Políticas de alerta no Microsoft 365

Pode utilizar políticas de alerta e o dashboard de alertas no portal de conformidade do Microsoft Purview ou no portal do Microsoft Defender para criar políticas de alerta e, em seguida, ver os alertas gerados quando os utilizadores efetuam atividades que correspondam às condições de uma política de alerta. Existem várias políticas de alerta predefinidas que o ajudam a monitorizar atividades como a atribuição de privilégios de administrador no Exchange Online, ataques de software maligno, campanhas de phishing e níveis invulgares de eliminações de ficheiros e partilha externa.

As políticas de alerta permitem categorizar os alertas disparados por uma política, aplicar a política a todos os usuários em sua organização, definir um nível de limite para quando um alerta é disparado e decidir se receberão notificações por email quando os alertas forem disparados. Existe também uma página Alertas onde pode ver e filtrar alertas, definir um estado de alerta para o ajudar a gerir alertas e, em seguida, dispensar alertas após endereçar ou resolver o incidente subjacente.

Como funcionam as políticas de alerta

Eis uma descrição geral rápida de como funcionam as políticas de alerta e os alertas que são acionados quando a atividade de utilizador ou administrador corresponde às condições de uma política de alerta.

1. Um administrador na sua organização cria, configura e ativa uma política de alerta através da página Políticas de alerta no portal de conformidade ou no portal do Microsoft Defender. Também pode criar políticas de alerta com o cmdlet New-ProtectionAlert no PowerShell de Conformidade do & de Segurança.

   Para criar políticas de alerta, tem de lhe ser atribuída a função Gerir Alertas ou a função Configuração da Organização no portal de conformidade ou no portal do Defender.

   Observação

   Demora até 24 horas após a criação ou atualização de uma política de alertas para que os alertas possam ser acionados pela política. Isto deve-se ao facto de a política ter de ser sincronizada com o motor de deteção de alertas.

2. Um utilizador efetua uma atividade que corresponde às condições de uma política de alerta. No caso de ataques de software maligno, as mensagens de e-mail infetadas enviadas aos utilizadores na sua organização acionam um alerta.

3. O Microsoft 365 gera um alerta que é apresentado na página Alertas no portal de conformidade ou no portal do Defender. Além disso, se as notificações por e-mail estiverem ativadas para a política de alerta, a Microsoft envia uma notificação para uma lista de destinatários. Os alertas que um administrador ou outros utilizadores podem ver são determinados pelas funções atribuídas ao utilizador na página Alertas. Para obter mais informações, veja Permissões RBAC necessárias para ver alertas.

4. Um administrador gere alertas no portal de conformidade do Microsoft Purview. A gestão de alertas consiste em atribuir um estado de alerta para ajudar a controlar e gerir qualquer investigação.

Sobre as configurações da política

Uma política de alerta consiste em um conjunto de regras e condições que definem a atividade de usuário ou administrador que gera um alerta, uma lista de usuários que disparam o alerta se eles executam a atividade e um limite que define quantas vezes a atividade deve ocorrer antes que um alerta seja disparado. Você também categoriza a política e atribui a ela um nível de severidade. Estas duas definições ajudam-no a gerir políticas de alertas (e os alertas que são acionados quando as condições da política são correspondidas) porque pode filtrar estas definições ao gerir políticas e ver alertas no portal de conformidade do Microsoft Purview. Por exemplo, pode ver alertas que correspondem às condições da mesma categoria ou ver alertas com o mesmo nível de gravidade.

Para ver e criar políticas de alerta:

• Portal de conformidade do Microsoft Purview:

  Aceda ao portal de conformidade e, em seguida, selecione Políticas Políticas Políticas>>de Alerta de Políticas.

  

• Portal do Microsoft Defender:

  Aceda ao portal do Microsoft Defender e, em E-mail & colaboração , selecione Políticas & regras>Política de alerta. Como alternativa, você pode ir diretamente para https://security.microsoft.com/alertpolicies.

  

Uma política de alerta consiste nas seguintes definições e condições.

• Atividade que o alerta está a controlar. Pode criar uma política para controlar uma atividade ou, em alguns casos, algumas atividades relacionadas, como partilhar um ficheiro com um utilizador externo ao partilhá-lo, atribuir permissões de acesso ou criar uma ligação anónima. Quando um usuário executa a atividade definida pela política, um alerta é disparado com base nas configurações de limite de alerta.

