Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
As diretrizes de práticas recomendadas são fornecidas em toda a documentação técnica do Microsoft Sentinel. Este artigo destaca algumas orientações importantes a serem usadas ao implantar, gerenciar e usar o Microsoft Sentinel.
Importante
Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.
Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.
Para começar a usar o Microsoft Sentinel, confira o guia de implantação, que aborda as etapas de alto nível para planejar, implantar e ajustar sua implantação do Microsoft Sentinel. Nesse guia, selecione os links fornecidos para encontrar orientações detalhadas para cada estágio da implantação.
Adote uma arquitetura de plataforma única
O Microsoft Sentinel é integrado a um data lake moderno que oferece armazenamento acessível e de longo prazo, permitindo que as equipes simplifiquem o gerenciamento de dados, otimizem custos e acelerem a adoção da IA. O data lake do Microsoft Sentinel permite uma arquitetura de plataforma única para dados de segurança e capacita os analistas com uma experiência de consulta unificada, ao mesmo tempo em que aproveita o avançado ecossistema de conectores do Microsoft Sentinel. Para obter mais informações, consulte Data lake do Microsoft Sentinel.
Integre o Microsoft Sentinel ao portal do Microsoft Defender e integre-o ao Microsoft Defender XDR
Considere a integração do Microsoft Sentinel ao portal do Microsoft Defender para unificar recursos com o Microsoft Defender XDR, como gerenciamento de incidentes e busca avançada.
Se você não integrar o Microsoft Sentinel ao portal do Microsoft Defender, observe que:
- Até julho de 2026, todos os clientes do Microsoft Sentinel que usam o portal do Azure serão redirecionados para o portal do Defender.
- Até lá, você pode usar o conector de dados do Defender XDR para integrar os dados de serviço do Microsoft Defender com o Microsoft Sentinel no portal do Azure.
A ilustração a seguir mostra como a solução XDR da Microsoft se integra perfeitamente ao Microsoft Sentinel.
Para saber mais, confira os seguintes artigos:
- Integração do Microsoft Defender XDR com o Microsoft Sentinel
- Conectar o Microsoft Sentinel ao Microsoft Defender XDR
- Microsoft Sentinel no portal do Microsoft Defender
Integrar os serviços de segurança da Microsoft
O Microsoft Sentinel é capacitado pelos componentes que enviam dados para seu espaço de trabalho e é fortalecido por meio de integrações com outros serviços Microsoft. Quaisquer logs ingeridos em produtos, como Microsoft Defender para Nuvem Apps, Microsoft Defender para Ponto de Extremidade e Microsoft Defender para Identidade, permitem que esses serviços criem detecções e, por sua vez, forneçam essas detecções ao Microsoft Sentinel. Os logs também podem ser ingeridos diretamente no Microsoft Sentinel para fornecer uma imagem mais completa de eventos e incidentes.
Além de ingerir alertas e logs de outras fontes, o Microsoft Sentinel também oferece:
| Capacidade | Descrição |
|---|---|
| Detecção de ameaças | Recursos de detecção de ameaças com inteligência artificial, permitindo que você crie e apresente visualizações interativas por meio de workbooks, execute playbooks para agir automaticamente com base em alertas, integre modelos de aprendizado de máquina para aprimorar suas operações de segurança e ingira e obtenha feeds de enriquecimento de plataformas de inteligência contra ameaças. |
| Investigação de ameaças | Recursos de investigação de ameaças que permitem visualizar e explorar alertas e entidades, detectar anomalias no comportamento do usuário e da entidade e monitorar eventos em tempo real durante uma investigação. |
| Conjunto de dados | Colete dados de todos os usuários, dispositivos, aplicativos e infraestrutura, tanto no local quanto em várias nuvens. |
| Resposta a ameaças | Recursos de resposta a ameaças, como guias estratégicos que se integram aos serviços do Azure e às ferramentas existentes. |
| Integrações de parceiros | Integra-se a plataformas de parceiros usando conectores de dados do Microsoft Sentinel, fornecendo serviços essenciais para equipes SOC. |
Criar soluções de integração personalizadas (parceiros)
Para parceiros que desejam criar soluções personalizadas que se integram ao Microsoft Sentinel, consulte Criar e publicar Microsoft Sentinel soluções SIEM.
