Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
O portal de Microsoft Defender fornece uma experiência centralizada para configurar a retenção de dados ao nível da tabela e definições de camada em Microsoft Sentinel e Microsoft Defender XDR. Você pode exibir e gerenciar as configurações de retenção, alternar entre as camadas de análise e Data Lake e otimizar o armazenamento com base nos requisitos operacionais e de custo.
Este artigo explica como definir as configurações de retenção e camada para tabelas de Microsoft Sentinel e Defender XDR no portal Microsoft Defender. Este documento também explica como usar o Table Insights, um recurso de monitoramento integrado que exibe dados de integridade da ingestão para cada tabela em seu espaço de trabalho.
Para obter mais informações sobre como funcionam as camadas de dados e a retenção, veja Gerir camadas de dados e retenção no Microsoft Sentinel.
Pré-requisitos
- Para gerenciar tabelas de busca do Defender XDR, você precisa se cadastrar no Microsoft Sentinel no portal do Defender. Para obter mais informações, veja Ligar Microsoft Sentinel ao portal do Microsoft Defender.
- Para usar o Table Insights, você precisa de acesso de leitura à página Tabelas em seu espaço de trabalho. O Table Insights requer as mesmas permissões que a visualização das configurações da tabela. Para obter mais informações, consulte Permissões necessárias.
Permissões obrigatórias
As permissões de workspace do Microsoft Sentinel permitem exibir ou gerenciar tabelas em workspaces específicos do Microsoft Sentinel, enquanto as permissões unificadas de RBAC (controle de acesso baseado em função) se aplicam a todos os workspaces do Microsoft Sentinel no portal do Defender.
Permissões para gerenciar as configurações da tabela
A tabela a seguir lista as permissões necessárias para visualizar ou configurar configurações de tabelas.
| Ação | RBAC unificado no portal do Defender | Permissões do espaço de trabalho do Microsoft Sentinel |
|---|---|---|
| Ver definições da tabela | Permissões Security data basics (read) no grupo de permissões Security operations |
As permissões Microsoft.OperationalInsights/workspaces/tables/read para o espaço de trabalho de análise de logs conforme fornecidas pela função interna do Leitor de análise de logs, por exemplo. |
| Configurar definições de tabela | Permissões Data (manage) no grupo de permissões Data operations |
As permissões Microsoft.OperationalInsights/workspaces/write e Microsoft.OperationalInsights/workspaces/tables/write para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna Colaborador do Log Analytics, por exemplo. |
Para obter mais informações sobre o RBAC unificado no portal do Defender, veja Microsoft Defender XDR Controlo de acesso baseado em funções (RBAC) unificado.
Para obter mais informações sobre as permissões do espaço de trabalho do Microsoft Sentinel, consulte Funções e permissões na plataforma Microsoft Sentinel.
Permissões de insights da tabela
Use as seguintes permissões quando quiser investigar a saúde da ingestão em Table insights ou executar uma ação em uma tabela sinalizada.
| Tarefa | Função mínima | Scope |
|---|---|---|
| Exibir cartões de Table Insights e a grade da tabela | Função interna de Leitor do Microsoft Sentinel | Grupo de recursos que contém os workspace |
| Configurar limites de flutuação ou personalizar colunas de tabela | função interna de Colaborador do Microsoft Sentinel | Workspace |
| Alterar uma camada de tabela ou uma configuração de retenção | Função interna de Colaborador do Microsoft Sentinel e função interna de Colaborador do Log Analytics | Workspace |
| Criar uma regra de coleta de dados (DCR) ou uma transformação de tempo de ingestão a partir de uma tabela sinalizada | Função interna de Colaborador de Monitoramento e função interna de Colaborador Microsoft Sentinel | Assinatura ou grupo de recursos que contém o DCR |
| Leia os sinais subjacentes de saúde para alertas personalizados | Função interna de Leitor do Log Analytics | Workspace |
As funções personalizadas devem incluir permissões equivalentes de leitura e gravação para configurações de tabela e investigação de integridade, incluindo as ações da dados Microsoft.OperationalInsights/workspaces/tables/read e Microsoft.SecurityInsights/*/read.
