Criar e gerenciar regras personalizadas de coleta de dados no Microsoft Defender para Endpoint

Importante

Algumas informações neste artigo estão relacionadas ao produto pré-lançado que pode ser modificado substancialmente antes de ser lançado comercialmente. A Microsoft não oferece garantias, expressas ou implícitas, com relação às informações aqui fornecidas.

As regras de coleta de dados personalizadas permitem capturar eventos de ponto de extremidade específicos além da telemetria padrão e enviá-los para Microsoft Sentinel para busca e investigação avançadas. Este artigo explica como criar, editar, monitorar e excluir essas regras no portal Microsoft Defender.

Dica

Antes de criar regras de recolha personalizadas, reveja Recolha de dados personalizada para compreender quando e por que motivo deve utilizar esta funcionalidade.

Pré-requisitos

Certifique-se de que tem:

Requisito	Detalhes
License	Microsoft Defender para Ponto de Extremidade Plano 2
espaço de trabalho do Microsoft Sentinel	Workspace do Microsoft Sentinel conectado (necessário para armazenamento e consulta de dados personalizados); atualmente limitado a um workspace do Microsoft Sentinel por locatário para coleta de dados personalizados
Etiquetas dinâmicas	Configurado na Gestão de Regras de Recursos e executado pelo menos uma vez; as etiquetas manuais (estáticas) não são suportadas
Sistemas operacionais com suporte	• Windows 10 e 11 (versão mínima do cliente 10.8805; Windows 10 requer inscrição da ESU) • Windows Server 2019 e posterior
Considerações de custos	A coleção de dados personalizada está incluída no Plano 2 do Defender para Ponto de Extremidade; a ingestão de dados no Microsoft Sentinel gera custos com base no faturamento do Sentinel

Importante

Mesmo que tenha uma área de trabalho Microsoft Sentinel ligada, tem de selecionar a área de trabalho ao criar regras de recolha de dados personalizadas.

Desempenho e limites

Os seguintes limites e características operacionais se aplicam às regras de coleta de dados personalizadas:

• Cada regra pode capturar até 75 000 eventos por dispositivo por janela temporal de 24 horas
• Quando um dispositivo atinge o limite, a telemetria para essa regra é interrompida até que a janela seja reiniciada
• Normalmente, a implementação de regras demora entre 20 minutos e 1 hora
• A coleção personalizada funciona juntamente com a configuração predefinida sem interferências

Considerações de segurança

Considere estas implicações de segurança antes de criar regras:

Considerações	Detalhes	Recomendação
Impacto no âmbito da regra	Regras demasiado amplas geram grandes volumes de dados, aumentando os custos e dificultando a análise	Equilibrar a especificidade com a cobertura ao iterar e refinar regras com base nos resultados iniciais
Regras demasiado estreitas	Pode perder eventos de segurança importantes	Testar com grupos piloto e monitorizar as lacunas na cobertura
Considerações de desempenho	Cada dispositivo tem um limite de 75.000 eventos por regra, por dia	Utilize várias regras focadas em vez de uma regra excessivamente ampla; direcione as regras cuidadosamente aos dispositivos em que o monitoramento é essencial
Estratégia de teste	Implementar regras sem testes pode levar a custos inesperados ou eventos perdidos	1. Comece com um pequeno grupo piloto (5 a 10 dispositivos) 2. Monitorizar o volume de dados e a qualidade do evento durante 24 a 48 horas 3. Refinar condições com base nos resultados 4. Expandir gradualmente para grupos de dispositivos maiores 5. Reveja regularmente as métricas de custo e desempenho

Criar regras

1. No portal do Microsoft Defender, navegue até Configurações>Endpoints>Regras>Coleta de Dados Personalizada.

2. Para adicionar sua área de trabalho do Microsoft Sentinel, no canto superior direito, selecione o nome da área de trabalho do Microsoft Sentinel.

   

3. Na página Âmbito da área de trabalho, selecione a área de trabalho.

   

   Observação

   Tem de selecionar a área de trabalho nesta fase, mesmo que já tenha uma área de trabalho Microsoft Sentinel ligada.

4. Selecione Criar regra. Na secção Informações Gerais , escreva um nome de regra e uma descrição e selecione Seguinte.

   

5. Na secção Criar regra :

   1. Selecione a tabela a partir da qual pretende recolher dados. Para obter mais informações, veja Tabelas de eventos suportadas.
   2. Selecione a ação para a qual pretende recolher dados.
   3. Adicione condições de regra para filtrar ainda mais os dados. Pode adicionar várias condições para refinar a recolha de dados. As condições da regra baseiam-se na tabela selecionada. Para obter mais informações, veja a respetiva ligação de tabela em Tabelas de eventos suportadas.

   

6. Selecione Avançar.

7. Na secção Definir âmbito da regra , selecione se pretende recolher dados de todos os dispositivos cliente aplicáveis ou de dispositivos específicos que incluam etiquetas dinâmicas. Para obter mais informações, veja Criar regras dinâmicas para dispositivos na gestão de regras de recursos.

   

   Observação

   A recolha de dados personalizada só suporta etiquetas dinâmicas.

8. Na seção Revisar e concluir, revise as configurações da regra e selecione Enviar.

   

A implementação da regra nos dispositivos visados pode demorar até uma hora.

