Scoprire e gestire il contenuto predefinito di Microsoft Sentinel

L'hub Contenuti di Microsoft Sentinel è il punto centralizzato dove scoprire e gestire i contenuti predefiniti integrati. Nell'hub contenuto sono disponibili soluzioni in pacchetto per prodotti end-to-end per dominio o settore. È possibile accedere al numero elevato di contributi autonomi ospitati nel repository e nei pannelli delle funzionalità di GitHub.

• Individuare soluzioni e contenuto autonomo con un set coerente di funzionalità di filtro in base allo stato, al tipo di contenuto, al supporto, al provider e alla categoria.

• Installare il contenuto nell'area di lavoro contemporaneamente o singolarmente.

• Visualizzare il contenuto nella visualizzazione elenco e visualizzare rapidamente le soluzioni con aggiornamenti. Aggiorna tutte le soluzioni insieme, mentre il contenuto indipendente si aggiorna automaticamente.

• Gestire una soluzione per installare i tipi di contenuto e ottenere le modifiche più recenti.

• Configura il contenuto indipendente per creare nuovi elementi attivi usando il modello più aggiornato.

Se si è un partner che vuole creare una soluzione personalizzata, vedere Microsoft Sentinel Solutions Build Guide per la creazione e la pubblicazione di soluzioni.

Prerequisiti

Per installare, aggiornare ed eliminare soluzioni o contenuti autonomi nell'hub del contenuto, è necessario il ruolo collaboratore Microsoft Sentinel a livello di gruppo di risorse.

Per altre informazioni su altri ruoli e autorizzazioni supportate per Microsoft Sentinel, vedere Autorizzazioni in Microsoft Sentinel.

Individuare il contenuto

L'hub del contenuto offre il modo migliore per trovare nuovi contenuti o gestire le soluzioni già installate.

1. Per Microsoft Sentinel nel portale di Defender, selezionare Microsoft Sentinel>Hub contenuto per la gestione>dei contenuti. Per Microsoft Sentinel nel portale di Azure, in Gestione contenuto selezionare Hub contenuto.

   Nella pagina Hub contenuto viene visualizzata una griglia ricercabile o un elenco di soluzioni e contenuto autonomo.

2. Cercare le soluzioni o gli elementi di contenuto autonomi necessari. Selezionare valori specifici dai filtri oppure immettere un termine di ricerca nella casella Di ricerca . Le ricerche usano l'intelligenza artificiale per supportare ricerche fuzzy e vocabolario approssimativo.

   Durante la ricerca, assicurarsi di premere INVIO per avviare la ricerca. Il numero di risultati della ricerca è limitato a 50 elementi, incluse le soluzioni e gli elementi di contenuto presenti nelle soluzioni. Se non si trovano gli elementi cercati, provare a perfezionare l'espressione di ricerca o usare filtri diversi.

   Per altre informazioni, vedi Categorie per i contenuti e le soluzioni predefiniti di Microsoft Sentinel.

3. Nella visualizzazione elenco ( ) selezionare una soluzione dall'elenco per visualizzare le informazioni sulla soluzione e i tipi di elementi di contenuto inclusi.

   Espandere una soluzione nei risultati della ricerca o del filtro per visualizzare l'elenco di elementi di contenuto inclusi. Il riquadro informazioni sul lato presenta informazioni dettagliate sull'elemento di contenuto.

   • Portale di Defender
   • Portale di Azure

   

   In alternativa, selezionare la visualizzazione scheda ( ) per visualizzare le soluzioni presentate in una griglia. Ogni scheda mostra il nome, la descrizione e le categorie della soluzione. Selezionare una scheda per visualizzare altre informazioni sulla soluzione sul lato.

Per usare un elemento di contenuto che fa parte di una soluzione, è necessario installare l'intera soluzione. Se è stato selezionato un elemento di contenuto specifico nella visualizzazione elenco, selezionare Installa soluzione nel riquadro dei dettagli sul lato per installare la soluzione pertinente.

Per ulteriori informazioni, vedi Categorie per i contenuti e le soluzioni predefiniti di Microsoft Sentinel.

Installare o aggiornare il contenuto

Installare contenuti e soluzioni autonomi singolarmente o tutti insieme in blocco. Per ulteriori informazioni sulle operazioni in blocco, consulta Installazione e aggiornamento dei contenuti in blocco.

Se una soluzione distribuita include aggiornamenti dall'ultima distribuzione, la visualizzazione elenco mostra Aggiornamento nella colonna stato. La soluzione è inclusa anche nel conteggio Aggiornamenti nella parte superiore della pagina.

