Partilhar via

Personalizar detalhes de alerta no Microsoft Sentinel

  • Artigo
  • Aplica-se a:
    Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Este artigo explica como substituir as propriedades padrão de alertas por conteúdo dos resultados da consulta subjacente.

No processo de criação de uma regra de análise agendada, como primeira etapa, você define um nome e uma descrição para a regra e atribui a ela uma severidade e táticas MITRE ATT&CK. Todos os alertas gerados por uma determinada regra - e todos os incidentes criados como resultado - herdarão o nome, a descrição, a gravidade e as táticas definidas na regra, independentemente do conteúdo específico de uma instância específica do alerta.

Com o recurso de detalhes do alerta, você pode substituir essas e outras propriedades padrão dos alertas de duas maneiras:

  • Crie nomes e descrições personalizados e variáveis para os seus alertas. Você pode selecionar campos na saída de consulta do alerta cujo conteúdo pode ser incluído no nome ou na descrição de cada instância do alerta. Se o campo selecionado não tiver valor em uma determinada instância, os detalhes do alerta para essa instância serão revertidos para os padrões especificados na primeira página do assistente.

  • Personalize a gravidade, as táticas e outras propriedades de uma determinada instância de um alerta (consulte a lista completa de propriedades abaixo) com os valores de quaisquer campos relevantes da saída da consulta. Se os campos selecionados estiverem vazios ou tiverem valores que não correspondam ao tipo de dados do campo, as respetivas propriedades de alerta serão revertidas para seus padrões (para táticas e gravidade, as especificadas na primeira página do assistente).

Importante

  • A personalização de alguns detalhes do alerta (veja os indicados abaixo) está atualmente em VISUALIZAÇÃO. Consulte os Termos de Utilização Suplementares das Pré-visualizações do Microsoft Azure para obter os termos legais adicionais que se aplicam às funcionalidades do Azure que estão em versão beta, pré-visualização ou ainda não disponibilizadas para disponibilidade geral.
  • O Microsoft Sentinel está disponível como parte da plataforma unificada de operações de segurança no portal Microsoft Defender. O Microsoft Sentinel no portal do Defender agora é suportado para uso em produção. Para obter mais informações, consulte Microsoft Sentinel no portal do Microsoft Defender.

Siga o procedimento detalhado abaixo para usar o recurso de detalhes do alerta. Essas etapas fazem parte do assistente de criação de regras de análise, mas são abordadas aqui de forma independente para abordar o cenário de adicionar ou alterar detalhes de alerta em uma regra de análise existente.

Como personalizar os detalhes do alerta

  1. Entre na página do Google Analytics no portal através do qual você acessa o Microsoft Sentinel:

    Na seção Configuração do menu de navegação do Microsoft Sentinel, selecione Analytics.

  2. Selecione uma regra de consulta agendada e selecione Editar. Ou crie uma nova regra selecionando Criar > regra de consulta agendada na parte superior da tela.

  3. Selecione a guia Definir lógica da regra.

  4. Na seção Enriquecimento de alerta, expanda Detalhes do alerta.

    Personalizar detalhes do alerta

  5. Na seção Detalhes do alerta agora expandida, adicione texto livre que inclua propriedades correspondentes aos detalhes que você deseja exibir no alerta:

    1. No campo Formato do Nome do Alerta , insira o texto que você deseja que apareça como o nome do alerta (o texto do alerta) e inclua, entre colchetes duplos, todos os campos de saída de consulta que você deseja que façam parte do texto do alerta.

      Exemplo: Alert from {{ProviderName}}: {{AccountName}} failed to sign in to computer {{ComputerName}}.

    2. Faça o mesmo com o campo Formato da Descrição do Alerta .

      Nota

      Atualmente, você está limitado a três parâmetros cada nos campos Formato do nome do alerta e Formato da descrição do alerta.

    3. Para substituir outras propriedades padrão, selecione uma propriedade de alerta na lista suspensa Propriedade de alerta. Em seguida, selecione o campo nos resultados da consulta, cujo conteúdo você deseja preencher a propriedade alert, na lista suspensa Valor .

    4. Para substituir mais propriedades padrão, selecione + Adicionar novo e repita a etapa anterior. As seguintes propriedades podem ser substituídas:

      Nome Descrição
      Nome do alerta String
      Descrição String
      AlertSeverity Um dos seguintes valores:
      - Informativo
      - Baixo
      - Medium
      - Alto
      Táticas Um dos seguintes valores:
      - Reconhecimento
      - Desenvolvimento de Recursos
      - InitialAccess
      - Execução
      - Persistência
      - PrivilegeEscalation
      - DefesaEvasão
      - CredentialAccess
      - Descoberta
      - Movimento Lateral
      - Coleção
      - Exfiltração
      - ComandoAndControl
      - Impacto
      - Pré-ataque
      - ImpairProcessControl
      - InhibitResponseFunction
      Técnicas (Pré-visualização) Uma cadeia de caracteres que corresponde à seguinte expressão regular: ^T(?<Digits>\d{4})$.
      Por exemplo: T1234
      AlertLink (Pré-visualização) String
      ConfidenceLevel (Pré-visualização) Um dos seguintes valores:
      - Baixo
      - Alto
      - Desconhecido
      ConfidenceScore (Pré-visualização) Inteiro, entre 0-1 (inclusive)
      ExtendedLinks (Pré-visualização) String
      ProductComponentName (Pré-visualização) String
      ProductName (Pré-visualização) String
      ProviderName (Pré-visualização) String
      RemediationSteps (Pré-visualização) String

    Se mudar de ideias ou se tiver cometido um erro, pode remover um detalhe de alerta clicando no ícone da reciclagem, junto ao par propriedade/Valor do alerta, ou eliminar o texto livre dos campos Nome do alerta/Formato da descrição.

  6. Quando terminar de personalizar os detalhes do alerta, se estiver criando a regra, vá para a próxima guia do assistente. Se estiver a editar uma regra existente, selecione o separador Rever e criar . Quando a validação da regra for bem-sucedida, selecione Salvar.

    Nota

    Limites do serviço

    • O limite de tamanho combinado para todos os detalhes de alerta e detalhes personalizados, coletivamente, é de 64 KB.

Próximos passos

Neste documento, você aprendeu como personalizar detalhes de alerta nas regras de análise do Microsoft Sentinel. Para saber mais sobre o Microsoft Sentinel, consulte os seguintes artigos: