Página entidade de utilizador no Microsoft Defender
A página da entidade de utilizador no portal do Microsoft Defender ajuda-o na investigação de entidades de utilizador. A página contém todas as informações importantes sobre uma determinada entidade de utilizador. Se um alerta ou incidente indicar que um utilizador pode estar comprometido ou ser suspeito, marcar e investigue a entidade do utilizador.
Pode encontrar as informações da entidade do utilizador nas seguintes vistas:
- Página Identidades, em Recursos
- Fila de alertas
- Qualquer alerta/incidente individual
- Página de dispositivos
- Qualquer página de entidade de dispositivo individual
- Log de atividades
- Consultas de investigação avançadas
- Central de Ações
Sempre que as entidades de utilizador aparecerem nestas vistas, selecione a entidade para ver a página Utilizador , que apresenta mais detalhes sobre o utilizador. Por exemplo, pode ver os detalhes das contas de utilizador identificadas nos alertas de um incidente no portal do Microsoft Defender em Incidentes & alertas Incidentes >>incidentes> Utilizadores de Recursos>.
Quando investiga uma entidade de utilizador específica, vê os seguintes separadores na respetiva página de entidade:
- Descrição geral, incluindo detalhes da entidade, vista visual de incidentes e alertas, prioridade de investigação e classificação linha do tempo
- Separador Incidentes e alertas
- Observado no separador organização
- Separador Linha Cronológica
- Sentinel separador eventos
A página do utilizador mostra o Microsoft Entra organização, bem como os grupos, ajudando-o a compreender os grupos e permissões associados a um utilizador.
Importante
Microsoft Sentinel está agora disponível globalmente na plataforma de operações de segurança unificada da Microsoft no portal do Microsoft Defender. Para obter mais informações, veja Microsoft Sentinel no portal do Microsoft Defender.
Visão Geral
Detalhes da entidade
O painel Detalhes da entidade no lado esquerdo da página fornece informações sobre o utilizador, como o nível de risco de identidade Microsoft Entra, o número de dispositivos aos quais o utilizador tem sessão iniciada, quando o utilizador foi visto pela primeira e última vez, as contas do utilizador, grupos aos quais o utilizador pertence, informações de contacto e muito mais. Verá outros detalhes consoante as funcionalidades de integração que ativou.
Vista visual de incidentes e alertas
Este card inclui todos os incidentes e alertas associados à entidade de utilizador, agrupados por gravidade.
Prioridade de investigação
Este card inclui a discriminação da classificação de prioridade de investigação calculada da entidade do utilizador e uma tendência de duas semanas para essa classificação, incluindo o percentil da classificação em relação ao inquilino.
Controlos de conta do Active Directory
Este card apresenta Microsoft Defender para Identidade definições de segurança que podem necessitar da sua atenção. Pode ver sinalizadores importantes sobre as definições da conta do utilizador, como, por exemplo, se o utilizador conseguir premir Enter para ignorar a palavra-passe e se o utilizador tiver uma palavra-passe que nunca expira, etc.
Para obter mais informações, veja Sinalizadores de Controlo de Conta de Utilizador.
Atividades classificadas
Este card inclui todas as atividades e alertas que contribuem para a classificação de prioridade de investigação da entidade nos últimos sete dias.
Árvore da organização
Esta secção mostra o lugar da entidade do utilizador na hierarquia organizacional, conforme comunicado por Microsoft Defender para Identidade.
