Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Ao criar conteúdo personalizado, você pode gerenciá-lo a partir dos seus próprios espaços de trabalho do Microsoft Sentinel ou de um repositório externo de controle de versão. Este artigo descreve como criar e gerenciar conexões entre o Microsoft Sentinel e os repositórios do GitHub ou do Azure DevOps. Gerenciar seu conteúdo em um repositório externo permite que você faça atualizações nesse conteúdo fora do Microsoft Sentinel e que o conteúdo atualizado seja automaticamente implantado em seus espaços de trabalho. Para obter mais informações, consulte Atualizar conteúdo personalizado com conexões de repositório.
Importante
Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender. A partir de julho de 2025, muitos novos clientes serão automaticamente integrados e redirecionados para o portal do Defender.
Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender. Para obter mais informações, consulte É hora de mudar: desativando o portal do Azure do Microsoft Sentinel para maior segurança.
Pré-requisitos
Atualmente, o Microsoft Sentinel dá suporte a conexões com repositórios DevOps do GitHub e do Azure. Antes de conectar seu espaço de trabalho do Microsoft Sentinel ao repositório de controle do código-fonte, verifique se:
- Você tem um papel de Proprietário no grupo de recursos que contém seu espaço de trabalho do Microsoft Sentinel.
- Os arquivos de conteúdo personalizado que você deseja implantar em seus espaços de trabalho estão em um formato compatível. Para formatos com suporte, consulte Planejar o conteúdo do repositório.
- A conta que você usa para criar a conexão está em seu locatário principal. Identidades externas como contas de convidados B2B e acesso delegado não são suportadas.
- (Apenas regras de detecção personalizadas): Uma licença Microsoft 365 E5 (ou licença equivalente que inclui Microsoft Defender XDR) e espaços de trabalho Microsoft Sentinel integrados ao portal Microsoft Defender. Para obter mais informações, consulte Implantar regras de detecção personalizadas como código.
Antes de se conectar ao GitHub, verifique se você tem os seguintes pré-requisitos:
- Acesso do colaborador ao repositório GitHub
- Ações habilitadas para GitHub e Pipelines habilitados para Azure DevOps
Para obter mais informações sobre tipos de conteúdo implantáveis, consulte Planejar o conteúdo do repositório.
Conectar um repositório
Este procedimento descreve como conectar um repositório DevOps do GitHub ou do Azure ao seu workspace do Microsoft Sentinel.
Cada conexão pode dar suporte a vários tipos de conteúdo personalizado, incluindo regras de análise, regras de automação, regras de detecção personalizadas (versão prévia), consultas de busca, analisadores, guias estratégicos e pastas de trabalho. Para obter mais informações, consulte Sobre o conteúdo e as soluções do Microsoft Sentinel.
Você não pode criar conexões duplicadas com o mesmo repositório e ramificação em um único workspace do Microsoft Sentinel.
Crie sua conexão:
Verifique se você está conectado ao aplicativo de controle do código-fonte com as credenciais que deseja usar para sua conexão. Se você estiver conectado usando credenciais diferentes, saia primeiro.
Para o Microsoft Sentinel no portal do Azure, em Gerenciamento de conteúdo, selecione Repositórios.
Para o Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>>.
Selecione Adicionar novo e, na página Criar nova conexão de implantação , insira um nome e uma descrição significativos para sua conexão.
Na lista suspensa Controle de código-fonte, selecione o tipo de repositório ao qual deseja se conectar e, em seguida, selecione Autorizar.
Selecione uma das seguintes abas, de acordo com o seu tipo de conexão:
Insira suas credenciais do GitHub quando solicitado.
Na primeira vez que adicionar uma conexão, você será solicitado a autorizar a conexão com o Microsoft Sentinel. Se você já estiver conectado à sua conta do GitHub no mesmo navegador, suas credenciais do GitHub serão preenchidas automaticamente.
Uma área Repositório agora é exibida na página Criar nova conexão de implantação , onde você pode selecionar um repositório existente ao qual se conectar. Selecione seu repositório na lista e, em seguida, selecione Adicionar repositório.
Na primeira vez que se conectar a um repositório específico, você verá uma nova janela ou guia do navegador, solicitando que você instale o aplicativo Azure-Sentinel em seu repositório. Se você tiver vários repositórios, selecione aqueles em que deseja instalar o aplicativo Azure-Sentinel e instale-o.
Você será direcionado ao GitHub para continuar a instalação do aplicativo.
Depois que o aplicativo Azure-Sentinel for instalado em seu repositório, a lista suspensa de ramificações na página Criar nova conexão de implantação será preenchida com suas ramificações. Selecione a ramificação que você deseja conectar ao seu workspace do Microsoft Sentinel.
