Transição do ambiente do Microsoft Sentinel para o portal do Defender

O Microsoft Sentinel está disponível no portal do Microsoft Defender com o Microsoft Defender XDR ou sozinho. Ele oferece uma experiência unificada em SIEM e XDR para detecção e resposta a ameaças mais rápidas e precisas, fluxos de trabalho mais simples e melhor eficiência operacional.

Este artigo explica como fazer a transição de sua experiência com o Microsoft Sentinel do portal do portal do Azure para o portal do Defender. Se você usar o Microsoft Sentinel no portal do Azure, faça a transição para o Microsoft Defender para operações de segurança unificadas e os recursos mais recentes. Antes de começar, revise os Pré-requisitos para a transição para a seção do portal Defender para acesso necessário e passos preparatórios. Para mais informações, veja Microsoft Sentinel no portal Microsoft Defender ou assista à nossa playlist de vídeos Microsoft Sentinel no portal Defender.

Observação

A transição para o portal Defender, mesmo para clientes que não são da E5, não tem custo extra. O cliente continua a ser cobrado normalmente pelo seu consumo apenas no Sentinel.

Pré-requisitos

Antes de começar, observe:

Planejar e configurar seu ambiente de transição

Público-alvo: Arquitetos de segurança

Vídeos:

Consulte as diretrizes de planejamento, conclua os pré-requisitos e faça a integração

Examine todas as diretrizes de planejamento e conclua todos os pré-requisitos antes de integrar seu espaço de trabalho ao portal do Defender. Para saber mais, confira os seguintes artigos:

Examinar as diferenças para armazenamento de dados e privacidade

Quando você usa o portal do Azure, as políticas do Microsoft Sentinel para armazenamento, processo, retenção e compartilhamento de dados se aplicam. Quando você usa o portal do Defender, as políticas do Microsoft Defender XDR são aplicadas, mesmo quando você trabalha com dados do Microsoft Sentinel.

A tabela a seguir fornece detalhes e links adicionais para que você possa comparar experiências nos portais do Azure e do Defender.

Área de apoio portal do Azure Portal do Defender
BCDR (continuidade dos negócios e recuperação de desastre) Os clientes são responsáveis por replicar seus dados Microsoft Defender usa automação para BCDR nos planos de controle.
Armazenamento e processamento de dados - Local de armazenamento de dados
- Regiões com suporte		 Local de armazenamento de dados
Retenção de dados Retenção de dados Retenção de dados
Compartilhamento de dados Compartilhamento de dados Compartilhamento de dados

Para obter mais informações sobre políticas de privacidade e armazenamento de dados, consulte disponibilidade geográfica e residência de dados em Microsoft Sentinel e segurança e retenção de dados em Microsoft Defender XDR.

Integração ao portal do Defender com chaves gerenciadas pelo cliente (CMK)

Importante

A criptografia CMK não tem suporte total para dados armazenados no data lake do Microsoft Sentinel. Todos os dados ingeridos no data lake, como tabelas personalizadas ou dados transformados, são criptografados usando chaves gerenciadas pela Microsoft.

Se você habilitou a CMK antes da integração, ao integrar seu espaço de trabalho habilitado para o Microsoft Sentinel ao portal do Defender, todos os dados de log em seu espaço de trabalho continuam a ser criptografados com CMK, incluindo dados ingeridos anteriormente e recém-ingeridos.

As regras de análise e outros conteúdos do Sentinel, como regras de automação, também continuam criptografados por CMK. No entanto, alertas e incidentes não serão mais criptografados por CMK após a integração.

Para obter mais informações sobre a CMK, confira Configurar a chave gerenciada pelo cliente do Microsoft Sentinel.

Configurar o gerenciamento de vários espaços de trabalho e multilocatário

O Defender suporta um ou mais espaços de trabalho em múltiplos locatários por meio do portal multitenant Microsoft Defender, que serve como um local central para gerenciar incidentes e alertas, buscar ameaças entre os inquilinos e permite que os Parceiros de Serviços de Segurança Gerenciados (MSSPs) vejam entre os clientes.