  Observação

  As atividades que pode controlar dependem do plano office 365 Enterprise ou Office 365 US Government da sua organização. Em geral, as atividades relacionadas com campanhas de software maligno e ataques de phishing requerem uma subscrição E5/G5 ou uma subscrição E1/F1/G1 ou E3/F3/G3 com uma subscrição de suplemento Defender para Office 365 Plano 2 .

• Condições de atividade. Para a maioria das atividades, pode definir condições adicionais que têm de ser cumpridas para acionar um alerta. As condições comuns incluem endereços IP (para que um alerta seja acionado quando o utilizador efetua a atividade num computador com um endereço IP específico ou dentro de um intervalo de endereços IP), se um alerta é acionado se um utilizador ou utilizador específico efetuar essa atividade e se a atividade é efetuada num nome de ficheiro ou URL específico. Também pode configurar uma condição que aciona um alerta quando a atividade é efetuada por qualquer utilizador na sua organização. As condições disponíveis dependem da atividade selecionada.

Também pode definir etiquetas de utilizador como condição de uma política de alerta. Esta definição resulta nos alertas acionados pela política para incluir o contexto do utilizador afetado. Pode utilizar etiquetas de utilizador do sistema ou etiquetas de utilizador personalizadas. Para obter mais informações, consulte Etiquetas de utilizador no Microsoft Defender para Office 365.

• Quando o alerta é acionado. Pode configurar uma definição que define a frequência com que uma atividade pode ocorrer antes de um alerta ser acionado. Isto permite-lhe configurar uma política para gerar um alerta sempre que uma atividade corresponde às condições da política, quando um determinado limiar é excedido ou quando a ocorrência da atividade que o alerta está a monitorizar torna-se invulgar para a sua organização.

  

  Se selecionar a definição com base numa atividade invulgar, a Microsoft estabelece um valor de linha de base que define a frequência normal da atividade selecionada. Demora até sete dias a estabelecer esta linha base, durante a qual os alertas não são gerados. Após a linha de base ser estabelecida, é acionado um alerta quando a frequência da atividade controlada pela política de alerta excede em grande parte o valor da linha de base. Para atividades relacionadas com auditoria (como atividades de ficheiros e pastas), pode estabelecer uma linha de base com base num único utilizador ou com base em todos os utilizadores na sua organização; para atividades relacionadas com software maligno, pode estabelecer uma linha de base com base numa única família de software maligno, num único destinatário ou em todas as mensagens na sua organização.

  Observação

  A capacidade de configurar políticas de alerta com base num limiar ou com base numa atividade invulgar requer uma subscrição E5/G5 ou uma subscrição E1/F1/G1 ou E3/F3/G3 com uma subscrição do Suplemento Microsoft Defender para Office 365 P2, Microsoft 365 E5 ou Microsoft 365 e Auditoria. As organizações com uma subscrição E1/F1/G1 e E3/F3/G3 só podem criar políticas de alerta onde é acionado um alerta sempre que ocorre uma atividade.

• Categoria de alerta. Para ajudar a controlar e gerir os alertas gerados por uma política, pode atribuir uma das seguintes categorias a uma política.

  • Prevenção contra perda de dados
  • Governança de informações
  • Fluxo de mensagens
  • Permissions
  • Gerenciamento de ameaças
  • Outros

  Quando ocorre uma atividade que corresponde às condições da política de alerta, o alerta gerado é marcado com a categoria definida nesta definição. Isto permite-lhe controlar e gerir alertas que têm a mesma definição de categoria na página Alertas no portal do Microsoft Purview porque pode ordenar e filtrar alertas com base na categoria.

• Gravidade do alerta. Semelhante à categoria de alerta, atribui um atributo de gravidade (Baixo, Médio, Alto ou Informativo) a políticas de alerta. Como a categoria de alerta, quando ocorre uma atividade que corresponde às condições da política de alerta, o alerta gerado é marcado com o mesmo nível de severidade definido para a política de alerta. Mais uma vez, isto permite-lhe controlar e gerir alertas com a mesma definição de gravidade na página Alertas . Por exemplo, pode filtrar a lista de alertas para que sejam apresentados apenas alertas com gravidade elevada .

  Dica

  Ao configurar uma política de alerta, considere atribuir uma maior gravidade a atividades que possam resultar em consequências severamente negativas, como a deteção de software maligno após a entrega aos utilizadores, a visualização de dados confidenciais ou classificados, a partilha de dados com utilizadores externos ou outras atividades que possam resultar em perda de dados ou ameaças de segurança. Isto pode ajudá-lo a priorizar alertas e as ações que toma para investigar e resolver as causas subjacentes.