Etiquetas de conta
Microsoft Defender para Identidade extrai etiquetas do Active Directory para lhe fornecer uma única interface para monitorizar os seus utilizadores e entidades do Active Directory. As etiquetas fornecem-lhe detalhes do Active Directory sobre a entidade e incluem:
| Nome | Descrição |
|---|---|
| New | Indica que a entidade foi criada há menos de 30 dias. |
| Excluído | Indica que a entidade foi eliminada permanentemente do Active Directory. |
| Disabled | Indica que a entidade está atualmente desativada no Active Directory. O atributo desativado é um sinalizador do Active Directory que está disponível para contas de utilizador, contas de computador e outros objetos para indicar que o objeto não está atualmente a ser utilizado. Quando um objeto é desativado, não pode ser utilizado para iniciar sessão ou efetuar ações no domínio. |
| Enabled | Indica que a entidade está atualmente ativada no Active Directory, indicando que a entidade está atualmente em utilização e pode ser utilizada para iniciar sessão ou realizar ações no domínio. |
| Expirada | Indica que a entidade expirou no Active Directory. Quando uma conta de utilizador expira, o utilizador já não consegue iniciar sessão no domínio ou aceder a quaisquer recursos de rede. A conta expirada é essencialmente tratada como se estivesse desativada, mas com uma data de expiração explícita definida. Quaisquer serviços ou aplicações aos quais o utilizador tenha autorização para aceder também podem ser afetados, dependendo da forma como são configurados. |
| Honeytoken | Indica que a entidade é etiquetada manualmente como um honeytoken. |
| Locked | Indica que a entidade forneceu a palavra-passe errada demasiadas vezes e está agora bloqueada. |
| Parcial | Indica que o utilizador, dispositivo ou grupo não está sincronizado com o domínio e está parcialmente resolvido através de um catálogo global. Neste caso, alguns atributos não estão disponíveis. |
| Não resolvido | Indica que o dispositivo não resolve a uma identidade válida na floresta do Active Directory. Não existem informações de diretório disponíveis. |
| Confidencial | Indica que a entidade é considerada confidencial. |
Para obter mais informações, veja Etiquetas de entidade do Defender para Identidade no Microsoft Defender XDR.
Observação
A secção árvore da organização e as etiquetas de conta estão disponíveis quando está disponível uma licença de Microsoft Defender para Identidade.
Incidentes e alertas
Pode ver todos os incidentes ativos e alertas que envolvem o utilizador dos últimos seis meses neste separador. Todas as informações das filas main incidentes e alertas são apresentadas aqui. Esta lista é uma versão filtrada da fila de incidentes e mostra uma breve descrição do incidente ou alerta, a sua gravidade (alto, médio, baixo, informativo), o seu status na fila (novo, em curso, resolvido), a classificação (não definido, alerta falso, alerta verdadeiro), estado de investigação, categoria, quem está atribuído para o resolver e última atividade observada.
Pode personalizar o número de itens apresentados e que colunas são apresentadas para cada item. O comportamento predefinido é listar 30 itens por página. Também pode filtrar os alertas por gravidade, status ou qualquer outra coluna no ecrã.
A coluna entidades afetadas refere-se a todas as entidades de dispositivo e utilizador referenciadas no incidente ou alerta.
Quando um incidente ou alerta é selecionado, é apresentada uma lista de opções. A partir deste painel, pode gerir o incidente ou o alerta e ver mais detalhes, como o número de incidente/alerta e dispositivos relacionados. Podem ser selecionados vários alertas de cada vez.
Para ver uma vista de página inteira de um incidente ou alerta, selecione o respetivo título.
Observado na organização
Dispositivos: esta secção mostra todos os dispositivos nos quais a entidade de utilizador iniciou sessão nos 180 dias anteriores, indicando os mais e menos utilizados.
Localizações: esta secção mostra todas as localizações observadas para a entidade de utilizador nos últimos 30 dias.
Grupos: esta secção mostra todos os grupos no local observados para a entidade de utilizador, conforme comunicado pelo Microsoft Defender para Identidade.
Caminhos de movimento lateral: esta secção mostra todos os caminhos de movimento lateral criados no perfil do ambiente no local, conforme detetado pelo Defender para Identidade.
Observação
Grupos e os caminhos de movimento lateral estão disponíveis quando está disponível uma licença de Microsoft Defender para Identidade.
Selecionar o separador Movimentos laterais permite-lhe ver um mapa totalmente dinâmico e clicável, onde pode ver os caminhos de movimento lateral de e para um utilizador. Um atacante pode utilizar as informações do caminho para se infiltrar na sua rede.
