Criar listas de observação no Microsoft Sentinel

As listas de observação no Microsoft Sentinel ajudam-no a correlacionar dados de uma origem de dados que fornece com os eventos no seu ambiente de Microsoft Sentinel. Por exemplo, pode criar uma lista de vigilância com ativos de elevado valor, ex-funcionários ou contas de serviço no seu ambiente.

Pode criar uma lista de observação com qualquer um dos seguintes métodos:

• Carregar um ficheiro de lista de observação a partir de uma pasta local
• Carregar um ficheiro de lista de observação a partir da sua conta de Armazenamento do Azure
• Criar uma lista de observação manualmente

Pode carregar ficheiros locais até 3,8 MB. Um ficheiro com mais de 3,8 MB e até 500 MB é considerado uma lista de observação grande. Para carregar uma lista de observação grande, carregue o ficheiro para uma conta de Armazenamento Azure. Antes de criar uma lista de observação, reveja as limitações das listas de observação.

Os dados na tabela da Lista de Observação do Log Analytics são retidos durante 28 dias.

Carregar uma lista de observação a partir de uma pasta local

Tem duas formas de carregar um ficheiro CSV a partir do seu computador local para criar uma lista de observação.

• Para um ficheiro de lista de observação que criou sem um modelo de lista de observação: selecione Adicionar novo e introduza as informações necessárias.
• Para um ficheiro de lista de observação criado a partir de um modelo transferido a partir de Microsoft Sentinel: Aceda ao separador Modelos (Pré-visualização) da lista de observação. Selecione a opção Criar a partir do modelo. O Azure preenche automaticamente o nome, a descrição e o alias da lista de observação.

Carregar uma lista de observação a partir de um ficheiro que criou

Se não usou um modelo de lista de observação para criar o ficheiro CSV da lista de observação:

1. No portal do Defender, aceda a Microsoft Sentinel>Configuração>Lista de observação.

2. Selecione + Novo para abrir o assistente da lista de observação.

   

3. Na página Geral , introduza o nome, a descrição e o alias da lista de observação e, em seguida, selecione Seguinte: Origem.

   

4. Na página Origem, use as informações da tabela seguinte para carregar os dados da sua lista de observação e, em seguida, selecione Seguinte: Rever + criar.

   Campo	Descrição
   Tipo de origem	Ficheiro local
   Tipo de ficheiro	Ficheiro CSV com um cabeçalho (.csv)
   Número de linhas antes da linha de cabeçalhos	Introduza o número de linhas antes da linha de cabeçalho que está no ficheiro de dados.
   Carregar ficheiro	Arraste e largue o ficheiro de dados ou selecione Procurar ficheiros e selecione o ficheiro a carregar.
   SearchKey	Introduza o nome de uma coluna na sua lista de observação que espera utilizar como associação a outros dados ou a um objeto frequente de pesquisas. Por exemplo, se a lista de observação do servidor contiver nomes de país/região e os respetivos códigos de país de duas letras e esperar utilizar frequentemente os códigos de país para pesquisa ou associações, utilize a coluna Código como SearchKey.

   Nota

   Se o ficheiro CSV tiver mais de 3,8 MB, terá de utilizar as instruções para Criar uma lista de observação grande a partir do ficheiro no Armazenamento Azure.

   

5. Reveja as informações, verifique se está correta e, em seguida, selecione Criar.

   

   É apresentada uma notificação assim que a lista de observação é criada.

Pode demorar vários minutos até que a lista de observação seja criada e que os novos dados fiquem disponíveis nas consultas.

Carregar uma lista de observação criada a partir de um modelo (pré-visualização)

Para criar uma lista de observação a partir de um ficheiro modelo de lista de observação preenchido:

1. No portal do Defender, aceda a Microsoft Sentinel>Configuração>Lista de observação.

2. Selecione o separador Modelos (Pré-visualização).

3. Selecione o modelo adequado na lista para ver os detalhes do modelo no painel direito.

4. Selecione Criar a partir de modelo para abrir o assistente da lista de observação.

   

5. Na página Geral , repare que os campos Nome, Descrição e Alias são todos só de leitura. Selecione Seguinte: Origem.

6. Na página Origem , selecione Procurar ficheiros e, em seguida, selecione o ficheiro que criou a partir do modelo.

7. Selecione Seguinte: Rever + criar e, em seguida, selecione Criar. É apresentada uma notificação assim que a lista de observação é criada.

Pode demorar vários minutos até que a lista de observação seja criada e que os novos dados fiquem disponíveis nas consultas.

