Administración de niveles de datos y retención en Microsoft Sentinel

Los datos que recopila en Microsoft Sentinel (SIEM) y XDR de Microsoft Defender se almacenan en tablas. El portal de Microsoft Defender le permite administrar el período de retención y los costos de almacenamiento asociados a los datos. Puede administrar la retención y los costos cuando:

• Configure conectores de datos para enviar datos a Microsoft Sentinel o Microsoft Defender XDR.
• Administre las tablas y los datos existentes.

En este artículo se explica cómo administrar las opciones de retención y nivel de tabla en el portal de Microsoft Defender para optimizar las operaciones de seguridad y reducir los costos en Microsoft Sentinel y en Microsoft Defender XDR.

¿Qué tablas puede administrar en el portal de Defender?

En esta sección se describen los tipos de tabla que puede administrar en el portal de Microsoft Defender.

Cómo funcionan los niveles de datos y la retención

Puede conservar los datos en Microsoft Sentinel en uno de los dos niveles:

• Nivel de análisis: este nivel pone los datos a disposición de las alertas, la búsqueda, los libros y todas las características de Microsoft Sentinel. Conserva los datos en dos estados:

  • Retención de datos analíticos: en este estado "activo", los datos están totalmente disponibles para el análisis en tiempo real, incluidas las consultas de alto rendimiento, las reglas de análisis y la búsqueda de amenazas. De forma predeterminada, Microsoft Sentinel y XDR de Microsoft Defender conservan los datos en este nivel durante 30 días. Puede ampliar el período de retención de todas las tablas hasta dos años con un cargo prorrateado de retención a largo plazo mensual. Puede ampliar el período de retención de las tablas de soluciones de Microsoft Sentinel a 90 días de forma gratuita.
  • Retención total: de forma predeterminada, todos los datos del nivel de análisis se reflejan en el lago de datos durante el mismo período de retención. Puede ampliar la retención de los datos en el lago más allá de la retención de análisis, hasta 12 años de retención total a un costo bajo.

• Capa de lago de datos: en este nivel de "frío" de bajo costo, Microsoft Sentinel solo conserva los datos en el lago. Los datos en el nivel de data lake no están disponibles para funciones de análisis en tiempo real y la detección de amenazas. Sin embargo, puede acceder a los datos del lago siempre que lo necesite a través de trabajos de KQL, analizar tendencias a lo largo del tiempo mediante la ejecución de trabajos de KQL o Spark programados, y agregar información de los datos entrantes a una cadencia regular mediante reglas de resumen.

• Datos XDR: de forma predeterminada, los datos de búsqueda de amenazas de XDR de Microsoft Defender siempre están disponibles en el nivel de análisis durante 30 días. Los clientes pueden ampliar la retención de estos datos en el nivel de análisis hasta 90 días, incluidos en la licencia XDR sin costo adicional. También puede ingerir exclusivamente en el nivel de lago de datos, pero los datos siempre están disponibles en el nivel de análisis durante 30 días en este estado.

Para más información sobre las diferencias entre estos dos tipos de retención, consulte Comparación de los niveles de análisis y lago de datos.

En este diagrama se muestran los componentes de retención de los niveles predeterminados de análisis, lago de datos y XDR, y qué tipos de tabla se aplican a cada nivel:

Para obtener más información sobre el lago de datos de Microsoft Sentinel, consulte ¿Qué es el lago de datos de Microsoft Sentinel?

Comparación de los niveles de análisis y lago de datos

En esta tabla se comparan los dos niveles de análisis y lago de datos y sus características clave:

¿Qué ocurre cuando se modifica la configuración de la tabla?

Puede cambiar la configuración de nivel y retención de una tabla en cualquier momento.

Al cambiar el nivel de una tabla de análisis a lago de datos, todas las consultas de búsqueda y análisis en tiempo real dejan de funcionar.

Al acortar la retención total de una tabla, Microsoft espera 30 días antes de quitar los datos, por lo que puede revertir el cambio y evitar la pérdida de datos si ha producido un error en la configuración.

Al aumentar la retención total, el nuevo periodo de retención se aplica a todos los datos que ya se habían ingerido en la tabla y aún no se habían eliminado.

Al cambiar la configuración de retención de análisis de una tabla con datos existentes, el cambio surte efecto inmediatamente.

Ejemplo:

• Tiene una tabla en el nivel de análisis con 180 días de retención de análisis. De forma predeterminada, la retención total también se establece en 180 días.
• Puede cambiar la retención de análisis a 90 días sin cambiar el período de retención total de 180 días.
• Microsoft Sentinel quita automáticamente los últimos 90 días de datos de la retención de análisis, pero continúa almacenando datos de 90 a 180 días en el lago de datos.

Administración de datos de XDR en Microsoft Sentinel

De forma predeterminada, XDR de Microsoft Defender conserva los datos de búsqueda de amenazas en el nivel predeterminado XDR durante 30 días. Estos datos no se ingieren en los niveles de análisis o lago de datos de forma predeterminada. Si amplía el período de retención de las tablas de XDR admitidas más allá de 30 días, las tablas se crean en el área de trabajo de Microsoft Sentinel en el nivel de análisis y se reflejan en el nivel de lago de datos.

Si habilita el conector XDR de Microsoft Sentinel en Azure Portal, las tablas que seleccione durante la instalación se ingieren automáticamente en el nivel de análisis y se reflejan en el nivel de lago de datos. La retención predeterminada es de 30 días y puede extenderla hasta 12 años. Para obtener una lista de tablas, consulte Integración de XDR de Microsoft Defender con Microsoft Sentinel. Puede ingerir tablas XDR compatibles que no haya seleccionado durante la implementación del conector en la capa de análisis y duplicarlas en la capa del lago de datos estableciendo la retención en más de 30 días.

Si no habilita el conector Microsoft Sentinel XDR, las tablas XDR no se ingieren automáticamente, pero aún puede ingerirlas configurando la retención de la capa de análisis o del lago de datos durante más de 30 días en el portal de Defender.

Puede optar por ingerir tablas XDR admitidas exclusivamente en el nivel de lago de datos seleccionando la opción nivel de lago de datos al configurar la configuración de retención. Para obtener más información, consulte Configuración de la retención de datos y la creación de niveles.

Detenga la ingesta de datos en el nivel de análisis restableciendo la retención del nivel de análisis y la retención total en los 30 días predeterminados. Esta acción deshabilita el conector en Azure Portal.

Para más información sobre cómo administrar las tablas y los datos, consulte Administración de las tablas y datos existentes.

Retención y costos de datos de XDR

En las tablas siguientes, se resumen los períodos de retención gratuitos y las implicaciones de costos para los distintos niveles de Microsoft Sentinel:

Para más información sobre la facturación y los costos, consulte Descripción del modelo de facturación completo para Microsoft Sentinel

En los ejemplos siguientes, los datos de XDR están disponibles a través de la búsqueda avanzada durante al menos 30 días, independientemente de la configuración de retención en los niveles de análisis o lago de datos.

Pasos siguientes

Más información sobre:

• Configuración de niveles de tabla de registro y configuración de retención
• Creación de un trabajo de búsqueda para recuperar datos que coincidan con criterios concretos