Microsoft Sentinel no portal do Microsoft Defender
Este artigo descreve a experiência do Microsoft Sentinel no portal do Microsoft Defender. O Microsoft Sentinel agora está disponível em geral na plataforma de operações de segurança unificada da Microsoft no portal do Microsoft Defender. Para saber mais, veja:
- Postagem no blog: Disponibilidade geral da plataforma de operações de segurança unificada da Microsoft
- Postagem no blog: Perguntas frequentes sobre a plataforma de operações de segurança unificada
- Conectar o Microsoft Sentinel ao Microsoft Defender XDR
Recursos novos e aprimorados
A tabela a seguir descreve os recursos novos ou aprimorados disponíveis no portal do Defender com a integração do Microsoft Sentinel e do Defender XDR.
| Recursos | Descrição |
|---|---|
| Procura avançada | Faça consultas a partir de um único portal em diferentes conjuntos de dados para tornar a busca mais eficiente e remover a necessidade de alternância de contexto. Use o Copilot for Security para ajudar a gerar seu KQL. Exibir e consultar todos os dados, inclusive os dados dos serviços de segurança da Microsoft e do Microsoft Sentinel. Use todo o conteúdo existente do workspace do Microsoft Sentinel, incluindo consultas e funções. Para obter mais informações, consulte os seguintes artigos: - Busca avançada no portal do Microsoft Defender - Copilot para Segurança em busca avançada |
| Interrupção de ataque | Implante a interrupção automática de ataque para SAP com a plataforma de operações de segurança unificada e os aplicativos da Solução do Microsoft Sentinel para SAP. Por exemplo, contenha ativos comprometidos bloqueando usuários suspeitos do SAP no caso de um ataque de manipulação de processos financeiros. Os recursos de interrupção de ataque para SAP estão disponíveis apenas no portal do Defender. Para usar a interrupção de ataque para SAP, atualize a versão do agente do conector de dados e verifique se a função relevante do Azure está atribuída à identidade do agente. Para obter mais informações, consulte Interrupção automática de ataque para SAP. |
| Otimizações do SOC | Obtenha recomendações acionáveis e de alta fidelidade para ajudá-lo a identificar as áreas a serem trabalhadas: - Reduzir custos - Adicionar controles de segurança - Adicionar dados ausentes As otimizações do SOC estão disponíveis nos portais do Defender e do Azure, são adaptadas ao seu ambiente e se baseiam na sua cobertura atual e no cenário de ameaças. Para obter mais informações, consulte os seguintes artigos: - Otimizar suas operações de segurança - Referência de otimização SOC de recomendações |
| Entidades unificadas | As páginas de entidade para dispositivos, usuários, endereços IP e recursos do Azure no portal do Defender exibem informações das fontes de dados do Microsoft Sentinel e do Defender. Essas páginas de entidade fornecem um contexto expandido para suas investigações de incidentes e alertas no portal do Defender. Para obter mais informações, confira Investigar entidades em páginas de entidade no Microsoft Sentinel. |
| Incidentes unificados | Gerenciar e investigar incidentes de segurança em um único local e em uma única fila no portal do Defender. Use o Copilot para Segurança para resumir, responder e relatar. Os incidentes incluem: - Dados de diversas fontes - Ferramentas de análise de IA do SIEM (gerenciamento de eventos e informações de segurança) - Ferramentas de contexto e mitigação oferecidas pela XDR (detecção e resposta estendida) Para obter mais informações, consulte os seguintes artigos: - Resposta a incidentes no portal do Microsoft Defender - Investigar incidentes do Microsoft Sentinel no Copilot para Segurança |
Diferenças de funcionalidade entre portais
A maioria dos recursos do Microsoft Sentinel está disponível nos portais do Azure e do Defender. No portal do Defender, algumas experiências do Microsoft Sentinel se abrem no portal do Azure para que você conclua uma tarefa.
Essa secção abrange as capacidades ou integrações do Microsoft Sentinel na plataforma unificada de operações de segurança que só estão disponíveis no portal Azure ou no portal Defender ou outras diferenças significativas entre os portais. Ela exclui as experiências do Microsoft Sentinel que abrem o portal do Azure a partir do portal do Defender.
| Funcionalidade | Disponibilidade | Descrição |
|---|---|---|
| Busca avançada usando indicadores | Apenas portal do Azure | Não há suporte para indicadores na experiência de busca avançada no portal do Microsoft Defender. No portal do Defender, há suporte para eles em Microsoft Sentinel > Gerenciamento de ameaças > Busca. Para obter mais informações, confira Manter o controle dos dados durante a busca com o Microsoft Sentinel. |
| Interrupção de ataque para SAP | Somente portal do Defender | Esta funcionalidade não está disponível no portal do Azure. Para obter mais informações, confira Interrupção automática de ataque no portal do Microsoft Defender. |
| Automação | Alguns procedimentos de automação estão disponíveis apenas no portal do Azure. Outros procedimentos de automação são os mesmos nos portais do Defender e do Azure, mas diferem no portal do Azure entre os workspaces integrados à plataforma unificada de operações de segurança e os workspaces que não estão. |
Para obter mais informações, confira Automação com a plataforma de operações de segurança unificada. |
| Conectores de dados: visibilidade dos conectores usados pela plataforma de operações de segurança unificada | Apenas portal do Azure | No portal Defender, depois de integrar o Microsoft Sentinel, os seguintes conectores de dados que fazem parte da plataforma unificada de operações de segurança não são mostrados na página Conectores de dados: No portal do Azure, esses conectores de dados ainda estão listados com os conectores de dados instalados no Microsoft Sentinel. |
| Entidades: adicionar entidades à inteligência contra ameaças de incidentes | Apenas portal do Azure | Esta funcionalidade não está disponível na plataforma de operações de segurança unificada. Para obter mais informações, confira Adicionar entidade a indicadores de ameaça. |
| Fusão: detecção avançada de ataque multiestágio | Apenas portal do Azure | A regra de análise Fusion, que cria incidentes com base em correlações de alerta feitas pelo mecanismo de correlação Fusion, é desabilitada quando você integra o Microsoft Sentinel à plataforma unificada de operações de segurança. A plataforma unificada de operações de segurança usa as funcionalidades de criação e correlação de incidentes do Microsoft Defender XDR para substituir as do mecanismo Fusion. Para obter mais informações, veja Detecção avançada de ataques em vários estágios no Microsoft Sentinel |
| Incidentes: adicionar alertas a incidentes / Removendo alertas de incidentes |
Somente portal do Defender | Depois de integrar o Microsoft Sentinel à plataforma unificada de operações de segurança, você não poderá mais adicionar ou remover alertas de incidentes no portal do Azure. Você pode remover um alerta de um incidente no portal Defender, mas apenas vinculando o alerta a outro incidente (existente ou novo). |
| Incidentes: editar comentários | Apenas portal do Azure | Depois de integrar o Microsoft Sentinel à plataforma unificada de operações de segurança, você poderá adicionar comentários a incidentes em qualquer portal, mas não poderá editar os comentários existentes. As edições feitas em comentários no portal do Azure não são sincronizadas com a plataforma de operações de segurança unificada. |
| Incidentes: criação programática e manual de incidentes | Apenas portal do Azure | Incidentes criados no Microsoft Sentinel por meio da API, por um guia estratégico do Aplicativo Lógico ou manualmente a partir do portal do Azure não são sincronizados com a plataforma de operações de segurança unificada. Esses incidentes ainda têm suporte no portal do Azure e na API. Veja Crie seus próprios incidentes manualmente no Microsoft Sentinel. |
| Incidentes: reabertura de incidentes encerrados | Apenas portal do Azure | Na plataforma unificada de operações de segurança, não é possível definir o agrupamento de alertas nas regras de análise do Microsoft Sentinel para reabrir incidentes fechados se novos alertas forem adicionados. Nesse caso, os incidentes fechados não são reabertos e novos alertas desencadeiam novos incidentes. |
| Incidentes: tarefas | Apenas portal do Azure | As tarefas não estão disponíveis na plataforma de operações de segurança unificada. Para obter mais informações, confira Usar tarefas para gerenciar incidentes no Microsoft Sentinel. |
| Gestão de vários espaços de trabalho para o Microsoft Sentinel | Portal do Defender: limitado a um espaço de trabalho do Microsoft Sentinel por locatário Portal do Azure: gerenciar centralmente vários espaços de trabalho do Microsoft Sentinel para locatários |
Atualmente, há suporte para apenas um espaço de trabalho do Microsoft Sentinel por locatário na plataforma de operações de segurança unificada. Portanto, o gerenciamento multilocatário do Microsoft Defender dá suporte a um espaço de trabalho do Microsoft Sentinel por locatário. Para obter mais informações, consulte os seguintes artigos: – Portal do Defender: gerenciamento multilocatário do Microsoft Defender – Portal do Azure: gerenciar vários workspaces do Microsoft Sentinel com o gerenciador de espaços de trabalho |
Referência rápida
Alguns recursos do Microsoft Sentinel, como a fila unificada de incidentes, são integrados ao Microsoft Defender XDR na plataforma de operações de segurança unificada. Muitos outros recursos do Microsoft Sentinel estão disponíveis na seção Microsoft Sentinel do portal do Defender.
