Descrição geral das deteções personalizadas

Com as deteções personalizadas, pode monitorizar e responder proativamente a vários eventos e estados do sistema, incluindo atividades suspeitas de violação e pontos finais configurados incorretamente. As deteções personalizadas são regras de deteção personalizáveis que acionam automaticamente alertas e ações de resposta.

As deteções personalizadas funcionam com a caça avançada, que disponibiliza uma linguagem de consulta poderosa e flexível, abrangendo um amplo conjunto de informações de eventos e do sistema da sua rede. Pode defini-los para serem executados em intervalos regulares, gerando alertas e efetuando ações de resposta sempre que existirem correspondências. Pode criar regras de deteção personalizadas a partir do editor de consultas de investigação avançada ou diretamente a partir da lista de regras de deteção personalizadas.

As deteções personalizadas fornecem:

• Alertas para deteções baseadas em regras criadas a partir de consultas de investigação avançadas
• Ações de resposta automática

Otimizar as consultas em regras de deteção personalizadas é importante para evitar tempos limite e garantir eficiência. Existem vários recursos disponíveis que fornecem orientações para otimizar as suas consultas em Advanced hunting query best practices.

Gerir deteções personalizadas como código (Pré-visualização)

Pode gerir regras de deteção personalizadas como código num repositório GitHub ou Azure DevOps usando a extensão Microsoft Security BICEP. Implemente deteções personalizadas através dos repositórios Microsoft Sentinel para sincronização automática, ou use a CLI BICEP para pipelines personalizados. Para mais informações, consulte Implementar regras de deteção personalizadas como código.

Consulte também

• Criar e gerir regras de deteção personalizadas
• Melhores práticas para consultas de pesquisa avançada
• Migrar consultas de investigação avançadas do Microsoft Defender para Endpoint
• API de segurança do Microsoft Graph para deteções personalizadas