Security Center:Log management

Ativar o gerenciamento de logs

Ative o recurso de gerenciamento de logs apenas com os métodos de faturamento por assinatura ou pagamento conforme o uso. Para mais informações sobre faturamento, consulte Billing.

1. Faça login no console do Security Center.

2. No painel de navegação à esquerda, escolha a opção de menu de acordo com o status de ativação do Agentic SOC para acessar a página Log Management.

   • Se o Agentic SOC estiver ativado, escolha Agentic SOC > Logs.

   • Se o Agentic SOC não estiver ativado, escolha Detection and Response > Logs.

3. Na página Log Management, clique em Subscribe (Annual/Monthly) ou Activate Pay-as-you-go.

   Nota

   Se você adquiriu tráfego de ingestão de logs do Agentic SOC no modelo de assinatura ou ativou o pagamento conforme o uso para o Agentic SOC, clique em Enable Pay-as-you-go for Log Management no canto superior direito da página atual ou faça o upgrade para adquirir capacidade de armazenamento de logs do Agentic SOC. Para mais informações, consulte Upgrade or downgrade.

   • Enable Subscription: na página de compra, defina Purchase or Not para o Agentic SOC como Yes, selecione a capacidade de armazenamento de logs necessária e clique em Order Now para concluir o pagamento.

     Adquira outros recursos do Security Center conforme necessário. Para mais informações, consulte Purchase guide.

   • Activate Pay-as-you-go: na caixa de diálogo, leia as regras de faturamento, selecione uma região de armazenamento e clique em Activate and Authorize.

4. Depois de ativar o recurso, retorne à página Log Management e verifique se o status do service é Enabled. O SLS começará a receber os dados de log em alguns minutos.

Desativar o gerenciamento de logs

1. Faça login no console do Security Center.

2. No painel de navegação à esquerda, escolha Agentic SOC > Logs. No canto superior esquerdo do console, selecione a região que contém o ativo a ser protegido: Chinese Mainland ou Outside Chinese Mainland. Caso não tenha ativado o recurso Agentic SOC, siga as instruções na seção Ative o gerenciamento de logs para acessar a página Log Management a partir da entrada correspondente no painel de navegação à esquerda.

3. Na página Log Management, verifique se o Log Usage é 0 GB.

   Aviso

   Se o uso de log não for 0, clique em Delete no canto superior direito da página atual para limpar todos os dados de log entregues no espaço de armazenamento atual. Não é possível recuperar dados excluídos. Para reter dados de log, exporte um backup antes da exclusão. Para mais informações, consulte Baixe logs. Aguarde a limpeza do uso de log e prossiga para a próxima etapa.

4. Desative o recurso de gerenciamento de logs de uma das seguintes maneiras:

   • Se usar o modo de assinatura, desative o gerenciamento de logs com um dos métodos a seguir:

     • Método 1: Downgrade

       1. Na página Overview, clique em Change Configuration > Downgrade para acessar a página Specification Downgrade.

       2. Na aba Order Downgrade, defina Agentic SOC (Log Storage Capacity) na seção do Agentic SOC como 0 GB.

       3. Leia e selecione o Contrato de service do Security Center e clique em Order Now.

     • Método 2: Cancele a assinatura da instância do Security Center adquirida. Para mais informações, consulte Unsubscribe from a subscription.

   • No modo de pagamento conforme o uso, acesse a página Overview do console do Security Center, encontre a seção Enable Pay-as-You-Go Service e desative o switch Log Management.

     Importante

     Após você desativar o switch de gerenciamento de logs, o sistema desativa a entrega de logs automaticamente e exclui o Logstore correspondente à 00:00 do dia seguinte. Não é possível restaurar dados de log excluídos. Prossiga com cuidado.

   Observações para cenários de uso restrito

   Caso tenha adquirido tráfego de ingestão de logs do Agentic SOC por assinatura ou ativado o pagamento conforme o uso para o Agentic SOC, mas não comprou capacidade de armazenamento, consulte logs padronizados de políticas de acesso com o método Ingest only, no storage. Query format: normalized logs na página Log Management.

   Nesse cenário, o sistema não entrega nem exibe os logs do Security Center e os logs nativos, nem os logs padronizados de políticas de acesso com o método Ingest and store, storage format: normalized logs. Para mais informações sobre os recursos suportados por diferentes itens de faturamento, consulte Log management billing overview.

