Personalizar implantações de repositório (Visualização Pública)

Há duas maneiras principais de personalizar a implantação do conteúdo do repositório para espaços de trabalho do Microsoft Sentinel. Cada método usa arquivos e sintaxe diferentes, portanto, considere esses exemplos para começar.

• Modifique o fluxo de trabalho do GitHub ou o pipeline de DevOps para personalizar opções de implantação, como o gatilho de implantação da sua conexão, o caminho de implantação ou o uso de implantações inteligentes.

• Utilize o arquivo de configuração recém-introduzido para controlar a ordem priorizada de suas implantações de conteúdo, escolha excluir arquivos de conteúdo específicos dessas implantações ou mapeie os arquivos de parâmetro para arquivos de conteúdo específicos.

Pré-requisitos e escopo

No momento, o Microsoft Sentinel dá suporte a conexões com repositórios do GitHub e do Azure DevOps. Antes de conectar o workspace do Microsoft Sentinel ao repositório de controle de código-fonte, certifique-se de ter o seguinte:

• Uma função de Proprietário no grupo de recursos que contém o workspace do Microsoft Sentinel ou uma combinação das funções de Administrador de acesso do usuário e Colaborador do Sentinel para criar a conexão
• Acesso de colaborador ao seu repositório do GitHub ou acesso de Administrador do Projeto ao seu repositório do Azure DevOps
• Ações habilitadas para GitHub e pipelines habilitados para Azure DevOps
• Verifique se os arquivos de conteúdo personalizados que você deseja implantar em seus workspaces estão em Modelos relevantes do ARM (Azure Resource Manager)

Para obter mais informações, confira Validar seu conteúdo.

Personalizar o fluxo de trabalho ou o pipeline

O fluxo de trabalho padrão implanta somente conteúdos modificados desde a última implantação com base em commits no repositório. Mas você pode precisar de outras personalizações, como configurar diferentes gatilhos de implantação ou implantar conteúdos exclusivamente de uma pasta raiz específica.

Selecione uma das seguintes guias, dependendo do tipo de conexão:

Escalar suas implantações com arquivos de parâmetro

Em vez de passar parâmetros como valores embutidos em seus arquivos de conteúdo, considere usar um arquivo JSON que contenha os valores dos parâmetros. Em seguida, mapeie esses arquivos JSON de parâmetros nos arquivos de conteúdos associados do Sentinel para escalar melhor suas implantações em diferentes espaços de trabalho. Há várias maneiras de mapear arquivos de parâmetro para arquivos do Sentinel e o pipeline de implantação de repositórios os considera na seguinte ordem:

1. Existe um mapeamento na sentinel-deployment.config? Para obter mais informações, consulte Personalizar a sua configuração de conexão.
2. Há um arquivo de parâmetro mapeado pelo espaço de trabalho? Sim, esse é um arquivo de parâmetros no mesmo diretório dos arquivos de conteúdo que terminam com .parameters-<WorkspaceID>.json
3. Há um arquivo de parâmetro padrão? Sim, qualquer arquivo de parâmetro no mesmo diretório dos arquivos de conteúdo que terminam com .parameters.json

É recomendável mapear os arquivos de parâmetro por meio do arquivo de configuração ou especificando a ID do workspace no nome do arquivo para evitar conflitos em cenários com várias implantações.

Modificar o arquivo de parâmetro mapeado listado no sentinel-deployment.config dispara a implantação do arquivo de conteúdo emparelhado correspondente. Adicionar ou modificar um arquivo .parameters-<WorkspaceID>.json ou .parameters.json também dispara a implantação dos arquivos de conteúdo emparelhados junto com os parâmetros recém-modificados, a menos que exista um mapeamento de parâmetros de maior precedência. Outros arquivos de conteúdo não serão implantados, desde que o recurso de implantações inteligentes ainda esteja habilitado no arquivo de definição de fluxo de trabalho/pipeline.

Personalizar sua configuração de conexão

O script de implantação para repositórios dá suporte ao uso de um arquivo de configuração de implantação para cada branch de repositório a partir de julho de 2022. O arquivo JSON de configuração ajuda você a mapear arquivos de parâmetro para arquivos de conteúdo relevantes, priorizar conteúdo específico em implantações e excluir conteúdo específico de implantações.

1. Crie o arquivo sentinel-deployment.config na raiz do repositório. Adicionar, excluir ou modificar esse arquivo de configuração causará uma implantação completa de todo o conteúdo no repositório de acordo com a configuração atualizada.

   

2. Inclua conteúdo estruturado em JSON em três seções opcionais, "prioritizedcontentfiles":, "excludecontentfiles": e "parameterfilemappings":. Se nenhuma seção for incluída ou o arquivo .config for omitido, o processo de implantação ainda será executado. Seções inválidas ou não reconhecidas são ignoradas.

Aqui está um exemplo de todo o conteúdo de um arquivo sentinel-deployment.config válido. Este exemplo também pode ser encontrado no exemplo de repositórios CICD do Sentinel.

{
  "prioritizedcontentfiles": [
    "parsers/Sample/ASimAuthenticationAWSCloudTrail.json",
    "workbooks/sample/TrendMicroDeepSecurityAttackActivity_ARM.json",
    "Playbooks/PaloAlto-PAN-OS/PaloAltoCustomConnector/azuredeploy.json"
  ], 
  "excludecontentfiles": [
     "Detections/Sample/PaloAlto-PortScanning.json",
     "parameters"
  ],
  "parameterfilemappings": {
    "879001c8-2181-4374-be7d-72e5dc69bd2b": {
      "Playbooks/PaloAlto-PAN-OS/Playbooks/PaloAlto-PAN-OS-BlockIP/azuredeploy.json": "parameters/samples/parameter-file-1.json"
    },
    "9af71571-7181-4cef-992e-ef3f61506b4e": {
      "Playbooks/Enrich-SentinelIncident-GreyNoiseCommunity-IP/azuredeploy.json": "path/to/any-parameter-file.json"
    }
  },
  "DummySection": "This shouldn't impact deployment"
}

• Para priorizar arquivos de conteúdo:

  À medida que a quantidade de conteúdo em seu repositório aumenta, os tempos de implantação podem aumentar. Adicione conteúdo sensível ao tempo a esta seção para priorizar sua implantação quando ocorrer um gatilho.

  Adicione nomes de caminho completos à seção "prioritizedcontentfiles":. Não há suporte para correspondência de curinga no momento.

• Para excluir arquivos de conteúdo, modifique a seção "excludecontentfiles": com nomes de caminho completos de arquivos individuais de conteúdo .json.

• Mapear parâmetros:

  O script de implantação aceita três métodos de parâmetros de mapeamento, conforme descrito em Escalar as implantações com arquivos de parâmetro. Os parâmetros de mapeamento por meio do sentinel-deployment.config têm a precedência mais alta e garantem que um determinado arquivo de parâmetro seja mapeado para os respectivos arquivos de conteúdo associados. Basta modificar a seção com a "parameterfilemappings": ID do espaço de trabalho da conexão de destino e os nomes de caminho completo de arquivos .json individuais.

Próximas etapas

Um repositório de exemplo está disponível demonstrando o arquivo de configuração de implantação e todos os três métodos de mapeamento de parâmetros. Para saber mais, confira Exemplo de repositórios de CI/CD do Sentinel.

Considere estes recursos para obter mais informações sobre modelos do ARM:

• Criar um arquivo de parâmetro do Resource Manager
• Parâmetros de modelos do ARM