Realizar busca proativa de ameaças de ponta a ponta no Microsoft Sentinel

A busca proativa de ameaças é um processo em que os analistas de segurança procuram ameaças não detectadas e comportamentos maliciosos. Ao criar uma hipótese, pesquisar dados e validar essa hipótese, eles determinam sobre o que agir. As ações podem incluir a criação de novas detecções, nova inteligência de ameaças ou a criação de um novo incidente.

Use a experiência de busca de ponta a ponta no Microsoft Sentinel para:

• Buscar proativamente com base em técnicas específicas do MITRE, atividades potencialmente maliciosas, ameaças recentes ou sua própria hipótese personalizada.
• Use consultas de busca geradas por pesquisadores de segurança ou consultas de busca personalizadas para investigar comportamentos mal-intencionados.
• Realize suas buscas usando várias abas de consultas persistentes que permitem preservar o contexto ao longo do tempo.
• Colete evidências, investigue fontes UEBA e anote suas descobertas usando marcadores específicos de busca.
• Colabore e documente suas descobertas com comentários.
• Aja com base nos resultados criando novas regras analíticas, novos incidentes, novos indicadores de ameaça e executando guias estratégicos.
• Acompanhe suas caçadas novas, ativas e fechadas em um só lugar.
• Exiba métricas com base em hipóteses validadas e resultados tangíveis.

Pré-requisitos

Para usar a funcionalidade de busca, você precisa ter atribuída uma função interna do Microsoft Sentinel ou uma função personalizada do RBAC do Azure. Suas opções são:

• Atribua a atribuição de função de Colaborador do Microsoft Sentinel interna.
  Para saber mais sobre as funções no Microsoft Sentinel, confira Funções e permissões no Microsoft Sentinel.

• Atribua uma função RBAC personalizada do Azure com as permissões apropriadas em Microsoft.SecurityInsights/hunts.

Para obter mais informações, consulte Funções e permissões na plataforma do Microsoft Sentinel.

Defina sua hipótese

Definir uma hipótese é um processo aberto e flexível e pode incluir qualquer ideia que você queira validar. As hipóteses comuns incluem:

• Comportamento suspeito - Investigue atividades potencialmente maliciosas visíveis em seu ambiente para determinar se um ataque está ocorrendo.
• Nova campanha de ameaças - Procure tipos de atividades maliciosas com base em agentes, técnicas ou vulnerabilidades de ameaças recém-descobertos. Isso pode ser algo que você ouviu em um artigo de notícias de segurança.
• Lacunas de detecção - Aumente sua cobertura de detecção usando o mapa MITRE ATT&CK para identificar lacunas.

O Microsoft Sentinel oferece flexibilidade à medida que você se concentra no conjunto certo de consultas de busca para investigar sua hipótese. Ao criar uma caçada, inicie-a com consultas de caça pré-selecionadas ou adicione consultas à medida que avança. Aqui estão as recomendações para consultas pré-selecionadas com base nessas hipóteses comuns: comportamento suspeito, novas campanhas de ameaças e lacunas de detecção.

Hipótese - Comportamento suspeito

1. Para o Microsoft Sentinel no portal do Azure, em Gerenciamento de ameaças, selecione Busca.
   No Microsoft Sentinel no portal do Defender, selecione Microsoft Sentinel>Gerenciamento de ameaças>Caça.

2. Selecione a guia Consultas . Para identificar comportamentos potencialmente mal-intencionados, execute todas as consultas.

3. Selecione Executar todas as consultas> , aguarde a execução das consultas. Executar todas as consultas pode levar um tempo.

4. Selecione Adicionar filtro>Resultados> desmarque as caixas de seleção Valores "!", "N/A", "-" e "0" >Aplicar

5. Ordene os resultados filtrados da consulta pela coluna Delta de Resultados para ver o que mudou mais recentemente. Os resultados filtrados da consulta fornecem orientações iniciais sobre a busca.

Hipótese - Nova campanha de ameaças

A central de conteúdo oferece soluções baseadas em campanhas de ameaças e em domínios para investigar ataques específicos. Nas etapas a seguir, você instala uma campanha de ameaças ou uma solução baseada em domínio.

1. Vá para o Hub de Conteúdo.

2. Instale uma campanha de ameaças ou uma solução baseada em domínio, como o Log4J Vulnerability Detection ou o Apache Tomcat.