Gerir definições de tabela
Para configurar as definições de retenção e de camada das tabelas no portal do Microsoft Defender, siga estas etapas:
Selecione Microsoft Sentinel>Configuração>Tabelas no painel de navegação esquerdo.
A página Tabelas lista todas as tabelas que você pode gerenciar no portal Microsoft Defender e as configurações atuais de cada tabela.
A coluna de espaço de trabalho mostra o espaço de trabalho do Microsoft Sentinel onde uma tabela do Microsoft Sentinel ou personalizada é armazenada.
Para gerir Microsoft Sentinel e tabelas personalizadas numa área de trabalho diferente Microsoft Sentinel, selecione o nome da área de trabalho no canto superior esquerdo do ecrã para alternar entre áreas de trabalho.
Selecione uma tabela no ecrã Tabelas .
Selecionar uma tabela abre o painel lateral de detalhes da tabela com mais informações sobre a tabela, incluindo fontes de dados, descrição da tabela, camada e detalhes de retenção.
Selecione Gerir tabela.
A tela Gerenciar tabela permite modificar as configurações de retenção na camada atual e alterar a camada de armazenamento, se necessário.
Definições de retenção do escalão de análise:
- Retenção de dados analíticos: Defina um valor de 30 dias a dois anos.
- Retenção total: defina um valor de até 12 anos de armazenamento de longo prazo no Data Lake.
Camada do Data Lake: Defina Retenção para um valor entre 30 dias e 12 anos. Selecionar a camada Data Lake armazena dados exclusivamente no Data Lake.
Alterações de escalão: se necessário, pode alterar os escalões em qualquer altura com base nas suas necessidades de gestão de custos e utilização de dados.
Importante
A alteração de nível não está disponível para todas as tabelas. Por exemplo, algumas tabelas de solução do XDR e do Microsoft Sentinel devem permanecer na camada de Análise porque os serviços de segurança da Microsoft exigem os dados dessas tabelas para análises quase em tempo real.
Para obter mais informações sobre as definições de retenção e camadas, veja Gerir camadas de dados e retenção no Microsoft Sentinel.
Reveja avisos e mensagens. Estas mensagens ajudam-no a compreender implicações importantes da alteração das definições da tabela.
Os exemplos incluem:
- É provável que o aumento da retenção aumente o custo dos dados.
- A alteração da camada de Análise para a camada Data Lake faz com que os recursos que dependem dos dados do Analytics interrompa o funcionamento, como:
- Geração de alertas
- Busca avançada
- Regras de análise
- Regras de detecção personalizadas
Selecione Guardar para aplicar as novas definições.
Use o Table Insights para monitorar a integridade das tabelas
O Table Insights é uma visualização de monitoramento integrada na página Tabelas do portal do Microsoft Defender. Ele fornece aos engenheiros de segurança e de plataforma uma visão única, em nível de tabela, da integridade da ingestão em um espaço de trabalho do Microsoft Sentinel, incluindo tabelas preenchidas por conectores de dados de terceiros. Use-o para detectar falhas silenciosas de conectores, investigar picos de custos, validar a integração de um novo conector e identificar tabelas que podem precisar de um nível ou configuração de retenção diferente.
Analise a seção de informações da tabela e a grade da tabela em conjunto para entender se uma tabela está saudável, cara ou mal configurada.
| Sinal | O que ele mostra | Como usar |
|---|---|---|
| Volume de ingestão por camada | O total acumulado de 30 dias de gigabytes ingeridos nas camadas de Analytics e Data Lake para o espaço de trabalho atual | Compare a quantidade de dados que cada camada está recebendo antes de mover tabelas entre camadas ou reduzir a retenção. |
| Flutuações na ingestão de tabelas | Tabelas cujo volume de ingestão das últimas 24 horas difere do mesmo dia da semana anterior em pelo menos o limite de flutuação configurado | Investigue primeiro grandes quedas ou picos. Um valor negativo pode indicar um problema de coleta upstream, enquanto um valor positivo pode sinalizar um crescimento inesperado de custos. |
| 5 principais tabelas por volume de ingestão diária | As tabelas que geraram a maior ingestão diária nos últimos 30 dias | Use essa exibição para identificar os principais drivers de custo no workspace e decidir se uma transformação ou alteração de camada pode ajudar. |
| Últimos dados recebidos | Quanto tempo se passou desde a última vez que a tabela recebeu um registro | Use esse valor para detectar um conector que ficou silencioso, especialmente após uma implantação ou alteração de credencial. |
| Ingestão diária média | O número médio de gigabytes por dia no período analisado | Compare esse valor com as configurações de retenção para localizar tabelas que armazenam mais dados do que você precisa para investigações ativas. |
| Est. custo diário de ingestão | O custo estimado de ingestão diária para a camada atual da tabela | Use essa estimativa para priorizar quais tabelas otimizar primeiro quando os custos aumentarem. |
| Anomalia de volume | A variação percentual com sinal em relação ao padrão de ingestão de referência | Concentre-se em grandes valores positivos para crescimento inesperado de custos e grandes valores negativos para possíveis falhas de coleta de dados. |
Para exibir todos os insights da tabela e investigar o comportamento da tabela:
Entre no portal do Microsoft Defender.