O mapa fornece uma lista de outros dispositivos ou utilizadores dos quais um atacante pode tirar partido para comprometer uma conta confidencial. Se o utilizador tiver uma conta confidencial, pode ver quantos recursos e contas estão diretamente ligados.
O relatório do caminho de movimento lateral, que pode ser visualizado por data, está sempre disponível para fornecer informações sobre os potenciais caminhos de movimento lateral detetados e pode ser personalizado por tempo. Selecione uma data diferente utilizando Ver uma data diferente para ver os caminhos de movimento lateral anteriores encontrados para uma entidade. O gráfico só é apresentado se tiver sido encontrado um potencial caminho de movimento lateral para uma entidade nos últimos dois dias.
Linha do tempo
O linha do tempo apresenta as atividades e alertas de utilizador observados a partir da identidade de um utilizador nos últimos 180 dias. Unifica as entradas de identidade do utilizador nas cargas de trabalho Microsoft Defender para Identidade, Microsoft Defender para Aplicativos de Nuvem e Microsoft Defender para Ponto de Extremidade. Ao utilizar o linha do tempo, pode concentrar-se nas atividades que um utilizador realizou ou que lhes foram executadas em intervalos de tempo específicos.
Para que os utilizadores da plataforma SOC unificada vejam alertas de Microsoft Sentinel com base em origens de dados diferentes das do parágrafo anterior, podem encontrar estes alertas e outras informações no separador Sentinel eventos, descrito abaixo.
Seletor de intervalo de tempo personalizado: Pode escolher um período de tempo para focar a sua investigação nas últimas 24 horas, nos últimos 3 dias e assim sucessivamente. Em alternativa, pode escolher um período de tempo específico ao clicar em Intervalo personalizado. Os dados filtrados com mais de 30 dias são apresentados em intervalos de sete dias.
Por exemplo:
Filtros de linha cronológica: Para melhorar a sua experiência de investigação, pode utilizar os filtros de linha do tempo: Tipo (Alertas e/ou atividades relacionadas do utilizador), Gravidade do alerta, Tipo de atividade, Aplicação, Localização, Protocolo. Cada filtro depende dos outros e as opções em cada filtro (menu pendente) contêm apenas os dados relevantes para o utilizador específico.
Botão Exportar: Pode exportar o linha do tempo para um ficheiro CSV. A exportação está limitada aos primeiros 5000 registos e contém os dados apresentados na IU (os mesmos filtros e colunas).
Colunas personalizadas: Pode escolher as colunas a expor no linha do tempo ao selecionar o botão Personalizar colunas. Por exemplo:
Que tipos de dados estão disponíveis?
Os seguintes tipos de dados estão disponíveis no linha do tempo:
- Alertas afetados por um utilizador
- Atividades do Active Directory e Microsoft Entra
- Eventos de aplicações na cloud
- Eventos de início de sessão do dispositivo
- Alterações nos serviços de diretório
Que informações são apresentadas?
As seguintes informações são apresentadas no linha do tempo:
- Data e hora da atividade
- Descrição da atividade/alerta
- Aplicação que realizou a atividade
- Endereço IP/dispositivo de origem
- MITRE ATT& técnicas CK
- Gravidade e status de alertas
- País/região onde o endereço IP do cliente é geolocalizado
- Protocolo utilizado durante a comunicação
- Dispositivo de destino (opcional, visível ao personalizar colunas)
- Número de vezes que a atividade ocorreu (opcional, visível ao personalizar colunas)
Por exemplo:
Observação
Microsoft Defender XDR pode apresentar informações de data e hora com o fuso horário local ou UTC. O fuso horário selecionado será aplicado a todas as informações de data e hora apresentadas no linha do tempo identidade.
Para definir o fuso horário destas funcionalidades, aceda aFuso horário do Centro> de Segurança de Definições>.