   Gerenciar logs do Security Center

   Ativar entrega

   Depois de adquirir capacidade de armazenamento de logs, visualize os tipos de log do Security Center disponíveis para entrega e o respectivo status nas configurações de gerenciamento de logs. A disponibilidade de entrega de um tipo de log depende dos service de valor agregado adquiridos e da configuração atual do console.

   Na página Log Management, clique em Log Management Settings para visualizar e configure o status de entrega de cada tipo de log.

   Na página de configurações de gerenciamento de logs, a área Basic Settings exibe a região, o projeto e o idioma de entrega de logs atuais. A área Log Storage Management mostra informações de armazenamento para logs do Security Center, logs ingeridos e dados de operações de segurança. Os logs do Security Center incluem duas categorias: logs de segurança e logs de host. Os tipos de log, o status de entrega e o período de retenção seguem a configuração do console.

   Consultar logs

   1. No painel de navegação à esquerda, escolha Agentic SOC > Logs. No canto superior esquerdo do console, selecione a região que contém o ativo a ser protegido: Chinese Mainland ou Outside Chinese Mainland. Caso não tenha ativado o recurso Agentic SOC, siga as instruções na seção Ative o gerenciamento de logs para acessar a página Log Management a partir da entrada correspondente no painel de navegação à esquerda.

   2. Na página Log Management, clique no tipo de log desejado.

   3. Defina um intervalo de tempo de consulta, insira instruções de consulta para recuperar logs e visualize os dados de análise de logs.

      O gerenciamento de logs do Agentic SOC usa os mesmos métodos de consulta da análise de logs do Security Center. Para mais informações, consulte Log analysis.

   Gerenciar logs ingeridos

   Métodos de ingestão

   A disponibilidade de armazenamento e consulta de logs ingeridos depende do método de ingestão selecionado na política de acesso. O sistema suporta os três métodos a seguir:

   • Ingest and store, storage format: native logs: o sistema mapeia e armazena os logs em schemas nativos por granularidade de fornecedor-product no Logstore, como vendor-xxx-product-xxx. Os logs nativos compartilham a capacidade de armazenamento com os logs do Security Center e os logs padronizados, e seguem o mesmo faturamento.

   • Ingest and store, storage format: normalized logs: o sistema mapeia os logs usando schemas padronizados para o Dataset (StoreView) correspondente e armazena os logs padronizados no Logstore no formato xxx_ACTIVITY.

   • Ingest only, no storage. Query format: normalized logs: o Agentic SOC não armazena os dados, mas permite consultá-los por schema padronizado na página de Logs.

   As regras de análise processam campos estendidos de acordo com a configuração. Para mais informações sobre regras de análise e configuração de campos, consulte Standardized rules and datasets.

   Visualizar armazenamento de logs ingeridos

   1. Na página Log Management, clique em Log Settings.

   2. No painel Log Settings, visualize as informações de armazenamento de Ingested logs. O sistema também exibe a visualização de armazenamento relacionada ao Standardized Log de acordo com a configuração do console. Pesquise por Logstore, schema, fornecedor ou produto.

      Nota

      O Logstore, o número de schemas, o uso e o período de retenção de logs exibidos na lista de armazenamento seguem a configuração real do console.

   Consultar logs padronizados

   O Agentic SOC permite pesquisar logs por schema de log padronizado e consultar dados em vários Logstores usando o Dataset (StoreView). Um StoreView é um conjunto de dados virtual do SLS que mapeia dados de log de vários Logstores em um objeto de consulta unificado. Para mais informações sobre conjuntos de dados, consulte Standardized rules and datasets.

   No gerenciamento de logs, você não precisa gerenciar StoreViews separadamente. Use diretamente instruções de consulta e análise do SLS para consultar logs padronizados. Para mais informações, consulte Query and analyze logs.

   Consultar logs nativos

   Na página Log Management, clique em Ingested logs. Na página de consulta de logs ingeridos, escolha a visualização Vendor/Product ou Security domain, selecione o Logstore dos logs nativos desejados e consulte os logs.

   O sistema armazena os logs nativos no Logstore e permite consultá-los por Logstore. O sistema gera e armazena logs nativos apenas quando a política de acesso tem a opção Ingest and store, storage format: native logs selecionada.