Ecco un esempio che mostra l'installazione di una singola soluzione.

1. Nel Hub del contenuto, cerca e seleziona la soluzione.

2. Nel riquadro dei dettagli delle soluzioni selezionare Visualizza dettagli dal lato inferiore destro.

3. Selezionare Crea o Aggiorna.

4. Nella scheda Informazioni di base immettere la sottoscrizione, il gruppo di risorse e l'area di lavoro per distribuire la soluzione. Ad esempio:

   

5. Selezionare Avanti per passare attraverso le schede rimanenti per informazioni e, in alcuni casi, configurare ognuno dei componenti del contenuto.

   Le schede corrispondono ai contenuti offerti dalla soluzione. Soluzioni diverse potrebbero avere tipi diversi di contenuto, quindi potrebbero non essere visualizzate le stesse schede in ogni soluzione.

   Potrebbe anche essere richiesto di immettere le credenziali per un servizio non Microsoft in modo che Microsoft Sentinel possano eseguire l'autenticazione nei sistemi. Ad esempio, con i playbook, potresti voler eseguire azioni di risposta come previsto dal tuo sistema.

6. Nella scheda Rivedi e crea attendere il Validation Passed messaggio.

7. Selezionare Crea o Aggiorna per distribuire la soluzione. È anche possibile selezionare il collegamento Scarica un modello per l'automazione per distribuire la soluzione come codice.

Installare con dipendenze

Alcune soluzioni hanno dipendenze da installare, tra cui molte soluzioni di dominio e soluzioni che usano i connettori di Monitoraggio di Azure Agent (AMA) unificati per CEF, Syslog o log personalizzati.

Se la soluzione presenta dipendenze, selezionare Installa con dipendenze per assicurarsi che siano installati anche i connettori dati necessari. Nel riquadro di selezione delle dipendenze selezionare una o più dipendenze da installare insieme alla soluzione originale. La soluzione originale che si è scelto di installare è sempre selezionata per impostazione predefinita.

Se una o più soluzioni di dipendenza sono già installate, ma sono disponibili aggiornamenti, usare il pulsante Installa/Aggiorna per installare e aggiornare tutte le soluzioni selezionate in blocco. Ad esempio:

Dopo aver installato una soluzione, ogni tipo di contenuto all'interno della soluzione potrebbe richiedere più passaggi per la configurazione. Per altre informazioni, vedere Abilitare gli elementi di contenuto in una soluzione.

Installare e aggiornare in blocco il contenuto

Hub contenuti supporta una visualizzazione a elenco oltre alla visualizzazione a schede predefinita. Selezionare la visualizzazione elenco per installare più soluzioni e contenuti autonomi contemporaneamente. Il contenuto autonomo viene mantenuto aggiornato automaticamente. Qualsiasi contenuto attivo o personalizzato creato in base a soluzioni o contenuto autonomo installato dall'hub del contenuto rimane intatto.

1. Per installare o aggiornare elementi in blocco, passare alla visualizzazione elenco.

2. Cercare o filtrare per trovare il contenuto che si vuole installare o aggiornare in blocco.

3. Selezionare la casella di controllo per ogni soluzione o contenuto autonomo da installare o aggiornare.

4. Selezionare il pulsante Installa/Aggiorna .

   Se una soluzione o un contenuto autonomo selezionato è già stato installato o aggiornato, non viene eseguita alcuna azione su tale elemento. Non interferisce con l'aggiornamento e l'installazione degli altri elementi.

5. Selezionare Gestisci per ogni soluzione installata. I tipi di contenuto all'interno della soluzione potrebbero richiedere altre informazioni da configurare. Per altre informazioni, vedere Abilitare gli elementi di contenuto in una soluzione.

Installare pacchetti e modelli usando l'API

Se si usa l'API per installare pacchetti di soluzione o singoli modelli, seguire questa procedura:

1. Recuperare il pacchetto o il modello della soluzione:

   • Per recuperare un pacchetto, usare l'API Ottieni pacchetto prodotto.
   • Per recuperare un singolo modello, usare l'API Ottieni modello di prodotto.

2. Nella risposta API individuare il properties.mainTemplate campo . Questo campo contiene il codice JSON del modello arm che definisce le risorse della soluzione o del modello.

3. Distribuisci l'oggetto estratto mainTemplate usando una distribuzione di un modello ARM, tramite l'API REST, interfaccia della riga di comando di Azure o PowerShell.

Abilitare gli elementi di contenuto in una soluzione

Gestire centralmente gli elementi di contenuto per le soluzioni installate dall'hub del contenuto.

