Visualize e monitore seus dados usando pastas de trabalho no Microsoft Sentinel
Depois de conectar suas fontes de dados ao Microsoft Sentinel, visualize e monitore os dados usando pastas de trabalho no Microsoft Sentinel. O Microsoft Sentinel permite que você crie pastas de trabalho personalizadas em seus dados ou use modelos de pasta de trabalho existentes disponíveis com soluções empacotadas ou como conteúdo autônomo do hub de conteúdo. Esses modelos permitem que você obtenha informações rapidamente sobre seus dados assim que conectar uma fonte de dados.
Este artigo descreve como visualizar seus dados no Microsoft Sentinel usando pastas de trabalho.
Importante
O Microsoft Sentinel está disponível como parte da visualização pública da plataforma unificada de operações de segurança no portal Microsoft Defender. Para obter mais informações, consulte Microsoft Sentinel no portal do Microsoft Defender.
Pré-requisitos
Você deve ter pelo menos permissões de leitor de pasta de trabalho ou de colaborador de pasta de trabalho no grupo de recursos do espaço de trabalho do Microsoft Sentinel.
As pastas de trabalho que você vê no Microsoft Sentinel são salvas dentro do grupo de recursos do espaço de trabalho do Microsoft Sentinel e são marcadas pelo espaço de trabalho no qual foram criadas.
Para usar um modelo de pasta de trabalho, instale a solução que contém a pasta de trabalho ou instale a pasta de trabalho como um item autônomo do Hub de Conteúdo. Para obter mais informações, consulte Descobrir e gerenciar conteúdo pronto para uso do Microsoft Sentinel.
Criar uma pasta de trabalho a partir de um modelo
Use um modelo instalado a partir do hub de conteúdo para criar uma pasta de trabalho.
Para o Microsoft Sentinel no portal do Azure, em Gerenciamento de ameaças, selecione Pastas de trabalho.
Para Microsoft Sentinel no portal do Defender, selecione Pastas de trabalho de gerenciamento de>ameaças do Microsoft Sentinel.>Vá para Pastas de trabalho e selecione Modelos para ver a lista de modelos de pasta de trabalho instalados.
Para ver quais modelos são relevantes para os tipos de dados conectados, revise o campo Tipos de dados necessários em cada pasta de trabalho, quando disponível.
Selecione Salvar no painel de detalhes do modelo e no local onde deseja salvar o arquivo JSON do modelo. Esta ação cria um recurso do Azure com base no modelo relevante e salva o arquivo JSON da pasta de trabalho, não os dados.
Selecione Exibir pasta de trabalho salva no painel de detalhes do modelo.
Selecione o botão Editar na barra de ferramentas da pasta de trabalho para personalizar a pasta de trabalho de acordo com suas necessidades.
Para clonar sua pasta de trabalho, selecione Editar e Salvar como. Salve o clone com outro nome, sob a mesma assinatura e grupo de recursos. As pastas de trabalho clonadas são exibidas na guia Minhas pastas de trabalho.
Quando terminar, selecione Salvar para salvar as alterações.
Para obter mais informações, consulte como Criar relatórios interativos com pastas de trabalho do Azure Monitor.
Criar nova pasta de trabalho
Crie uma pasta de trabalho do zero no Microsoft Sentinel.
Para o Microsoft Sentinel no portal do Azure, em Gerenciamento de ameaças, selecione Pastas de trabalho.
Para Microsoft Sentinel no portal do Defender, selecione Pastas de trabalho de gerenciamento de>ameaças do Microsoft Sentinel.>Selecione Adicionar pasta de trabalho.
Para editar a pasta de trabalho, selecione Editar e adicione texto, consultas e parâmetros conforme necessário. Para obter mais informações sobre como personalizar a pasta de trabalho, consulte como Criar relatórios interativos com pastas de trabalho do Azure Monitor.
Ao criar uma consulta, defina a Fonte de dados como Logs e Tipo de recurso como Log Analytics e escolha um ou mais espaços de trabalho.
Recomendamos que sua consulta use um analisador ASIM (Advanced Security Information Model) e não uma tabela interna. A consulta dará suporte a qualquer fonte de dados relevante atual ou futura, em vez de uma única fonte de dados.
Depois de criar sua pasta de trabalho, salve-a no grupo de assinatura e recursos do seu espaço de trabalho do Microsoft Sentinel.
Se você quiser permitir que outras pessoas em sua organização usem a pasta de trabalho, em Salvar para selecionar Relatórios compartilhados. Se pretender que este livro esteja disponível apenas para si, selecione Os meus relatórios.
Para alternar entre pastas de trabalho em seu espaço de trabalho, selecione Abrir
na barra de ferramentas de qualquer pasta de trabalho. A tela alterna para uma lista de outras pastas de trabalho para as quais você pode alternar.Selecione a pasta de trabalho que deseja abrir:
Atualizar os dados da pasta de trabalho
Atualize sua pasta de trabalho para exibir dados atualizados. Na barra de ferramentas, selecione uma das seguintes opções:
Atualizar, para atualizar manualmente os dados da pasta de trabalho.
Atualização automática, para definir sua pasta de trabalho para atualizar automaticamente em um intervalo configurado.Os intervalos de atualização automática suportados variam de 5 minutos a 1 dia.
A atualização automática é pausada enquanto você edita uma pasta de trabalho e os intervalos são reiniciados sempre que você volta para o modo de exibição a partir do modo de edição.
Os intervalos de atualização automática também são reiniciados se você atualizar manualmente os dados.
Por padrão, a atualização automática está desativada. Para otimizar o desempenho, a atualização automática é desativada sempre que você fecha uma pasta de trabalho. Ele não é executado em segundo plano. Ative novamente a atualização automática conforme necessário na próxima vez que abrir a pasta de trabalho.
Imprimir uma pasta de trabalho ou salvar como PDF
Para imprimir uma pasta de trabalho ou salvá-la como PDF, use o menu de opções à direita do título da pasta de trabalho.
Selecione as opções >
Imprimir conteúdo.Na tela de impressão, ajuste as configurações de impressão conforme necessário ou selecione Salvar como PDF para salvá-lo localmente.
Por exemplo:
Como eliminar livros
Para excluir uma pasta de trabalho salva, seja um modelo salvo ou uma pasta de trabalho personalizada, selecione a pasta de trabalho salva que deseja excluir e selecione Excluir. Esta ação remove a pasta de trabalho salva. Ele também remove o recurso da pasta de trabalho e todas as alterações feitas no modelo. O modelo original permanece disponível.
Artigos relacionados
Para saber mais sobre pastas de trabalho internas populares, consulte Pastas de trabalho do Microsoft Sentinel comumente usadas.