Transformación o personalización de datos en tiempo de ingesta en Microsoft Sentinel (versión preliminar)

En este artículo se describe cómo configurar la transformación de datos en tiempo de ingesta y la ingesta de registros personalizada para su uso en Microsoft Sentinel.

La transformación de datos en tiempo de ingesta proporciona a los clientes más control sobre los datos ingeridos. Complementando los flujos de trabajo preconfigurados y codificados de forma rígida que crean tablas estandarizadas, la transformación de tiempo de ingesta agrega la capacidad de filtrar y enriquecer las tablas de salida, incluso antes de ejecutar las consultas. La ingesta de registros personalizada usa Custom Log API para normalizar los registros de formato personalizado para que se puedan ingerir en determinadas tablas estándar o, como alternativa, para crear tablas de salida personalizadas con esquemas definidos por el usuario para ingerir estos registros personalizados.

Estos dos mecanismos se configuran mediante reglas de recopilación de datos (DCR), ya sea en el portal de Log Analytics o a través de la API o la plantilla de ARM. Este artículo le ayudará a elegir qué tipo de DCR necesita para el conector de datos determinado y le dirigirá a las instrucciones para cada escenario.

Requisitos previos

Antes de empezar a configurar dcr para la transformación de datos:

Determinación de los requisitos

Si está ingiriendo La transformación en tiempo de ingesta es... Uso de este tipo de DCR
Datos personalizados a través de
la API de ingesta de registros
  • Obligatorio
  • Incluido en la DCR que define el modelo de datos
    		•  dcr de Standard
    Tipos de datos integrados
    (Syslog, CommonSecurityLog, WindowsEvent, SecurityEvent)
    uso del agente de Azure Monitor
  • Opcional
  • Si lo desea, se agrega a la DCR que configura cómo se ingieren estos datos.
    		•  dcr de Standard
    Tipos de datos integrados
    de la mayoría de los demás orígenes
  • Opcional
  • Si lo desea, se agrega a la DCR adjunta al área de trabajo donde se ingieren estos datos.
    		•  DCR de transformación del área de trabajo

    Configuración de la transformación de datos

    Use los procedimientos siguientes de la documentación de Log Analytics y Azure Monitor para configurar los DCR de transformación de datos:

    Ingesta directa a través de la API de ingesta de registros:

    Transformaciones del área de trabajo:

    Más información sobre las reglas de recopilación de datos:

    Cuando haya terminado, vuelva a Microsoft Sentinel para comprobar que los datos se ingieren en función de la transformación recién configurada. Las configuraciones de transformación de datos pueden tardar hasta 60 minutos en aplicarse.

    Migración a la transformación de datos en tiempo de ingesta

    Si actualmente tiene conectores de datos de Microsoft Sentinel personalizados o conectores de datos integrados basados en API, es posible que desee migrar a mediante la transformación de datos en tiempo de ingesta.

    Utilice uno de los métodos siguientes:

    • Configure una DCR para definir, desde cero, la ingesta personalizada desde el origen de datos a una nueva tabla. Puede usar esta opción si desea usar un nuevo esquema que no tenga los sufijos de columna actuales y no requiera funciones KQL en tiempo de consulta para estandarizar los datos.

      Después de comprobar que los datos se ingieren correctamente en la nueva tabla, puede eliminar la tabla heredada, así como el conector de datos personalizado heredado.

    • Siga usando la tabla personalizada creada por el conector de datos personalizados. Puede usar esta opción si tiene un montón de contenido de seguridad personalizado creado para la tabla existente. En tales casos, consulte Migración desde data collector API y tablas personalizadas habilitadas para campos a registros personalizados basados en DCR en la documentación de Azure Monitor.

    Pasos siguientes

    Para obtener más información sobre la transformación de datos y los DCR, consulte:

    • Last updated on