Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Como analistas e investigadores de segurança, você deseja ser proativo na procura de ameaças à segurança, mas seus vários sistemas e dispositivos de segurança geram montanhas de dados que podem ser difíceis de analisar e filtrar em eventos significativos. O Microsoft Sentinel tem ferramentas avançadas de busca, pesquisa e consulta para buscar ameaças à segurança nas fontes de dados da sua organização. Para ajudar os analistas de segurança a procurar proativamente por novas anomalias que não são detectadas por seus aplicativos de segurança ou mesmo por suas regras de análise agendadas, as consultas de busca orientam você a fazer as perguntas certas para encontrar problemas nos dados que você já tem em sua rede.
Por exemplo, uma consulta pronta para uso fornece dados sobre os processos mais incomuns em execução em sua infraestrutura. Você não desejaria um alerta sempre que esses processos incomuns forem executados. Esses processos podem ser totalmente inocentes. Mas talvez você queira dar uma olhada na consulta uncommon-processes de vez em quando para ver se há algo incomum.
Importante
Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.
Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.
Observação
As transmissões ao vivo do Microsoft Sentinel não estarão mais disponíveis. Para automatizar consultas e notificações, use tarefas do KQL, regras analíticas ou playbooks. Essas alternativas oferecem resultados de consulta persistentes e suporte para várias plataformas de mensagens.
Caças no Microsoft Sentinel (versão prévia)
Com as buscas no Microsoft Sentinel, procure ameaças não detectadas e comportamentos mal-intencionados criando uma hipótese, pesquisando dados, validando essa hipótese e agindo quando necessário. Crie novas regras analíticas, inteligência contra ameaças e incidentes com base em suas descobertas.
| Recursos | Descrição |
|---|---|
| Definir uma hipótese | Para definir uma hipótese, inspire-se no mapa MITRE, nos resultados recentes da consulta de busca, nas soluções do hub de conteúdo ou gere suas próprias buscas personalizadas. |
| Investigar consultas e marcar resultados | Depois de definir uma hipótese, vá para a guia Consultas da página de busca. Selecione as consultas relacionadas à sua hipótese e Nova busca para começar. Execute consultas relacionadas à busca e investigue os resultados usando a experiência de logs. Marque os resultados diretamente em sua busca para anotar suas descobertas, extrair identificadores de entidade e preservar consultas relevantes. |
| Investigar e agir | Investigue mais a fundo por meio das páginas de entidades do UEBA. Execute guias estratégicos específicos da entidade em entidades com indicadores. Use ações internas para criar novas regras analíticas, indicadores de ameaças e incidentes com base em descobertas. |
| Acompanhar seus resultados | Registre os resultados de sua busca. Acompanhe se sua hipótese foi validada ou não. Deixe notas detalhadas nos comentários. O Hunts vincula automaticamente novas regras e incidentes analíticos. Acompanhe o impacto geral do seu programa de caça com a barra métrica. |
Para começar, consulte Realizar caça proativa a ameaças de ponta a ponta no Microsoft Sentinel.
Consultas de busca
No Microsoft Sentinel no Defender, selecione Gerenciamento de ameaças>Busca avançada e, em seguida, a guia Consultas para executar todas as consultas ou um subconjunto selecionado. A guia Consultas lista todas as consultas de busca instaladas com soluções de segurança do hub de Conteúdo e qualquer consulta extra que você criou ou modificou. Cada consulta fornece uma descrição do que é buscado e em que tipo de dados ela é executada. Todas as consultas de caça na aba Consultas são agrupadas pelas táticas MITRE ATT&CK. Os ícones na parte superior da guia Consultas categorizam o tipo de ameaça, como acesso inicial, persistência e exfiltração. As técnicas do MITRE ATT&CK são exibidas na coluna Técnicas e descrevem o comportamento específico identificado pela consulta de busca.
Use a guia de consultas para identificar onde iniciar a busca, observando a contagem, picos ou alteração na contagem de resultados em um período de 24 horas. Classificar e filtrar por favoritos, fonte de dados, tática ou técnica do MITRE ATT&CK, resultados, variação dos resultados ou percentual de variação dos resultados. Exiba as consultas que ainda precisam de fontes de dados conectadas e obtenha recomendações sobre como habilitar essas consultas.