• Investigações automatizadas. Alguns alertas acionam investigações automatizadas para identificar potenciais ameaças e riscos que precisam de remediação ou mitigação. Na maioria dos casos, estes alertas são acionados pela deteção de e-mails ou atividades maliciosas, mas em alguns casos os alertas são acionados por ações de administrador no portal de segurança. Para obter mais informações sobre investigações automatizadas, consulte Investigação e resposta automatizadas (AIR) no Microsoft Defender para Office 365.

• Notificações por e-mail. Pode configurar a política para que as notificações por e-mail sejam enviadas (ou não) para uma lista de utilizadores quando um alerta é acionado. Também pode definir um limite de notificação diário para que, assim que o número máximo de notificações seja atingido, não sejam enviadas mais notificações para o alerta durante esse dia. Além das notificações por e-mail, o utilizador ou outros administradores podem ver os alertas que são acionados por uma política na página Alertas . Considere ativar as notificações por e-mail para políticas de alerta de uma categoria específica ou que tenham uma definição de gravidade superior.

Políticas de alerta predefinidas

A Microsoft fornece políticas de alerta incorporadas que ajudam a identificar abuso de permissões de administrador do Exchange, atividade de software maligno, potenciais ameaças externas e internas e riscos de governação de informações. Na página Políticas de alerta , os nomes destas políticas incorporadas estão a negrito e o tipo de política é definido como Sistema. Estas políticas estão ativadas por predefinição. Pode desativar estas políticas (ou voltar a ativar), configurar uma lista de destinatários para onde enviar notificações por e-mail e definir um limite de notificação diário. As outras definições para estas políticas não podem ser editadas.

As tabelas seguintes listam e descrevem as políticas de alerta predefinidas disponíveis e a categoria a que cada política é atribuída. A categoria é utilizada para determinar que alertas um utilizador pode ver na página Alertas. Para obter mais informações, veja Permissões RBAC necessárias para ver alertas.

As tabelas também indicam o plano office 365 Enterprise e Office 365 US Government necessário para cada um. Algumas políticas de alerta predefinidas estão disponíveis se a sua organização tiver a subscrição de suplemento adequada para além de uma subscrição E1/F1/G1 ou E3/F3/G3.

Políticas de alerta de governação de informações

Políticas de alerta de fluxo de correio

Políticas de alerta de permissões

Políticas de alerta de gestão de ameaças

¹ Esta política de alerta faz parte da funcionalidade de substituição do Phish entregue devido à substituição do inquilino ou do utilizador e ao phish de representação do utilizador entregue às políticas de alerta de pasta/caixa de entrada que foram removidas com base nos comentários dos utilizadores. Para obter mais informações sobre anti-phishing no Office 365, consulte Políticas anti-phishing.

Exibir alertas

Quando uma atividade realizada por utilizadores na sua organização corresponde às definições de uma política de alerta, é gerado e apresentado um alerta na página Alertas no portal do Microsoft Purview ou no portal do Defender. Dependendo das definições de uma política de alerta, também é enviada uma notificação por e-mail para uma lista de utilizadores especificados quando um alerta é acionado. Para cada alerta, o dashboard na página Alertas apresenta o nome da política de alerta correspondente, a gravidade e categoria do alerta (definido na política de alerta) e o número de vezes que ocorreu uma atividade que resultou na geração do alerta. Este valor baseia-se na definição de limiar da política de alerta. O dashboard também mostra o estado de cada alerta. Para obter mais informações sobre como utilizar a propriedade status para gerir alertas, veja Gerir alertas.

Para ver alertas:

Portal de conformidade do Microsoft Purview

Aceda a https://compliance.microsoft.com e, em seguida, selecione Alertas. Como alternativa, você pode ir diretamente para https://compliance.microsoft.com/compliancealerts.

Portal do Microsoft Defender

Aceda a https://security.microsoft.com e, em seguida, selecione Incidentes & alertas>Alertas. Como alternativa, você pode ir diretamente para https://security.microsoft.com/alerts.

