Solução Microsoft Sentinel para Microsoft Power Platform: referência de conteúdo de segurança

  • Artigo

Este artigo detalha o conteúdo de segurança disponível para a solução Microsoft Sentinel para Power Platform. Para obter mais informações sobre essa solução, consulte Visão geral da solução Microsoft Sentinel para Microsoft Power Platform.

Importante

  • A solução Microsoft Sentinel para Power Platform está atualmente em pré-visualização. Os Termos Suplementares do Azure Preview incluem termos legais adicionais que se aplicam a funcionalidades do Azure que estão em versão beta, pré-visualização ou ainda não disponibilizadas para disponibilidade geral.
  • A solução é uma oferta premium. As informações de preços estarão disponíveis antes que a solução se torne disponível ao público.
  • Forneça feedback sobre esta solução preenchendo esta pesquisa: https://aka.ms/SentinelPowerPlatformSolutionSurvey.

Regras de análise incorporadas

As regras analíticas a seguir são incluídas quando você instala a solução para Power Platform. As fontes de dados listadas incluem o nome do conector de dados e a tabela no Log Analytics. Para evitar a falta de dados nas fontes de inventário, recomendamos que você não altere o período de retrospetiva padrão definido nos modelos de regra analítica.

Nome da regra Description Ação de origem Táticas
PowerApps - Atividade de aplicativos de geo não autorizada Identifica a atividade do Power Apps de países em uma lista predefinida de países não autorizados.

Obtenha a lista de códigos de país ISO 3166-1 alpha-2 da ISO Online Browsing Platform (OBP).

Essa deteção usa logs ingeridos do Microsoft Entra ID e requer que você também habilite o conector de dados do Microsoft Entra ID.		 Execute uma atividade no Power App a partir de um país que esteja na lista de códigos de país não autorizados.

Fontes de dados:
- Power Platform Inventory (usando o Azure Functions)
InventoryApps
InventoryEnvironments
- Atividade de administração da Microsoft Power Platform (visualização)
PowerPlatformAdminActivity
- ID do Microsoft Entra
SigninLogs
 Acesso inicial
PowerApps - Vários aplicativos excluídos Identifica a atividade de exclusão em massa em que vários Power Apps são excluídos, correspondendo a um limite predefinido de total de aplicativos excluídos ou eventos excluídos de aplicativos em vários ambientes da Power Platform. Elimine muitas Power Apps do centro de administração da Power Platform.

Origens de Dados:
- Power Platform Inventory (usando o Azure Functions)
InventoryApps
InventoryEnvironments
- Atividade de administração da Microsoft Power Platform (visualização)
PowerPlatformAdminActivity		 Impacto
PowerApps - Destruição de dados após a publicação de um novo aplicativo Identifica uma cadeia de eventos quando um novo aplicativo é criado ou publicado e é seguido dentro de 1 hora por eventos de atualização ou exclusão em massa no Dataverse. Se o editor do aplicativo estiver na lista de usuários no modelo de lista de observação TerminatedEmployees , a gravidade do incidente será aumentada. Exclua vários registros no Power Apps dentro de 1 hora após o Power App ser criado ou publicado.

Origens de Dados:
- Power Platform Inventory (usando o Azure Functions)
InventoryApps
InventoryEnvironments
- Atividade de administração da Microsoft Power Platform (visualização)
PowerPlatformAdminActivity
- Microsoft Dataverse (Pré-visualização)
DataverseActivity		 Impacto
PowerApps - Vários usuários acessando um link mal-intencionado após iniciar um novo aplicativo Identifica uma cadeia de eventos quando um novo Power App é criado e é seguido por estes eventos:
- Vários usuários iniciam o aplicativo dentro da janela de deteção.
- Vários utilizadores abrem o mesmo URL malicioso.

Essa deteção correlaciona os logs de execução do Power Apps com eventos de clique em URL mal-intencionados de uma das seguintes fontes:
- O conector de dados Microsoft 365 Defender ou
- Indicadores maliciosos de comprometimento de URL (IOC) no Microsoft Sentinel Threat Intelligence com o analisador de normalização de sessão web Advanced Security Information Model (ASIM).

Obtenha o número distinto de usuários que iniciam ou clicam no link mal-intencionado criando uma consulta.		 Vários usuários iniciam um novo PowerApp e abrem uma URL maliciosa conhecida do aplicativo.

Origens de Dados:
- Power Platform Inventory (usando o Azure Functions)
InventoryApps
InventoryEnvironments
- Atividade de administração da Microsoft Power Platform (visualização)
PowerPlatformAdminActivity
- Inteligência de ameaças
ThreatIntelligenceIndicator
- Microsoft Defender XDR
UrlClickEvents
 Acesso inicial
PowerAutomate - Atividade de fluxo de funcionários que sai Identifica instâncias em que um funcionário que foi notificado ou já foi demitido e está na lista de observação Funcionários Demitidos, cria ou modifica um fluxo de Power Automatic. O usuário definido na lista de observação Funcionários demitidos cria ou atualiza um fluxo do Power Automatic.

Origens de Dados:
Microsoft Power Automate (Pré-visualização)
PowerAutomateActivity
- Power Platform Inventory (usando o Azure Functions)
InventoryFlows
InventoryEnvironments
Lista de observação de funcionários demitidos		 Exfiltração, impacto
PowerPlatform - Conector adicionado a um ambiente sensível Identifica a criação de novos conectores de API dentro da Power Platform, visando especificamente uma lista predefinida de ambientes sensíveis. Adicione um novo conector Power Platform em um ambiente confidencial Power Platform.

