APRENDER. PRATICAR. EVOLUIR.Conceito e mecanismo
Uma investigação depende de dados realmente disponíveis. No percurso Syslog ou CEF via AMA, identifica equipamento, daemon do forwarder, agente, associação à DCR, filtros e tabela de destino. Um heartbeat do agente não prova que a facility e a severidade emitidas pela origem estão incluídas. Compara um evento identificável na origem e no destino para validar campos e cronologia. Se duas configurações recolhem o mesmo fluxo, podes aumentar volume e custo sem atividade adicional na origem. Distingue duplicação de ingestão de duplicação produzida por uma query. Monitorização de conectores também tem âmbito: SentinelHealth exige ativação e suporta conectores específicos, pelo que ausência de eventos não prova saúde universal.
Aplicação guiada
Num handover fictício para suporte L3, documenta o caminho de recolha e quem pode alterar cada componente. Reader, Responder e Contributor não são equivalentes: gerir incidentes não exige automaticamente criar regras ou alterar recursos. Confirma o âmbito das atribuições e as permissões adicionais para ações específicas. Usa uma mensagem de teste sem dados sensíveis para demonstrar a passagem até à tabela esperada. Regista latência observada, filtros intencionais e a reação quando o volume cai. Se uma migração interrompe os eventos, comunica uma lacuna de visibilidade e usa critérios de recuperação da mudança. Não anuncies melhoria de segurança apenas porque deixaram de chegar alertas ao SOC.
A origem envia local4 e a DCR seleciona auth: o agente pode estar saudável e os eventos relevantes não serem recolhidos.
Armadilhas comuns
Heartbeat como cobertura; ausência de SentinelHealth como saúde; permissões de edição para todos; duplicação sem custo.
Tópicos relacionados: Janelas, atrasos e entidades · Deteções e automação controlada
Valida o percurso completo e atribui permissões por operação e âmbito.
Referência: CEF and Syslog via AMA · SC-200 objectives effective 2026-07-28; Microsoft product documentation reviewed 2026-10-01; 2026-10-21 English update compared separately