   Gerenciar dados de operações de segurança

   Os dados de operações de segurança são os alertas e eventos gerados automaticamente pelo Agentic SOC durante as operações. O Agentic SOC oferece 180 dias de armazenamento gratuito para esses dados, os quais não ocupam capacidade de armazenamento de logs. Depois de ativar o gerenciamento de logs, o Agentic SOC entrega os dados de operações de segurança automaticamente.

   1. Na página Log Management, clique em Log Settings.

   2. No painel Log Settings, acesse a aba Security operations data para visualizar as informações de armazenamento.

   Gerenciamento de armazenamento de logs

   Depois de ativar o gerenciamento de logs, visualize o projeto dedicado à entrega de logs e os Logstores associados no SLS. As configurações de gerenciamento de logs na página Logs exibem informações de armazenamento para logs do Security Center, logs ingeridos e dados de operações de segurança. A região, o projeto e os Logstores exibidos na página seguem a configuração da conta atual e da região selecionada. Caso não tenha ativado o Agentic SOC, siga as instruções na seção Ative o gerenciamento de logs para acessar a página Log Management a partir da entrada correspondente.

   • Ao selecionar Chinese Mainland, o sistema armazena os logs na região China (Shanghai) por padrão.

   • Ao selecionar Outside Chinese Mainland, o sistema armazena os logs na região Singapore por padrão.

   Importante

   • É possível alterar a região de armazenamento de logs apenas na caixa de diálogo exibida ao ativar o pagamento conforme o uso. Caso adquira capacidade de armazenamento por assinatura, não será possível alterar a região.

   • Acesse o console do SLS para visualizar o projeto e o Logstore dedicados. Não exclua o projeto nem o Logstore.

     A exclusão acidental do Logstore causa a perda definitiva dos dados de log correspondentes.

   Depois de ativar uma tarefa de entrega, o Security Center entrega os logs ao Logstore correspondente automaticamente. O sistema retém os logs até o período de retenção configurado expirar e, em seguida, exclui os dados. No modo de assinatura, o sistema para de entregar novos logs quando o espaço de armazenamento se esgota. Quando o uso de capacidade excede 80% do total, o Security Center envia notificações. Para mais informações sobre configurações de notificação, consulte Configure log overlimit alerts.

   Modificar período de retenção de logs

   O período de retenção padrão para logs entregues é de 180 dias. Modifique o período de retenção conforme necessário.

   1. No painel de navegação à esquerda, escolha Agentic SOC > Logs. No canto superior esquerdo do console, selecione a região que contém o ativo a ser protegido: Chinese Mainland ou Outside Chinese Mainland. Caso não tenha ativado o recurso Agentic SOC, siga as instruções na seção Ative o gerenciamento de logs para acessar a página Log Management a partir da entrada correspondente no painel de navegação à esquerda.

   2. No canto superior direito da página Log Management, clique em Log Settings.

   3. No painel Log Settings, na aba Security Center Logs, clique no ícone na coluna Log Retention Period (TTL) para modificar o período de retenção de logs.

   Reduzir volume de entrega de logs

   Para reduzir custos altos de armazenamento, ajuste o escopo de entrega e o período de retenção de logs (TTL). Tome as seguintes medidas para diferentes tipos de log:

   • Logs do Security Center: controle esses logs com os switches de entrega e o período de retenção (TTL). Na página Log Management, clique em Log Settings. Em seguida, no painel Log Settings, aba Security Center logs, desative os switches dos tipos de log desnecessários. Para mais informações sobre como modificar o período de retenção de logs (TTL), consulte a seção "Modificar período de retenção de logs" neste tópico.

   • Logs ingeridos: controle esses logs com o escopo de ingestão de product e o período de retenção (TTL). Ajuste o escopo de ingestão na política de acesso para reduzir o volume de logs e modifique o período de retenção conforme necessário.

   Depois de desativar a entrega, o sistema não envia mais logs do tipo correspondente ao SLS. O sistema não afeta os logs já armazenados e os exclui automaticamente quando o período de retenção original expira. Avalie os requisitos de conformidade de segurança antes de desativar um tipo de log e certifique-se de que a desativação não afete auditorias de proteção classificada nem outros requisitos.

   Expandir ou excluir capacidade de armazenamento de logs

   Visualize o uso atual de logs e a capacidade total na página Agentic SOC > Logs e expanda ou limpe o espaço de armazenamento conforme necessário.

   • Clique em Scale Out para adquirir mais capacidade de armazenamento de logs.