Em cenários com vários espaços de trabalho, o portal multilocatário permite conectar um espaço de trabalho principal e vários espaços de trabalho secundários por locatário. Integre cada espaço de trabalho ao portal do Defender separadamente para cada locatário, assim como a integração para um único locatário.

Para obter mais informações sobre a configuração multitenant e de múltiplos espaços de trabalho, consulte:

Definir e examinar suas configurações e conteúdo

Público-alvo: Engenheiros de segurança

Vídeo: Gerenciando conectores no Microsoft Defender

Confirmar e configurar a coleta de dados

Quando o Microsoft Sentinel é integrado ao Microsoft Defender, a arquitetura fundamental da coleta de dados e do fluxo de telemetria permanece intacta. Conectores de dados não Microsoft existentes continuam operando sem interrupção. No entanto, a ingestão de alertas para produtos de segurança da Microsoft muda após a integração ao portal do Defender com o Microsoft Defender XDR. Os alertas dos produtos de segurança da Microsoft são encaminhados pelo conector do Microsoft Defender XDR, em vez de pelos conectores autônomos de alerta dos produtos de segurança da Microsoft.

Em ambientes com vários espaços de trabalho, o conector do Microsoft Defender XDR se conecta apenas ao espaço de trabalho principal. Para evitar alertas duplicados baseados em locatário entre workspaces, os conectores de dados independentes para Microsoft Defender para Office 365, Microsoft Entra ID Protection, Microsoft Defender para Aplicativos de Nuvem, Microsoft Defender para Ponto de Extremidade e Microsoft Defender para Identidade são desconectados automaticamente em workspaces secundários durante a integração. Como resultado, os alertas baseados no locatário provenientes desses produtos de segurança da Microsoft estão disponíveis apenas no workspace principal.

De uma perspectiva Log Analytics, a integração do Microsoft Sentinel ao Microsoft Defender não altera a forma como Microsoft Sentinel armazena dados de log no Log Analytics. Apesar da unificação do front-end, o back-end do Microsoft Sentinel permanece totalmente integrado ao Log Analytics para armazenamento, pesquisa e correlação de dados.

Os alertas relacionados a produtos Defender são transmitidos diretamente do conector Microsoft Defender para garantir a consistência. Verifique se você tem incidentes e alertas desse conector ativados em seu espaço de trabalho. Depois que você tiver esse conector de dados configurado em seu workspace, a integração do workspace do Microsoft Defender também desconectará o conector do Microsoft Defender.

Observação

Essa alteração no roteamento do conector resulta em diferenças de esquema para alguns alertas. Para ver uma comparação detalhada, consulte Alerta sobre diferenças de esquema: conector autônomo versus conector do Microsoft Defender XDR.

Para migrar as configurações de criação de incidentes de regras de análise e de agrupamento de alertas, consulte Migrar regras de criação de incidentes e configurações de agrupamento de alertas do Microsoft Sentinel para o Defender XDR.

Para obter mais informações, consulte Conectar dados de Microsoft Defender a Microsoft Sentinel.

Integrar com o Microsoft Defender para Nuvem

Examine as seguintes ações específicas do conector para evitar eventos duplicados ao integrar Microsoft Defender para Nuvem ao portal Defender:

  • Se você estiver usando o conector de dados baseado em locatário para Defender para Nuvem, tome medidas para evitar eventos e alertas duplicados.
  • Se você estiver usando, em vez disso, o conector herdado, baseado em assinatura, os alertas do MDC ainda poderão ser encaminhados para o seu workspace principal do Microsoft Sentinel usando o conector de dados do Microsoft Defender XDR.

Para obter mais informações, consulte Alertas e incidentes no Microsoft Defender.

Visibilidade do conector de dados no portal do Defender

Depois de integrar seu espaço de trabalho ao Defender, os seguintes conectores de dados são usados para operações de segurança unificadas e não são mostrados na página Conectores de dados no portal do Defender:

  • Microsoft Defender para Aplicativos de Nuvem
  • Microsoft Defender para Endpoint
  • Microsoft Defender para Identidade
  • Microsoft Defender para Office 365 (visualização)
  • Microsoft Defender XDR
  • Microsoft Defender para Nuvem baseado em assinatura (Herdado)
  • Microsoft Defender para Nuvem baseado em locatário (versão prévia)

Esses conectores de dados continuam listados no Microsoft Sentinel no portal do Azure.

Configure seu ecossistema

Embora o Gerenciador de Espaço de Trabalho do Microsoft Sentinel não esteja disponível no portal do Defender, use um dos seguintes recursos alternativos para distribuir conteúdo como código entre espaços de trabalho:

Caso contrário, continue a implantar pacotes de soluções que incluem vários tipos de conteúdo de segurança do Hub de conteúdo no portal do Defender. Para obter mais informações, consulte Descobrir e gerenciar conteúdo pronto para uso do Microsoft Sentinel.

Configurar regras analíticas

As regras de análise do Microsoft Sentinel estão disponíveis no portal Defender para detecção, configuração e gerenciamento. Para mais informações, veja a configuração do Microsoft Sentinel no portal Defender. A funcionalidade das regras de análise permanece a mesma, incluindo criação, atualização e gerenciamento por meio do assistente, repositórios e da API Microsoft Sentinel. Correlação de incidentes e detecção de ataques em múltiplos estágios também continuam funcionando no portal Defender. A funcionalidade de correlação de alerta gerenciada pela regra do Fusion Analytics no portal do Azure é tratada pelo mecanismo do Defender XDR no portal do Defender, que consolida todos os sinais em um só lugar.

Ao migrar para o portal do Defender, é importante observar as seguintes alterações:

Recurso Descrição
Regras de detecção personalizadas Se você tiver casos de uso de detecção que envolvem dados do Defender XDR e do Microsoft Sentinel, em que não é necessário reter dados do Defender XDR por mais de 30 dias, recomendamos a criação de regras de detecção personalizadas que consultam dados do Microsoft Sentinel e do Tabelas do Defender XDR.

A criação de regras de detecção personalizadas que consultam ambas as fontes é suportada sem a necessidade de ingerir dados do Defender XDR no Microsoft Sentinel. Para obter mais informações, consulte Usar funções personalizadas do Microsoft Sentinel na busca avançada no Microsoft Defender.
Promoção de alerta (versão preliminar) Alertas de terceiros compatíveis são automaticamente promovidos a alertas do Microsoft Defender XDR. Revise as regras de análise existentes para possíveis duplicados. Para fontes suportadas, requisitos e orientações de ajuste de alertas, veja Promoção de alertas.
Correlação de alerta No portal do Defender, as correlações são aplicadas automaticamente a alertas contra dados do Microsoft Defender e dados de terceiros ingeridos do Microsoft Sentinel, independentemente dos cenários de alerta.

Os critérios usados para correlacionar alertas em um único incidente fazem parte da lógica de correlação interna proprietária do portal do Defender. Para obter mais informações, consulte Correlação de alerta e mesclagem de incidentes no portal do Defender.
Agrupamento de alertas e mesclagem de incidentes Embora você ainda veja a configuração de agrupamento de alertas nas regras do Analytics, o mecanismo de correlação do Defender XDR controla totalmente o agrupamento de alertas e a mesclagem de incidentes quando necessário no portal do Defender. Isso garante uma visão abrangente da história completa do ataque, costurando alertas relevantes para ataques em múltiplas etapas.