1. Nell'hub del contenuto selezionare una soluzione installata in cui la versione è 2.0.0 o successiva.

2. Nella pagina dei dettagli delle soluzioni selezionare Gestisci.

   

3. Esaminare l'elenco di elementi di contenuto.

   

4. Selezionare un elemento di contenuto per iniziare.

Gestire ogni tipo di contenuto

Le sezioni seguenti forniscono alcuni suggerimenti su come usare i diversi tipi di contenuto durante la gestione di una soluzione.

Connettere un connettore dati

Per connettere un connettore dati, completare i passaggi di configurazione.

1. Selezionare Apri la pagina del connettore.

2. Completare i passaggi di configurazione del connettore dati.

   

   Dopo aver configurato il connettore dati e una volta rilevati i log, lo stato cambia in Connesso.

Abilitare una regola di analisi

Creare una regola da un modello o modificare una regola esistente.

1. Visualizzare il modello nella raccolta di modelli di analisi.

2. Se il modello non è ancora usato, selezionare Apri>regola di creazione e seguire la procedura per abilitare la regola di analisi.

   Dopo aver creato una regola, il numero di regole attive create dal modello viene visualizzato nella colonna Contenuto creato .

3. Selezionare il collegamento regole attive per modificare la regola esistente. Ad esempio, il collegamento alla regola attiva nell'immagine seguente si trova in Contenuto creato e mostra 2 elementi.

   

Eseguire o personalizzare una query di ricerca

Esegui la query di ricerca avanzata fornita o personalizzala.

1. Per iniziare subito la ricerca, selezionare Esegui query nella pagina dei dettagli per ottenere risultati rapidi.

   

2. Per personalizzare la query di ricerca, selezionare il collegamento nella colonna Nome contenuto .

   Dalla raccolta di ricerca è possibile creare un clone del modello di query di ricerca di sola lettura passando al menu puntini di sospensione. Le query di ricerca create in questo modo vengono visualizzate come elementi nella colonna Contenuto creato dell'hub contenuto.

Creare una cartella di lavoro da un modello

Per personalizzare una cartella di lavoro creata da un modello, creare un'istanza di una cartella di lavoro.

1. Selezionare Visualizza modello per aprire la cartella di lavoro e visualizzare le visualizzazioni.

2. Selezionare Salva per creare un'istanza del modello di cartella di lavoro.

3. Per visualizzare la cartella di lavoro personalizzabile salvata, selezionare Visualizza cartella di lavoro salvata.

4. Nell'hub del contenuto selezionare il collegamento 1 elemento nella colonna Contenuto creato per gestire la cartella di lavoro.

   

Usare un parser

Quando una soluzione viene installata, tutti i parser inclusi vengono aggiunti come funzioni dell'area di lavoro in Log Analytics.

1. Selezionare Carica il codice della funzione per aprire Log Analytics e visualizzare o eseguire il codice della funzione.

2. Selezionare Usa nell'editor per aprire Log Analytics con il nome del parser pronto da aggiungere alla query personalizzata.

   

Creare un libro delle strategie da un modello

Crea un playbook da un modello.

1. Selezionare il collegamento Nome del contenuto nel playbook.

2. Scegliere il modello e selezionare Crea playbook.

3. Dopo aver creato il playbook, quello attivo viene visualizzato nella colonna Contenuto creato.

4. Selezionare il collegamento all'elemento playbook 1 attivo per gestire il playbook.

   

Trovare il modello di supporto per il contenuto

Ogni soluzione e elemento di contenuto autonomo illustra il modello di supporto nel riquadro dei dettagli, nella casella Supporto , in cui è elencato il nome di Microsoft o di un partner. Ad esempio:

Quando contatti il supporto, potresti aver bisogno di altri dettagli relativi alla soluzione, ad esempio autore, provider e i valori dell’ID del piano. Trovare queste informazioni nella pagina dei dettagli nella scheda Informazioni sull'utilizzo & supporto .

Passaggi successivi

• Altre informazioni sulle soluzioni Microsoft Sentinel.
• Vedere il catalogo completo delle soluzioni Microsoft Sentinel nel Marketplace Azure.
• Trova soluzioni specifiche per dominio nel catalogo dell'hub dei contenuti di Microsoft Sentinel.
• Eliminare il contenuto e le soluzioni predefiniti di Microsoft Sentinel installati.

Molte soluzioni includono connettori dati che è necessario configurare in modo da poter iniziare a inserire i dati in Microsoft Sentinel. Ogni connettore dati ha un proprio set di requisiti dettagliati nella pagina del connettore dati in Microsoft Sentinel.

Per ulteriori informazioni, vedere Connettere l'origine dati.