A imagem a seguir mostra o menu do Microsoft Sentinel no portal do Defender:
As seções a seguir descrevem onde encontrar recursos do Microsoft Sentinel no portal do Defender. As seções são organizadas conforme o Microsoft Sentinel está no portal do Azure.
Geral
A tabela a seguir lista as alterações na navegação entre os portais do Azure e do Defender para a seção Geral no portal do Azure.
| Portal do Azure | Portal do Defender |
|---|---|
| Visão geral | Visão geral |
| Logs | Investigação e resposta > Busca > Busca avançada |
| Notícias & guias | Não disponível |
| Pesquisar | Microsoft Sentinel > Search |
Gerenciamento de ameaças
A tabela a seguir lista as alterações na navegação entre os portais do Azure e do Defender para a seção Gerenciamento de ameaças no portal do Azure.
| Portal do Azure | Portal do Defender |
|---|---|
| Incidentes | Investigação e resposta > Incidentes e alertas > Incidentes |
| Pastas de trabalho | Microsoft Sentinel > Gerenciamento de ameaças> Workbooks |
| Caça | Microsoft Sentinel > Gerenciamento de ameaças > Busca |
| Notebooks | Microsoft Sentinel > Gerenciamento de ameaças > Notebooks |
| Comportamento de entidades | Página da entidade do usuário: Ativos > Identidades >{user}> Eventos do Sentinel Página da entidade do dispositivo: Ativos > Dispositivos >{device}> Eventos do Sentinel Além disso, localize as páginas de entidade para os tipos de entidade de usuário, dispositivo, IP e recurso do Azure a partir dos incidentes e alertas, conforme aparecem. |
| Inteligência contra ameaças | Microsoft Sentinel > Gerenciamento de ameaças > Inteligência contra ameaças |
| MITRE ATT&CK | Microsoft Sentinel > Gerenciamento de ameaças > MITRE ATT&CK |
Gerenciamento de conteúdo
A tabela a seguir lista as alterações na navegação entre os portais do Azure e do Defender para a seção Gerenciamento de conteúdo no portal do Azure.
| Portal do Azure | Portal do Defender |
|---|---|
| Hub de conteúdo | Microsoft Sentinel > Gerenciamento de conteúdo > Hub de conteúdo |
| Repositórios | Microsoft Sentinel > Gerenciamento de conteúdo > Repositórios |
| Comunidade | Microsoft Sentinel > Gerenciamento de conteúdo > Comunidade |
Configuração
A tabela a seguir lista as alterações na navegação entre os portais do Azure e do Defender para a seção Configuração no portal do Azure.
| Portal do Azure | Portal do Defender |
|---|---|
| Gerenciador do workspace | Não disponível |
| Conectores de dados | Microsoft Sentinel > Configuração > Conectores de dados |
| Análise | Microsoft Sentinel > Configuração > Análise |
| Watchlists | Microsoft Sentinel > Configuração > Watchlists |
| Automação | Microsoft Sentinel > Configuração > Automação |
| Configurações | Sistema > Configurações > Microsoft Sentinel |