Administración de listas de vigilancia en Microsoft Sentinel

Se recomienda editar una lista de reproducción existente en lugar de eliminarla y volver a crearla. Log Analytics tiene un Acuerdo de Nivel de Servicio de cinco minutos para la ingesta de datos. Si elimina y vuelve a crear una lista de reproducción, es posible que vea las entradas que se han eliminado y vuelto a crear en Log Analytics durante estos cinco minutos. Si ve estas entradas duplicadas en Log Analytics durante un período de tiempo más prolongado, envíe una incidencia de soporte técnico.

Editar un elemento de la lista de seguimiento

Edite una lista de reproducción para editar o agregar un elemento a la lista de reproducción.

1. Para Microsoft Sentinel en el portal de Defender, seleccione Microsoft Sentinel>Configuración>Lista de seguimiento. Para Microsoft Sentinel en Azure Portal, en Configuración, seleccione Lista de reproducción.

2. Seleccione la lista de reproducción que desea editar.

3. En el panel de detalles, seleccione Actualizar lista> de reproducciónEditar elementos de lista de reproducción.

   

4. Para editar un elemento de lista de reproducción existente:

   1. Active la casilla de ese elemento de la lista de seguimiento.

   2. Edite el elemento.

   3. Seleccione Guardar.

      

   4. Seleccione Sí en el mensaje de confirmación.

      

5. Para agregar un nuevo elemento a la lista de reproducción:

   1. Seleccione Agregar nuevo.

      

   2. Rellene los campos del panel Agregar elemento de lista de reproducción .

   3. En la parte inferior de ese panel, seleccione Agregar.

Modificación masiva de una lista de seguimiento

Cuando tenga muchos elementos para agregar a una lista de reproducción, use la actualización masiva. Una actualización masiva de una lista de seguimiento agrega elementos a la lista de seguimiento existente. A continuación, desduplica los elementos de la lista de seguimiento donde coinciden todos los valores de cada columna.

Si ha eliminado un elemento del archivo de la lista de reproducción y lo ha cargado, la actualización masiva no eliminará el elemento de la lista de reproducción existente. Elimine el elemento de la lista de seguimiento individualmente. O bien, cuando tenga muchas eliminaciones, elimine y vuelva a crear la lista de reproducción.

El archivo de lista de reproducción actualizado que cargue debe contener el campo de clave de búsqueda utilizado por la lista de reproducción sin valores en blanco.

Para realizar la actualización masiva de una lista de seguimiento:

1. Para Microsoft Sentinel en Azure Portal, en Configuración, seleccione Lista de reproducción.
   Para Microsoft Sentinel en el portal de Defender, seleccione Microsoft Sentinel>Configuración>Lista de seguimiento.

2. Seleccione la lista de reproducción que desea editar.

3. En el panel de detalles, seleccione Actualizar lista de seguimiento>Actualización masiva.

   

4. En Cargar archivo, arrastre y coloque o navegue hasta el archivo para cargar.

   

5. Si recibe un error, corrija el problema en el archivo. A continuación, seleccione Restablecer y vuelva a intentar cargar el archivo.

6. Seleccione Siguiente: Revisar y actualizar>Actualizar.

Contenido relacionado

Para obtener más información sobre Microsoft Sentinel, consulte los siguientes artículos:

• Uso de listas de vigilancia en Microsoft Sentinel
• Obtenga información sobre cómo obtener visibilidad sobre los datos y las posibles amenazas.
• Comienza a detectar amenazas con Microsoft Sentinel.
• Utiliza libros de trabajo para supervisar tus datos.