Na lista suspensa Tipos de conteúdo, selecione o tipo de conteúdo que você está implantando.
Tanto os parsers quanto as consultas de busca usam a API de Saved Searches para implantar conteúdo no Microsoft Sentinel. Se você selecionar um desses tipos de conteúdo e também tiver conteúdo do outro tipo em sua ramificação, ambos os tipos de conteúdo serão implantados.
Para todos os outros tipos de conteúdo, selecionar um tipo de conteúdo no painel Criar nova conexão de implantação implanta apenas esse conteúdo no Microsoft Sentinel. O conteúdo de outros tipos não é implantado.
Selecione Criar para criar sua conexão. Por exemplo:
Depois de criar a conexão, um novo fluxo de trabalho ou pipeline é gerado em seu repositório. O conteúdo armazenado no repositório é implantado no workspace do Microsoft Sentinel.
O tempo de implantação pode variar de acordo com o volume de conteúdo que você está implantando.
Exibir o status da implantação
No GitHub: Na guia Ações do repositório, selecione o arquivo .yaml do fluxo de trabalho para acessar logs de implantação detalhados e quaisquer mensagens de erro específicas.
No DevOps do Azure: Exiba o status da implantação na guia Pipelines do repositório.
Após a conclusão da implantação:
O conteúdo armazenado em seu repositório é exibido em seu workspace do Microsoft Sentinel, na página relevante do Microsoft Sentinel.
Os detalhes da conexão na página Repositórios são atualizados com o link para os logs de implantação da conexão e o status e hora da última implantação. Por exemplo:
O fluxo de trabalho padrão só implanta conteúdo modificado desde a última implantação com base em commits no repositório, mas talvez você queira desativar implantações inteligentes ou realizar outras customizações. Por exemplo, você pode configurar diferentes gatilhos de implantação ou implantar conteúdo exclusivamente de uma pasta raiz específica. Para saber mais, veja Personalizar implantações de repositório.
Editar conteúdo
Quando você cria com sucesso uma conexão com o repositório de controle do código-fonte, o conteúdo é implantado no Sentinel. Recomendamos que você edite o conteúdo armazenado em um repositório conectado somente no repositório, e não no Microsoft Sentinel. Por exemplo, para fazer alterações em suas regras de análise, faça isso diretamente no GitHub ou no Azure DevOps.
Se você editar o conteúdo no Microsoft Sentinel em vez disso, exporte o conteúdo editado para o repositório de controle de versão para impedir que suas alterações sejam sobrescritas na próxima implantação do conteúdo do repositório no seu espaço de trabalho.
Excluir conteúdo
Excluir conteúdo do repositório não o exclui do workspace do Microsoft Sentinel. Se você quiser remover o conteúdo que foi implantado por meio de repositórios, exclua-o do repositório e do Microsoft Sentinel. Por exemplo, defina um filtro para o conteúdo com base no nome da fonte para facilitar a identificação do conteúdo dos repositórios.
Remover uma conexão de repositório
As etapas a seguir descrevem como remover a conexão com um repositório de controle de código-fonte no Microsoft Sentinel. Para usar arquivos Bicep, a conexão do repositório deve ser posterior a 1º de novembro de 2024. Use este procedimento para remover a conexão e recriá-la para atualizar a conexão.
Para remover sua conexão:
- No Microsoft Sentinel, em Gerenciamento de conteúdo, selecione Repositórios.
- Na grade, selecione a conexão que você deseja remover e, em seguida, selecione Excluir.
- Selecione Sim para confirmar a exclusão.
Depois de remover sua conexão, o conteúdo que foi implantado anteriormente por meio da conexão permanecerá em seu workspace do Microsoft Sentinel. O conteúdo adicionado ao repositório após a remoção da conexão não é implantado.
Se você encontrar problemas ou uma mensagem de erro ao excluir sua conexão, recomendamos que você verifique seu controle de versão. Confirme se o fluxo de trabalho do GitHub ou o pipeline do DevOps do Azure associado à conexão foi excluído.
Remover o aplicativo Microsoft Sentinel do repositório GitHub
Se você pretende excluir o aplicativo Microsoft Sentinel de um repositório GitHub, recomendamos que primeiro remova todas as conexões associadas da página Repositórios do Microsoft Sentinel.
Cada instalação do aplicativo Microsoft Sentinel tem uma ID exclusiva que é usada ao adicionar e remover a conexão. Se a ID estiver ausente ou alterada, remova a conexão da página Repositórios do Microsoft Sentinel e remova manualmente o fluxo de trabalho do repositório GitHub para evitar futuras implantações de conteúdo.