A tabela a seguir descreve ações detalhadas disponíveis no dashboard de busca:
| Ação | Descrição |
|---|---|
| Veja como as consultas se aplicam ao seu ambiente | Selecione o botão Executar todas as consultas ou selecione um subconjunto de consultas usando as caixas de marcação à esquerda de cada linha e selecione o botão Executar consultas selecionadas. A execução de suas consultas pode levar de alguns segundos a muitos minutos, dependendo de quantas consultas são selecionadas, do intervalo de tempo e da quantidade de dados que estão sendo consultados. |
| Exibir as consultas que retornaram resultados | Depois que as consultas terminarem de ser executadas, exiba as consultas que retornaram resultados usando o filtro Resultados : - Classifique para ver quais consultas tiveram mais ou menos resultados. - Exiba as consultas que não estão ativas em seu ambiente selecionando N/A no filtro Resultados . - Passe o mouse sobre o ícone de informações (i) ao lado de N/A para ver quais fontes de dados são necessárias para tornar essa consulta ativa. |
| Identificar picos em seus dados | Identifique picos nos dados classificando ou filtrando por delta dos resultados ou porcentagem de delta dos resultados. As métricas delta de resultados e percentual de delta de resultados comparam os resultados das últimas 24 horas com os resultados das 24 a 48 horas anteriores, destacando grandes diferenças ou diferença relativa no volume. |
| Exibir consultas mapeadas para a tática MITRE ATT&CK | A barra de táticas MITRE ATT&CK, na parte superior da tabela, lista quantas consultas estão mapeadas para cada tática MITRE ATT&CK. A barra de táticas é atualizada dinamicamente com base no conjunto atual de filtros aplicados. Permite que você veja quais táticas MITRE ATT&CK aparecem quando você filtra por uma determinada contagem de resultados, um delta de resultado alto, resultados N/A ou qualquer outro conjunto de filtros. |
| Exibir consultas mapeadas para técnicas MITRE ATT&CK | As consultas também podem ser mapeadas às técnicas MITRE ATT&CK. Você pode filtrar ou classificar por técnicas MITRE ATT&CK usando o filtro Técnica . Ao abrir uma consulta, você pode selecionar a técnica para ver a descrição da técnica no MITRE ATT&CK. |
| Salvar uma consulta nos favoritos | As consultas salvas em seus favoritos são executadas automaticamente sempre que a página de busca é acessada. Você pode criar sua própria consulta de busca ou clonar e personalizar um modelo de consulta de caça existente. |
| Executar consultas | Selecione Executar Consulta na página de detalhes da consulta de busca para executar a consulta diretamente da página de busca. O número de correspondências é exibido na tabela, na coluna Resultados. Examine a lista de consultas de busca e suas correspondências. |
| Examinar uma consulta subjacente | Execute uma revisão rápida da consulta subjacente no painel de detalhes da consulta. Você pode ver os resultados clicando no link Exibir resultados da consulta (abaixo da janela de consulta) ou no botão Exibir resultados (na parte inferior do painel). A consulta abre a página Logs (Log Analytics) e, logo abaixo da consulta, você pode verificar os resultados da consulta. |
Use consultas antes, durante e após um comprometimento para executar as seguintes ações:
Antes que um incidente ocorra: aguardar detecções não é suficiente. Adote uma postura proativa executando consultas de busca de ameaças relacionadas aos dados que estão sendo ingeridos no seu espaço de trabalho pelo menos uma vez por semana.
Os resultados de sua busca proativa fornecem informações antecipadas sobre eventos que podem confirmar que um comprometimento está em andamento ou, pelo menos, mostrar áreas mais fracas em seu ambiente que estão em risco e precisam de atenção.
Durante o comprometimento: monitore ativamente os eventos para ajudar a determinar a próxima ação de um agente malicioso, envie notificações às pessoas certas e adote medidas para interromper um ataque em andamento.
- Use tarefas KQL para monitorar o comportamento do invasor e armazenar os resultados da consulta no data lake do Microsoft Sentinel.
- Analise os resultados persistentes com ferramentas como Security Copilot, Jupyter notebooks, Busca Avançada e consultas KQL.
- Envie notificações para equipes, email e outras plataformas de mensagens.
Após um comprometimento: após a ocorrência de um comprometimento ou incidente, certifique-se de melhorar sua cobertura e percepção para evitar incidentes semelhantes no futuro.