Sentinel eventos
Se a sua organização tiver integrado Microsoft Sentinel no portal do Defender, este separador adicional encontra-se na página da entidade de utilizador. Este separador importa a página entidade Conta de Microsoft Sentinel.
Sentinel linha do tempo
Este linha do tempo mostra os alertas associados à entidade do utilizador. Estes alertas incluem os visualizados no separador Incidentes e alertas e os criados por Microsoft Sentinel de origens de dados de terceiros e não da Microsoft.
Este linha do tempo também mostra as caçadas com marcadores de outras investigações que referenciam esta entidade de utilizador, eventos de atividade do utilizador de origens de dados externas e comportamentos invulgares detetados pelas regras de anomalias de Microsoft Sentinel.
Insights
As informações de entidades são consultas definidas pelos investigadores de segurança da Microsoft para o ajudar a investigar de forma mais eficiente e eficaz. Estas informações colocam automaticamente as grandes questões sobre a sua entidade de utilizador, fornecendo informações de segurança valiosas sob a forma de dados e gráficos tabulares. As informações incluem dados sobre inícios de sessão, adições de grupo, eventos anómalos e muito mais, e incluem algoritmos de machine learning avançados para detetar comportamentos anómalos.
Seguem-se algumas das informações apresentadas:
- Elementos de utilizador com base na associação a grupos de segurança.
- Ações por conta.
- Ações na conta.
- Registos de eventos limpos pelo utilizador.
- Adições de grupo.
- Contagem anómalo de operações de escritório elevada.
- Acesso a recursos.
- Contagem de resultados de início de sessão do Azure anómalomente elevada.
- Informações da UEBA.
- Permissões de acesso de utilizador para subscrições do Azure.
- Indicadores de ameaças relacionados com o utilizador.
- Informações da lista de observação (Pré-visualização).
- Atividade de início de sessão do Windows.
As informações baseiam-se nas seguintes origens de dados:
- Syslog (Linux)
- SecurityEvent (Windows)
- AuditLogs (Microsoft Entra ID)
- SigninLogs (Microsoft Entra ID)
- OfficeActivity (Office 365)
- BehaviorAnalytics (Microsoft Sentinel UEBA)
- Heartbeat (Agente do Azure Monitor)
- CommonSecurityLog (Microsoft Sentinel)
Se quiser explorar mais aprofundadamente qualquer uma das informações neste painel, selecione a ligação que acompanha as informações. A ligação direciona-o para a página Investigação avançada , onde apresenta a consulta subjacente às informações, juntamente com os respetivos resultados não processados. Pode modificar a consulta ou desagregar os resultados para expandir a investigação ou apenas satisfazer a sua curiosidade.
Ações de correção
Na página Descrição geral, pode efetuar estas ações adicionais:
- Ativar, desativar ou suspender o utilizador no Microsoft Entra ID
- Direcionar o utilizador para efetuar determinadas ações, tais como exigir que o utilizador inicie sessão novamente ou forçar a reposição de palavra-passe
- Repor a classificação de prioridade da investigação para o utilizador
- Ver Microsoft Entra definições de conta, governação relacionada, ficheiros pertencentes ao utilizador ou ficheiros partilhados do utilizador
Para obter mais informações, veja Remediação de ações no Microsoft Defender para Identidade.
Próximas etapas
Conforme necessário para incidentes em processo, continue a investigação.
Confira também
- Visão geral dos incidentes
- Priorizar incidentes
- Gerenciar incidentes
- descrição geral do Microsoft Defender XDR
- Ativar Microsoft Defender XDR
- Página entidade do dispositivo no Microsoft Defender
- Página de entidade de endereço IP no Microsoft Defender
- Microsoft Defender XDR integração com Microsoft Sentinel
- Conectar o Microsoft Sentinel ao Microsoft Defender XDR
Dica
Você deseja aprender mais? Participe da comunidade de Segurança da Microsoft em nossa Tech Community: Tech Community do Microsoft Defender XDR.