Criar uma lista de observação grande a partir de um ficheiro no Armazenamento do Azure (pré-visualização)

Se tiver uma lista de observação grande até 500 MB, carregue o ficheiro da lista de observação para a sua conta de armazenamento Azure. Em seguida, crie um URL de assinatura de acesso partilhado para o Microsoft Sentinel obter os dados da lista de observação. Um URL de assinatura de acesso partilhado é um URI que contém o URI do recurso e o token de assinatura de acesso partilhado de um recurso, como um ficheiro CSV na sua conta de armazenamento. Por fim, crie a watchlist no seu espaço de trabalho Microsoft Sentinel usando a URL SAS do ficheiro carregado.

Para obter mais informações sobre assinaturas de acesso partilhado, consulte token de assinatura de acesso partilhado do Armazenamento do Azure.

Passo 1: Carregue um ficheiro de watchlist para o Armazenamento do Azure

Para carregar um ficheiro de lista de observação grande para a sua conta de Armazenamento do Azure, utilize o AzCopy ou o portal do Azure.

1. Se ainda não tiver uma conta de Armazenamento Azure, crie uma conta de armazenamento. A conta de armazenamento pode estar num grupo de recursos ou região diferente da área de trabalho no Microsoft Sentinel.
2. Utilize o AzCopy ou o portal do Azure para carregar o ficheiro CSV com os dados da lista de observação para a conta de armazenamento.

Carregue o seu ficheiro com o AzCopy

Carregue ficheiros e diretórios para o armazenamento de Blobs com o utilitário de linha de comandos AzCopy v10. Para saber mais, consulte Carregar ficheiros para o Armazenamento de Blobs do Azure com o AzCopy.

1. Se ainda não tiver um contentor de armazenamento, crie o contentor de blobs de destino na sua conta de armazenamento para armazenar o ficheiro da lista de observação. Execute o seguinte comando.

   azcopy make 
   https://<storage-account-name>.<blob or dfs>.core.windows.net/<container-name>
   

2. Carregue o ficheiro CSV da lista de observação local para o contentor de blobs para que possa ser referenciado por um URL de SAS. Execute o seguinte comando.

   azcopy copy '<local-file-path>' 'https://<storage-account-name>.<blob or dfs>.core.windows.net/<container-name>/<blob-name>'
   

Carregar o ficheiro no portal do Azure

Se não usares o AzCopy, carrega o teu ficheiro CSV da lista de observação usando o portal do Azure. Aceda à sua conta de armazenamento no portal do Azure para carregar o ficheiro CSV com os dados da lista de observação.

1. Se ainda não tiver um contentor de armazenamento existente, crie um contentor. Para o nível de acesso público ao contentor, utilize a predefinição que está definida como Privado (sem acesso anónimo).
2. Carregue um blob de blocos para transferir o ficheiro CSV para a conta de armazenamento.

Passo 2: Criar URL de assinatura de acesso partilhado

Crie uma URL pública de Blob SAS para o Microsoft Sentinel para recuperar os dados da lista de vigilância. Apenas é suportado o URI SAS de blob público.

1. Siga os passos em Criar tokens SAS para blobs no portal do Azure.
2. Defina o tempo de expiração do token de assinatura de acesso partilhado para, pelo menos, seis horas.
3. Mantenha o valor predefinido para Endereços IP permitidos em branco.
4. Copie o valor de URL SAS do Blob.

Passo 3: Adicione o Azure ao separador Cross-Origin Resource Sharing (CORS)

Antes de utilizar um URI de SAS, adicione o portal do Azure à configuração da Partilha de Recursos de Várias Origens (CORS).

1. Aceda às definições da conta de armazenamento, página Partilha de recursos.
2. Selecione o separador Serviço Blob.
3. Adicione https://*.portal.azure.net à tabela de origens permitidas.
4. Selecione os métodos permitidos adequados de GET e OPTIONS.
5. Guarde a configuração.

Para obter mais informações, veja Suporte de CORS para armazenamento Azure.

Passo 4: adicionar a lista de observação a uma área de trabalho

Para adicionar a watchlist do Armazenamento do Azure ao seu espaço de trabalho Microsoft Sentinel, complete os seguintes passos:

1. No portal do Defender, aceda a Microsoft Sentinel>Configuração>Lista de observação.

2. Selecione + Novo para abrir o assistente da lista de observação.

3. Na página Geral , introduza o nome, a descrição e o alias da lista de observação e, em seguida, selecione Seguinte: Origem.