   

3. Depois que a solução selecionada estiver instalada, no Microsoft Sentinel, vá para Caça.

4. Selecione a guia Consultas .

5. Pesquise pelo nome da solução ou filtrando pelo Nome da Origem da solução.

6. Selecione a consulta e Executar consulta.

Hipótese - Lacunas de detecção

O mapa MITRE ATT&CK ajuda a identificar lacunas específicas em sua cobertura de detecção. Use consultas de busca predefinidas para técnicas específicas de MITRE ATT&CK como ponto de partida para desenvolver uma nova lógica de detecção.

1. Navegue até a página MITRE ATT&CK (versão prévia ).

2. Desmarque itens no menu suspenso Ativo.

3. Selecione Consultas de busca no filtro Simulado para ver quais técnicas têm consultas de busca associadas a elas.

   

4. Selecione o card com a técnica desejada.

5. Selecione o link Exibir ao lado de Consultas de busca na parte inferior do painel de detalhes. O link Visualizar abre uma visão filtrada da aba Consultas na página Hunting para a técnica selecionada.

   

6. Selecione todas as consultas para essa técnica.

Criar uma Busca

Existem duas maneiras principais de criar uma caçada.

1. Se você começou com uma hipótese em que selecionou consultas, clique no menu suspenso Ações de busca e, em seguida, em >Criar busca. Todas as consultas selecionadas são clonadas para essa nova busca.

   

2. Se você ainda não decidiu sobre consultas, selecione a guia Buscas (versão prévia)>Nova Busca para criar uma busca em branco.

   

3. Preencha o nome da caça e os campos opcionais. A descrição é um bom lugar para verbalizar sua hipótese. O menu suspenso Hipótese é onde você define o status da sua hipótese de trabalho.

4. Selecione Criar para começar.

   

Ver detalhes da busca

Após criar uma busca, abra a página de detalhes para revisar consultas, favoritos e entidades.

1. Selecione a guia Hunts (Preview) para ver sua nova busca.

2. Selecione o link de busca pelo nome para exibir os detalhes e executar ações.

   

3. Exiba o painel de detalhes com o nome da Busca, a Descrição, o Conteúdo, a Hora da última atualização e a Hora de criação.

4. Observe as guias para Consultas, Indicadores e Entidades.

   

Guia Consultas

A guia Consultas contém consultas de busca específicas para essa busca. Essas consultas são clones das originais, independentes de todas as outras no espaço de trabalho. Atualize-os ou exclua-os sem afetar seu conjunto geral de consultas de busca ou consultas em outras buscas.

Adicionar uma consulta à busca

Para adicionar consultas de busca existentes à busca atual, conclua as etapas a seguir.

1. Selecionar ações de consulta>adicionar consultas para buscar
2. Selecione as consultas que você deseja adicionar.

Executar consultas

Execute as consultas da sua investigação para gerar e revisar os resultados atuais.

1. Selecione Executar todas as consultas ou escolha consultas específicas e selecione Executar consultas selecionadas.
2. Selecione Cancelar para cancelar a execução da consulta a qualquer momento.

Gerenciar consultas

Você pode gerenciar consultas de busca individuais no menu de contexto na guia Consultas .

1. Clique com o botão direito do mouse em uma consulta e selecione uma das seguintes opções no menu de contexto:

   • Run
   • Edit
   • Clone
   • Delete
   • Criar regra analítica

   

   As opções do menu de contexto funcionam exatamente como as opções na tabela de consultas existentes na página Hunting, exceto que as ações se aplicam apenas a esta investigação. Quando você escolhe criar uma regra analítica, o nome, a descrição e a consulta KQL são pré-preenchidos ao criar a nova regra. Um link é criado para exibir a nova regra analítica encontrada em Regras analíticas relacionadas.

   

Exibir resultados

O recurso Exibir resultados permite que você veja os resultados da consulta de busca na experiência de pesquisa Log Analytics. A partir daqui, analise seus resultados, refine suas consultas e adicione um favorito para registrar informações e investigar mais a fundo os resultados de linhas individuais.

1. Selecione o botão Exibir resultados .
2. Se você girar para outra parte do portal do Microsoft Sentinel, navegue de volta para a experiência de pesquisa de logs de LA na página de busca, todas as guias de consulta de LA permanecerão.
3. Essas guias de consulta LA serão perdidas se você fechar a guia do navegador. Se você quiser persistir as consultas a longo prazo, precisará salvar a consulta, criar uma nova consulta de busca ou adicionar um comentário para uso posterior dentro da busca.

Adicionar aos favoritos

Quando você encontrar resultados interessantes ou linhas importantes de dados, adicione esses resultados à busca criando um marcador. Para obter mais informações, consulte Usar marcadores de caça para investigações de dados.