Pode utilizar os seguintes filtros para ver um subconjunto de todos os alertas na página Alertas :

• Estado: mostrar alertas aos quais é atribuído um estado específico. O estado predefinido é Ativo. O utilizador ou outros administradores podem alterar o valor de estado.
• Política: mostrar alertas que correspondem à definição de uma ou mais políticas de alerta. Em alternativa, pode apresentar todos os alertas para todas as políticas de alerta.
• Intervalo de tempo: mostrar alertas que foram gerados dentro de um intervalo de data e hora específico.
• Gravidade: mostrar alertas a que é atribuída uma gravidade específica.
• Categoria: mostrar alertas de uma ou mais categorias de alertas.
• Etiquetas: mostrar alertas de uma ou mais etiquetas de utilizador. As etiquetas são refletidas com base em caixas de correio ou utilizadores etiquetados que aparecem nos alertas. Consulte Etiquetas de utilizador no Defender para Office 365 para saber mais.
• Origem: utilize este filtro para mostrar alertas acionados por políticas de alerta no portal do Microsoft Purview ou alertas acionados pelas políticas do Microsoft Defender para Cloud Apps ou ambos. Para obter mais informações sobre os alertas do Defender para Cloud Apps, veja a secção Ver alertas do Defender para Cloud Apps neste artigo.

Agregação de alertas

Quando ocorrem vários eventos que correspondem às condições de uma política de alertas com um curto período de tempo, são adicionados a um alerta existente por um processo chamado agregação de alertas. Quando um evento aciona um alerta, o alerta é gerado e apresentado na página Alertas e é enviada uma notificação. Se o mesmo evento ocorrer dentro do intervalo de agregação, o Microsoft 365 adiciona detalhes sobre o novo evento ao alerta existente em vez de acionar um novo alerta. O objetivo da agregação de alertas é ajudar a reduzir a "fadiga" dos alertas e permitir que se concentre e tome medidas em menos alertas para o mesmo evento.

A duração do intervalo de agregação depende da sua subscrição do Office 365 ou do Microsoft 365.

Quando os eventos que correspondem à mesma política de alerta ocorrem dentro do intervalo de agregação, os detalhes sobre o evento subsequente são adicionados ao alerta original. Para todos os eventos, as informações sobre eventos agregados são apresentadas no campo de detalhes e o número de vezes que ocorreu um evento com o intervalo de agregação é apresentado no campo de contagem de resultados/atividade. Pode ver mais informações sobre todas as instâncias de eventos agregados ao ver a lista de atividades.

A captura de ecrã seguinte mostra um alerta com quatro eventos agregados. A lista de atividades contém informações sobre as quatro mensagens de e-mail relevantes para o alerta.

Tenha em atenção os seguintes aspetos sobre a agregação de alertas:

• Foram detetados alertas acionados pela política de alerta predefinidaA potencialmente maliciosa detetada. Este comportamento ocorre porque os alertas acionados por esta política são exclusivos para cada utilizador e mensagem de e-mail.

• Neste momento, a propriedade Detetar número de alertas não indica o número de eventos agregados para todas as políticas de alerta. Para alertas acionados por estas políticas de alerta, pode ver os eventos agregados ao clicar em Ver lista de mensagens ou Ver atividade no alerta. Estamos a trabalhar para disponibilizar o número de eventos agregados listados na propriedade Alerta de contagem de resultados para todas as políticas de alerta.

Permissões RBAC necessárias para ver alertas

As permissões de Controlo de Acesso Baseado em Funções (RBAC) atribuídas aos utilizadores na sua organização determinam os alertas que um utilizador pode ver na página Alertas . Como é que isto é conseguido? As funções de gestão atribuídas aos utilizadores (com base na respetiva associação a grupos de funções no portal de conformidade ou no portal do Microsoft Defender) determinam as categorias de alerta que um utilizador pode ver na página Alertas . Aqui estão alguns exemplos:

• Os membros do grupo de funções de Gerenciamento de Registros podem visualizar apenas os alertas que são gerados pelas políticas de alerta que são atribuídas à categoria de governança da informação.
• Os membros do grupo de função Administrador de Conformidade não podem visualizar alertas que são gerados por políticas de alerta que são atribuídas à categoria de Gerenciamento de Ameaças.
• Os membros do grupo de funções do Gerente de Descoberta Eletrônica não podem visualizar quaisquer alertas porque nenhuma das funções designadas fornece permissão para visualizar alertas de qualquer categoria de alerta.

Esta estrutura (com base em permissões RBAC) permite-lhe determinar que alertas podem ser visualizados (e geridos) por utilizadores em funções de trabalho específicas na sua organização.

A tabela seguinte lista as funções necessárias para ver alertas das seis categorias de alertas diferentes. Uma marca de verificação indica que um utilizador a quem foi atribuída essa função pode ver alertas da categoria de alerta correspondente listada na linha de título.

Para ver a que categoria é atribuída uma política de alerta predefinida, veja as tabelas em Políticas de alerta predefinidas.

