Ligar o Microsoft Sentinel a outros serviços Microsoft com um conector de dados baseado em agente do Windows
Este artigo descreve como conectar o Microsoft Sentinel a outras conexões baseadas em agente do Windows de serviços da Microsoft. O Microsoft Sentinel usa o Azure Monitor Agent para fornecer suporte interno de serviço a serviço para ingestão de dados de muitos serviços do Azure e do Microsoft 365, Amazon Web Services e vários serviços do Windows Server.
O Agente do Azure Monitor usa regras de coleta de dados (DCRs) para definir os dados a serem coletados de cada agente. As regras de recolha de dados oferecem-lhe duas vantagens distintas:
Gerencie as configurações de coleta em escala e, ao mesmo tempo, permita configurações exclusivas e com escopo para subconjuntos de máquinas. Eles são independentes do espaço de trabalho e da máquina virtual, o que significa que podem ser definidos uma vez e reutilizados em máquinas e ambientes. Consulte Configurar a coleta de dados para o Azure Monitor Agent.
Crie filtros personalizados para escolher os eventos exatos que deseja ingerir. O Agente do Azure Monitor usa essas regras para filtrar os dados na origem e ingerir apenas os eventos desejados, deixando todo o resto para trás. Isto pode poupar-lhe muito dinheiro em custos de ingestão de dados!
Nota
Para obter informações sobre a disponibilidade de recursos em nuvens do governo dos EUA, consulte as tabelas do Microsoft Sentinel em Disponibilidade de recursos de nuvem para clientes do governo dos EUA.
Importante
Alguns conectores baseados no Azure Monitor Agent (AMA) estão atualmente em VISUALIZAÇÃO. Consulte os Termos de Utilização Suplementares das Pré-visualizações do Microsoft Azure para obter os termos legais adicionais que se aplicam às funcionalidades do Azure que estão em versão beta, pré-visualização ou ainda não disponibilizadas para disponibilidade geral.
Pré-requisitos
Você deve ter permissões de leitura e gravação no espaço de trabalho do Microsoft Sentinel.
Para coletar eventos de qualquer sistema que não seja uma máquina virtual do Azure, o sistema deve ter o Azure Arc instalado e habilitado antes de habilitar o conector baseado no Azure Monitor Agent.
O que está incluído:
- Servidores Windows instalados em máquinas físicas
- Servidores Windows instalados em máquinas virtuais locais
- Servidores Windows instalados em máquinas virtuais em nuvens que não sejam do Azure
Para o conector de dados de Eventos Encaminhados do Windows:
- Você deve ter a Coleta de Eventos do Windows (WEC) habilitada e em execução, com o Agente do Monitor do Azure instalado na máquina WEC.
- Recomendamos a instalação dos analisadores ASIM (Advanced Security Information Model) para garantir suporte total à normalização de dados. Você pode implantar esses analisadores do
Azure-Sentinel
repositório GitHub usando o botão Implantar no Azure lá.
Instale a solução Microsoft Sentinel relacionada a partir do Content Hub no Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerenciar conteúdo pronto para uso do Microsoft Sentinel.
Criar regras de coleta de dados através da GUI
No Microsoft Sentinel, selecione Conectores de dados de configuração>. Selecione o conector na lista e, em seguida, selecione Abrir página do conector no painel de detalhes. Em seguida, siga as instruções no ecrã no separador Instruções , conforme descrito no resto desta secção.
Verifique se você tem as permissões apropriadas, conforme descrito na seção Pré-requisitos na página do conector.
Em Configuração, selecione +Adicionar regra de coleta de dados. O assistente Criar regra de coleta de dados será aberto à direita.
Em Noções básicas, insira um nome de regra e especifique um grupo de Assinatura e Recursos onde a regra de coleta de dados (DCR) será criada. Isso não precisa ser o mesmo grupo de recursos ou assinatura em que as máquinas monitoradas e suas associações estão, desde que estejam no mesmo locatário.