1. Selecione a linha ou as linhas desejadas.

2. Acima da tabela de resultados, selecione Adicionar marcador.

3. Dê um nome ao favorito.

4. Defina a coluna de hora do evento.

5. Mapeie identificadores de entidade.

6. Defina as táticas e técnicas da MITRE.

7. Adicione tags e notas.

   Os indicadores preservam os resultados específicos da linha, a consulta KQL e o intervalo de tempo que gerou o resultado.

8. Selecione Criar para adicionar o indicador à busca.

Exibir favoritos

Use a aba Favoritos para revisar as descobertas salvas e realizar ações de acompanhamento.

1. Navegue até a aba de favoritos da Hunt para visualizar seus favoritos.

   

2. Selecione o favorito desejado e execute as seguintes ações:

   • Selecione links de entidades para visualizar a página da entidade UEBA correspondente.
   • Exiba resultados brutos, marcas e anotações.
   • Selecione Exibir consulta de origem para ver a consulta de origem no Log Analytics.
   • Selecione Ver logs do marcador para ver o conteúdo do marcador na tabela de marcadores de hunting do Log Analytics.
   • Selecione o botão Investigar para exibir o favorito e as entidades relacionadas no gráfico de investigação.
   • Selecione o botão Editar para atualizar as tags, táticas e técnicas MITRE e notas.

Interagir com entidades

Use a guia Entidades para investigar as entidades coletadas a partir dos favoritos durante a busca.

1. Navegue até a guia Entidades da sua caçada para visualizar, pesquisar e filtrar as entidades contidas em sua caçada. Esta lista é gerada com base na lista de entidades nos favoritos. A guia Entidades resolve automaticamente entradas duplicadas.

2. Selecione os nomes das entidades para visitar a página correspondente de Análise de Comportamento de Usuários e Entidades (UEBA).

3. Clique com o botão direito na entidade para tomar ações apropriadas aos tipos de entidade, como adicionar um endereço IP à Threat Intelligence (TI) ou executar um playbook específico do tipo de entidade.

   

Adicionar comentários

Os comentários são um excelente lugar para colaborar com colegas, preservar anotações e documentar descobertas.

1. Selecione

2. Digite e formate seu comentário na caixa de edição.

3. Adicione um resultado de consulta como um link para que os colaboradores entendam rapidamente o contexto.

4. Selecione o botão Comentário para aplicar seus comentários.

   

Criar incidentes

Há duas opções para a criação de incidentes durante a caça.

Opção 1: Usar marcadores

1. Selecione um ou mais favoritos.

2. Selecione o botão Ações do incidente.

3. Selecione Criar novo incidente ou Adicionar a um incidente existente

   

   • Para Criar novo incidente, siga as etapas guiadas. A aba Favoritos vem preenchida previamente com os seus favoritos selecionados.
   • Para Adicionar a um incidente existente, selecione o incidente e selecione o botão Aceitar .

Opção 2: Use as Ações de busca

1. Selecione o menu >Ações de busca Criar incidente e siga as etapas guiadas.

   

2. Durante a etapa Adicionar indicadores, use a ação Adicionar indicador para escolher indicadores na busca para adicionar ao incidente. Você está limitado a marcadores que não estão atribuídos a um incidente.

3. Depois que o incidente for criado, ele será vinculado à lista de incidentes relacionados para essa busca.

Atualizar o status

À medida que sua investigação progride, atualize os status da hipótese e da caça para refletir o estado atual.

1. Quando você capturou evidências suficientes para validar ou invalidar sua hipótese, atualize seu estado de hipótese.

   

2. Quando todas as ações associadas à busca forem concluídas, como criar regras de análise, incidentes ou adicionar indicadores de comprometimento (IOCs) à TI, feche a busca.

   

O estado da hipótese e o status de caça são visíveis na página principal de Caça e contribuem para as métricas de caça mostradas na guia Caças.

Monitorar métricas

Use a barra de métricas na parte superior da guia Buscas para monitorar resultados tangíveis da atividade de busca. As métricas mostram o número de hipóteses validadas, novos incidentes criados e novas regras analíticas criadas. Use as métricas de caça para estabelecer metas ou celebrar marcos do seu programa de caça.

Conteúdo relacionado

• Caçar ameaças com o Microsoft Sentinel
• Entender os recursos de investigação de incidentes e gerenciamento de casos do Microsoft Sentinel
• Navegar e investigar incidentes