Compartilhar via

Gerenciar watchlists no Microsoft Sentinel

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Recomendamos que você edite uma watchlist existente em vez de excluir e recriar uma watchlist. O Log Analytics tem um SLA de cinco minutos para a ingestão de dados. Se você excluir e recriar uma watchlist, poderá ver as entradas excluídas e recriadas em Log Analytics durante essa janela de cinco minutos. Se você vir essas entradas duplicadas no Log Analytics por um período de tempo mais longo, envie um tíquete de suporte.

Importante

O Microsoft Sentinel geralmente está disponível no portal do Microsoft Defender, inclusive para clientes sem o Microsoft Defender XDR ou uma licença E5.

A partir de julho de 2026, todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão apenas o Microsoft Sentinel no portal do Defender. A partir de julho de 2025, muitos novos clientes são automaticamente integrados e redirecionados para o portal do Defender.

Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que você comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência de operações de segurança unificada oferecida pelo Microsoft Defender. Para obter mais informações, consulte É Hora de Mudar: Aposentando o portal Azure do Microsoft Sentinel para obter maior segurança.

Editar um item da watchlist

Edite uma watchlist para editar ou adicionar um item à watchlist.

  1. Para o Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Configuração>Watchlist. Para o Microsoft Sentinel no portal do Azure, em Configuração, selecione Watchlist.

  2. Selecione a watchlist que você deseja editar.

  3. No painel de detalhes, selecione Atualizar watchlist>Editar itens da watchlist.

    Captura de tela da opção editar lista de observação na parte inferior do painel de detalhes.

  4. Para editar um item de watchlist existente,

    1. Selecione a caixa de seleção desse item de watchlist.

    2. Edite o item.

    3. Clique em Salvar.

      Captura de tela mostrando como marcar e editar um item da lista de observação.

    4. Clique em Sim no prompt de confirmação.

      Captura de tela do prompt para confirmar suas alterações.

  5. Para adicionar um novo item à sua watchlist,

    1. Selecione Adicionar nova.

      Captura de tela do novo botão na parte superior da página Editar itens da watchlist.

    2. Preencha os campos do painel Adicionar item da watchlist.

    3. Na parte inferior desse painel, selecione Adicionar.

Atualização em massa de uma watchlist

Quando você tiver muitos itens para adicionar a uma watchlist, use a atualização em massa. A atualização em massa acrescenta itens a uma watchlist existente. Em seguida, ela elimina as duplicatas dos itens na watchlist em que todo o valor em cada coluna corresponde.

Se você excluiu um item do arquivo da watchlist e o carregou, a atualização em massa não excluirá o item na watchlist existente. Exclua o item da watchlist individualmente. Ou, quando você tiver muitas exclusões, exclua e recrie a watchlist.

O arquivo da watchlist atualizada que você carregou deve conter o campo de chave de pesquisa usado pela watchlist, sem valores em branco.

Para fazer atualização em massa de uma watchlist,

  1. Para o Microsoft Sentinel no portal do Azure, em Configuração, selecione Watchlist.
    Para o Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Configuração>Watchlist.

  2. Selecione a watchlist que você deseja editar.

  3. No painel de detalhes, selecione Atualizar watchlist>Atualização em massa.

    Captura de tela da opção de atualização em massa na parte inferior do painel de detalhes.

  4. Em Carregar arquivo, arraste e solte ou navegue até o arquivo a ser carregado.

    Captura de tela da página de origem do assistente da lista de observação, em que você seleciona o arquivo a ser carregado e o campo da chave de pesquisa está desativado.

  5. Se você receber um erro, corrija o problema no arquivo. Em seguida, selecione Redefinir e carregar o arquivo novamente.

  6. Selecione Avançar: examinar e atualizar>Atualizar.

Conteúdo relacionado

Para saber mais sobre o Microsoft Sentinel, confira os seguintes artigos:

  • Last updated on