Definir programação para integração da API de segurança do Microsoft Graph

Verifique as configurações padrão para recuperação de alertas ou modifique a programação conforme necessário. Esta etapa permite filtrar a recuperação do alerta com base em um intervalo de datas.

Antes de Iniciar

Função necessária: sn_si.admin

Por Que e Quando Desempenhar Esta Tarefa

Você também escolhe com que frequência pesquisará alertas futuros que correspondam à configuração do perfil de alerta. Para perfis de ingestão de alertas automatizados, antes que o perfil seja ativado, você verifica e modifica a programação e a recuperação do alerta. Esta etapa é necessária para perfis de alerta programados.

Como um usuário com a função sn_si.admin, você configura esses intervalos de pesquisa por perfil. O desempenho da integração de ingestão de alertas API de Segurança do Microsoft Graph é afetado pelos diferentes intervalos de pesquisa. Ao programar, você pode preferir equilibrar a carga do sistema em relação à urgência do incidente. Um valor padrão de cinco minutos é definido para qualquer perfil, mas você pode preferir modificar essa configuração com base na urgência do incidente e na carga prevista em seu sistema.

Procedimento

1. Se a página Programação na barra de andamento não for exibida, selecione Programação.
2. Escolha um para programar como e quando os alertas são extraídos do locatário Microsoft Azure.

   Opção	Descrição
   Ingestão contínua de alertas selecionada	Com base na configuração padrão, a instância da Now Platform extrai do locatário Microsoft Azure novos alertas a cada cinco minutos. Os incidentes de segurança serão criados se os alertas acionados forem encontrados e os critérios de filtragem de geração de incidentes forem correspondidos. Para equilibrar a ingestão de alertas em relação à carga do servidor e para extrair os dados mais atuais, cinco minutos é a configuração que você pode preferir. No entanto, este valor pode ser modificado conforme necessário.
   Ingestão contínua de alertas selecionada Definir tempo de ingestão do alerta inicial	Tempo de ingestão inicial Se você quiser programar a ingestão inicial em um horário específico, siga estas etapas: Selecione os campos Ingestão de alertas contínuos e Definir tempo de ingestão do alerta inicial. Especifique o tempo no campo Tempo de ingestão do alerta inicial de entrada. A ingestão inicial ocorrerá no horário especificado aqui. As ingestões subsequentes serão baseadas na programação definida no campo Incremento de pesquisa (minutos). Como um exemplo de programação, se você tiver um trabalho de alerta diário que é executado uma vez por dia às 4h no horário local, poderá configurar o perfil de alerta correspondente em sua instância da Now Platform para ser executado às 4h05 no horário local para capturar o alerta imediatamente e crie um incidente de segurança. Insira 04 05 00 no campo Ingestão de alerta inicial. No campo Incrementar (minutos), insira 1440 (24 horas) para programar a próxima ingestão de alertas por 24 horas a partir da ingestão de alertas inicial. O tempo de ingestão do alerta inicial e o tempo de ingestão do próximo alerta são exibidos nos campos. Para definir as configurações neste exemplo, siga estas etapas: Selecione a opção Ingestão de alertas contínuos. No campo Incremento de pesquisa (minutos), insira 1440 (24 horas). Clique na opção Definir tempo de ingestão do alerta inicial para habilitar a edição dos campos Tempo de ingestão do alerta inicial e Tempo de ingestão do próximo alerta (estimado). No campo Tempo de ingestão do alerta inicial, insira 04 05 00. No campo Tempo da próxima ingestão de alertas (estimado), a hora da próxima ingestão de alertas é exibida.
   Campo de recuperação única selecionado	Recuperação Única Use esta configuração se quiser que uma extração única inclua alertas históricos. Quando esta configuração é definida, um perfil é usado uma vez para recuperar alertas de eventos históricos que são baseados em um intervalo de datas. À direita do campo Data desde, clique no ícone de calendário. No calendário exibido, selecione a data em que deseja começar a extrair alertas. Começando com o valor de data Desde, os alertas são recuperados até a data atual. Observe que você pode retroceder até sete dias a partir da data atual. Esta funcionalidade não se destina a recuperar quantidades significativas de alertas históricos, mas sim uma quantidade mínima de alertas em andamento que estão sendo trabalhados ativamente no momento da ativação do perfil. Depois que os alertas forem extraídos, esta configuração não recuperará mais alertas para este perfil a partir da data atual. Esta configuração preenche o incidente de segurança com todos os alertas encontrados para o intervalo inserido.

3. Clique em Continuar para navegar até a página Opções adicionais.