Na guia Recursos, selecione +Adicionar recurso(s) para adicionar máquinas às quais a Regra de Coleta de Dados será aplicada. A caixa de diálogo Selecione um escopo será aberta e você verá uma lista de assinaturas disponíveis. Expanda uma assinatura para ver seus grupos de recursos e expanda um grupo de recursos para ver as máquinas disponíveis. Você verá máquinas virtuais do Azure e servidores habilitados para Azure Arc na lista. Você pode marcar as caixas de seleção de assinaturas ou grupos de recursos para selecionar todas as máquinas que elas contêm, ou pode selecionar máquinas individuais. Selecione Aplicar quando tiver escolhido todas as suas máquinas. No final desse processo, o Agente do Azure Monitor será instalado em todas as máquinas selecionadas que ainda não o tenham instalado.
Na guia Coletar, escolha os eventos que deseja coletar: selecione Todos os eventos ou Personalizado para especificar outros logs ou filtrar eventos usando consultas XPath. Insira expressões na caixa que avaliam critérios XML específicos para eventos a serem coletados e selecione Adicionar. Você pode inserir até 20 expressões em uma única caixa e até 100 caixas em uma regra.
Para obter mais informações, consulte a documentação do Azure Monitor.
Nota
O conector de Eventos de Segurança do Windows oferece dois outros conjuntos de eventos pré-criados que você pode optar por coletar: Comum e Mínimo.
O Azure Monitor Agent suporta consultas XPath apenas para XPath versão 1.0.
Para testar a validade de uma consulta XPath, use o cmdlet do PowerShell Get-WinEvent com o parâmetro -FilterXPath . Por exemplo:
$XPath = '*[System[EventID=1035]]' Get-WinEvent -LogName 'Application' -FilterXPath $XPath
- Se os eventos forem retornados, a consulta será válida.
- Se você receber a mensagem "Não foram encontrados eventos que correspondam aos critérios de seleção especificados", a consulta pode ser válida, mas não há eventos correspondentes na máquina local.
- Se você receber a mensagem "A consulta especificada é inválida", a sintaxe da consulta é inválida.
Depois de adicionar todas as expressões de filtro desejadas, selecione Avançar: Revisar + criar.
Quando vir a mensagem Validação aprovada , selecione Criar.
Você verá todas as suas regras de coleta de dados, incluindo aquelas criadas por meio da API, em Configuração na página do conector. A partir daí, você pode editar ou excluir regras existentes.
Criar regras de coleta de dados usando a API
Você também pode criar regras de coleta de dados usando a API, o que pode facilitar a vida se você estiver criando muitas regras, como se você for um MSSP. Eis um exemplo (para os Eventos de Segurança do Windows através do conector AMA ) que pode utilizar como modelo para criar uma regra:
URL e cabeçalho da solicitação
PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.Insights/dataCollectionRules/myCollectionRule?api-version=2019-11-01-preview
Corpo do pedido
{
"location": "eastus",
"properties": {
"dataSources": {
"windowsEventLogs": [
{
"streams": [
"Microsoft-SecurityEvent"
],
"xPathQueries": [
"Security!*[System[(EventID=) or (EventID=4688) or (EventID=4663) or (EventID=4624) or (EventID=4657) or (EventID=4100) or (EventID=4104) or (EventID=5140) or (EventID=5145) or (EventID=5156)]]"
],
"name": "eventLogsDataSource"
}
]
},
"destinations": {
"logAnalytics": [
{
"workspaceResourceId": "/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.OperationalInsights/workspaces/centralTeamWorkspace",
"name": "centralWorkspace"
}
]
},
"dataFlows": [
{
"streams": [
"Microsoft-SecurityEvent"
],
"destinations": [
"centralWorkspace"
]
}
]
}
}
Para obter mais informações, consulte:
Próximos passos
Para obter mais informações, consulte: