Prepare as fontes de conexões observadas.

O que você quer descobrir?

Uma fonte pode ser suficiente para uma investigação específica. Combinar fontes amplia a cobertura, mas não garante identificar todos os recursos ou todos os saltos da rede.

O conjunto inicial de fontes

Os leitores disponíveis incluem dependências de aplicações e registros dos próprios serviços. A cobertura depende dos logs e da instrumentação existentes na sua conta. Leitura direta de arquivos em Storage/S3, Logs Insights, views e reconstrução completa de traces ainda não têm adaptador nesta versão.

O conector de inventário continua necessário para associar evidências a recursos conhecidos. Acesso de leitura não concede permissão para criar logs, alterar a aplicação ou configurar exportações.

Importar logs por arquivo

Em Arch IQ → Connection Explorer → Importar logs, um Owner ou Admin pode enviar um arquivo já exportado, escolher o tipo de log e nomear sua fonte. O add-on precisa estar habilitado. A importação não exige credenciais nem novas permissões cloud; quem exporta o arquivo precisa ter acesso à fonte original.

São aceitos JSON, JSONL/NDJSON e CSV com cabeçalhos compatíveis com o tipo escolhido. VPC Flow Logs da AWS também aceita TXT no formato padrão de 14 campos. O botão Baixar exemplo JSON fornece um exemplo para cada tipo. Os tipos disponíveis são AppDependencies, Key Vault, Storage Blob/Queue/Table, Web PubSub, AWS VPC Flow Logs e Google Cloud VPC Flow Logs.

Cada arquivo deve estar em UTF-8 e ter até 5 MiB e 10.000 registros. Importe dados dos últimos sete dias ou da retenção contratada, se menor. Datas textuais devem estar em ISO 8601 com fuso; timestamps Unix são aceitos nos campos próprios da AWS. JSON do Log Analytics com uma tabela e exportações JSON do Google Logging com entries também são aceitos. ZIP, imagens, PDF e logs de texto livre não são interpretados.

A tela informa registros novos, repetidos, rejeitados e sem conexão, com até 20 apontamentos de formato. Reenvios do mesmo arquivo na mesma fonte não duplicam o lote nem o consumo. Registros sobrepostos entre arquivos da mesma fonte são deduplicados; fontes diferentes mantêm evidências independentes.

O arquivo original é descartado após a leitura. Somente os campos normalizados de conexão são armazenados no contêiner privado da organização, por 24 horas; os agregados permanecem por até sete dias, limitados pelo contrato. A importação utiliza as cotas de fontes e volume do add-on. No grafo, a evidência aparece como Arquivo enviado, sem afirmar que foi coletada diretamente do provedor e sem alterar os diagramas ou relações do catálogo.

Azure: Application Insights, Log Analytics e rede

Chamadas da aplicação

Prepare uma aplicação instrumentada, Application Insights e o workspace Log Analytics associado. Para dependências, a tabela AppDependencies contém destino, duração e correlação. A existência do recurso Application Insights, sozinha, não garante que a aplicação esteja enviando essas informações.

1. Abra o Application Insights usado pela aplicação e identifique o workspace vinculado nas propriedades do recurso.
2. No workspace, copie o Workspace ID, não o Instrumentation Key nem uma connection string.
3. Conceda à identidade do conector acesso ao workspace e à tabela. Confirme também restrições de rede, Azure Monitor Private Link e políticas da organização: permissão IAM não garante conectividade.
4. Execute uma chamada conhecida da aplicação ao banco ou Storage e verifique se aparece uma dependência no intervalo escolhido.

Permissões de leitura

A identidade do conector precisa de Azure RBAC no workspace ou recurso autorizado. Para consulta no workspace, use Log Analytics Data Reader com escopo/condições adequados ou uma função personalizada com Microsoft.OperationalInsights/workspaces/read, Microsoft.OperationalInsights/workspaces/query/read e acesso às tabelas selecionadas. Tabelas protegidas exigem concessão específica. Permissões de Microsoft Graph usadas no login não substituem esse acesso.

No modelo de RBAC granular, o acesso aos dados usa a DataAction Microsoft.OperationalInsights/workspaces/tables/data/read, com condição para as tabelas e linhas autorizadas. Essa condição é relevante: conceder leitura irrestrita do workspace pode dar acesso a outras telemetrias. Consulte o administrador Azure para aplicar a condição compatível com a política do workspace.

O conector reutiliza a federação Entra da conexão cloud. Não informe senha do banco, chave de Storage ou chave do Application Insights. Quando a evidência vem de AppDependencies, o leitor consulta a telemetria; ele não se autentica no PostgreSQL nem baixa objetos do Storage de destino.

Tráfego de rede

VNet Flow Logs usa Network Watcher e uma conta de Storage de destino. Ler os arquivos requer acesso de dados ao contêiner escolhido, como Storage Blob Data Reader. Traffic Analytics é uma opção adicional quando se deseja consultar seus resultados no Log Analytics; possui configuração e custo próprios.

Acessos registrados pelos serviços

O add-on também lê AZKVAuditLogs, StorageBlobLogs, StorageQueueLogs, StorageTableLogs e WebPubSubConnectivity. Configure um diagnostic setting com destino ao workspace: AuditEvent no Key Vault; StorageRead, StorageWrite e StorageDelete nos serviços de Storage; ConnectivityLogs no Web PubSub. A identidade do conector precisa ler somente as tabelas escolhidas.

