Visualize os dados recolhidos na página de Visão Geral do Microsoft Sentinel

Use a página de Visão Geral do Microsoft Sentinel para visualizar, monitorizar e analisar atividades no seu ambiente. Este artigo descreve os widgets e gráficos disponíveis no painel de Visão Geral do Microsoft Sentinel, incluindo insights sobre incidentes, eficiência da automação, ingestão de dados e estado das regras de análise para o ajudar a avaliar rapidamente a postura de segurança do seu ambiente. Antes de começar, certifique-se de que cumpre os pré-requisitos, incluindo ligar as suas fontes de dados ao Microsoft Sentinel.

Pré-requisitos

Antes de aceder à página de Visão Geral, certifique-se de que cumpre os seguintes pré-requisitos:

• Certifique-se de que tem acesso de leitura aos recursos do Microsoft Sentinel. Para obter mais informações, veja Funções e permissões no Microsoft Sentinel.

Aceder à página Descrição Geral

Se a área de trabalho estiver integrada no portal Microsoft Defender, selecione Descrição Geral>. Caso contrário, selecione Descrição geral diretamente. Por exemplo:

Os dados de cada secção do painel de Visão Geral são pré-calculados, e o último tempo de atualização é mostrado no topo de cada secção. Selecione Atualizar na parte superior da página para atualizar a página inteira.

Ver dados de incidentes

Para ajudar a reduzir o ruído e minimizar o número de alertas que precisa de rever e investigar, Microsoft Sentinel utiliza uma técnica de fusão para correlacionar alertas em incidentes. Os incidentes são grupos acionáveis de alertas relacionados para que possa investigar e resolver.

A imagem seguinte mostra um exemplo da secção Incidentes no dashboard Descrição geral :

A secção Incidentes lista os seguintes dados:

• O número de incidentes novos, ativos e fechados nas últimas 24 horas.
• O número total de incidentes de cada gravidade.
• O número de incidentes encerrados de cada tipo de classificação de fecho.
• Estados dos incidentes por hora de criação, em intervalos de quatro horas.
• O tempo médio para reconhecer um incidente e o tempo médio para encerrar um incidente, com um link para o livro de exercícios de eficiência do SOC . Para obter mais informações, consulte Visualize e monitorize os seus dados ao utilizar livros no Microsoft Sentinel.

Selecione Gerir incidentes para aceder à página Incidentes do Microsoft Sentinel para obter mais detalhes.

Ver dados de automatização

Depois de implementar a automatização com Microsoft Sentinel, monitorize a automatização da área de trabalho na secção Automatização do dashboard Descrição geral.

• Comece com um resumo da atividade das regras de automação: incidentes fechados por automação, o tempo poupado pela automação e o estado dos playbooks relacionados.

  Microsoft Sentinel calcula o tempo guardado pela automatização ao encontrar o tempo médio que uma única automatização guardou, multiplicado pelo número de incidentes resolvidos pela automatização. O Microsoft Sentinel utiliza a seguinte fórmula para calcular o tempo poupado pela automação:

  (avgWithout - avgWith) * resolvedByAutomation

  Localização:

  • avgWithout é o tempo médio que um incidente demora a ser resolvido sem automatização.
  • avgWith é o tempo médio que um incidente demora a ser resolvido pela automatização.
  • resolvedByAutomation é o número de incidentes que são resolvidos pela automatização.

• O grafo de ações de automação resume o número de ações realizadas pela automação, por tipo de ação.

• A secção inclui também uma contagem das regras ativas de automação com um link para a página de Automação .

Selecione a ligação configurar regras de automatização para ir para a página Automatização, onde pode configurar mais regras de automatização.

Ver o estado dos registos de dados, recoletores de dados e informações sobre ameaças

Na secção Dados do dashboard Descrição geral, controle informações sobre registos de dados, recoletores de dados e informações sobre ameaças.

Veja os seguintes detalhes:

• O número de registos que o Microsoft Sentinel recolheu nas últimas 24 horas, em comparação com as 24 horas anteriores, e as anomalias detetadas durante esse período.

• Um resumo do estado do conector de dados, dividido por conectores ativos e em mau estado de funcionamento. Os conectores em mau estado de funcionamento indicam quantos conectores têm erros. Os conectores ativos são conectores com transmissão de dados para Microsoft Sentinel, medidos por uma consulta incluída no conector.

• Registos de informações sobre ameaças no Microsoft Sentinel, por indicador de compromisso.

Selecione Gerir conectores para aceder à página Conectores de dados, onde pode ver e gerir os seus conectores de dados.

Ver dados de análise

Controle os dados das regras de análise na secção Análise do dashboard Descrição geral .

O número de regras de análise no Microsoft Sentinel é apresentado por estado, incluindo ativadas, desativadas e desativadas automaticamente.

Selecione a ligação Vista MITRE para ir para a MITRE ATT&CK, onde pode ver de que forma o seu ambiente está protegido contra as táticas e técnicas da MITRE ATT&CK. Selecione a ligação gerir regras de análise para aceder à página Análise , onde pode ver e gerir as regras que configuram a forma como os alertas são acionados.

Passos seguintes

Para continuar a explorar e monitorizar o seu ambiente, utilize os seguintes recursos:

• Use modelos de livros de trabalho para analisar mais detalhadamente os eventos gerados em todo o seu ambiente. Para obter mais informações, consulte Visualize e monitorize os seus dados ao utilizar livros no Microsoft Sentinel.

• Ative os registos de consultas do Log Analytics para que todas as consultas sejam executadas a partir da área de trabalho. Para obter mais informações, veja Auditar consultas e atividades de Microsoft Sentinel.

• Saiba mais sobre as consultas utilizadas nos bastidores dos widgets do painel Descrição geral. Para obter mais informações, consulte Análise aprofundada do novo dashboard Overview do Microsoft Sentinel.