Planejar o processo de gerenciamento e resposta a incidentes
A imagem a seguir mostra as etapas recomendadas em um processo de gerenciamento e resposta a incidentes.
A tabela a seguir fornece tarefas de resposta e gerenciamento de incidentes de alto nível e práticas recomendadas relacionadas. Para obter mais informações, consulte Investigação de incidentes do Microsoft Sentinel no portal do Azure ou Incidentes e alertas no portal do Microsoft Defender.
| Tarefa | Prática recomendada |
|---|---|
| Página de revisão de incidentes | Analise um incidente na página Incidentes, que lista o título, a gravidade e os alertas, registros e quaisquer entidades de interesse relacionados. Você também pode ir dos incidentes para os logs coletados e para quaisquer ferramentas relacionadas ao incidente. |
| Usar grafo de incidente | Analise o grafo de incidentes de um incidente para ver toda a extensão de um ataque. Em seguida, você pode construir uma linha do tempo dos eventos e descobrir a extensão de uma cadeia de ameaças. |
| Examinar incidentes em busca de falsos positivos | Use os dados sobre entidades-chave, como contas, URLs, endereços IP, nomes de host, atividades e cronologia para determinar se você tem um falso positivo em mãos, caso em que pode fechar o incidente diretamente. Se você descobrir que o incidente é um verdadeiro positivo, tome medidas diretamente da página Incidentes para investigar logs, entidades e explorar a cadeia de ataque. Depois de identificar a ameaça e criar um plano de ação, use outras ferramentas no Microsoft Sentinel e em outros serviços de segurança da Microsoft para continuar investigando. |
| Visualizar informações | Dê uma olhada no dashboard de visão geral do Microsoft Sentinel para ter uma ideia da postura de segurança da sua organização. Para obter mais informações, consulte Visualizar dados coletados. Além das informações e tendências na página de visão geral do Microsoft Sentinel, as pastas de trabalho são ferramentas de investigação valiosas. Por exemplo, use a pasta de trabalho Insights de Investigação para investigar incidentes específicos junto com quaisquer entidades e alertas associados. Esta pasta de trabalho permite que você se aprofunde nas entidades, mostrando logs, ações e alertas relacionados. |
| Procurar ameaças | Ao investigar e buscar as causas básicas, execute consultas integradas de busca proativa de ameaças e verifique os resultados em busca de quaisquer indicadores de comprometimento. Para obter mais informações, consulte Caça a ameaças no Microsoft Sentinel. |
| Comportamento da entidade | O comportamento das entidades no Microsoft Sentinel permite que os usuários examinem e investiguem ações e alertas para entidades específicas, como investigar contas e nomes de host. Para saber mais, confira: - Habilitar a Análise do Comportamento de Usuários e Entidades (UEBA) no Microsoft Sentinel - Investigar incidentes com dados da UEBA - Referência de enriquecimentos UEBA do Microsoft Sentinel |
| Listas de Observação | Use uma lista de observação que combine dados ingeridos com dados de fontes externas, como dados de enriquecimento. Por exemplo, crie listas de intervalos de endereços IP usados por sua organização ou por funcionários demitidos recentemente. Use watchlists com guias estratégicos para reunir dados de enriquecimento, como adicionar endereços IP mal-intencionados a watchlists para uso durante a detecção, busca de ameaças e investigações. Durante um incidente, use listas de observação para conter dados de investigação e, em seguida, exclua-as quando a investigação for concluída para garantir que os dados confidenciais não permaneçam à vista. Para obter mais informações, consulte Listas de observação no Microsoft Sentinel. |
Otimizar a coleta e a ingestão de dados
Analise as práticas recomendadas de coleta de dados do Microsoft Sentinel, que incluem priorizar conectores de dados, filtrar logs e otimizar a ingestão de dados.
Torne suas consultas de Linguagem de Consulta Kusto mais rápidas
Revise as práticas recomendadas da Linguagem de Consulta Kusto para tornar as consultas mais rápidas.