Vá para Microsoft Sentinel>Configuration>Tables.
Selecione Exibir tudo.
Revise todas as análises.
(Opcional) Adicione filtros adicionais, como:
- Porcentagem mínima de flutuação.
- Volume mínimo de flutuação por quilobytes (KB), megabytes (MB) ou gigabytes (GB).
(Opcional) Classifique a tabela selecionando um dos cabeçalhos.
Os insights de tabela são úteis em cenários como:
- Se um conector de terceiros parar de enviar dados silenciosamente, classifique por Últimos dados recebidos e revise o cartão Flutuações na ingestão de tabelas para as tabelas que tiveram ingestão zero nas últimas 24 horas em comparação com o mesmo período da semana passada.
- Se um conector com alto volume de dados causar um pico de custo inesperado, revise 5 principais tabelas por volume de ingestão diária, inspecione Anomalia de volume e Custo estimado de ingestão diária para encontrar a tabela que precisa de transformação ou revisão de camada.
- Se você acabou de integrar um novo conector de dados de terceiros, confirme se sua tabela de destino aparece na grade, está recebendo dados e está na camada esperada.
- Se você precisar ajustar corretamente as configurações da tabela, compare ingestão diária média, custo estimado de ingestão diária, camada e retenção para identificar candidatos à camada Data Lake ou a um período de retenção mais curto.
- Se as detecções caírem repentinamente, examine o cartão de flutuações em busca de tabelas que mostrem uma redução de 100% e correlacione essas tabelas com as detecções que deixaram de ser acionadas.
Limitações do Table Insights
Lembre-se das seguintes limitações ao interpretar os dados do Table Insights:
| Area | Limitation |
|---|---|
| Janela de retrospectiva | Os cartões de volume de ingestão mostram apenas os últimos 30 dias. As flutuações comparam as últimas 24 horas com o mesmo dia da semana passada, portanto não levam em consideração padrões sazonais mais longos, como processos em lote no fim do mês. |
| Limites de flutuação | Por padrão, as flutuações exigem pelo menos uma alteração de 10% e 1 megabyte de alteração absoluta. Tabelas abaixo de 1 MB por dia não são avaliadas e não aparecerão no cartão, mesmo se pararem totalmente de enviar dados. |
| Estimativas de custo | O valor do Custo estimado de ingestão diária é baseado no preço de tabela público para o nível e região atuais da tabela. Isso não reflete descontos por camada de compromisso, reservas nem preços privados. |
| Cobertura de níveis | As tabelas dos níveis Auxiliar, Logs Básicos e Data Lake são listadas, mas o sinal Anomalia de volume está atualmente otimizado para tabelas do nível Analytics. Os resultados das tabelas de camada de Data Lake podem ser menos precisos. |
| Geração de alertas |
Table Insights é apenas uma superfície de visualização. Para gerar alertas sobre a integridade da tabela, como quando um conector fica inativo, crie uma regra de análise agendada que use a tabela SentinelHealth ou uma consulta Linguagem de Consulta Kusto (KQL) em Usage ou em um esquema específico da tabela. |
| Exibição de vários espaços de trabalho | Os insights da tabela mostram dados apenas para o workspace selecionado no momento. Se você gerencia vários espaços de trabalho, alterne entre eles para revisar cada um separadamente. |