4. Na página Origem, use as informações da tabela seguinte para carregar os dados da sua lista de observação e, em seguida, selecione Seguinte: Rever + criar.

   Campo	Descrição
   Tipo de origem	Armazenamento Azure (Pré-visualização)
   Selecionar um tipo para o conjunto de dados	Ficheiro CSV com um cabeçalho (.csv)
   Número de linhas antes da linha de cabeçalhos	Introduza o número de linhas antes da linha de cabeçalho que está no ficheiro de dados.
   URL SAS do Blob (Pré-visualização)	Cole o URL de acesso partilhado que criou.
   SearchKey	Introduza o nome de uma coluna na sua lista de observação que espera utilizar como associação a outros dados ou a um objeto frequente de pesquisas. Por exemplo, se a lista de observação do servidor contiver nomes de país/região e os respetivos códigos de país de duas letras e esperar utilizar frequentemente os códigos de país para pesquisa ou associações, utilize a coluna Código como SearchKey.

5. Reveja as informações, verifique se está correta e, em seguida, selecione Criar. É apresentada uma notificação assim que a lista de observação é criada.

A criação de uma lista de vigilância grande e a disponibilização dos novos dados nas consultas poderão demorar algum tempo.

Criar uma lista de seguimento manualmente (pré-visualização)

Para criar uma lista de seguimento de raiz:

1. No portal do Defender, aceda a Microsoft Sentinel>Configuração>Lista de observação.

2. Selecione + Novo para abrir o assistente da lista de observação.

3. Na página Geral , introduza o nome, a descrição e o alias da lista de observação e, em seguida, selecione Seguinte: Origem.

4. Na página Origem , selecione Manual (Pré-visualização) como o Tipo de origem.

5. Adicione e defina os nomes das colunas da sua lista de observação. Escolha a coluna que serve de Chave de Pesquisa. Esta chave é a coluna na lista de observação que espera utilizar como associação a outros dados ou a um objeto frequente de pesquisas.

   

6. Selecione Seguinte: Rever + criar.

7. Reveja as informações, verifique se está correta e, em seguida, selecione Criar. É apresentada uma notificação assim que a lista de observação é criada.

Pode demorar vários minutos até que a lista de observação seja criada e que os novos dados fiquem disponíveis nas consultas.

Ver estado da lista de observação

Para ver o estado de uma lista de observação na área de trabalho:

1. No portal do Defender, aceda a Microsoft Sentinel>Configuração>Lista de observação.

2. No separador As Minhas Listas de Observação , selecione a lista de observação.

3. Na página de detalhes, reveja o Estado (Pré-visualização).

   

4. Quando o estado for Bem-sucedido, selecione Ver nos registos para utilizar a lista de observação numa consulta. A apresentação da lista de observação no Log Analytics poderá demorar vários minutos.

   

Transferir modelo de lista de observação (pré-visualização)

Transfira um dos modelos de lista de observação do Microsoft Sentinel para o preencher com os seus dados. Em seguida, carregue o ficheiro CSV do modelo preenchido ao criar a watchlist no Microsoft Sentinel.

Cada modelo de lista de observação incorporado tem o seu próprio conjunto de dados listados no ficheiro CSV anexado ao modelo. Para obter mais informações, veja Esquemas de lista de observação incorporados.

Para transferir um dos modelos da lista de observação:

1. No portal do Defender, aceda a Microsoft Sentinel>Configuração>Lista de observação.

2. Selecione o separador Modelos (Pré-visualização).

3. Selecione um modelo na lista para ver os detalhes do modelo no painel direito.

4. Selecione os três pontos ... no fim da linha.

5. Selecione Transferir Esquema.

   

6. Preencha a sua versão local do ficheiro e guarde-a localmente como um ficheiro CSV.

7. Siga os passos em Carregar uma lista de observação criada a partir de um modelo (Pré-visualização).

Compreenda listas de observação apagadas e recriadas no Log Analytics

Se eliminar e recriar uma lista de vigilância, poderá ver no Log Analytics tanto as entradas eliminadas como as recriadas dentro do SLA de cinco minutos para a ingestão de dados. Se vir estas entradas juntas no Log Analytics durante um período de tempo mais longo, submeta um pedido de suporte.

Conteúdos relacionados

• Visualize os dados recolhidos na página de Visão Geral do Microsoft Sentinel
• Deteção de ameaças no Microsoft Sentinel
• Visualize e monitore seus dados usando pastas de trabalho no Microsoft Sentinel
• Gerir listas de observação no Microsoft Sentinel
• Compilar consultas ou regras de deteção com listas de observação no Microsoft Sentinel