Conectar o Microsoft Sentinel a outros serviços da Microsoft com um conector de dados baseado em agente do Windows

  • Artigo

Este artigo descreve como conectar o Microsoft Sentinel a outros serviços da Microsoft de conexões baseadas em agente do Windows. O Microsoft Sentinel usa o agente do Azure Monitor para dar suporte interno de serviço a serviço à ingestão de dados de muitos serviços do Azure e do Microsoft 365, do Amazon Web Services e de vários serviços do Windows Server.

O agente do Azure Monitor usa DCRs (regras de coleta de dados) para definir os dados a serem coletados de cada agente. As regras de coleta de dados oferecem duas vantagens distintas:

  • Gerenciar configurações de coleta em escala e ainda permitir configurações exclusivas e com escopo para subconjuntos de computadores. Elas são independentes do workspace e da máquina virtual, o que significa que podem ser definidas uma vez e reutilizadas em computadores e ambientes. Confira Configurar a coleta de dados para o agente do Azure Monitor.

  • Criar filtros personalizados para escolher os eventos exatos que você deseja ingerir. O Agente do Azure Monitor usa essas regras para filtrar os dados na origem e ingerir apenas os eventos que você deseja, deixando todo o resto para trás. Isso pode economizar muito dinheiro em custos de ingestão de dados.

Observação

Para obter informações sobre a disponibilidade de recursos nas nuvens do governo dos EUA, consulte as tabelas do Microsoft Sentinel em disponibilidade de recursos de nuvem para clientes do governo dos EUA.

Importante

Alguns conectores baseados no AMA (Agente do Azure Monitor) estão atualmente em VERSÃO PRÉVIA. Veja os Termos de Uso Complementares para Versões Prévias do Microsoft Azure para termos legais adicionais que se aplicam aos recursos do Azure que estão em versão beta, versão prévia ou que, de outra forma, ainda não foram lançados em disponibilidade geral.

Pré-requisitos

  • Você precisa ter permissões de leitura e gravação no workspace do Microsoft Sentinel.

  • Para coletar eventos de qualquer sistema que não seja uma máquina virtual do Azure, o sistema precisa ter o Azure Arc instalado e habilitado antes de habilitar o conector baseado no Agente do Azure Monitor.

    Isso inclui:

    • Servidores Windows instalados em computadores físicos
    • Servidores Windows instalados em máquinas virtuais locais
    • Servidores Windows instalados em máquinas virtuais em nuvens não Azure

  • Para o conector de dados de Eventos encaminhados do Windows:

  • Instale a solução relacionada do Microsoft Sentinel do Hub de Conteúdo no Microsoft Sentinel. Para obter mais informações, consulte Descobrir e gerenciar o conteúdo pronto para uso do Microsoft Sentinel.

Criar regras de coleta de dados por meio da GUI

  1. No Microsoft Sentinel, selecione Configuração>Conectores de dados. Selecione o conector na lista e selecione a página Abrir conector no painel de detalhes. Em seguida, siga as instruções na tela na guia Instruções, conforme descrito no restante da seção.

  2. Verifique se você tem as permissões apropriadas, conforme descrito na seção Pré-requisitos na página do conector.

  3. Em Configuração, selecione +Adicionar regra de coleta de dados. O assistente Criar regra de coleta de dados será aberto à direita.

  4. Em Noções básicas, insira um Nome de regra e especifique uma Assinatura e um Grupo de recursos em que a DCR (regra de coleta de dados) será criada. Isso não precisa ser no mesmo grupo de recursos ou assinatura em que os computadores monitorados e as associações estão, desde que eles estejam no mesmo locatário.

  5. Na guia Recursos, selecione +Adicionar recursos para adicionar computadores aos quais a regra de coleta de dados será aplicada. A caixa de diálogo Selecionar um escopo será aberta e você verá uma lista de assinaturas disponíveis. Expanda uma assinatura para ver os grupos de recursos e expanda um grupo de recursos para ver os computadores disponíveis. Você verá máquinas virtuais do Azure e os servidores habilitados para Azure Arc na lista. Você pode marcar as caixas de seleção de assinaturas ou grupos de recursos para selecionar todos os computadores que eles contêm ou pode selecionar computadores individuais. Selecione Aplicar quando você tiver escolhido todos os seus computadores. No final desse processo, o Agente do Azure Monitor será instalado em todos os computadores selecionados que ainda não o tenham instalado.

  6. Na guia Coletar, escolha os eventos que você gostaria de coletar: selecione Todos os eventos ou Personalizado para especificar outros logs ou para filtrar eventos usando Consultas XPath. Insira expressões na caixa que são avaliadas como critérios XML específicos para os eventos coletarem e selecione Adicionar. Você pode inserir até 20 expressões em uma caixa e até 100 caixas em uma regra.

    Para obter mais informações, consulte a documentação Azure Monitor.

    Observação

    Para testar a validade de uma consulta XPath, use o cmdlet do PowerShell Get-WinEvent com o parâmetro -FilterXPath. Por exemplo:

    $XPath = '*[System[EventID=1035]]'
Get-WinEvent -LogName 'Application' -FilterXPath $XPath
    • Se eventos são retornados, a consulta é válida.
    • Se você receber a mensagem "Não foi encontrado nenhum evento correspondente aos critérios de seleção especificados.", a consulta poderá ser válida, mas não haverá eventos correspondentes no computador local.
    • Se você receber a mensagem "A consulta especificada é inválida", a sintaxe da consulta será inválida.

  7. Quando você adicionar todas as expressões de filtro que deseja, selecione Próximo: Examinar + criar.

  8. Quando vir a mensagem Validação aprovada, selecione Criar.

Você verá todas as suas regras de coleta de dados, incluindo as criadas por meio da API, em Configuração na página do conector. Nela é possível editar ou excluir regras existentes.

Criar regras de coleta de dados usando a API

Você também pode criar regras de coleta de dados usando a API, que facilitará a sua vida se você estiver criando muitas regras, como se você fosse um MSSP. Veja baixo um exemplo (para Eventos de Segurança do Windows por meio do conector do AMA) que você pode usar como um modelo para criar uma regra:

URL e cabeçalho da solicitação

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.Insights/dataCollectionRules/myCollectionRule?api-version=2019-11-01-preview

Corpo da solicitação

{
    "location": "eastus",
    "properties": {
        "dataSources": {
            "windowsEventLogs": [
                {
                    "streams": [
                        "Microsoft-SecurityEvent"
                    ],
                    "xPathQueries": [
                        "Security!*[System[(EventID=) or (EventID=4688) or (EventID=4663) or (EventID=4624) or (EventID=4657) or (EventID=4100) or (EventID=4104) or (EventID=5140) or (EventID=5145) or (EventID=5156)]]"
                    ],
                    "name": "eventLogsDataSource"
                }
            ]
        },
        "destinations": {
            "logAnalytics": [
                {
                    "workspaceResourceId": "/subscriptions/{subscriptionId}/resourceGroups/myResourceGroup/providers/Microsoft.OperationalInsights/workspaces/centralTeamWorkspace",
                    "name": "centralWorkspace"
                }
            ]
        },
        "dataFlows": [
            {
                "streams": [
                    "Microsoft-SecurityEvent"
                ],
                "destinations": [
                    "centralWorkspace"
                ]
            }
        ]
    }
}

Para saber mais, veja:

Próximas etapas

Para obter mais informações, consulte: