Personalizar implantações de repositório (Visualização pública)

Há duas maneiras principais de personalizar a implantação do conteúdo do repositório nos espaços de trabalho do Microsoft Sentinel. Cada método usa arquivos e sintaxe diferentes, portanto, considere estes exemplos para começar.

• Modifique o fluxo de trabalho do GitHub ou o pipeline de DevOps para personalizar as opções de implantação, como o gatilho de implantação da conexão, o caminho de implantação ou o uso de implantações inteligentes.

• Utilize o arquivo de configuração recém-introduzido para controlar a ordem de prioridades de suas implantações de conteúdo, opte por excluir arquivos de conteúdo específicos dessas implantações ou mapeie arquivos de parâmetros para arquivos de conteúdo específicos.

Pré-requisitos e âmbito

Atualmente, o Microsoft Sentinel oferece suporte a conexões com repositórios do GitHub e do Azure DevOps. Antes de conectar seu espaço de trabalho do Microsoft Sentinel ao repositório de controle do código-fonte, verifique se você tem:

• Uma função Proprietário no grupo de recursos que contém seu espaço de trabalho do Microsoft Sentinel ou uma combinação de funções de Administrador de Acesso de Usuário e Colaborador do Sentinel para criar a conexão
• Acesso de colaborador ao repositório GitHub ou acesso de Administrador de Projeto ao repositório do Azure DevOps
• Ações habilitadas para GitHub e Pipelines habilitados para Azure DevOps
• Verifique se os arquivos de conteúdo personalizados que você deseja implantar em seus espaços de trabalho estão em modelos relevantes do Azure Resource Manager (ARM)

Para obter mais informações, consulte Validar seu conteúdo.

Personalizar o fluxo de trabalho ou pipeline

O fluxo de trabalho padrão implanta apenas conteúdo modificado desde a última implantação, com base em confirmações no repositório. Mas você pode precisar de outras personalizações, como configurar diferentes gatilhos de implantação ou implantar conteúdo exclusivamente de uma pasta raiz específica.

Selecione uma das seguintes guias, dependendo do seu tipo de conexão:

Dimensione suas implantações com arquivos de parâmetros

Em vez de passar parâmetros como valores embutidos em seus arquivos de conteúdo, considere usar um arquivo JSON que contenha os valores de parâmetro. Em seguida, mapeie esses arquivos JSON de parâmetro para seus arquivos de conteúdo do Sentinel associados para dimensionar melhor suas implantações em diferentes espaços de trabalho. Há várias maneiras de mapear arquivos de parâmetros para arquivos do Sentinel, e o pipeline de implantação de repositórios os considera na seguinte ordem:

1. Existe um mapeamento no sentinel-deployment.config? Para obter mais informações, consulte Personalizar a configuração da conexão.
2. Existe um arquivo de parâmetro mapeado no espaço de trabalho? Sim, é um arquivo de parâmetro no mesmo diretório que os arquivos de conteúdo que termina com .parameters-WorkspaceID<>.json
3. Existe um arquivo de parâmetro padrão? Sim, qualquer arquivo de parâmetro no mesmo diretório que os arquivos de conteúdo que termina com .parameters.json

É recomendável mapear seus arquivos de parâmetros através do arquivo de configuração ou especificando o ID do espaço de trabalho no nome do arquivo para evitar conflitos em cenários com várias implantações.

Modificar o arquivo de parâmetro mapeado listado no sentinel-deployment.config aciona a implantação de seu arquivo de conteúdo emparelhado. Adicionar ou modificar um arquivo .parameters-WorkspaceID>.json ou um arquivo .parameters.json também aciona uma implantação dos arquivos de conteúdo emparelhados juntamente com os parâmetros recém-modificados<, a menos que um mapeamento de parâmetro de precedência mais alta esteja em vigor. Outros arquivos de conteúdo não são implantados enquanto o recurso de implantações inteligentes ainda estiver habilitado no arquivo de definição de fluxo de trabalho/pipeline.

Personalize a configuração da sua ligação

O script de implantação para repositórios suporta o uso de um arquivo de configuração de implantação para cada ramificação do repositório a partir de julho de 2022. O arquivo JSON de configuração ajuda a mapear arquivos de parâmetros para arquivos de conteúdo relevantes, priorizar conteúdo específico em implantações e excluir conteúdo específico de implantações.

1. Crie o arquivo sentinel-deployment.config na raiz do repositório. Adicionar, excluir ou modificar esse arquivo de configuração causará uma implantação completa de todo o conteúdo no repositório de acordo com a configuração atualizada.

   

2. Inclua conteúdo estruturado JSON em três seções opcionais, "prioritizedcontentfiles":, "excludecontentfiles":e "parameterfilemappings":. Se nenhuma seção for incluída ou o arquivo .config for omitido, o processo de implantação ainda será executado. Seções inválidas ou não reconhecidas são ignoradas.

Aqui está um exemplo de todo o conteúdo de um arquivo sentinel-deployment.config válido. Esta amostra também pode ser encontrada na amostra de repositórios CICD Sentinel.

{
  "prioritizedcontentfiles": [
    "parsers/Sample/ASimAuthenticationAWSCloudTrail.json",
    "workbooks/sample/TrendMicroDeepSecurityAttackActivity_ARM.json",
    "Playbooks/PaloAlto-PAN-OS/PaloAltoCustomConnector/azuredeploy.json"
  ], 
  "excludecontentfiles": [
     "Detections/Sample/PaloAlto-PortScanning.json",
     "parameters"
  ],
  "parameterfilemappings": {
    "879001c8-2181-4374-be7d-72e5dc69bd2b": {
      "Playbooks/PaloAlto-PAN-OS/Playbooks/PaloAlto-PAN-OS-BlockIP/azuredeploy.json": "parameters/samples/parameter-file-1.json"
    },
    "9af71571-7181-4cef-992e-ef3f61506b4e": {
      "Playbooks/Enrich-SentinelIncident-GreyNoiseCommunity-IP/azuredeploy.json": "path/to/any-parameter-file.json"
    }
  },
  "DummySection": "This shouldn't impact deployment"
}

• Para priorizar arquivos de conteúdo:

  À medida que a quantidade de conteúdo em seu repositório cresce, os tempos de implantação podem aumentar. Adicione conteúdo sensível ao tempo a esta seção para priorizar sua implantação quando ocorrer um disparador.

  Adicione nomes completos de "prioritizedcontentfiles": caminhos à seção. No momento, não há suporte para correspondência de curingas.

• Para excluir arquivos de conteúdo, modifique a "excludecontentfiles": seção com nomes de caminho completos de arquivos de conteúdo .json individuais.

• Para mapear parâmetros:

  O script de implantação aceita três métodos de mapeamento de parâmetros, conforme descrito em Dimensionar suas implantações com arquivos de parâmetro. O mapeamento de parâmetros por meio do sentinel-deployment.config tem a maior precedência e garante que um determinado arquivo de parâmetro seja mapeado para seus arquivos de conteúdo associados. Basta modificar a seção com o "parameterfilemappings": ID do espaço de trabalho da conexão de destino e os nomes completos dos caminhos dos arquivos .json individuais.

Próximos passos

Um repositório de exemplo está disponível demonstrando o arquivo de configuração de implantação e todos os três métodos de mapeamento de parâmetros. Para obter mais informações, consulte Exemplo de repositórios CICD do Sentinel.

Considere estes recursos para obter mais informações sobre modelos ARM:

• Criar arquivo de parâmetro do Gerenciador de Recursos
• Parâmetros em modelos ARM