Modifique suas consultas atuais ou crie outras para ajudar na detecção antecipada, com base em insights obtidos do comprometimento ou do incidente.
Se você descobriu ou criou uma consulta de busca que fornece insights de alto valor sobre possíveis ataques, crie regras de detecção personalizadas com base nessa consulta e exiba esses insights como alertas para seus respondentes de incidentes de segurança.
Exiba os resultados da consulta e selecione Nova regra de alerta>Criar alerta do Microsoft Sentinel. Use o assistente de regra do Analytics para criar uma nova regra com base em sua consulta. Para obter mais informações, consulte Criar regras de análise personalizadas para detectar ameaças.
Exporte as descobertas e vincule-as a casos específicos para melhorar a colaboração do SOC.
Você também pode criar consultas de busca em dados armazenados no Azure Data Explorer. Para mais informações, veja Construir consultas entre recursos na documentação do Azure Monitor.
Para encontrar mais consultas e fontes de dados, acesse o Hub de conteúdo no Microsoft Sentinel ou consulte recursos da comunidade, como o repositório GitHub do Microsoft Sentinel.
Consultas de busca prontas para uso
Muitas soluções de segurança incluem consultas de busca prontas para uso. Depois de instalar uma solução que inclui consultas de busca do hub de conteúdo, as consultas prontas para essa solução são exibidas na guia Consultas de busca. As consultas são executadas em dados armazenados em tabelas de log, como para criação de processos, eventos DNS ou outros tipos de eventos.
Muitas consultas de busca disponíveis são desenvolvidas continuamente por pesquisadores de segurança da Microsoft. Elas adicionam novas consultas a soluções de segurança e ajustam as consultas existentes para fornecer um ponto de entrada para procurar novas detecções e ataques.
Consultas de busca personalizadas
Crie ou edite uma consulta e salve-a como sua própria consulta ou compartilhe-a com usuários que estão no mesmo locatário. No Microsoft Sentinel, crie uma consulta de busca personalizada na guiaConsultas de Busca>.
- Criar uma consulta de busca personalizada no portal do Defender
- Criar uma consulta de busca personalizada no portal do Azure
A imagem a seguir mostra a experiência de salvar consulta no portal do Defender.
Para obter mais informações, consulte Criar consultas de busca personalizadas no Microsoft Sentinel.
Marcadores para acompanhar os dados
A caça a ameaças normalmente requer a revisão de montanhas de dados de log em busca de evidências de comportamento mal-intencionado. Durante esse processo, os investigadores encontram eventos que desejam lembrar, revisitar e analisar como parte da validação de possíveis hipóteses e da compreensão da história completa de um compromisso.
Durante o processo de busca e investigação, você pode encontrar resultados de consulta que parecem incomuns ou suspeitos. Adicione estes itens aos favoritos para consultá-los posteriormente, por exemplo, ao criar ou enriquecer um incidente em investigação. Eventos como possíveis causas raiz, indicadores de comprometimento ou outros eventos notáveis devem ser sinalizados como um marcador. Se um evento chave que você anotou for grave o suficiente para justificar uma investigação, escalone o evento marcado para um incidente.
Observação
Os favoritos não estão disponíveis na Busca Avançada, que fornece uma experiência de consulta unificada nos dados do Microsoft Defender e do Microsoft Sentinel. No entanto, os favoritos ainda estão disponíveis no Microsoft Sentinel>Gerenciamento de ameaças>Busca, que fornece a experiência de busca específica do Microsoft Sentinel. Você também pode usar alternativas, como tags de incidente, consultas salvas ou tabelas personalizadas de busca avançada, para preservar e acompanhar o contexto da investigação.
Nos resultados, marque as caixas de seleção das linhas que você deseja preservar e selecione Adicionar marcador. Selecionar Adicionar indicador cria um indicador para cada linha marcada que contém os resultados da linha e a consulta que criou os resultados. Você pode adicionar suas próprias tags e notas a cada marcador.
- Assim como nas regras de análise agendadas, você pode enriquecer seus marcadores com mapeamentos de entidade para extrair vários tipos de entidade e identificadores, e com mapeamentos do MITRE ATT&CK para associar táticas e técnicas específicas.
- Os favoritos usam, por padrão, os mesmos mapeamentos de entidade e técnica do MITRE ATT&CK da consulta de busca que produziu os resultados favoritos.
