Gerir dados no Microsoft Sentinel e Defender

O portal Microsoft Defender oferece uma experiência centralizada para gerir os dados do Microsoft Sentinel e do Microsoft Defender XDR. A experiência de Dados & conectores consolida a gestão de conectores, a gestão de tabelas, transformações e monitorização da saúde da ingestão numa única vista, para que possa compreender e otimizar os seus dados de segurança sem ter de navegar entre páginas separadas.

Este artigo apresenta a experiência de Dados & conectores e explica como a utilizar para gerir dados no Microsoft Sentinel e no Microsoft Defender XDR. Para tarefas relacionadas, veja:

• Configure os conectores de dados para enviar dados para Microsoft Sentinel ou Microsoft Defender XDR.
• Faça a gestão das tabelas e dos dados existentes.

Dados & conectores no portal Microsoft Defender (pré-visualização)

A experiência Dados e conectores reúne a gestão de conectores, gestão de tabelas, transformações e monitorização da saúde da ingestão numa única vista no portal Microsoft Defender. Use-o para compreender e gerir os seus dados do Microsoft Sentinel sem ter de navegar entre páginas separadas.

Para abrir a experiência, no portal do Microsoft Defender, selecione Configuração e configuraçãoDados e conectores. A página inclui três separadores:

• Separador Visão geral — Painel do estado da ingestão ao nível do espaço de trabalho.
• Separador de Conectores — Inventário centralizado de conectores de dados, incluindo conectores clássicos Sentinel e conectores unificados.
• Separador Tabelas — Gestão de tabelas, exploração de esquemas, transformações e retenção.

Prerequisites

Para usar a experiência de Dados e conectores em pré-visualização, precisa de:

• Controlo de acesso baseado em papéis unificado (URBAC) ativado no portal Microsoft Defender.
• Permissões de dados (gerir) no grupo de permissões de Operações de Dados.
• Permissões de espaço de trabalho equivalentes ao Log Analytics Contributor, incluindo:
  • Microsoft.OperationalInsights/workspaces/write
  • Microsoft.OperationalInsights/workspaces/tables/write

Limitações conhecidas

As seguintes limitações aplicam-se à pré-visualização:

• O separador Fontes de Dados no painel de detalhes da tabela aparece apenas para tabelas federadas. Está planeado suporte para outros tipos de tabelas.
• A experiência Data & Connectors está disponível apenas na cloud comercial. As clouds soberanas, incluindo o Governo dos EUA e a China, não são suportadas.

Aba Visão Geral

O separador Visão Geral é um painel ao nível do espaço de trabalho que apresenta sinais do estado de funcionamento da ingestão para que possa agir sobre problemas antes que afetem as deteções. Filtrar por intervalo temporal e espaço de trabalho para delimitar o painel.

O separador Visão Geral inclui:

• Volume de ingestão — Ingestão diária dividida por escalão Analytics e escalão Data Lake para o intervalo de tempo selecionado.
• Conectores que precisam de atenção — Conectores com erros de credenciais, falhas de ingestão ou interrupções, juntamente com o tipo de erro, contagem de falhas nas últimas 24 horas e última ingestão bem-sucedida.
• Flutuações na ingestão de tabelas — Tabelas com alterações inesperadas de volume em comparação com o mesmo dia da semana anterior, agrupadas como picos e quedas. Podes ajustar os limiares de flutuação.
• Volume de ingestão de dados por tabela — Principais tabelas de ingestão ordenadas por volume diário, para que possa identificar tabelas de alto volume que impulsionam os custos de ingestão.
• Latência de ingestão por tabela — O tempo entre a geração dos dados e a disponibilidade no seu ambiente, para que possa identificar limitação do conector ou atrasos no lado da fonte.

Separador Conectores

O separador Conectores reúne conectores de dados unificados e conectores de dados clássicos Sentinel num único inventário. Utilize-o para rever a saúde dos conectores, adicionar novos conectores ou abrir a vista de detalhe do conector.

O separador Conectores inclui:

• Inventário unificado de conectores — Todos os conectores integrados, com estado, fornecedor, fonte de conteúdo e atualizações disponíveis.
• Alterne entre conectores unificados e clássicos — Use o seletor de conectores clássicos para alternar entre o catálogo unificado de conectores e o inventário de conectores de dados clássicos Sentinel, que inclui conectores construídos com o Codeless Connector Framework (CCF).
• Filtre por fornecedor, tipo de dado e estado — Reduza a lista para encontrar rapidamente conectores específicos.
• Assistente de integração de dados — Fluxo guiado para adicionar novos conectores.
• Criar conector personalizado — Inicie um novo conector personalizado a partir do separador Conectores.

