Creación y administración de reglas de recopilación de datos personalizadas en Microsoft Defender para punto de conexión (versión preliminar)

En este artículo se muestra cómo crear y administrar reglas de recopilación de datos personalizadas en el portal de Microsoft Defender.

Requisitos previos

Asegúrese de que tiene:

Rendimiento y límites

• Cada regla puede capturar hasta 25 000 eventos por dispositivo por ventana gradual de 24 horas
• Cuando un dispositivo alcanza el umbral, la telemetría de esa regla se detiene hasta que se restablece la ventana.
• La implementación de reglas suele tardar entre 20 minutos y 1 hora
• La recopilación personalizada funciona junto con la configuración predeterminada sin interferencias

Consideraciones acerca de la seguridad

Tenga en cuenta estas implicaciones de seguridad antes de crear reglas:

Costos de datos

• La recopilación de datos personalizada se incluye con Microsoft Defender para punto de conexión P2
• La ingesta de datos en Microsoft Sentinel incurre en cargos en función de la facturación Sentinel
• Recopilación de destino a grupos de dispositivos específicos para controlar los costos

Crear reglas

1. Enel portal de Microsoft Defender, vaya a Configuración> Reglas depuntos de conexiónRecopilación de datos personalizados.>>

2. Para incorporar el área de trabajo de Microsoft Sentinel, en la parte superior derecha, seleccione el nombre del área de trabajo Microsoft Sentinel.

   

3. En la página Ámbito del área de trabajo, seleccione el área de trabajo.

   

   Nota:

   Debe seleccionar el área de trabajo en esta fase, incluso si ya tiene un área de trabajo Microsoft Sentinel conectada.

4. Seleccione Crear regla. En la sección Información general , escriba un nombre de regla y una descripción y seleccione Siguiente.

   

5. En la sección Crear regla :

   1. Seleccione la tabla de la que desea recopilar datos. Para obtener más información, consulte Tablas de eventos compatibles.
   2. Seleccione la acción para la que desea recopilar datos.
   3. Agregue condiciones de regla para filtrar los datos aún más. Puede agregar varias condiciones para refinar la recopilación de datos. Las condiciones de regla se basan en la tabla seleccionada. Para obtener más información, vea el vínculo de tabla correspondiente en Tablas de eventos compatibles.

   

6. Seleccione Siguiente.

7. En la sección Definir ámbito de regla , seleccione si desea recopilar datos de todos los dispositivos cliente aplicables o de dispositivos específicos que incluyan etiquetas dinámicas. Para obtener más información, consulte Creación de reglas dinámicas para dispositivos en la administración de reglas de recursos.

   

   Nota:

   La recopilación de datos personalizada solo admite etiquetas dinámicas.

8. En la sección Revisar y finalizar , revise la configuración de la regla y seleccione Enviar.

   

La regla puede tardar hasta una hora en implementarse en los dispositivos de destino.

Supervisar y solucionar problemas

Después de implementar reglas de recopilación de datos personalizadas, supervise su rendimiento y solucione cualquier problema.

Comprobación de la implementación de reglas

Para comprobar si una regla recopila datos de un dispositivo específico, consulte las tablas de eventos personalizadas en la búsqueda avanzada:

search in (DeviceCustomFileEvents, DeviceCustomScriptEvents, DeviceCustomNetworkEvents, DeviceCustomProcessEvents, DeviceCustomImageLoadEvents) "your_device_id"
| where DeviceId == "your_device_id"
| summarize EventCount = count() by RuleName, RuleLastModificationTime, $table
| order by RuleLastModificationTime desc

Problemas y soluciones comunes

Supervisión del rendimiento de las reglas

• Comprobación del volumen de eventos: consulta de tablas de eventos personalizadas para ver cuántos eventos recopila cada regla
• Revisar el estado de la recopilación: supervise si los dispositivos se aproximan al límite de 25 000 eventos por regla y día
• Validar destino: asegúrese de que las reglas se implementan en los dispositivos correctos en función de las etiquetas dinámicas.

Recopilación de todos los eventos para pruebas

Para recopilar todos los eventos de una tabla específica (para pruebas o supervisión completa):

1. Creación de una regla con la tabla deseada
2. Seleccionar todas las acciones disponibles
3. Agregue una condición que siempre sea verdadera, como:
   • Para eventos de red: RemotePort not equals 0
   • Para eventos de archivo: FileName not equals ""
   • Para eventos de proceso: ProcessCommandLine not equals ""
4. Dirigirse primero a un grupo piloto pequeño debido a un gran volumen de datos

Administrar reglas

Edición de una regla

1. Vaya a Configuración>Reglas de puntos de conexiónRecopilación de datos personalizados>>
2. Seleccione la regla que desea editar.
3. Seleccione Editar.
4. Modificar la configuración de regla según sea necesario (nombre, descripción, tabla, acciones, condiciones o destino de dispositivos)
5. Seleccione Enviar.

Los cambios surten efecto en los dispositivos de destino en un plazo de 20 minutos a 1 hora.

Habilitación o deshabilitación de una regla

1. En Recopilación de datos personalizados, seleccione la regla.
2. Active o desactive la casilla Habilitar en la descripción de la regla.

Al deshabilitar una regla, la recopilación de datos se detiene en todos los dispositivos de destino dentro de la siguiente protección del agente (normalmente en cuestión de minutos a 1 hora).

Eliminación de una regla

1. En Recopilación de datos personalizados, seleccione la regla.
2. Seleccione Eliminar.
3. Confirmación de la eliminación

Pasos siguientes

• Introducción a la recopilación de datos personalizados: Revisar las funcionalidades y cuándo usar la recopilación personalizada
• Creación y administración de etiquetas de dispositivo y dispositivos de destino: obtenga información sobre cómo las etiquetas habilitan el destino de dispositivos a escala
• Búsqueda avanzada: consulta de tablas de eventos personalizadas en Microsoft Sentinel