válida.
   • Se receber a mensagem "Não foram encontrados eventos que correspondam aos critérios de seleção especificados", a consulta poderá ser válida, mas não existem eventos correspondentes no computador local.
   • Se receber a mensagem "A consulta especificada é inválida", a sintaxe da consulta é inválida.

7. Depois de adicionar todas as expressões de filtro que pretende, selecione Seguinte: Rever + criar.

8. Quando vir a mensagem Validação aprovada , selecione Criar.

Verá todas as suas regras de recolha de dados, incluindo aquelas que cria usando a API, em Configuração na página do conector. A partir daí, pode editar ou eliminar regras existentes.

Criar regras de recolha de dados com a API

Também pode criar regras de recolha de dados usando a API, o que pode facilitar a vida se estiver a criar muitas regras, como se for um fornecedor de serviços de segurança gerido (MSSP). Segue-se um exemplo (para o conector Eventos de Segurança do Windows via AMA) que pode utilizar como modelo para criar uma regra:

Envie o seguinte pedido PUT para criar ou atualizar uma regra de recolha de dados que defina as fontes de eventos, o espaço de trabalho do Log Analytics de destino e o fluxo de dados entre elas.

URL e cabeçalho do pedido

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.Insights/dataCollectionRules/myCollectionRule?api-version=2019-11-01-preview

Corpo do pedido

O seguinte corpo JSON define a configuração do DCR, incluindo as fontes de dados do registo de eventos do Windows, o espaço de trabalho Log Analytics de destino e os fluxos de dados que encaminham os eventos recolhidos para esse espaço de trabalho.

{
    "location": "eastus",
    "properties": {
        "dataSources": {
            "windowsEventLogs": [
                {
                    "streams": [
                        "Microsoft-SecurityEvent"
                    ],
                    "xPathQueries": [
                        "Security!*[System[(EventID=) or (EventID=4688) or (EventID=4663) or (EventID=4624) or (EventID=4657) or (EventID=4100) or (EventID=4104) or (EventID=5140) or (EventID=5145) or (EventID=5156)]]"
                    ],
                    "name": "eventLogsDataSource"
                }
            ]
        },
        "destinations": {
            "logAnalytics": [
                {
                    "workspaceResourceId": "/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.OperationalInsights/workspaces/centralTeamWorkspace",
                    "name": "centralWorkspace"
                }
            ]
        },
        "dataFlows": [
            {
                "streams": [
                    "Microsoft-SecurityEvent"
                ],
                "destinations": [
                    "centralWorkspace"
                ]
            }
        ]
    }
}

Para mais informações, consulte:

• Regras de recolha de dados (DCRs) no Azure Monitor
• Esquema de API de regras de recolha de dados

Passos seguintes

Para mais informações, consulte:

• catálogo de soluções de Microsoft Sentinel
• Integração de informações sobre ameaças no Microsoft Sentinel