Por exemplo, várias regras de análise individuais configuradas para gerar um incidente para cada alerta podem resultar em incidentes mesclados se corresponderem à lógica de correlação do Defender XDR.
Visibilidade do alerta Se você tiver regras de análise do Microsoft Sentinel configuradas para disparar apenas alertas (consulte Configurar as configurações de criação de incidentes), com a criação de incidentes desativada, esses alertas não ficam visíveis no portal do Defender.
Ajuste de alerta Depois que seu espaço de trabalho do Microsoft Sentinel é integrado ao Defender, todos os incidentes, incluindo aqueles de suas regras de análise do Microsoft Sentinel, são gerados pelo mecanismo do Defender XDR. Como resultado, os recursos de ajuste de alerta no portal do Defender, anteriormente disponíveis apenas para alertas do Defender XDR, agora podem ser aplicados aos alertas do Microsoft Sentinel.

O ajuste de alertas permite que você otimize a resposta a incidentes automatizando a resolução de alertas comuns, reduzindo falsos positivos e minimizando o ruído, para que os analistas possam priorizar incidentes de segurança significativos.
Fusion: Detecção avançada de ataques multiestágio No portal Azure, a regra de análise Fusion cria incidentes com base em correlações de alertas feitas pelo motor de correlação Fusion. Essa regra é desativada quando você integra o Microsoft Sentinel no portal do Defender.

Você não perde a funcionalidade de correlação de alerta porque o portal Defender usa as funcionalidades de criação e correlação de incidentes do Microsoft Defender XDR para substituir as do mecanismo Fusion.

Para obter mais informações, confira Detecção avançada de ataques em vários estágios no Microsoft Sentinel

Configurar regras de automação e guias estratégicos

No Microsoft Sentinel, os guias estratégicos são baseados em fluxos de trabalho criados nos Aplicativos Lógicos do Azure, um serviço de nuvem que ajuda você a agendar, automatizar e orquestrar tarefas e fluxos de trabalho entre sistemas em toda a empresa.

As limitações a seguir se aplicam às regras de automação e aos guias estratégicos do Microsoft Sentinel ao trabalhar no portal do Defender. Talvez seja necessário fazer algumas alterações no ambiente ao fazer a transição.

Funcionalidade Descrição
Regras de automação com gatilhos de alerta No portal do Defender, as regras de automação com gatilhos de alerta atuam somente em alertas do Microsoft Sentinel. Para também automatizar as respostas aos alertas do Defender XDR, use o Gatilho de Alerta Aprimorado.

Para obter mais informações, consulte Criar gatilho de alerta.
Regras de automação com gatilhos de incidente No portal do Azure e no portal do Defender, a propriedade de condição do provedor de incidentes é removida, pois todos os incidentes têm o Microsoft XDR como o provedor de incidentes (o valor no campo ProviderName).

Nesse ponto, todas as regras de automação existentes são executadas em incidentes do Microsoft Sentinel e do Microsoft Defender XDR, incluindo aqueles em que a condição do provedor de incidentes é definida apenas como Microsoft Sentinel ou Microsoft 365 Defender.

No entanto, as regras de automação que especificam um nome de regra de análise específico são executadas somente em incidentes que contêm alertas criados pela regra de análise especificada. Isso significa que você pode definir a propriedade de condição Nome da regra de análise como uma regra de análise que existe apenas no Microsoft Sentinel para limitar sua regra a ser executada em incidentes somente no Microsoft Sentinel.

