Exibir dados exportados no Azure Monitor

Este artigo explica como exibir Microsoft Defender para Nuvem dados exportados para Azure Monitor. Ele aborda Log Analytics e Hubs de Eventos do Azure e explica como criar regras de alerta Azure Monitor com base nos dados exportados.

Pré-requisitos

Antes de começar, configure a exportação contínua com um destes métodos:

• Configure a exportação contínua no portal do Azure
• Configurar a exportação contínua com o Azure Policy
• Configure a exportação contínua com a API REST (Transferência de Estado Representacional).

Exibir dados exportados no Log Analytics

Quando você exporta dados do Defender para Nuvem para um workspace do Log Analytics, duas tabelas principais são criadas automaticamente:

• SecurityAlert
• SecurityRecommendation

Você pode consultar essas tabelas no Log Analytics para confirmar se a exportação contínua está funcionando.

1. Conecte-se ao portal do Azure em portal.azure.com.

2. Pesquise e selecione Log Analytics workspaces.

3. Selecione o espaço de trabalho que você configurou como destino de exportação contínua.

4. No menu do workspace, em Geral, selecione Logs.

5. Na janela de consulta, insira uma das seguintes consultas e selecione Executar:

   SecurityAlert
   

   or

   SecurityRecommendation
   

Exibir dados exportados nos Hubs de Eventos do Azure

Quando você exporta dados para os Hubs de Eventos do Azure, o Defender para Nuvem transmite continuamente alertas e recomendações como mensagens de evento. Você pode exibir esses eventos exportados no portal do Azure e analisá-los ainda mais conectando um serviço downstream.

1. Conecte-se ao portal do Azure em portal.azure.com.

2. Pesquise e selecione namespaces dos Hubs de Eventos.

3. Selecione o namespace e o hub de eventos que você configurou para exportação contínua.

4. No menu do hub de eventos, selecione Métricas para exibir a atividade de mensagem ouProcessar captura de > para examinar o conteúdo do evento armazenado no destino de captura.

5. Opcionalmente, use uma ferramenta conectada, como Microsoft Sentinel, uma solução siem (gerenciamento de eventos e informações de segurança) ou um aplicativo de consumidor personalizado para ler e processar os eventos exportados.

Criar regras de alerta no Azure Monitor (opcional)

Você pode criar alertas do Azure Monitor com base nos dados exportados do Defender para Nuvem. Esses alertas permitem disparar automaticamente ações, como enviar notificações por email ou criar tíquetes de ITSM (gerenciamento de serviços de tecnologia da informação), quando ocorrem eventos de segurança específicos.

1. Conecte-se ao portal do Azure em portal.azure.com.

2. Pesquise e selecione Monitor.

3. Selecione Alertas.

4. Clique em + Criar>Regra de Alerta.

   

5. Configure sua nova regra da mesma forma que você configuraria regras de alerta de log no Azure Monitor. Para obter detalhes, consulte Configurar regras de alerta de log:

   • Para Tipos de recursos, selecione o workspace do Log Analytics para o qual você exportou alertas e recomendações de segurança.
   • Em Condição, selecione Pesquisa de logs personalizada. Na página que aparece, configure a consulta, o período retroativo e o período de frequência. Na consulta, insira SecurityAlert ou SecurityRecommendation.
   • Opcionalmente, crie grupos de ações para disparar respostas automatizadas. Para obter diretrizes de configuração, consulte Azure Monitor grupos de ações. Os grupos de ações podem enviar e-mails, criar tickets de ITSM, executar webhooks e muito mais.

Depois de salvar a regra, os alertas ou recomendações do Defender para Nuvem aparecem no Azure Monitor com base em suas condições de configuração de exportação contínua e regra de alerta. Se você vinculou um grupo de ações, ele é disparado automaticamente quando os critérios de regra são atendidos.

Próxima etapa