$RoleGroups = Get-RoleGroup

$RoleGroups | foreach {Write-Output -InputObject `r`n,$_.Name,("-"*25); Get-RoleGroup $_.Identity | Select-Object -ExpandProperty Roles}

Gerenciar alertas

Depois de os alertas serem gerados e apresentados na página Alertas no portal do Microsoft Purview, pode fazer a triagem, investigar e resolvê-los. As mesmas permissões RBAC que dão aos utilizadores acesso a alertas também lhes dão a capacidade de gerir alertas.

Eis algumas tarefas que pode realizar para gerir alertas.

• Atribuir um estado a alertas: pode atribuir um dos seguintes estados a alertas: Ativo (o valor predefinido), Investigar, Resolvido ou Dispensado. Em seguida, pode filtrar nesta definição para apresentar alertas com a mesma definição de estado. Esta definição de estado pode ajudar a controlar o processo de gestão de alertas.

• Ver detalhes do alerta: pode selecionar um alerta para apresentar uma página de lista de opções com detalhes sobre o alerta. As informações detalhadas dependem da política de alerta correspondente, mas normalmente incluem as seguintes informações:

  • O nome da operação real que acionou o alerta, como um cmdlet ou uma operação de registo de auditoria.
  • Uma descrição da atividade que acionou o alerta.
  • O utilizador (ou lista de utilizadores) que acionou o alerta. Isto está incluído apenas para políticas de alerta configuradas para controlar um único utilizador ou uma única atividade.
  • O número de vezes que a atividade controlada pelo alerta foi efetuada. Este número pode não corresponder ao número real de alertas relacionados listados na página Alertas porque podem ter sido acionados mais alertas.
  • Uma ligação para uma lista de atividades que inclui um item para cada atividade realizada que acionou o alerta. Cada entrada nesta lista identifica quando ocorreu a atividade, o nome da operação real (como "FileDeleted"), o utilizador que efetuou a atividade, o objeto (como um ficheiro, um caso de Deteção de Dados Eletrónicos ou uma caixa de correio) em que a atividade foi realizada e o endereço IP do computador do utilizador. Para alertas relacionados com software maligno, isto liga a uma lista de mensagens.
  • O nome (e ligação) da política de alerta correspondente.

• Suprimir notificações por e-mail: pode desativar (ou suprimir) notificações por e-mail da página de lista de opções para um alerta. Quando suprime as notificações por e-mail, a Microsoft não envia notificações quando ocorrem atividades ou eventos que correspondam às condições da política de alerta. No entanto, os alertas serão acionados quando as atividades realizadas pelos utilizadores corresponderem às condições da política de alerta. Também pode desativar as notificações por e-mail ao editar a política de alertas.

• Resolver alertas: pode marcar um alerta como resolvido na página de lista de opções para um alerta (que define o estado do alerta como Resolvido). A menos que altere o filtro, os alertas resolvidos não são apresentados na página Alertas .

Ver alertas do Defender para Cloud Apps

Os alertas acionados pelas políticas do Defender para Cloud Apps são agora apresentados na página Alertas no portal do Microsoft Purview. Isto inclui alertas que são acionados por políticas de atividade e alertas que são acionados por políticas de deteção de anomalias no Defender para Cloud Apps. Isto significa que pode ver todos os alertas no portal do Microsoft Purview. O Defender para Cloud Apps só está disponível para organizações com uma subscrição do Office 365 Enterprise E5 ou office 365 US Government G5. Para obter mais informações, veja Descrição geral do Defender para Aplicações na Cloud.

As organizações que têm o Microsoft Defender para Cloud Apps como parte de uma subscrição do Enterprise Mobility + Security E5 ou como um serviço autónomo também podem ver alertas do Defender para Cloud Apps relacionados com aplicações e serviços do Microsoft 365 no portal de conformidade ou no portal do Microsoft Defender.

Para apresentar apenas alertas do Defender para Cloud Apps no portal do Microsoft Purview ou no portal do Defender, utilize o filtro Origem e selecione Defender para Aplicações na Cloud.

Semelhante a um alerta acionado por uma política de alerta no portal do Microsoft Purview, pode selecionar um alerta do Defender para Cloud Apps para apresentar uma página de lista de opções com detalhes sobre o alerta. O alerta inclui uma ligação para ver os detalhes e gerir o alerta no portal do Defender para Cloud Apps e uma ligação para a política do Defender para Cloud Apps correspondente que acionou o alerta. Veja Monitorizar alertas no Defender para Aplicações na Cloud.