Gerir listas de observação no Microsoft Sentinel

Recomendamos que edite uma lista de observação existente em vez de eliminar e recriar uma lista de observação. O Log Analytics tem um SLA de cinco minutos para ingestão de dados. Se eliminar e recriar uma lista de observação, poderá ver as entradas eliminadas e recriadas no Log Analytics durante esta janela de cinco minutos. Se vir estas entradas duplicadas no Log Analytics durante um período de tempo mais longo, submeta um pedido de suporte.

Editar um item de lista de observação

Edite uma lista de observação para editar ou adicionar um item à lista de observação.

1. Para Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Configuração>lista de observação. Para Microsoft Sentinel na portal do Azure, em Configuração, selecione Lista de observação.

2. Selecione a lista de observação que pretende editar.

3. No painel de detalhes, selecione Atualizar lista de observação>Editar itens da lista de observação.

   

4. Para editar um item de lista de observação existente,

   1. Selecione a caixa de verificação desse item da lista de observação.

   2. Edite o item.

   3. Seleccione Guardar.

      

   4. Selecione Sim no pedido de confirmação.

      

5. Para adicionar um novo item à sua lista de observação,

   1. Selecione Adicionar novo.

      

   2. Preencha os campos do painel Adicionar item da lista de observação .

   3. Na parte inferior desse painel, selecione Adicionar.

Atualizar uma lista de observação em massa

Quando tiver muitos itens para adicionar a uma lista de observação, utilize a atualização em massa. Uma atualização em massa de uma lista de observação acrescenta itens à lista de observação existente. Em seguida, elimina o duplicado dos itens na lista de observação onde todos os valores em cada coluna correspondem.

Se tiver eliminado um item do ficheiro da lista de observação e o carregar, a atualização em massa não eliminará o item na lista de observação existente. Elimine o item da lista de observação individualmente. Em alternativa, quando tiver muitas eliminações, elimine e recrie a lista de observação.

O ficheiro de lista de observação atualizado que carregar tem de conter o campo de chave de pesquisa utilizado pela lista de observação sem valores em branco.

Para atualizar em massa uma lista de observação,

1. Para Microsoft Sentinel na portal do Azure, em Configuração, selecione Lista de observação.
   Para Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Configuração>lista de observação.

2. Selecione a lista de observação que pretende editar.

3. No painel de detalhes, selecione Atualizarlista de observação >Atualização em massa.

   

4. Em Carregar ficheiro, arraste e largue ou navegue para o ficheiro para carregar.

   

5. Se receber um erro, corrija o problema no ficheiro. Em seguida, selecione Repor e tente carregar o ficheiro novamente.

6. Selecione Seguinte: Rever e atualizar Atualização>.

Conteúdos relacionados

Para saber mais sobre Microsoft Sentinel, consulte os seguintes artigos:

• Utilizar listas de observação no Microsoft Sentinel
• Saiba como obter visibilidade sobre os seus dados e potenciais ameaças.
• Comece a detetar ameaças com Microsoft Sentinel.
• Utilize livros para monitorizar os seus dados.