Vários espaços de trabalho do Microsoft Sentinel no portal do Defender

O portal do Defender permite-lhe ligar a uma área de trabalho primária e a várias áreas de trabalho secundárias para Microsoft Sentinel. No contexto deste artigo, uma área de trabalho é uma área de trabalho do Log Analytics com Microsoft Sentinel ativada.

Este artigo aplica-se principalmente ao cenário em que você integra o Microsoft Sentinel ao portal do Defender junto com o Microsoft Defender XDR para operações de segurança unificadas. Se você planeja usar o Microsoft Sentinel no portal do Defender sem o Microsoft Defender XDR, ainda poderá gerenciar vários espaços de trabalho. No entanto, como você não tem o Defender XDR, seu espaço de trabalho principal não terá dados do Defender XDR e você não terá acesso aos recursos do Defender XDR.

Espaços de trabalho primários e secundários

Selecione seu espaço de trabalho principal ao integrar o Microsoft Sentinel ao portal do Defender. Quaisquer outros espaços de trabalho integrados ao portal do Defender são considerados espaços de trabalho secundários. O portal do Defender oferece suporte a um espaço de trabalho primário e a um número ilimitado de espaços de trabalho secundários por locatário para o Microsoft Sentinel.

Quando você também tem o Microsoft Defender XDR, os alertas do espaço de trabalho principal são correlacionados com os dados do Defender XDR e os incidentes incluem alertas do espaço de trabalho principal e do Defender XDR em uma fila unificada. Quando você seleciona um espaço de trabalho principal, o conector de dados XDR do Defender para incidentes e alertas é conectado somente ao espaço de trabalho principal.

Nesses casos:

Por exemplo, você pode estar trabalhando em uma equipe SOC global em uma empresa que tem vários espaços de trabalho autônomos. Nesses casos, talvez você não queira ver incidentes e alertas de cada um desses espaços de trabalho em sua fila global de SOC no portal do Defender. Como esses espaços de trabalho são integrados ao portal do Defender como espaços de trabalho secundários, eles são exibidos no portal do Defender apenas como Microsoft Sentinel, sem dados do Defender, e continuam a funcionar de forma autônoma. Ao examinar seu espaço de trabalho SOC global, você não verá dados desses espaços de trabalho secundários.

Onde você tiver vários espaços de trabalho do Microsoft Sentinel em um locatário do Microsoft Entra ID, considere usar o espaço de trabalho principal para seu centro de operações de segurança global.

Permissões para gerenciar espaços de trabalho e exibir dados do espaço de trabalho

Use uma das seguintes funções ou combinações de funções para gerenciar espaços de trabalho primários e secundários:

Depois de conectar o Microsoft Sentinel ao portal do Defender, suas permissões existentes de controle de acesso baseado em função (RBAC) do Azure permitem que você exiba e trabalhe com os recursos e espaços de trabalho do Microsoft Sentinel aos quais você tem acesso.

Exceção: Se você já tiver integrado um espaço de trabalho ao portal do Defender, todos os alertas criados usando deteções personalizadas em AlertInfo tabelas e AlertEvidence tabelas antes de meados de janeiro de 2025 ficarão visíveis para todos os usuários.

Para obter mais informações, consulte Funções e permissões no Microsoft Sentinel.

Alterações no espaço de trabalho principal

Depois de integrar o Microsoft Sentinel ao portal do Defender, você pode alterar o espaço de trabalho principal. Quando muda a área de trabalho primária para Microsoft Sentinel, o conector Defender XDR é ligado ao novo principal e desligado automaticamente do antigo.

Altere o espaço de trabalho principal no portal do Defender indo paraConfigurações> do Sistema>Microsoft Sentinel>Workspaces.

Escopo dos dados do espaço de trabalho em diferentes modos de exibição

Se você tiver as permissões apropriadas para exibir dados de espaços de trabalho primários e secundários para o Microsoft Sentinel, o escopo do espaço de trabalho na tabela a seguir se aplicará a cada recurso.

Sincronização bidirecional para espaços de trabalho

A forma como as alterações nos incidentes são sincronizadas entre o portal do Azure e o portal do Defender depende de ser ou não um espaço de trabalho primário ou secundário.

Suporte à gestão de risco interno (IRM)

Os alertas do Microsoft Purview Insider Risk Management (IRM) estão correlacionados apenas com o espaço de trabalho principal. Se tiveres alertas de IRM com o Microsoft Defender XDR, deverás conectar o IRM ao conector XDR do Microsoft Defender no teu espaço de trabalho principal antes de configurar o espaço de trabalho no portal do Defender. Isso é necessário para garantir que os alertas e incidentes do IRM estejam disponíveis no espaço de trabalho principal. Se não quiser ver alertas de IRM no espaço de trabalho principal, você pode desativar a integração com o Microsoft Defender XDR.

Além disso, se o conector de dados direto do Microsoft 365 Insider Risk Management para o Microsoft Sentinel estiver ligado a algum dos espaços de trabalho secundários, deverá desligá-lo antes de registar o espaço de trabalho no portal do Defender.

Conteúdo relacionado

• Gerenciamento multilocatário do Microsoft Defender
• Conectar o Microsoft Sentinel ao portal do Microsoft Defender
• Estenda o Microsoft Sentinel entre espaços de trabalho e locatários