Veja todos os resultados salvos clicando na guia Favoritos na página principal Hunting. Adicione marcas aos marcadores para classificá-los para filtragem. Por exemplo, se você estiver investigando uma campanha de ataque, poderá criar uma marca para a campanha, aplicar a marca a qualquer indicador relevante e filtrar todos os indicadores com base na campanha.
Investigue uma única descoberta marcada selecionando o indicador e clicando em Investigar no painel de detalhes para abrir a experiência de investigação. Visualize, investigue e comunique visualmente suas descobertas por meio de um diagrama interativo de grafo de entidades e uma linha do tempo. Você também pode selecionar diretamente uma entidade listada para exibir a página de entidade correspondente dessa entidade.
Você também pode criar um incidente a partir de um ou mais favoritos ou adicionar um ou mais favoritos a um incidente existente. Marque a caixa de seleção à esquerda dos favoritos que deseja usar e, em seguida, selecione Ações do incidente>Criar novo incidente ou Adicionar a um incidente existente. Faça uma triagem e investigue o incidente como qualquer outro.
Exiba seus dados marcados diretamente na tabela HuntingBookmark no workspace do Log Analytics. Por exemplo:
A visualização de favoritos na tabela permite filtrar, resumir e unir dados marcados como favoritos com outras fontes de dados, facilitando a busca por evidências que corroborem as informações.
Para começar a usar os indicadores, confira Manter o controle dos dados durante a busca com o Microsoft Sentinel.
Notebooks para impulsionar investigações
Quando suas buscas e investigações se tornarem mais complexas, use os blocos de anotações do Microsoft Sentinel para aprimorar sua atividade com aprendizado de máquina, visualizações e análise de dados.
Os notebooks fornecem uma espécie de sandbox virtual, completa com seu próprio kernel, onde você pode realizar uma investigação completa. Seu notebook pode incluir os dados brutos, o código executado nesses dados, os resultados e suas visualizações. Salve seus blocos de anotações para que você possa compartilhá-los com outras pessoas para reutilizar em sua organização.
Os notebooks podem ser úteis quando sua busca ou investigação fica grande demais para ser facilmente lembrada ou para visualizar detalhes, ou quando você precisa salvar consultas e resultados. Para ajudar você a criar e compartilhar blocos de anotações, o Microsoft Sentinel fornece o Jupyter Notebooks, um ambiente interativo de desenvolvimento e manipulação de dados, de software livre, integrado diretamente à página do Microsoft Sentinel Notebooks.
Para saber mais, confira:
- Usar o Jupyter Notebook para procurar ameaças à segurança
- A documentação do Projeto Jupyter
- Documentação introdutória do Jupyter.
- O livro Jupyter da Infosec
- Tutoriais reais de Python
A tabela a seguir descreve alguns métodos de uso de blocos de anotações Jupyter para ajudar seus processos no Microsoft Sentinel:
| Método | Descrição |
|---|---|
| Persistência de dados, repetibilidade e retrocesso | Se você estiver lidando com muitas consultas e conjuntos de resultados, provavelmente encontrará alguns becos sem saída. Você precisa decidir quais consultas e resultados manter e como acumular os resultados úteis em um único relatório. Use Jupyter Notebooks para salvar consultas e dados à medida que avança, use variáveis para executar novamente consultas com valores ou datas diferentes ou salve suas consultas para serem executadas novamente em investigações futuras. |
| Script e programação | Use o Jupyter Notebooks para adicionar programação às suas consultas, incluindo: - Linguagens declarativas como KQL (Linguagem de Consulta Kusto) ou SQL, para codificar sua lógica em uma única instrução, possivelmente complexa. - Linguagens de programação procedurais, usadas para executar a lógica em uma série de etapas. Divida sua lógica em etapas para ajudá-lo a ver e depurar resultados intermediários, adicionar funcionalidades que podem não estar disponíveis na linguagem de consulta e reutilizar resultados parciais em etapas de processamento posteriores. |
| Links para dados externos | Embora as tabelas do Microsoft Sentinel tenham a maioria dos dados de telemetria e eventos, os Jupyter Notebooks podem ser vinculados a qualquer dado acessível pela sua rede ou de um arquivo. O uso do Jupyter Notebooks permite incluir dados como: - Dados em serviços externos que você não possui, como dados de geolocalização ou fontes de inteligência contra ameaças - Dados confidenciais armazenados apenas em sua organização, como bancos de dados de recursos humanos ou listas de ativos de alto valor - Dados que você ainda não migrou para a nuvem. |