Monitorar e solucionar problemas

Depois de implantar regras de coleta de dados personalizadas, verifique como elas são executadas e corrija os problemas.

Verificar a implementação de regras

Para verificar se uma regra está coletando dados de um dispositivo específico, use a seguinte consulta KQL para pesquisar todas as tabelas de eventos personalizadas na busca avançada, a ferramenta baseada em consulta em Microsoft Defender para investigar dados do dispositivo e verificar se a regra está gerando eventos:

search in (DeviceCustomFileEvents, DeviceCustomScriptEvents, DeviceCustomNetworkEvents, DeviceCustomProcessEvents, DeviceCustomImageLoadEvents) "your_device_id"
| where DeviceId == "your_device_id"
| summarize EventCount = count() by RuleName, RuleLastModificationTime, $table
| order by RuleLastModificationTime desc

Problemas comuns e soluções

A tabela a seguir lista problemas comuns com regras de coleta de dados personalizadas e como resolvê-los:

Problema	Causa possível	Solução
Não foram recolhidos eventos	Regra ainda não implementada	Aguarde até 1 hora pela implantação; verifique o status da regra no portal
Não foram recolhidos eventos	Dispositivo não direcionado corretamente	Verifique se a etiqueta dinâmica foi aplicada ao dispositivo e se a regra de etiqueta foi executada na Gestão de Regras de Recursos
Os eventos pararam de ser coletados	Limite de 75.000 eventos atingido	Reveja as condições da regra para torná-las mais específicas; aguarde pela reposição do período de 24 horas
Dispositivos inesperados coletando dados	Etiqueta dinâmica aplicada amplamente	Rever regras de etiquetas na Gestão de Regras de Recursos; refinar critérios de filtragem
Regra não visível no dispositivo	O dispositivo não cumpre os requisitos do SO	Verifique se a versão do cliente e a versão do SO cumprem os requisitos mínimos (Windows 10/11 versão 10.8805+, Windows Server 2019+)
A coleção personalizada não está inicializando	As exclusões EDR podem impedir a recolha	Verifique se existem exclusões EDR em caminhos ou processos de destino; podem ser necessários reinícios de dispositivos se a coleção personalizada não estiver a inicializar
As tags não estão sendo atualizadas	As tags dinâmicas não foram executadas recentemente	As etiquetas dinâmicas são atualizadas aproximadamente a cada hora — marcar Último tempo de execução na Gestão de Regras de Recursos

Monitorizar o desempenho das regras

Use as seguintes verificações para monitorar o desempenho da regra:

• Verificar o volume de eventos: consultar tabelas de eventos personalizadas para ver quantos eventos cada regra está a recolher
• Analisar o status da coleta: monitore se os dispositivos estão se aproximando do limite de 75.000 eventos por regra, por dia
• Validar direcionamento: certifique-se de que as regras estão sendo implantadas nos dispositivos corretos com base nas tags dinâmicas

Coletar todos os eventos para testes

Para recolher todos os eventos de uma tabela específica (para testes ou monitorização abrangente):

1. Criar uma regra com a tabela pretendida
2. Selecionar todas as ações disponíveis
3. Adicione uma condição que seja sempre verdadeira, como:
   • Para eventos de rede: RemotePort not equals 0
   • Para eventos de ficheiro: FileName not equals ""
   • Para eventos de processo: ProcessCommandLine not equals ""
4. Direcionar primeiro para um pequeno grupo piloto devido ao elevado volume de dados

Aviso

A recolha de todos os eventos gera volumes de dados muito grandes e pode atingir rapidamente o limite de 75 000 eventos por dispositivo. Utilize uma coleção abrangente apenas para fins de teste ou investigação específicos num pequeno número de dispositivos.

Gerenciar regras

Editar uma regra

Para editar uma regra de coleta de dados personalizada existente:

1. Navegue para Configurações>Endpoints>Regras>Coleta de Dados Personalizada
2. Selecione a regra que pretende editar
3. Selecione Editar
4. Modificar as definições de regras conforme necessário (nome, descrição, tabela, ações, condições ou filtragem de dispositivos)
5. Selecione Enviar

As alterações têm efeito nos dispositivos visados dentro de 20 minutos a 1 hora.

Ativar ou desativar uma regra

Para habilitar ou desabilitar uma regra de coleta de dados personalizada:

1. Em Recolha de Dados Personalizados, selecione a regra
2. Selecione ou desmarque a caixa de verificação Ativar na descrição da regra

Quando você desativa uma regra, a coleta de dados é interrompida em todos os dispositivos de destino na próxima verificação do agente (normalmente, em alguns minutos ou até 1 hora).

Eliminar uma regra

Importante

Eliminar uma regra é permanente e não pode ser anulada. Os dados históricos no Microsoft Sentinel permanecem disponíveis, mas a nova coleção para imediatamente.

Use as seguintes etapas para excluir permanentemente uma regra de coleta de dados personalizada:

1. Em Recolha de Dados Personalizados, selecione a regra
2. Selecione Eliminar
3. Confirmar eliminação

Próximas etapas

• Descrição geral da recolha de dados personalizada: Rever as capacidades e quando utilizar a coleção personalizada
• Criar e gerir etiquetas de dispositivos e dispositivos de destino: Saiba como as etiquetas permitem a filtragem de dispositivos em escala
• Investigação avançada: consultar tabelas de eventos personalizadas no Microsoft Sentinel