Reduza os custos do Microsoft Sentinel

• Aplica-se a:

  Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Os custos do Microsoft Sentinel são apenas uma parte dos custos mensais na sua fatura do Azure. Embora este artigo explique como reduzir os custos do Microsoft Sentinel, você será cobrado por todos os serviços e recursos do Azure que sua assinatura do Azure usa, incluindo serviços de parceiros.

Importante

O Microsoft Sentinel está geralmente disponível na plataforma unificada de operações de segurança da Microsoft no portal Microsoft Defender. Para visualização, o Microsoft Sentinel está disponível no portal do Defender sem o Microsoft Defender XDR ou uma licença E5. Para obter mais informações, consulte Microsoft Sentinel no portal do Microsoft Defender.

Definir ou alterar o nível de preços

Para otimizar a maior economia, monitore seu volume de ingestão para garantir que você tenha o Nível de Compromisso mais alinhado com seus padrões de volume de ingestão. Considere aumentar ou diminuir seu Nível de Compromisso para alinhá-lo com volumes de dados variáveis.

Você pode aumentar seu Nível de Compromisso a qualquer momento, o que reinicia o período de compromisso de 31 dias. No entanto, para voltar para o Pay-As-You-Go ou para um Nível de Compromisso mais baixo, você deve esperar até que o período de compromisso de 31 dias termine. A cobrança dos níveis de compromisso é diária.

Para ver o seu nível de preços atual do Microsoft Sentinel, selecione Configurações na navegação esquerda do Microsoft Sentinel e, em seguida, selecione a guia Preço . Seu nível de preço atual está marcado como Nível atual.

Para alterar seu compromisso de camada de preço, selecione um dos outros níveis na página de preços e selecione Aplicar. Você deve ter Colaborador ou Proprietário para o espaço de trabalho do Microsoft Sentinel para alterar a camada de preço.

Para saber mais sobre como monitorar seus custos, consulte Gerenciar e monitorar custos para o Microsoft Sentinel.

Para espaços de trabalho que ainda usam níveis de preços clássicos, os níveis de preços do Microsoft Sentinel não incluem cobranças do Log Analytics. Para obter mais informações, consulte Níveis de preços simplificados.

Comprar um plano de pré-compra

Economize nos custos do Microsoft Sentinel ao pré-comprar unidades de confirmação (CUs) do Microsoft Sentinel. Use as UCs pré-compradas a qualquer momento durante o período de compra de um ano.

Todos os custos elegíveis do Microsoft Sentinel são deduzidos primeiro das CUs pré-compradas automaticamente. Você não precisa reimplantar ou atribuir um plano pré-comprado aos seus espaços de trabalho do Microsoft Sentinel para o uso da para obter os descontos de pré-compra.

Para obter mais informações, consulte Otimizar os custos do Microsoft Sentinel com um plano de pré-compra.

Separe dados não relacionados à segurança em um espaço de trabalho diferente

O Microsoft Sentinel analisa todos os dados ingeridos nos espaços de trabalho do Log Analytics habilitados para Microsoft Sentinel. É melhor ter um espaço de trabalho separado para dados de operações que não sejam de segurança, para garantir que não incorra em custos do Microsoft Sentinel.

Ao caçar ou investigar ameaças no Microsoft Sentinel, talvez seja necessário acessar dados operacionais armazenados nesses espaços de trabalho autônomos do Azure Log Analytics. Você pode acessar esses dados usando consultas entre espaços de trabalho na experiência de exploração de log e pastas de trabalho. No entanto, você não pode usar regras de análise entre espaços de trabalho e consultas de caça, a menos que o Microsoft Sentinel esteja habilitado em todos os espaços de trabalho.

Selecione tipos de log de baixo custo para dados de alto volume e baixo valor

Embora os logs de análise padrão sejam mais apropriados para deteção contínua de ameaças em tempo real, dois outros tipos de log — logs básicos e logs auxiliares — são mais adequados para consultas ad hoc e pesquisa de logs detalhados, de alto volume e de baixo valor que não são frequentemente necessários ou acessados sob demanda. Habilite a ingestão básica de dados de log a um custo significativamente reduzido ou a ingestão de dados de log auxiliares (agora em Visualização) a um custo ainda menor, para tabelas de dados qualificadas. Para obter mais informações, consulte Preços do Microsoft Sentinel.

• Registrar planos de retenção no Microsoft Sentinel
• Fontes de log a serem usadas para ingestão de logs auxiliares

Otimize os custos do Log Analytics com clusters dedicados

Se você ingerir pelo menos 100 GB em seu espaço de trabalho do Microsoft Sentinel ou espaços de trabalho na mesma região, considere mudar para um cluster dedicado do Log Analytics para reduzir custos. Uma camada de compromisso de cluster dedicada do Log Analytics agrega o volume de dados em espaços de trabalho que, coletivamente, ingerem um total de 100 GB ou mais. Para obter mais informações, consulte Nível de preços simplificado para cluster dedicado.

