Exportar e importar regras de automatização de e para modelos do ARM

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Faça a gestão das regras de automatização Microsoft Sentinel como código! Agora, pode exportar as regras de automatização para Azure Resource Manager ficheiros de modelo (ARM) e importar regras destes ficheiros, como parte do programa para gerir e controlar as implementações Microsoft Sentinel como código. A ação de exportação cria um ficheiro JSON na localização de transferências do browser, que, em seguida, pode mudar o nome, mover e processar como qualquer outro ficheiro.

O ficheiro JSON exportado é independente da área de trabalho, pelo que pode ser importado para outras áreas de trabalho e até mesmo para outros inquilinos. Como código, também pode ser controlado por versões, atualizado e implementado numa estrutura CI/CD gerida.

O ficheiro inclui todos os parâmetros definidos na regra de automatização. As regras de qualquer tipo de acionador podem ser exportadas para um ficheiro JSON.

Este artigo mostra-lhe como exportar e importar regras de automatização.

Importante

Após 31 de março de 2027, Microsoft Sentinel deixarão de ser suportados no portal do Azure e só estarão disponíveis no portal do Microsoft Defender. Todos os clientes que utilizem Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e utilizarão apenas Microsoft Sentinel no portal do Defender.

Se ainda estiver a utilizar Microsoft Sentinel no portal do Azure, recomendamos que comece a planear a transição para o portal do Defender para garantir uma transição suave e tirar o máximo partido da experiência de operações de segurança unificada oferecida pelo Microsoft Defender.

Regras de exportação

  1. No menu de navegação Microsoft Sentinel, selecione Automatização.

  2. Selecione a regra (ou regras— ver nota) que pretende exportar e selecione Exportar na barra na parte superior do ecrã.

    Captura de ecrã a mostrar como exportar uma regra de automatização.

    Localize o ficheiro exportado na pasta Transferências. Tem o mesmo nome que a regra de automatização, com uma extensão .json.

    Nota

    • Pode selecionar várias regras de automatização ao mesmo tempo para exportar ao marcar as caixas de verificação junto às regras e selecionar Exportar no final.

    • Pode exportar todas as regras numa única página da grelha de apresentação ao mesmo tempo, marcando a caixa de verificação na linha de cabeçalho antes de clicar em Exportar. No entanto, não pode exportar mais do que uma página de regras de cada vez.

    • Neste cenário, é criado um único ficheiro (denominado Azure_Sentinel_automation_rules.json) e contém código JSON para todas as regras exportadas.

Importar regras

  1. Ter um ficheiro JSON de modelo arm de regra de automatização pronto.

  2. No menu de navegação Microsoft Sentinel, selecione Automatização.

  3. Selecione Importar na barra na parte superior do ecrã. Na caixa de diálogo resultante, navegue para e selecione o ficheiro JSON que representa a regra que pretende importar e selecione Abrir.

    Captura de ecrã a mostrar como importar uma regra de automatização.

    Nota

    Pode importar até 50 regras de automatização a partir de um único ficheiro de modelo do ARM.

Resolução de Problemas

Se tiver problemas ao importar uma regra de automatização exportada, consulte a tabela seguinte.

Comportamento (com erro) Motivo Ação sugerida
A regra de automatização importada está desativada
- e-
A condição da regra de análise da regra apresenta "Regra desconhecida"		 A regra contém uma condição que se refere a uma regra de análise que não existe na área de trabalho de destino.
  1. Exporte a regra de análise referenciada da área de trabalho original e importe-a para a de destino.
  2. Edite a regra de automatização na área de trabalho de destino, escolhendo a regra de análise agora presente no menu pendente.
  3. Ative a regra de automatização.
A regra de automatização importada está desativada
- e-
A condição de chave de detalhes personalizados da regra apresenta "Chave de detalhes personalizada desconhecida"		 A regra contém uma condição que se refere a uma chave de detalhes personalizada que não é definida em nenhuma regra de análise na área de trabalho de destino.
  1. Exporte a regra de análise referenciada da área de trabalho original e importe-a para a de destino.
  2. Edite a regra de automatização na área de trabalho de destino, escolhendo a regra de análise agora presente no menu pendente.
  3. Ative a regra de automatização.
A implementação falhou na área de trabalho de destino, com a mensagem de erro: "As regras de automatização não foram implementadas.".
Os detalhes da implementação contêm os motivos listados na coluna seguinte para a falha.		 O manual de procedimentos foi movido.
- ou-
O manual de procedimentos foi eliminado.
- ou-
A área de trabalho de destino não tem acesso ao manual de procedimentos.		 Certifique-se de que o manual de procedimentos existe e de que a área de trabalho de destino tem o acesso certo ao grupo de recursos que contém o manual de procedimentos.
A implementação falhou na área de trabalho de destino, com a mensagem de erro: "As regras de automatização não foram implementadas.".
Os detalhes da implementação contêm os motivos listados na coluna seguinte para a falha .		 A regra de automatização ultrapassou a data de expiração definida quando a importou. Se quiser que a regra permaneça expirada na área de trabalho original:
  1. Edite o ficheiro JSON que representa a regra de automatização exportada.
  2. Localize a data de expiração (que aparece imediatamente após a cadeia "expirationTimeUtc":) e substitua-a por uma nova data de expiração (no futuro).
  3. Guarde o ficheiro e importe-o novamente para a área de trabalho de destino.
Se quiser que a regra regresse ao estado ativo na área de trabalho original:
  1. Edite a regra de automatização na área de trabalho original e altere a data de expiração para uma data no futuro.
  2. Exporte a regra novamente a partir da área de trabalho original.
  3. Importe a versão recentemente exportada para a área de trabalho de destino.
A implementação falhou na área de trabalho de destino, com a mensagem de erro:
"O ficheiro JSON que tentou importar tem um formato inválido. Verifique o ficheiro e tente novamente."		 O ficheiro importado não é um ficheiro JSON válido. Verifique se existem problemas no ficheiro e tente novamente. Para obter os melhores resultados, exporte novamente a regra original para um novo ficheiro e, em seguida, tente importar novamente.
A implementação falhou na área de trabalho de destino, com a mensagem de erro:
"Não foram encontrados recursos no ficheiro. Certifique-se de que o ficheiro contém recursos de implementação e tente novamente."		 A lista de recursos na chave "resources" (recursos) no ficheiro JSON está vazia. Verifique se existem problemas no ficheiro e tente novamente. Para obter os melhores resultados, exporte novamente a regra original para um novo ficheiro e, em seguida, tente importar novamente.

Passos seguintes

Neste documento, aprendeu a exportar e importar regras de automatização de e para modelos do ARM.

  • Last updated on