Ligar Microsoft Sentinel ao portal do Microsoft Defender

Microsoft Sentinel está geralmente disponível no portal do Microsoft Defender, com ou sem Microsoft Defender XDR ou uma licença E5. Ao utilizar Microsoft Sentinel no portal do Defender juntamente com os serviços Microsoft Defender XDR, unifica capacidades como a gestão de incidentes e a investigação avançada. Reduza a mudança de ferramentas e crie uma investigação mais focada no contexto que agilize a resposta a incidentes e pare as falhas mais rapidamente.

Este artigo é relevante para clientes cujas áreas de trabalho Microsoft Sentinel ainda não estão ligadas ao portal do Defender. Em muitos casos, os clientes que integram o Microsoft Sentinel após 1 de julho de 2025 são automaticamente integrados no portal do Defender.

Para mais informações, consulte:

• O que são operações de segurança unificadas?
• Microsoft Sentinel no portal do Microsoft Defender
• Microsoft Defender XDR integração com Microsoft Sentinel

Pré-requisitos

Antes de começar, reveja a documentação da funcionalidade para compreender as alterações e limitações do produto.

• Microsoft Sentinel no portal do Microsoft Defender
• Investigação avançada no portal do Microsoft Defender
• Alertas, incidentes e correlação no Microsoft Defender XDR
• Microsoft Sentinel automatização no portal do Defender

O portal Microsoft Defender suporta um único inquilino Microsoft Entra e a ligação a uma área de trabalho primária e a várias áreas de trabalho secundárias. Se tiver apenas uma área de trabalho quando integrar Microsoft Sentinel, essa área de trabalho é designada como a área de trabalho principal. Para obter mais informações, veja Várias áreas de trabalho Microsoft Sentinel no portal do Defender. No contexto deste artigo, uma área de trabalho é uma área de trabalho do Log Analytics com Microsoft Sentinel ativada.

pré-requisitos do Microsoft Sentinel

Para integrar e utilizar Microsoft Sentinel no portal do Defender, tem de ter os seguintes recursos e acesso:

• Uma área de trabalho do Log Analytics que tem Microsoft Sentinel ativada

• Uma conta Azure com as funções adequadas para integrar, utilizar e criar pedidos de suporte para Microsoft Sentinel no portal do Defender. Não verá áreas de trabalho no portal do Defender para integrar, onde não tem as permissões necessárias. A tabela seguinte realça algumas das principais funções necessárias.

  Tarefa	Microsoft Entra ou Azure função incorporada necessária	Âmbito
  Integrar Microsoft Sentinel no portal do Defender	Administrador global ou administrador de segurança no Microsoft Entra ID E Proprietário ou Administrador de Acesso de Utilizador e Contribuidorde Microsoft Sentinel	Inquilino - Subscrição para funções de Proprietário ou Administrador de Acesso de Utilizador - Subscrição, grupo de recursos ou recurso de área de trabalho para contribuidor de Microsoft Sentinel
  Ligar ou desligar uma área de trabalho secundária	Administrador global ou administrador de segurança no Microsoft Entra ID E Proprietário ou Administrador de Acesso de Utilizador e Contribuidorde Microsoft Sentinel	Inquilino - Subscrição para funções de Proprietário ou Administrador de Acesso de Utilizador - Subscrição, grupo de recursos ou recurso de área de trabalho para contribuidor de Microsoft Sentinel
  Alterar a área de trabalho primária	Administrador global ou administrador de segurança no Microsoft Entra ID E Proprietário ou Administrador de Acesso de Utilizador e Contribuidorde Microsoft Sentinel	Inquilino - Subscrição para funções de Proprietário ou Administrador de Acesso de Utilizador - Subscrição, grupo de recursos ou recurso de área de trabalho para contribuidor de Microsoft Sentinel
  Ver Microsoft Sentinel no portal do Defender	Microsoft Sentinel Reader	Subscrição, grupo de recursos ou recurso de área de trabalho
  Consultar Microsoft Sentinel tabelas de dados ou ver incidentes	Microsoft Sentinel Leitor ou uma função com as seguintes ações: - Microsoft.OperationalInsights/workspaces/read - Microsoft.OperationalInsights/workspaces/query/read - Microsoft.SecurityInsights/Incidents/read - Microsoft.SecurityInsights/incidents/comments/read - Microsoft.SecurityInsights/incidents/relations/read - Microsoft.SecurityInsights/incidents/tasks/read	Subscrição, grupo de recursos ou recurso de área de trabalho
  Tomar medidas de investigação sobre incidentes	Microsoft Sentinel Contribuidor ou uma função com as seguintes ações: - Microsoft.OperationalInsights/workspaces/read - Microsoft.OperationalInsights/workspaces/query/read - Microsoft.SecurityInsights/incidents/read - Microsoft.SecurityInsights/incidents/write - Microsoft.SecurityInsights/incidents/comments/read - Microsoft.SecurityInsights/incidents/comments/write - Microsoft.SecurityInsights/incidents/relations/read - Microsoft.SecurityInsights/incidents/relations/write - Microsoft.SecurityInsights/incidents/tasks/read - Microsoft.SecurityInsights/incidents/tasks/write	Subscrição, grupo de recursos ou recurso de área de trabalho
  Criar um pedido de suporte	Contribuidor ou Contribuidor ou Contribuidor do pedido de suporte ou uma função personalizada com Microsoft.Support/*	Subscrição

  Se estiver a trabalhar com vários inquilinos, tenha em atenção que os privilégios de administrador delegados granulares (GDAP) com o Azure Lighthouse não são suportados para Microsoft Sentinel dados no portal do Defender. Em vez disso, utilize Microsoft Entra autenticação B2B. Para obter mais informações, veja Configurar Microsoft Defender gestão multi-inquilino.