     Mantenha espaço de armazenamento suficiente. O sistema não grava novos logs se o espaço estiver cheio.

   • Clique em Delete para limpar todo o espaço de armazenamento. A limpeza leva de 0 a 24 horas. Aguarde a conclusão.

     Aviso

     Não é possível restaurar dados de log após a limpeza. Exporte e faça o backup dos logs antes de limpar o espaço de armazenamento.

   FAQ

   Por que não consigo ativar o pagamento conforme o uso para o gerenciamento de logs?

   Os seguintes motivos podem impedir a ativação do pagamento conforme o uso para o gerenciamento de logs:

   • Motivo 1: Você adquiriu capacidade de armazenamento de logs do Agentic SOC ou análise de logs no modelo de assinatura.

     Solução:

     1. Unsubscribe from Agentic SOC log storage capacity purchased on a subscription basis ou análise de logs.

     2. Ative o pagamento conforme o uso para o gerenciamento de logs.

   • Motivo 2: O Agentic SOC usa a arquitetura 1,0.

     Solução:

     1. Upgrade the Agentic SOC feature from 1,0 to 2,0.

     2. Ative o pagamento conforme o uso para o gerenciamento de logs.

     Nota

     Caso decida não fazer o upgrade para a arquitetura 2,0 do Agentic SOC por enquanto, mas precise usar o gerenciamento de logs, adquira capacidade de armazenamento de logs do Agentic SOC no modelo de assinatura.

   • Motivo 3: Você adquiriu capacidade de armazenamento de logs do Agentic SOC no modelo de assinatura em ou antes de 26 de abril de 2024 e usa recursos do Agentic SOC.

     Caso seja um desses usuários, faça o upgrade para a arquitetura 2,0 do Agentic SOC. Após o upgrade, você mantém a mesma quantidade de capacidade de armazenamento de logs do Agentic SOC adquirida anteriormente (modo de assinatura) e pode usar o gerenciamento de logs normalmente. Para mudar de assinatura para pagamento conforme o uso, consulte a solução para o Motivo 1. Para mais informações sobre o upgrade de arquitetura do Agentic SOC, consulte [[Notice] Agentic SOC upgrade](t2893161.xdita#).

   Qual é a diferença entre a análise de logs e o gerenciamento de logs do Security Center?

   A análise e o gerenciamento de logs são recursos de consulta e análise de logs de segurança fornecidos pelo Security Center. Diferente da análise, o gerenciamento entrega e analisa logs de módulos do Security Center (como vulnerabilidades, alertas de segurança e eventos de cliente) e também suporta a entrega e o armazenamento de logs ingeridos padronizados pelo Agentic SOC, além de logs ingeridos em schemas nativos. Para requisitos de conformidade de proteção classificada ou outras necessidades de armazenamento e análise, use o gerenciamento de logs.

   • A análise de logs é ideal para cenários que exigem visualização rápida dos logs do Security Center.

   • O gerenciamento de logs é ideal para cenários que exigem armazenamento de longo prazo, auditoria de conformidade e consulta de logs padronizados e nativos.

   A tabela a seguir descreve as diferenças entre os dois recursos:

   Nome do recurso	Dados suportados	Método de faturamento	Gerenciamento de região de armazenamento	Gerenciamento de período de retenção de logs
   Log management (recomendado)	Logs do Security Center Logs ingeridos (incluindo logs padronizados e logs nativos) Dados de operações de segurança	Subscription Pay-as-you-go	A região de armazenamento padrão é China (Shanghai) para a China continental e Singapore para regiões fora da China continental. É possível alterar a região de armazenamento na caixa de diálogo que aparece ao ativar o pagamento conforme o uso.	É possível definir o período de retenção de logs no painel Log Settings.
   Log analysis	Security Center Logs	Subscription	A região de armazenamento padrão é China (Hangzhou) e não é possível alterá-la.	O período de retenção padrão é de 180 dias e não é possível alterá-lo.

   Documentos relacionados

   • Baixe logs ou resultados de análises para a máquina local a partir do console, Cloud Shell ou ferramenta de linha de comando. Para mais informações, consulte Baixe logs.

   • Envie logs ao OSS para armazenamento. Para mais informações, consulte Deliver logs to OSS.

   • O sistema não grava novos logs se o espaço estiver cheio. Ative os alertas de excesso de limite do Agentic SOC para expandir a capacidade rapidamente. Para mais informações, consulte Configure log overlimit alerts.