| Ferramentas especializadas de processamento de dados, aprendizado de máquina e visualização | O Jupyter Notebooks fornece mais visualizações, bibliotecas de machine learning e recursos de processamento e transformação de dados. Por exemplo, use Jupyter Notebooks com os seguintes recursos do Python : - Pandas para processamento, limpeza e engenharia de dados - Matplotlib, HoloViews e Plotly para visualização - NumPy e SciPy para processamento numérico e científico avançado - scikit-learn para aprendizado de máquina - TensorFlow, PyTorch e Keras para aprendizado profundo Dica: o Jupyter Notebooks é compatível com kernels de vários idiomas. Use mágicas para misturar idiomas dentro do mesmo notebook, permitindo a execução de células individuais usando outro idioma. Por exemplo, você pode recuperar dados usando uma célula de script do PowerShell, processar os dados em Python e usar JavaScript para renderizar uma visualização. |
Ferramentas de segurança MSTIC, Jupyter e Python
A MSTIC (Central de Inteligência contra Ameaças da Microsoft) é uma equipe de analistas e engenheiros de segurança da Microsoft que criam detecções de segurança para várias plataformas da Microsoft e trabalham na identificação e investigação de ameaças.
O MSTIC criou o MSTICPy, uma biblioteca para investigações de segurança da informação e busca em Jupyter Notebooks. O MSTICPy fornece recursos reutilizáveis que visam agilizar a criação de notebooks, além de facilitar para os usuários a leitura de notebooks no Microsoft Sentinel.
Por exemplo, o MSTICPy pode:
- Consulte dados de log de várias fontes.
- Enriqueça os dados com inteligência contra ameaças, geolocalização e dados de recursos do Azure.
- Extraia Indicadores de Atividade (IoA) a partir dos logs e descompacte dados codificados.
- Faça análises sofisticadas, como detecção de sessão anômala e decomposição de séries temporais.
- Visualize dados usando linhas do tempo interativas, árvores de processo e gráficos Morph multidimensionais.
O MSTICPy também inclui algumas ferramentas de notebook que economizam tempo, como widgets que definem limites de tempo de consulta, selecionam e exibem itens de listas e configuram o ambiente do notebook.
Para saber mais, confira:
- Documentação do MSTICPy
- Jupyter notebooks com recursos de busca do Microsoft Sentinel
- Configurações avançadas para notebooks Jupyter e MSTICPy no Microsoft Sentinel
Operadores e funções úteis
As consultas de busca são criadas na Linguagem de Consulta Kusto (KQL), uma linguagem de consulta avançada com linguagem IntelliSense que oferece o poder e a flexibilidade necessários para levar a caça para o próximo nível.
KQL é a mesma linguagem usada pelas consultas em suas regras de análise e em outros locais no Microsoft Sentinel. Para obter mais informações, consulte Referência de linguagem de consulta.
Os operadores a seguir são especialmente úteis nas consultas de busca do Microsoft Sentinel:
where – Filtra uma tabela para o subconjunto de linhas que satisfazem um predicado.
resumir - Produza uma tabela que agregue o conteúdo da tabela de entrada.
join - Mescle as linhas de duas tabelas para formar uma nova tabela combinando os valores das colunas especificadas de cada tabela.
count - Retorna o número de registros no conjunto de registros de entrada.
top - Retorna os primeiros N registros classificados pelas colunas especificadas.
limit - Retorna até o número especificado de linhas.
project - Selecione as colunas a serem incluídas, renomeie ou descarte e insira novas colunas computadas.
extend - Crie colunas calculadas e anexe-as ao conjunto de resultados.
makeset - Retorna uma matriz dinâmica (JSON) do conjunto de valores distintos que Expr assume no grupo
localizar - Localizar linhas que correspondam a um predicado em um conjunto de tabelas.
adx() – essa função executa consultas entre recursos de fontes de dados Azure Data Explorer da experiência de busca do Microsoft Sentinel e do Log Analytics. Para obter mais informações, consulte Consulta entre recursos Azure Data Explorer usando o Azure Monitor.
Conteúdo relacionado
Para obter mais informações sobre a busca de ameaças em Microsoft Sentinel, consulte os seguintes artigos: