Mengekspor dan mengimpor aturan analitik ke dan dari templat ARM

Penting

Deteksi kustom sekarang menjadi cara terbaik untuk membuat aturan baru di seluruh Microsoft Sentinel SIEM Microsoft Defender XDR. Dengan deteksi kustom, Anda dapat mengurangi biaya penyerapan, mendapatkan deteksi real-time tanpa batas, dan mendapat manfaat dari integrasi yang mulus dengan data, fungsi, dan tindakan remediasi Defender XDR dengan pemetaan entitas otomatis. Untuk informasi selengkapnya, baca Deteksi kustom sekarang menjadi pengalaman terpadu untuk membuat deteksi di Microsoft Defender XDR.

Penting

Mengekspor dan mengimpor aturan masih dalam PRATINJAU. Lihat Ketentuan Penggunaan Tambahan untuk Pratinjau Microsoft Azure untuk persyaratan hukum tambahan yang berlaku untuk fitur Azure yang dalam versi beta, pratinjau, atau belum dirilis ke ketersediaan umum.

Artikel ini menunjukkan cara mengekspor aturan Microsoft Sentinel analytics ke file JSON template Azure Resource Manager (ARM) dan mengimpor aturan dari file tersebut ke workspace atau tenant lain. Gunakan fitur ini untuk mengelola aturan analitik Anda sebagai kode, memungkinkan kontrol versi dan penerapan yang konsisten di berbagai lingkungan.

Cara kerja ekspor dan impor templat ARM untuk aturan analitik

Anda sekarang dapat mengekspor aturan analitik Anda ke file templat Azure Resource Manager (ARM), dan mengimpor aturan dari file-file ini, sebagai bagian dari mengelola dan mengendalikan penyebaran Microsoft Azure Sentinel Anda sebagai kode. Tindakan ekspor akan membuat file JSON (bernama Azure_Sentinel_analytic_rule.json) di lokasi unduhan browser Anda, yang kemudian dapat Anda ganti nama, pindahkan, dan ditangani seperti file lainnya.

File JSON yang diekspor bersifat independen dari ruang kerja, sehingga dapat diimpor ke ruang kerja lain dan bahkan penyewa lainnya. Sebagai kode, versi file tersebut juga dapat dikontrol, diperbarui, dan disebarkan dalam kerangka kerja CI/CD terkelola.

File ini mencakup semua parameter yang didefinisikan dalam aturan analitik, jadi untuk aturan Terjadwal, file ini mencakup kueri yang mendasarinya dan pengaturan penjadwalan yang menyertainya, tingkat keparahan, pembuatan insiden, pengaturan pengelompokan kejadian dan pemberitahuan, taktik MITRE ATT&CK yang ditetapkan, dan sebagainya. Setiap jenis aturan analitik - tidak hanya Terjadwal - dapat diekspor ke file JSON.

Ekspor aturan analitik ke template ARM

Lakukan langkah-langkah berikut untuk mengekspor aturan analitik ke file templat ARM:

  1. Dari menu navigasi Microsoft Azure Sentinel, pilih Analitik.

  2. Pilih aturan yang ingin Anda ekspor dan klik Ekspor dari bar di bagian atas layar.

    Mengekspor aturan analitik

    Note

    • Anda dapat memilih beberapa aturan analitik sekaligus untuk diekspor dengan menandai kotak centang di samping aturan dan mengklik Ekspor di akhir.

    • Anda dapat mengekspor semua aturan dalam satu halaman kisi tampilan sekaligus dengan menandai kotak centang di baris header (di samping KEPARAHAN) sebelum mengklik Ekspor. Namun, Anda tidak dapat mengekspor aturan senilai lebih dari satu halaman pada satu waktu.

    • Perhatikan bahwa pada skenario ini, satu file (bernama Azure_Sentinel_analytic_rules.json) akan dibuat, dan akan berisi kode JSON untuk semua aturan yang diekspor.

Impor aturan analitik dari template ARM

Lakukan langkah-langkah berikut untuk mengimpor aturan analitik dari file templat ARM:

  1. Pastikan file JSON templat ARM untuk aturan analitik sudah siap.

  2. Dari menu navigasi Microsoft Azure Sentinel, pilih Analitik.

  3. Klik Import dari bar di bagian atas layar. Dalam kotak dialog yang dihasilkan, navigasi ke dan pilih file JSON yang mewakili aturan yang ingin Anda impor, dan pilih Buka.

    Mengimpor aturan analitik

    Note

    Anda dapat mengimpor hingga 50 aturan analitik dari satu file templat ARM.

Langkah berikutnya

Anda dapat mengekspor dan mengimpor aturan analitik ke dan dari templat ARM untuk mengelola penyebaran Microsoft Sentinel Anda sebagai kode.

  • Last updated on