Seção de Tabelas

Os dados que recolhe no Microsoft Sentinel e no Microsoft Defender XDR são armazenados em tabelas. O separador Tabelas é onde visualiza as suas tabelas, analisa o estado de ingestão delas, inspeciona o esquema e as transformações, e gere o período de retenção e os custos de armazenamento associados aos seus dados.

Que tabelas podes gerir no portal do Microsoft Defender?

Esta secção descreve os tipos de tabela que pode gerir no portal Microsoft Defender.

Como funcionam as camadas de dados e a retenção

Pode reter dados em Microsoft Sentinel numa de duas camadas:

• Camada de análise: esta camada disponibiliza os dados para a geração de alertas, pesquisa de ameaças, livros de trabalho e todas as funcionalidades do Microsoft Sentinel. Retém dados em dois estados:

  • Retenção de análises: Neste estado "quente", os dados estão totalmente disponíveis para análises em tempo real, incluindo consultas de alto desempenho, regras de análise e caça a ameaças. Por predefinição, Microsoft Sentinel e Microsoft Defender XDR reter dados nesta camada durante 30 dias. Pode prolongar o período de retenção de todas as tabelas até dois anos com uma taxa de retenção de longo prazo mensal proporcional. Pode prolongar, sem custos, o período de retenção das tabelas de solução do Microsoft Sentinel para 90 dias.
  • Retenção total: por predefinição, todos os dados na camada de análise são espelhados no data lake para o mesmo período de retenção. Pode expandir a retenção dos seus dados no lago para além da retenção analítica, até 12 anos de retenção total a um custo baixo.

• Data Lake tier: Neste tier "frio" de baixo custo, o Microsoft Sentinel mantém os seus dados apenas no data lake. Os dados do nível Data Lake não estão disponíveis para funcionalidades de análise em tempo real e caça a ameaças. No entanto, pode aceder aos dados no lago sempre que precisar através de tarefas KQL, analisar tendências ao longo do tempo ao executar trabalhos agendados do KQL ou do Spark e agregar informações de dados recebidos numa cadência regular através de regras de resumo.

• Dados XDR: Por predefinição, os dados de pesquisa de ameaças do Microsoft Defender XDR estão sempre disponíveis no escalão de Análise durante 30 dias. Pode prolongar a retenção destes dados no nível de Análise até 90 dias, o que gera custos de ingestão, enquanto o armazenamento permanece gratuito. Prolongar a retenção para além de 90 dias no nível de Análise também implica custos de armazenamento. Também pode ingerir exclusivamente na camada Data Lake, mas os dados permanecem disponíveis na camada de Análise durante 30 dias. Ingerir dados XDR diretamente na camada Data Lake é mais rentável, mas envolve custos de ingestão, armazenamento e processamento. Nesta opção, os clientes continuam a receber 30 dias de dados no nível de Análise sem custo adicional.

Para mais informações sobre as diferenças entre o nível Analytics e o nível Data Lake, consulte Compare os escalões de análise e de data lake.

O diagrama seguinte ilustra os componentes de retenção dos níveis padrão de Analytics, Data Lake e XDR, bem como os tipos de tabelas que se aplicam a cada nível:

Para obter mais informações sobre o data lake Microsoft Sentinel, veja O que é Microsoft Sentinel data lake.

Utilize informações da tabela para observabilidade ao nível da tabela

Insights de tabela no separador Tabelas ajudam-no a compreender a saúde da ingestão ao nível da tabela para o espaço de trabalho Microsoft Sentinel selecionado. Dá-te sinais rápidos de observabilidade para que possas identificar padrões de ingestão e custos antes de mudares as definições de nível ou retenção.

Os indicadores de informação da tabela aparecem em dois locais no separador Tabelas:

• Os blocos de resumo no topo da página mostram as contagens ao nível do espaço de trabalho, incluindo o número de tabelas e como estão distribuídas entre o nível de Analytics, o nível do Data Lake e o nível padrão do XDR.
• As colunas na grelha das tabelas mostram sinais de saúde por tabela para cada tabela, incluindo:
  • Últimos dados recebidos
  • Volume médio diário de ingestão
  • Custo diário estimado de ingestão
  • Anomalia de volume (flutuação da ingestão de um dia para a semana anterior)

Use as colunas da grelha para ordenar, filtrar e comparar tabelas lado a lado. Combine estes sinais para detetar falhas nos conectores, investigar picos de custo, validar a integração de novos conectores e identificar candidatos para ajustar a retenção e o escalão.

