Investigar alertas no Microsoft Defender XDR
Aplica-se a:
- Microsoft Defender XDR
Observação
Este artigo descreve alertas de segurança no Microsoft Defender XDR. No entanto, pode utilizar alertas de atividade para enviar notificações por e-mail a si próprio ou a outros administradores quando os utilizadores efetuam atividades específicas no Microsoft 365. Para obter mais informações, consulte Criar alertas de atividade – Microsoft Purview | Microsoft Docs.
Os alertas são a base de todos os incidentes e indicam a ocorrência de eventos mal-intencionados ou suspeitos em seu ambiente. Os alertas geralmente fazem parte de um ataque mais amplo e fornecem pistas sobre um incidente.
No Microsoft Defender XDR, os alertas relacionados são agregados para formar incidentes. Os incidentes fornecerão sempre o contexto mais amplo de um ataque. No entanto, analisar alertas pode ser útil quando for necessária uma análise mais profunda.
A fila Alertas mostra o conjunto atual de alertas. Pode aceder à fila de alertas a partir de Incidentes & alertas Alertas > na iniciação rápida do portal do Microsoft Defender.
Os alertas de diferentes soluções de segurança da Microsoft, como o Microsoft Defender para Endpoint, o Defender para Office 365, o Microsoft Sentinel, o Defender para a Cloud, o Defender para Identidade, o Defender para Cloud Apps, o Defender XDR, a Governação de Aplicações, a Proteção contra IDs do Microsoft Entra e a Prevenção de Perda de Dados da Microsoft são apresentados aqui.
Por predefinição, a fila de alertas no portal do Microsoft Defender apresenta os alertas novos e em curso dos últimos sete dias. O alerta mais recente fica na parte superior da lista para que você possa vê-lo primeiro.
Na fila de alertas predefinida, pode selecionar Filtrar para ver um painel Filtro , a partir do qual pode especificar um subconjunto dos alertas. Veja um exemplo.
Você pode filtrar alertas de acordo com estes critérios:
- Severity
- Status
- Categorias
- Origens de serviço/deteção
- Marcações
- Política
- Entidades (os ativos afetados)
- Estado de investigação automatizada
- IDs de subscrição de alerta
Observação
Agora, os clientes do Microsoft Defender XDR podem filtrar incidentes com alertas em que um dispositivo comprometido comunicava com dispositivos de tecnologia operacional (OT) ligados à rede empresarial através da integração de deteção de dispositivos do Microsoft Defender para IoT e do Microsoft Defender para Endpoint. Para filtrar estes incidentes, selecione Qualquer nas Origens de serviço/deteção e, em seguida, selecione Microsoft Defender para IoT no Nome do produto ou veja Investigar incidentes e alertas no Microsoft Defender para IoT no portal do Defender. Também pode utilizar grupos de dispositivos para filtrar alertas específicos do site. Para obter mais informações sobre os pré-requisitos do Defender para IoT, veja Introdução à monitorização de IoT empresarial no Microsoft Defender XDR.
Um alerta pode ter etiquetas de sistema e/ou etiquetas personalizadas com determinados fundos de cor. As etiquetas personalizadas utilizam o fundo branco, enquanto as etiquetas de sistema utilizam normalmente cores de fundo vermelhas ou pretas. As etiquetas de sistema identificam o seguinte num incidente:
- Um tipo de ataque, como ransomware ou phishing de credenciais
- Ações automáticas, como investigação e resposta automáticas e interrupção automática de ataques
- Especialistas do Defender que lidam com um incidente
- Recursos críticos envolvidos no incidente
Dica
A Gestão da Exposição à Segurança da Microsoft, com base em classificações predefinidas, identifica automaticamente dispositivos, identidades e recursos da cloud como um recurso crítico. Esta capacidade inicial garante a proteção dos ativos mais importantes e importantes de uma organização. Também ajuda as equipas de operações de segurança a priorizar a investigação e a remediação. Saiba mais sobre a gestão de recursos críticos.
Funções necessárias para alertas do Defender para Office 365
Terá de ter qualquer uma das seguintes funções para aceder aos alertas do Microsoft Defender para Office 365:
Para funções globais do Microsoft Entra:
- Administrador global
- Administrador de segurança
- Operador de segurança
- Leitor global
- Leitor de segurança
Grupos de Funções de Conformidade & de Segurança do Office 365
- Administrador de Conformidade
- Gerenciamento de Organização
Observação
A Microsoft recomenda a utilização de funções com menos permissões para uma melhor segurança. A função Administrador Global, que tem muitas permissões, só deve ser utilizada em situações de emergência quando nenhuma outra função se adequar.
Analisar um alerta
Para ver a página de alerta principal, selecione o nome do alerta. Veja um exemplo.
Também pode selecionar a ação Abrir a página de alerta principal no painel Gerir alerta .
Uma página de alerta é composta por estas seções:
- História do alerta, que é a cadeia de eventos e alertas relacionados com este alerta por ordem cronológica
- Detalhes do resumo
Ao longo de uma página de alerta, pode selecionar as reticências (...) ao lado de qualquer entidade para ver as ações disponíveis, como ligar o alerta a outro incidente. A lista de ações disponíveis depende do tipo de alerta.
Fontes de alerta
Os alertas XDR do Microsoft Defender provêm de soluções como o Microsoft Defender para Endpoint, o Defender para Office 365, o Defender para Identidade, o Defender para Cloud Apps, o suplemento de governação de aplicações para o Microsoft Defender para Cloud Apps, a Proteção contra ID do Microsoft Entra e a Prevenção de Perda de Dados da Microsoft. Poderá reparar em alertas com carateres pré-anexados no alerta. A tabela a seguir fornece diretrizes para ajudar você a entender o mapeamento de fontes de alerta com base no caractere que precede o alerta.
Observação
- Os GUIDs que vêm no início são específicos apenas para experiências unificadas, como fila de alertas unificados, página de alertas unificados, investigação unificada e incidente unificado.
- O caráter de pré-fim não altera o GUID do alerta. A única alteração no GUID é o componente que o precede.
| Fonte do alerta | ID do alerta com carateres pré-end |
|---|---|
| Microsoft Defender XDR | ra{GUID} ta{GUID} para alertas de ThreatExpertsea{GUID} para alertas de deteções personalizadas |
| Microsoft Defender para Office 365 | fa{GUID} Exemplo: fa123a456b-c789-1d2e-12f1g33h445h6i |
| Microsoft Defender para Ponto de Extremidade | da{GUID} ed{GUID} para alertas de deteções personalizadas |
| Microsoft Defender para Identidade | aa{GUID} Exemplo: aa123a456b-c789-1d2e-12f1g33h445h6i |
| Microsoft Defender for Cloud Apps | ca{GUID} Exemplo: ca123a456b-c789-1d2e-12f1g33h445h6i |
| Microsoft Entra ID Protection | ad{GUID} |
| Governação de Aplicações | ma{GUID} |
| Prevenção de Perda de Dados da Microsoft | dl{GUID} |
| Microsoft Defender para Nuvem | dc{GUID} |
| Microsoft Sentinel | sn{GUID} |
Configurar o serviço de alertas de IP do Microsoft Entra
Aceda ao portal do Microsoft Defender (security.microsoft.com), selecione Definições>Microsoft Defender XDR.
Na lista, selecione Definições do serviço de alerta e, em seguida, configure o seu serviço de alerta do Microsoft Entra ID Protection .
Por predefinição, apenas os alertas mais relevantes para o centro de operações de segurança estão ativados. Se quiser obter todas as deteções de risco de IP do Microsoft Entra, pode alterá-la na secção Definições do serviço de alerta .
Também pode aceder às definições do serviço Alerta diretamente a partir da página Incidentes no portal do Microsoft Defender.
Importante
Algumas informações estão relacionadas a produtos pré-lançados que podem ser substancialmente modificados antes de seu lançamento comercial. A Microsoft não faz garantias, expressas ou implícitas, quanto às informações fornecidas aqui.
Analisar ativos afetados
A seção Ações tomadas tem uma lista de ativos afetados, como caixas de correio, dispositivos e usuários afetados por esse alerta.
Também pode selecionar Ver no centro de ação para ver o separador Histórico do Centro de ação no portal do Microsoft Defender.
Rastrear a função de um alerta na história do alerta
A história do alerta exibe todos os ativos ou entidades relacionados ao alerta em uma exibição de árvore de processo. O alerta no título é aquele em foco quando você chega pela primeira vez à página do alerta selecionado. Os recursos na história do alerta são expansíveis e clicáveis. Eles fornecem informações adicionais e aceleram sua resposta, permitindo que você execute uma ação imediatamente no contexto da página de alerta.
Observação
A secção do bloco de alertas pode conter mais do que um alerta, com alertas adicionais relacionados com a mesma árvore de execução a aparecer antes ou depois do alerta que selecionou.
Exibir mais informações de alerta na página de detalhes
A página de detalhes mostra os detalhes do alerta selecionado, com detalhes e ações relacionados com o mesmo. Se você selecionar qualquer um dos ativos ou entidades afetados na história de alerta, a página de detalhes será alterada para fornecer informações contextuais e ações para o objeto selecionado.
Depois de selecionar uma entidade de interesse, a página de detalhes muda para apresentar informações sobre o tipo de entidade selecionado, informações históricas quando esta estiver disponível e opções para tomar medidas nesta entidade diretamente a partir da página de alerta.
Gerenciar alertas
Para gerenciar um alerta, selecione Gerenciar alerta na seção de detalhes resumidos da página do alerta. Para um único alerta, veja um exemplo do painel Gerenciar alerta.
O painel Gerir alerta permite-lhe ver ou especificar:
- O status do alerta (Novo, Resolvido, Em andamento).
- A conta de usuário a quem o alerta foi atribuído.
- A classificação do alerta:
- Não Definido (predefinição).
- Verdadeiro positivo com um tipo de ameaça. Use essa classificação para alertas que indicam com precisão uma ameaça real. Especificar este tipo de ameaça alerta a sua equipa de segurança vê padrões de ameaças e atua para defender a sua organização dos mesmos.
- Atividade informativa e esperada com um tipo de atividade. Utilize esta opção para alertas tecnicamente precisos, mas que representem um comportamento normal ou atividade de ameaça simulada. Geralmente, quer ignorar estes alertas, mas espera-os para atividades semelhantes no futuro em que as atividades são acionadas por atacantes reais ou software maligno. Utilize as opções nesta categoria para classificar alertas para testes de segurança, atividade da equipa vermelha e comportamento invulgar esperado de aplicações e utilizadores fidedignos.
- Falso positivo para tipos de alertas que foram criados mesmo quando não existe atividade maliciosa ou para um falso alarme. Utilize as opções nesta categoria para classificar alertas identificados por engano como eventos ou atividades normais como maliciosos ou suspeitos. Ao contrário dos alertas de "Atividade informativa e esperada", que também pode ser útil para detetar ameaças reais, geralmente não quer ver estes alertas novamente. Classificar alertas como falsos positivos ajuda o Microsoft Defender XDR a melhorar a qualidade da deteção.
- Um comentário sobre o alerta.
Observação
Por volta de 29 de agosto de 2022, os valores de determinação de alertas anteriormente suportados ("Apt" e "Pessoal de Segurança") serão preteridos e deixarão de estar disponíveis através da API.
Observação
Uma forma de gerir alertas através da utilização de etiquetas. A capacidade de identificação do Microsoft Defender para Office 365 está a ser implementada de forma incremental e está atualmente em pré-visualização.
Atualmente, os nomes de etiquetas modificados só são aplicados a alertas criados após a atualização. Os alertas que foram gerados antes da modificação não refletirão o nome da etiqueta atualizada.
Para gerir um conjunto de alertas semelhante a um alerta específico, selecione Ver alertas semelhantes na caixa INSIGHT na secção de detalhes de resumo da página de alerta.
No painel Gerenciar alertas, você pode classificar todos os alertas relacionados ao mesmo tempo. Veja um exemplo.
Se já tiverem sido classificados alertas semelhantes no passado, pode poupar tempo com as recomendações do Microsoft Defender XDR para saber como os outros alertas foram resolvidos. Na seção de detalhes resumidos, selecione Recomendações.
A guia Recomendações fornece ações de próxima etapa e conselhos para investigação, correção e prevenção. Veja um exemplo.
Otimizar um alerta
Enquanto analista do centro de operações de segurança (SOC), um dos principais problemas é a triagem do número total de alertas que são acionados diariamente. O tempo de um analista é valioso, querendo concentrar-se apenas em alertas de alta gravidade e alta prioridade. Entretanto, os analistas também são obrigados a fazer a triagem e a resolver alertas de prioridade inferior, que tendem a ser um processo manual.
A otimização de alertas, anteriormente conhecida como supressão de alertas, permite otimizar e gerir alertas com antecedência. Isto simplifica a fila de alertas e poupa tempo de triagem ao ocultar ou resolver alertas automaticamente, sempre que ocorre um determinado comportamento organizacional esperado e as condições das regras são cumpridas.
As regras de otimização de alertas suportam condições com base em tipos de provas , como ficheiros, processos, tarefas agendadas e outros tipos de provas que acionam alertas. Depois de criar uma regra de otimização de alertas, aplique-a ao alerta selecionado ou a qualquer tipo de alerta que cumpra as condições definidas para otimizar o alerta.
A otimização de alertas como disponibilidade geral captura alertas apenas do Defender para Endpoint. No entanto, na pré-visualização, o ajuste de alertas também é alargado a outros serviços XDR do Microsoft Defender, incluindo o Defender para Office 365, Defender para Identidade, Defender para Cloud Apps, Microsoft Entra ID Protection (Microsoft Entra IP), entre outros, se estiverem disponíveis na sua plataforma e plano.