  Depois de ligar Microsoft Sentinel ao portal do Defender, as permissões de controlo de acesso baseado em funções (RBAC) existentes Azure permitem-lhe trabalhar com as funcionalidades Microsoft Sentinel às quais tem acesso. Continue a gerir funções e permissões para os utilizadores Microsoft Sentinel a partir do portal do Azure, uma vez que quaisquer alterações de RBAC Azure são refletidas no portal do Defender.

  Para obter mais informações, veja Funções e permissões no Microsoft Sentinel e Gerir o acesso ao Microsoft Sentinel dados por recurso.

  Importante

  A Microsoft recomenda que utilize funções com o menor número de permissões. Isto ajuda a melhorar a segurança da sua organização. Administrador Global é uma função altamente privilegiada que deve ser limitada a cenários de emergência quando não pode utilizar uma função existente.

Pré-requisitos das operações de segurança unificadas

Para unificar Microsoft Defender XDR e Microsoft Sentinel operações de segurança no portal do Defender, tem de ter os seguintes recursos e acesso:

• Licenciamento para Defender XDR, conforme descrito nos pré-requisitos do Microsoft Defender XDR
• A conta de Defender XDR é um membro do mesmo inquilino Microsoft Entra ao qual está associado Microsoft Sentinel
• Acesso a Microsoft Defender XDR no portal do Defender, conforme descrito em Microsoft Defender XDR pré-requisitos

Se aplicável, preencha estes pré-requisitos:

Integrar Microsoft Sentinel

Este procedimento descreve como integrar uma área de trabalho ativada por Microsoft Sentinel no portal do Defender.

1. Aceda ao portal Microsoft Defender e inicie sessão.
2. SelecioneDefinições> do Sistema>Microsoft Sentinel>Ligar uma área de trabalho.
3. Selecione as áreas de trabalho que pretende ligar e selecione Seguinte.
4. Selecione a área de trabalho Principal.
5. Leia e compreenda as alterações ao produto associadas à ligação da área de trabalho.
6. Selecione Ligar.

Depois de a área de trabalho estar ligada, a faixa na Home page mostra que o seu ambiente está pronto. A Home page é atualizada com novas secções que incluem métricas de Microsoft Sentinel, como o número de conectores de dados e regras de automatização.

Explorar Microsoft Sentinel funcionalidades no portal do Defender

Depois de ligar a área de trabalho ao portal do Defender, Microsoft Sentinel está no painel de navegação do lado esquerdo. Se tiver Defender XDR ativado, páginas como Home Page, Incidents e Advanced Hunting têm dados unificados da área de trabalho primária para Microsoft Sentinel e Defender XDR. Se não tiver Defender XDR ativado, estas páginas incluem apenas dados de Microsoft Sentinel. Para obter mais informações sobre as capacidades unificadas e as diferenças entre portais, veja Microsoft Sentinel no portal do Microsoft Defender.

Muitas das funcionalidades de Microsoft Sentinel existentes estão integradas no portal do Defender. Para estas funcionalidades, tenha em atenção que a experiência entre Microsoft Sentinel no portal do portal do Azure e do Defender é semelhante. Utilize os seguintes artigos para o ajudar a começar a trabalhar com Microsoft Sentinel no portal do Defender. Ao utilizar estes artigos, tenha em atenção que o ponto de partida neste contexto é o portal do Defender em vez do portal do Azure.

Localize Microsoft Sentinel definições no portal do Defender emDefinições> do Sistema>Microsoft Sentinel.

Alterar a área de trabalho primária

Só pode ter uma área de trabalho principal ligada ao portal do Defender de cada vez. No entanto, pode alterar a área de trabalho principal.

1. No portal do Defender, aceda aDefinições> do Sistema>Microsoft Sentinel>Workspaces.
2. Selecione o nome da área de trabalho que pretende tornar primária.
3. Selecione Definir como principal.
4. Leia e compreenda as alterações do produto associadas à alteração da área de trabalho primária.
5. Selecione Confirmar e continue.

Quando muda a área de trabalho primária para Microsoft Sentinel, o conector Defender XDR é ligado ao novo principal e desligado automaticamente do antigo. Para obter mais informações, veja Várias áreas de trabalho Microsoft Sentinel no portal do Defender.

Microsoft Sentinel offboard

Se decidir remover uma área de trabalho do portal do Defender, desligue a área de trabalho das definições do Microsoft Sentinel.

Se a área de trabalho tiver o conector Microsoft Defender XDR configurado, a exclusão da área de trabalho do portal do Defender também desligará o conector Microsoft Defender XDR.

1. Aceda ao portal Microsoft Defender e inicie sessão.

2. No portal do Defender, em Sistema, selecione Definições>Microsoft Sentinel.

3. Na página Áreas de trabalho , selecione a área de trabalho ligada e Desligar área de trabalho.

4. Indique um motivo pelo qual está a desligar a área de trabalho.

5. Confirme a sua seleção.

   Quando a área de trabalho estiver desligada, a secção Microsoft Sentinel é removida da navegação do lado esquerdo do portal do Defender. Os dados de Microsoft Sentinel já não estão incluídos na Home page.

Se quiser ligar a uma área de trabalho diferente, na página Áreas de trabalho , selecione a área de trabalho e Ligar uma área de trabalho.

Conteúdos relacionados

• Microsoft Sentinel no portal do Microsoft Defender
• Investigação avançada no portal do Microsoft Defender
• Interrupção automática de ataques no Microsoft Defender XDR
• Investigar incidentes no portal do Microsoft Defender
• Otimizar as operações de segurança