Origens de Dados:
- Atividade de administração da Microsoft Power Platform (visualização)
PowerPlatformAdminActivity
- Power Platform Inventory (usando o Azure Functions)
InventoryApps
InventoryEnvironments
InventoryAppsConnections
 Execução, Exfiltração
PowerPlatform - Política de DLP atualizada ou removida Identifica alterações na política de prevenção de perda de dados, especificamente políticas que são atualizadas ou removidas. Atualize ou remova uma política de prevenção de perda de dados da Power Platform no ambiente da Power Platform.

Origens de Dados:
Atividade de administração da Microsoft Power Platform (Pré-visualização)
PowerPlatformAdminActivity		 Evasão de Defesa
Dataverse - Exfiltração do usuário convidado após comprometimento da defesa da Power Platform Identifica uma cadeia de eventos que começa com a desativação do isolamento do locatário da Power Platform e a remoção do grupo de segurança de acesso de um ambiente. Esses eventos estão correlacionados com alertas de exfiltração do Dataverse associados ao ambiente afetado e aos usuários convidados do Microsoft Entra criados recentemente.

Ative outras regras de análise do Dataverse com a tática MITRE 'Exfiltração' antes de ativar esta regra.		 Como um usuário convidado criado recentemente, acione alertas de exfiltração do Dataverse depois que os controles de segurança da Power Platform forem desativados.

Origens de Dados:
- PowerPlatformAdmin
PowerPlatformAdminActivity

- Dataverse
DataverseActivity
- Power Platform Inventory (usando o Azure Functions)
InventoryEnvironments
 Evasão de Defesa
Dataverse - Exportação em massa de registros para o Excel Identifica usuários que exportam uma grande quantidade de registros do Dynamics 365 para o Excel. A quantidade de registros exportados é significativamente maior do que qualquer outra atividade recente desse usuário. Grandes exportações de usuários sem atividade recente são identificadas usando um limite predefinido. Exporte muitos registros do Dataverse para o Excel.

Origens de Dados:
- Dataverse
DataverseActivity
- Power Platform Inventory (usando o Azure Functions)
InventoryEnvironments
 Exfiltração
Dataverse - Recuperação em massa do usuário fora da atividade normal Identifica usuários recuperando significativamente mais registros do Dataverse do que nas últimas 2 semanas. O usuário recupera muitos registros do Dataverse

Origens de Dados:
- Dataverse
DataverseActivity
- Power Platform Inventory (usando o Azure Functions)
InventoryEnvironments
 Exfiltração
Power Apps - Compartilhamento em massa de Power Apps para usuários convidados recém-criados Identifica o compartilhamento em massa incomum de Power Apps para usuários convidados recém-criados do Microsoft Entra. O compartilhamento em massa incomum é baseado em um limite predefinido na consulta. Partilhe uma aplicação com vários utilizadores externos.

Origens de Dados:
- Atividade de administração da Microsoft Power Platform (visualização)
PowerPlatformAdminActivity
- Power Platform Inventory (usando o Azure Functions)
InventoryApps
InventoryEnvironments
- ID do Microsoft Entra
AuditLogs		 Desenvolvimento de Recursos,
Acesso inicial,
Movimento Lateral
Power Automate - Exclusão em massa incomum de recursos de fluxo Identifica a exclusão em massa de fluxos do Power Automate que excedem um limite predefinido definido na consulta e se desviam dos padrões de atividade observados nos últimos 14 dias. Exclusão em massa de fluxos do Power Automatic.

Origens de Dados:
- PowerAutomate
PowerAutomateActivity
 Impacto,
Evasão de Defesa
Power Platform - Acessos de usuários possivelmente comprometidos aos serviços da Power Platform Identifica contas de usuário sinalizadas em risco no Microsoft Entra Identity Protection e correlaciona esses usuários com a atividade de entrada no Power Platform, incluindo Power Apps, Power Automate e Power Platform Admin Center. O utilizador com sinais de risco acede aos portais da Power Platform.

Origens de Dados:
- ID do Microsoft Entra
SigninLogs		 Acesso Inicial, Movimento Lateral

Analisadores integrados

A solução inclui analisadores que são usados para acessar dados das tabelas de dados brutos. Os analisadores garantem que os dados corretos sejam retornados com um esquema consistente. Recomendamos que você use os analisadores em vez de consultar diretamente as tabelas de inventário e as listas de observação. Os analisadores relacionados ao inventário da Power Platform retornam dados dos últimos 7 dias.

Analisador Dados retornados Tabela consultada
InventoryApps Inventário de aplicativos de energia PowerApps_CL
InventoryAppsConnections Conexões do Power Apps Inventárioconexões PowerAppsConnections_CL
InventoryEnvironments Inventário de ambientes de plataforma de energia PowerPlatrformEnvironments_CL
InventoryFlows Automatize os fluxos de energia Inventário PowerAutomateFlows_CL
MSBizAppsTerminatedEmployees Lista de observação de funcionários demitidos (do modelo de lista de observação) TerminatedEmployees
GetPowerAppsEventDetails Retorna detalhes de eventos analisados para Power Apps / Connections PowerPlatformAdminActivity

Para obter mais informações sobre regras analíticas, consulte Detetar ameaças prontas para uso.