Você pode adicionar vários espaços de trabalho do Microsoft Sentinel a um cluster dedicado do Log Analytics. Há algumas vantagens em usar um cluster dedicado do Log Analytics para o Microsoft Sentinel:

• As consultas entre espaços de trabalho são executadas mais rapidamente se todos os espaços de trabalho envolvidos na consulta estiverem no cluster dedicado. Ainda é melhor ter o menor número possível de espaços de trabalho em seu ambiente, e um cluster dedicado ainda mantém o limite de 100 espaços de trabalho para inclusão em uma única consulta entre espaços de trabalho.

• Todos os espaços de trabalho no cluster dedicado podem compartilhar a Camada de Compromisso do Log Analytics definida no cluster. Não ter que se comprometer com camadas de compromisso separadas do Log Analytics para cada espaço de trabalho pode permitir economia de custos e eficiência. Ao habilitar um cluster dedicado, você se compromete com uma camada mínima de compromisso do Log Analytics de ingestão de 100 GB por dia.

Aqui estão algumas outras considerações para mudar para um cluster dedicado para otimização de custos:

• O número máximo de clusters por região e assinatura é dois.
• Todos os espaços de trabalho vinculados a um cluster devem estar na mesma região.
• O máximo de espaços de trabalho vinculados a um cluster é 1000.
• Você pode desvincular um espaço de trabalho vinculado do cluster. O número de operações de link em um espaço de trabalho específico é limitado a dois em um período de 30 dias.
• Não é possível mover um espaço de trabalho existente para um cluster de chave gerenciada pelo cliente (CMK). Você deve criar o espaço de trabalho no cluster.
• Atualmente, não há suporte para mover um cluster para outro grupo de recursos ou assinatura.
• Um link de espaço de trabalho para um cluster falhará se o espaço de trabalho estiver vinculado a outro cluster.

Para obter mais informações sobre clusters dedicados, consulte Clusters dedicados do Log Analytics.

Reduza os custos de retenção de dados com retenção de longo prazo

O Microsoft Sentinel retém dados por padrão em formato interativo durante os primeiros 90 dias. Para ajustar o período de retenção de dados no Log Analytics, selecione Uso e custos estimados na navegação à esquerda, selecione Retenção de dados e ajuste o controle deslizante.

Os dados de segurança do Microsoft Sentinel podem perder parte do seu valor após alguns meses. Os usuários do centro de operações de segurança (SOC) podem não precisar acessar dados mais antigos com tanta frequência quanto os dados mais recentes, mas ainda podem precisar acessar os dados para investigações esporádicas ou fins de auditoria.

Para ajudá-lo a reduzir os custos de retenção de dados do Microsoft Sentinel, o Azure Monitor agora oferece retenção de longo prazo. Os dados que envelhecem fora de seu estado de retenção interativo ainda podem ser retidos por até doze anos, a um custo muito reduzido e com limitações em seu uso. Para obter mais informações, consulte Gerenciar a retenção de dados em um espaço de trabalho do Log Analytics.

Você pode reduzir ainda mais os custos registrando tabelas que contêm dados de segurança secundários no plano de logs auxiliares (agora em Visualização). Este plano permite armazenar logs de alto volume e baixo valor a um preço baixo, com um período de retenção interativo de 30 dias de baixo custo no início para permitir a sumarização e consultas básicas. Para saber mais sobre o plano de logs auxiliares e outros planos, consulte Planos de retenção de logs no Microsoft Sentinel. Enquanto o plano de logs auxiliares permanece em Visualização, você também tem a opção de registrar essas tabelas no plano de logs básicos. Os logs básicos oferecem funcionalidade semelhante aos logs auxiliares, mas com menos economia de custos.

Usar regras de coleta de dados para seus Eventos de Segurança do Windows

O conector de Eventos de Segurança do Windows permite transmitir eventos de segurança de qualquer computador que execute o Windows Server conectado ao seu espaço de trabalho do Microsoft Sentinel, incluindo servidores físicos, virtuais ou locais, ou em qualquer nuvem. Esse conector inclui suporte para o Azure Monitor Agent, que usa regras de coleta de dados para definir os dados a serem coletados de cada agente.

As regras de coleta de dados permitem gerenciar configurações de coleta em escala, ao mesmo tempo em que permitem configurações exclusivas e com escopo para subconjuntos de máquinas. Para obter mais informações, consulte Configurar a coleta de dados para o Azure Monitor Agent.

Além dos conjuntos predefinidos de eventos que você pode selecionar para ingerir, como Todos os eventos, Mínimo ou Comum, as regras de coleta de dados permitem criar filtros personalizados e selecionar eventos específicos para ingerir. O Agente do Azure Monitor usa essas regras para filtrar os dados na origem e, em seguida, ingerir apenas os eventos selecionados, deixando todo o resto para trás. Selecionar eventos específicos para ingerir pode ajudá-lo a otimizar seus custos e economizar mais.

Próximos passos

• Saiba como otimizar o seu investimento na nuvem com o Microsoft Cost Management.
• Saiba mais sobre como gerenciar custos com análise de custos.
• Saiba como evitar custos inesperados.
• Faça o curso de aprendizagem guiada em Gestão de Custos.
• Para obter mais dicas sobre como reduzir o volume de dados do Log Analytics, consulte Práticas recomendadas do Azure Monitor - Gerenciamento de custos.