Quem configura os logs precisa de Microsoft.Insights/diagnosticSettings/write, acesso às categorias de diagnóstico e ao workspace de destino. Esse acesso administrativo é separado da leitura pelo conector. Não é necessário ler valores de secrets nem conceder acesso aos arquivos do Storage quando a fonte é o Log Analytics. Os registros começam após a ativação e têm custo de ingestão no Azure.

Use Todas as fontes para reunir as evidências. Cada relação conserva sua fonte: auditoria, dependência instrumentada e evento de conexão não são métricas equivalentes. Uma identidade compartilhada não identifica, sozinha, qual aplicação originou o acesso.

Referências: Key Vault, Storage Blob e Web PubSub.

Microsoft Sentinel é necessário?

Sentinel não é um pré-requisito do add-on. O caminho de leitura é a fonte de telemetria escolhida. Um workspace também usado pelo Sentinel pode conter dados úteis, mas não é necessário conceder administração de incidentes ou regras para consultar as tabelas autorizadas.

Referências: AppDependencies, RBAC do Log Analytics e VNet Flow Logs.

AWS: CloudWatch e VPC Flow Logs

Prepare os grupos de logs que contêm os registros de interesse. VPC Flow Logs pode entregar em CloudWatch Logs ou S3. As permissões de entrega dos logs pertencem ao produtor; as permissões abaixo atendem à leitura pelo conector.

• Leitor inicial no CloudWatch: logs:FilterLogEvents no grupo escolhido. Informar o grupo manualmente dispensa descoberta. logs:Unmask não é solicitado.
• Alternativa com Logs Insights: logs:StartQuery e logs:GetQueryResults; logs:StopQuery para cancelar consultas. Descoberta de grupos requer logs:DescribeLogGroups. Essas ações não são exigidas pelo leitor inicial de eventos.
• S3: s3:ListBucket limitado ao prefixo e s3:GetObject nos objetos autorizados. Arquivos protegidos por uma chave KMS podem exigir kms:Decrypt e autorização na política dessa chave.
• Identidade: role dedicada, com relação de confiança e escopos definidos para a conexão. O acesso de inventário não implica acesso aos logs.

Registros das duas interfaces podem descrever o mesmo tráfego. O add-on deve conservar a origem da medição para evitar somar observações como chamadas independentes.

Referências: FilterLogEvents, ações do CloudWatch Logs, permissões de operações S3 e VPC Flow Logs.

Google Cloud: Cloud Logging e VPC Flow Logs

Prepare os projetos, log buckets ou views que contêm a telemetria. VPC Flow Logs precisa estar configurado no escopo de rede correspondente. O conector usa uma identidade com acesso ao conjunto escolhido.

• Logs comuns: roles/logging.viewer no escopo adequado.
• Data Access: pode exigir roles/logging.privateLogViewer. Não conceda esse papel apenas para resolver a ausência de outro tipo de log.
• Views específicas: roles/logging.viewAccessor permite restringir a leitura às views autorizadas.

Flow logs podem ser amostrados e agregados. A identificação de recursos depende dos metadados disponíveis, inclusive em comunicações com outra VPC ou projeto.

Referências: IAM do Cloud Logging e registros VPC Flow Logs.

Preparar e validar a organização

1. Defina a investigação: recursos, período e evidência desejada. Confirme a habilitação contratual do add-on, independente das permissões cloud.
2. Escolha uma fonte existente. Confirme que há registros recentes dos recursos que pretende monitorar.
3. Conceda leitura à identidade do conector no menor escopo necessário. Registre quais workspaces, tabelas, grupos, buckets, prefixes ou views podem ser acessados.
4. Teste uma janela curta e confira origem, destino, protocolo e horário com uma conexão conhecida. Um retorno vazio não prova ausência de tráfego.
5. Defina frequência, retenção e limite de coleta. Revise custos de consulta, ingestão, armazenamento e transferência cobrados pelo provedor.

Ativar novos logs, sinks, exportações ou instrumentação exige configuração administrativa separada. A permissão para ler uma fonte não autoriza o conector a criar esses recursos. A interface deve apresentar o recurso e a permissão que faltam antes de solicitar a ativação.

Interpretar o resultado

A visão usa um período histórico e deve informar a última coleta, o atraso e as fontes disponíveis. Ausência de atividade, ausência de telemetria, acesso negado e coleta parcial são estados distintos.

Um destino observado que ainda não está vinculado ao catálogo é uma evidência para investigação. IP compartilhado, NAT, DNS e redes sobrepostas podem impedir uma identificação inequívoca. O vínculo com um recurso deve conservar sua justificativa; a observação não modifica automaticamente o diagrama.

Os campos necessários para reprocessamento são normalizados, comprimidos e armazenados no contêiner privado da organização, com retenção própria. Os leitores iniciais não copiam o conteúdo integral dos logs. A consulta do grafo usa resumos por intervalo; detalhes e evidências respeitam as permissões da organização.

A coleta, normalização e construção deste grafo são determinísticas e não usam IA. O add-on possui controles próprios de fontes, ingestão e retenção; ele não consome a cota de elaboração de diagramas com IA.