Para orientações sobre configuração, acesso e interpretação, consulte Configurar definições de tabela no Microsoft Sentinel.

Painel de detalhes da tabela

Selecione uma tabela no separador Tabelas para abrir o painel de detalhes da tabela. O painel consolida o esquema, as transformações e a informação de retenção para a tabela selecionada. Inclui os seguintes separadores:

Comparar as camadas de analítica e de data lake

Esta tabela compara os níveis Analytics e Data Lake e as suas principais características:

O que acontece quando modifica as definições da tabela

Pode alterar as definições de escalão e de retenção de uma tabela a qualquer momento.

Quando mudas o nível de uma tabela de Analytics para Data Lake, todas as análises em tempo real e as consultas de caça deixam de funcionar.

Quando reduz a retenção total de uma tabela, a Microsoft espera 30 dias antes de remover os dados, para que possa reverter a alteração e evitar a perda de dados se cometeu um erro de configuração.

Quando aumenta a retenção total, o novo período de retenção aplica-se a todos os dados que já foram ingeridos na tabela e que ainda não foram removidos.

Quando altera as definições de retenção de análise de uma tabela com dados existentes, a alteração entra em vigor imediatamente.

Exemplo:

• Tem uma tabela no escalão Analytics com 180 dias de retenção de dados analíticos. Por predefinição, a retenção total também está definida para 180 dias.
• Muda a retenção analítica para 90 dias sem alterar a retenção total, que permanece nos 180 dias.
• O Microsoft Sentinel remove automaticamente os últimos 90 dias de dados da retenção analítica, mas continua a armazenar dados com 90-180 dias no nível Data Lake.

Gerir dados XDR no Microsoft Sentinel

Por predefinição, Microsoft Defender XDR retém dados de investigação de ameaças no escalão predefinido XDR durante 30 dias. Estes dados não são importados para as camadas Analytics ou Data Lake por defeito. Se prolongar o período de retenção das tabelas XDR suportadas para além de 30 dias e até 90 dias, os custos de ingestão do Sentinel aplicam-se, mas não há custos adicionais de armazenamento. As tabelas são criadas no seu espaço de trabalho Microsoft Sentinel, na camada de Analytics, e espelhadas para a camada Data Lake.

Se ativar o conector Microsoft Sentinel XDR no portal do Azure, as tabelas que selecionar durante a configuração são automaticamente importadas para o escalão Analytics e replicadas no escalão Data Lake. A retenção predefinida é de 30 dias e pode prolongá-la até 12 anos. Para obter uma lista de tabelas, veja Microsoft Defender XDR integração com Microsoft Sentinel. Pode ingerir tabelas XDR suportadas que não selecionou durante a implementação do conector na camada Analytics e espelhá-las na camada Data Lake, definindo um período de retenção superior a 30 dias.

Se não ativares o conector Microsoft Sentinel XDR, as tabelas XDR não são ingeridas automaticamente, mas podes ainda assim ingeri-las definindo a retenção de níveis do Analytics ou do Data Lake para mais de 30 dias no portal Microsoft Defender.

Pode optar por importar tabelas XDR suportadas apenas para o escalão Data Lake, selecionando a opção Data Lake tier ao configurar as definições de retenção. Para obter mais informações, consulte Configurar a retenção e a hierarquização de dados.

Para parar a ingestão de dados para o nível de Analytics, reponha a retenção analítica e a retenção total para o valor predefinido de 30 dias.

Para obter mais informações sobre como gerir as suas tabelas e dados, consulte Gerir as tabelas e os dados existentes.

Retenção de dados e custos do XDR

As tabelas seguintes resumem os períodos de retenção gratuitos e as implicações de custos para os diferentes escalões no Microsoft Sentinel:

Para mais informações sobre faturação e custos, consulte Compreender o modelo completo de faturação do Microsoft Sentinel.

Nos exemplos seguintes, os dados XDR estão disponíveis na investigação avançada durante, pelo menos, 30 dias, independentemente das definições de retenção nos escalões de análise ou de data lake.

Passos seguintes

Saiba mais sobre:

• Configurar camadas de tabela de registos e definições de retenção
• Criar uma tarefa de pesquisa para obter dados que correspondam a critérios específicos