Deje de pagar tarifas de nivel de Analytics por registros que nunca quiso conservar. Un conector ruidoso puede convertir un espacio de trabajo sano en una sorpresa mensual, y Sentinel le facturará por cada fila descuidada que deje pasar.

En esta guía, comenzará verificando el modelo de precios que realmente utiliza su espacio de trabajo. Luego, eliminará los eventos ruidosos en la ingesta, dirigirá las tablas correctas a un almacenamiento más económico y terminará demostrando el cambio con KQL para que los ahorros sean visibles en lugar de hipotéticos.

Requisitos previos

Si desea seguir la práctica, necesitará:

• Una suscripción de Azure con Microsoft Sentinel ya habilitada, porque las opciones de precios y tablas solo importan después de que existe el espacio de trabajo.

• Log Analytics Contributor más Data (manage) permisos en el portal de Defender, porque los planes de tablas y las transformaciones están bloqueados; omita el acceso de escritura si solo está auditando el estado actual.

• La CLI de Azure y un shell que puede ejecutar ejemplos de KQL y az verificaciones, porque este flujo de trabajo permanece programable en lugar de deambular por el portal.

• Un espacio de trabajo con al menos una fuente ruidosa, porque los ahorros más rápidos se obtienen cuando puedes medir una mesa que ya está inflando tu factura.

Comience con la factura, no con el tablero

El precio de Microsoft Sentinel depende del nivel en el que se ingiere, no de la reconfortante idea de que lo ajustaremos más adelante. La corriente guía de facturación y página de precios Ambos enfatizan el mismo punto: el análisis, la retención y el uso del lago de datos son decisiones de costos independientes y los niveles de compromiso comienzan en 100 GB por día.

Eso significa que el primer trabajo es no eliminar nada. Es para identificar qué parte del medidor te está haciendo daño.

Que comprobar	Por qué es importante	Lo que suele cambiar primero
Ingestión de nivel de análisis	Este es el camino más caro para la detección de animales vivos y la caza.	La mesa más ruidosa.
Retención	La retención adicional agrega costos mucho después de que el evento haya sido útil.	Las mesas viejas ya nadie las consulta.
Nivel de compromiso	La ingesta predecible puede ser más barata que el pago por uso.	Equipos que se estabilizan por encima de un volumen diario constante.
Clúster dedicado	Los clústeres compartidos pueden agrupar el volumen del espacio de trabajo en una región.	Grandes fincas con múltiples espacios de trabajo.

Si ya sabes que tu volumen diario es constante, un Clúster dedicado de Log Analytics Puede agrupar varios espacios de trabajo y compartir el descuento por compromiso. Se trata de una obra de teatro que cuesta, no un juguete de actuación. La trampa lo trata como un primer paso cuando aún no se ha medido la curva de ingesta.

[Image: images/sentinel-cost-path.svg]

Mapa de flujo de costos

Una vez que vea el camino desde la fuente hasta el nivel, el resto del trabajo dejará de parecer conjeturas. Ya no utilizas menos Sentinel. Usted está decidiendo qué bytes merecen un almacenamiento costoso y cuáles no.

Filtrar antes de almacenar

La mayor reducción de costos ocurre antes de que los datos lleguen al espacio de trabajo. Microsoft documenta esto en ambos Descripción general de DCR de Azure Monitor y Guía de transformación de datos de Microsoft Sentinel: las reglas de recopilación de datos pueden transformar los registros antes de almacenarlos y a las áreas de trabajo habilitadas para Sentinel no se les cobra la tarifa de ingesta de filtrado de Azure Monitor para las tablas de Analytics.

Eso le da una regla clara: si una fila es lo suficientemente ruidosa como para que usted nunca alertaría sobre ella, no pague para mantenerla en la ruta activa.

{
  "transformKql": "source | where EventID in (4798, 4799)"
}

Ese ejemplo es intencionalmente pequeño. Mantiene solo los eventos que le interesan y descarta el resto antes de que se conviertan en carga útil facturable. Si está filtrando registros de firewall o proxy, el patrón es el mismo: mantenga las filas relevantes para la seguridad, no las que hacen que cada revisión de incidentes se convierta en una búsqueda del tesoro.

También puede utilizar la misma lógica de tiempo de ingesta para enrutar registros por gravedad en lugar de eliminarlos directamente.

source
| extend Route = iif(Severity in ('High', 'Critical'), 'Analytics', 'DataLake')
| project TimeGenerated, Computer, Severity, Route

La forma exacta depende del conector y del plano de la mesa, pero la decisión es siempre la misma. O el registro es lo suficientemente importante para el almacenamiento en caliente o no lo es. Cualquier punto intermedio suele ser una forma educada de decir que aún no lo has decidido.