Cuidado
Recomendamos que utilize a otimização de alertas com cuidado, para cenários em que aplicações empresariais internas ou testes de segurança conhecidos acionam uma atividade esperada e não quer ver os alertas.
Criar condições de regra para otimizar alertas
Crie regras de otimização de alertas a partir da área Definições XDR do Microsoft Defender ou a partir de uma página de detalhes de alerta. Selecione um dos seguintes separadores para continuar.
No portal do Microsoft Defender, selecione Definições > Otimização do Alerta XDR > do Microsoft Defender.
Selecione Adicionar nova regra para otimizar um novo alerta ou selecione uma linha de regra existente para fazer alterações. Selecionar o título da regra abre uma página de detalhes da regra, onde pode ver uma lista de alertas associados, editar condições ou ativar e desativar a regra.
No painel Otimizar alerta , em Selecionar origens de serviço, selecione as origens de serviço onde pretende aplicar a regra. Apenas os serviços onde tem permissões são apresentados na lista. Por exemplo:
Na área Condições , adicione uma condição para os acionadores do alerta. Por exemplo, se quiser impedir que um alerta seja acionado quando é criado um ficheiro específico, defina uma condição para o acionador Ficheiro:Personalizado e defina os detalhes do ficheiro:
Os acionadores listados diferem consoante as origens de serviço que selecionou. Os acionadores são todos indicadores de comprometimento (IOCs), como ficheiros, processos, tarefas agendadas e outros tipos de provas que podem acionar um alerta, incluindo scripts da Interface de Análise AntiMalware (AMSI), eventos do Windows Management Instrumentation (WMI) ou tarefas agendadas.
Para definir várias condições de regra, selecione Adicionar filtro e utilize AS, OU e opções de agrupamento para definir as relações entre os vários tipos de evidência que acionam o alerta. As propriedades de provas adicionais são preenchidas automaticamente como um novo subgrupo, onde pode definir os valores da condição. Os valores de condição não são sensíveis a maiúsculas e minúsculas e algumas propriedades suportam carateres universais.
Na área Ação do painel Otimizar alerta , selecione a ação relevante que pretende que a regra efetue, Ocultar alerta ou Resolver alerta.
Introduza um nome significativo para o alerta e um comentário para descrever o alerta e, em seguida, selecione Guardar.
Observação
O título do alerta (Nome) baseia-se no tipo de alerta (IoaDefinitionId), que decide o título do alerta. Dois alertas com o mesmo tipo de alerta podem ser alterados para um título de alerta diferente.
Resolver um alerta
Depois de analisar um alerta e este poder ser resolvido, aceda ao painel Gerir alerta para o alerta ou alertas semelhantes e marque o estado como Resolvido e, em seguida, classifique-o como um Verdadeiro positivo com um tipo de ameaça, uma atividade Informativa, esperada com um tipo de atividade ou um Falso positivo.
Classificar alertas ajuda o Microsoft Defender XDR a melhorar a qualidade da deteção.
Utilizar o Power Automate para fazer a triagem de alertas
As equipas de operações de segurança modernas (SecOps) precisam de automatização para funcionar eficazmente. Para se concentrarem na investigação e investigação de ameaças reais, as equipas do SecOps utilizam o Power Automate para fazer a triagem através da lista de alertas e eliminar os que não são ameaças.
Critérios para resolver alertas
- O utilizador tem a mensagem Fora do Escritório ativada
- O utilizador não está identificado como de alto risco
Se ambos forem verdadeiros, o SecOps marca o alerta como uma viagem legítima e resolve-o. Uma notificação é publicada no Microsoft Teams depois de o alerta ser resolvido.
Ligar o Power Automate ao Microsoft Defender para Cloud Apps
Para criar a automatização, precisará de um token de API antes de poder ligar o Power Automate ao Microsoft Defender para Cloud Apps.
Abra o Microsoft Defender, selecione Definições>Token da APIdas Aplicações> na Cloud e, em seguida, selecione Adicionar token no separador Tokens de API.
Forneça um nome para o token e, em seguida, selecione Gerar. Guarde o token, pois irá precisar dele mais tarde.
Criar um fluxo automatizado
Veja este breve vídeo para saber como a automatização funciona de forma eficiente para criar um fluxo de trabalho suave e como ligar o Power Automate ao Defender para Cloud Apps.
Próximas etapas
Conforme necessário para incidentes em processo, continue a investigação.
Confira também
- Visão geral dos incidentes
- Gerenciar incidentes
- Investigar incidentes
- Investigar alertas de prevenção de perda de dados no Defender
- Microsoft Entra ID Protection
Dica
Você deseja aprender mais? Participe da comunidade de Segurança da Microsoft em nossa Tech Community: Tech Community do Microsoft Defender XDR.