---

Advertencia: primero pruebe la transformación en una fuente de bajo volumen. Un mal filtro no ahorra dinero; guarda las filas incorrectas.

---

Coloque los datos correctos en el nivel correcto

Una vez que el arroyo está limpio, el siguiente ahorro proviene del almacenamiento. Microsoft Guía de niveles de retención de registros y documentos de gestión de niveles de datos separe el problema en datos de seguridad primarios y datos de seguridad secundarios. La corriente guía del lago de datos es explícito: mantenga los datos de seguridad primarios en Analytics y envíe los datos secundarios, detallados o de alto cumplimiento a niveles más baratos cuando las alertas en tiempo real no son el punto.

[Image: images/sentinel-tier-decision.svg]

Matriz de decisión de niveles

Nivel	Úselo para	a lo que renuncias
Analítica	Datos primarios de seguridad, detecciones en vivo, caza e investigaciones.	Costo más alto.
Básico	Tablas que puede consultar sin necesidad de alertas en vivo en cada fila.	Menos profundidad interactiva y menos funciones en tiempo real.
lago de datos	Datos de seguridad secundarios, retención prolongada e investigaciones bajo demanda.	No es un nivel de alerta en tiempo real.

Si una tabla solo se consulta después de que ya se ha producido un incidente, normalmente es una mala candidata para Analytics. Eso no es un juicio moral. Son solo matemáticas.

---

Ganancia rápida: si una mesa solo importa después del hecho, sáquela de su nivel más popular antes de tocar cualquier otra cosa.

---

Mida el daño con KQL

No se puede optimizar lo que no se puede nombrar. El Usage mesa le brinda uso por hora por tabla, y Microsoft consultas de ejemplo para uso muestra los mismos campos que necesitas aquí: IsBillable, _BilledSizey DataType.

Comience por encontrar la tabla que quema la mayor cantidad de bytes facturables.

Usage
| where TimeGenerated > ago(7d)
| where IsBillable == true
| summarize GB = sum(_BilledSize) / 1024 / 1024 / 1024 by DataType
| top 10 by GB desc

Si una fuente domina la lista, no se limite a mirarla. Perfora la forma del crecimiento.

Usage
| where TimeGenerated > ago(24h)
| where IsBillable == true
| where DataType in ('SecurityEvent', 'CommonSecurityLog')
| summarize GB = sum(_BilledSize) / 1024 / 1024 / 1024 by bin(TimeGenerated, 1h), DataType
| order by TimeGenerated asc

Esa segunda consulta le indica si el problema es una manguera contra incendios constante, una ráfaga programada o un solo conector que se comporta como si guardara rencor. Una vez que conoces el patrón, la solución deja de ser vaga. Puede mover la fuente, agregar un filtro o dejar de fingir que la tabla pertenece a Analytics.

Implemente en el orden correcto

El camino más seguro es aburrido. Eso es un cumplido.

Orden	Cambiar	Que verificar
1	Confirme el modelo de facturación actual y la retención.	La página de facturación y los planes de mesa actuales coinciden con lo que cree que paga.
2	Reclama las dietas de gratuidad que ya existen en tu inquilino.	Los bytes facturables caen cuando se aplica la fuente gratuita.
3	Filtra el conector más ruidoso con lógica DCR.	El Usage La tabla muestra la tabla encogiéndose.
4	Mueva los datos secundarios al nivel más económico que se ajuste a ellos.	La cobertura de alerta permanece intacta donde más importa.
5	Revise el nivel de compromiso o el diseño del clúster después de que se estabilice la curva de ingesta.	La factura mensual se vuelve predecible en lugar de caótica.

La documentación de facturación de Microsoft también menciona las fuentes de datos gratuitas actuales y las asignaciones de ingestión, así que consulte esa página antes de dedicar tiempo a diseñar un costo que quizás ya tenga derecho a evitar.

Si está ejecutando suficiente volumen para justificar la economía del clúster compartido, vuelva a visitar la página del clúster dedicado después de que los filtros estén implementados. Si lo hace primero, simplemente le estará dando al medidor una mejor silla.

Conclusión

La optimización de costos centinela no es un truco. Es una secuencia: verificar la factura, reducir el ruido en la ingesta, clasificar los datos restantes correctamente y luego validar el cambio con KQL. Si omite ese pedido, terminará pagando precios de Analytics por registros que deberían haber sido baratos desde el principio.

La regla práctica es simple. Mantenga los datos de seguridad primarios calientes, mantenga los datos secundarios más fríos y siga midiendo hasta que la factura refleje esa división. Así es como se reduce el consumo de Azure sin perder la señal de seguridad que aún necesita.