Além disso, após a integração no portal do Defender, a tabela SecurityIncident não inclui mais um campo Description . Portanto:

- Se você estiver usando esse campo Descrição como condição para uma regra de automação com um gatilho de criação de incidente, essa regra de automação não funcionará após a integração no portal do Defender. Nesses casos, certifique-se de atualizar a configuração adequadamente. Para obter mais informações, consulte Condições de acionamento do incidente.
- Se você tiver uma integração configurada com um sistema de tíquetes externo, como o ServiceNow, a descrição do incidente estará ausente.
Latência nos gatilhos do guia estratégico Pode levar até cinco minutos para que os incidentes do Microsoft Defender apareçam no Microsoft Sentinel. Se esse atraso estiver presente, o acionamento do guia estratégico também será atrasado.
Janela de processamento em lote da automação Se múltiplas alterações forem feitas no mesmo incidente em 5 a 10 minutos, uma única atualização é enviada para o Microsoft Sentinel, com apenas a mudança mais recente. Atualizações intermediárias são perdidas, o que pode afetar fluxos de trabalho que dependem do processamento de alterações sequenciais de estado de incidente.

Para obter mais informações, consulte Gatilho de atualização do incidente.
Alterações em nomes de incidentes existentes O portal do Defender usa um mecanismo exclusivo para correlacionar incidentes e alertas. Ao integrar seu espaço de trabalho ao portal do Defender, os nomes de incidentes existentes poderão ser alterados se a correlação for aplicada. Para garantir que suas regras de automação sempre sejam executadas corretamente, recomendamos que você evite usar títulos de incidentes como critérios de condição em suas regras de automação e sugira usar o nome de qualquer regra de análise que criou alertas incluídos no incidente e marcas se mais especificidade for necessária.
Atualizado por campo Após integrar o workspace, o campo Atualizado por passa a ter um novo conjunto de valores compatíveis, que não inclui mais o Microsoft 365 Defender. Nas regras de automação existentes, o Microsoft 365 Defender é substituído por um valor de Outros depois de integrar seu workspace.
Criação de regras de automação diretamente a partir de um incidente A criação de regras de automação diretamente de um incidente tem suporte apenas no portal do Azure. Se você estiver trabalhando no portal do Defender, crie suas regras de automação do zero na página Automação .
Regras de criação de incidentes da Microsoft Não há suporte para as regras de criação de incidentes da Microsoft no portal do Defender.

Para obter mais informações, consulte Incidentes do Microsoft Defender XDR e regras de criação de incidentes da Microsoft.
Executando regras de automação no portal do Defender Pode levar até 10 minutos a partir do momento em que um alerta é disparado e um incidente é criado ou atualizado no portal do Defender até quando uma regra de automação é executada. Esse intervalo de tempo ocorre porque o incidente é criado no portal do Defender e, em seguida, encaminhado ao Microsoft Sentinel para a regra de automação.
Aba de playbooks ativos Após a integração ao portal do Defender, por padrão, a guia Playbooks ativos mostra um filtro predefinido com a assinatura do espaço de trabalho integrado. No portal do Azure, adicione dados para outras assinaturas usando o filtro de assinatura.

Para obter mais informações, confira Criar e personalizar guias estratégicos do Microsoft Sentinel a partir de modelos.
Executando guias estratégicos manualmente sob demanda Atualmente, não há suporte para os seguintes procedimentos no portal do Defender:
- Execute um playbook manualmente com um alerta
- Execute manualmente um playbook em uma entidade
A execução de playbooks em incidentes requer a sincronização com o Microsoft Sentinel Se você tentar rodar um playbook sobre um incidente pelo portal Defender e vir a mensagem "Não é possível acessar dados relacionados a esta ação. Atualize a tela em alguns minutos.", isso significa que o incidente ainda não está sincronizado com o Microsoft Sentinel.

Atualize a página do incidente depois que o incidente for sincronizado para executar o guia estratégico com êxito.
Incidentes: Adicionando alertas a incidentes /
Removendo alertas de incidentes		 Como não há suporte para adicionar ou remover alertas de incidentes após integrar seu workspace ao portal do Defender, essas ações também não têm suporte nos playbooks.

Para obter mais informações, consulte Entenda como os alertas são correlacionados e os incidentes são mesclados no portal do Defender.
Integração do Microsoft Defender XDR em vários workspaces Se você integrou dados XDR com mais de um workspace em um único locatário, os dados agora serão ingeridos apenas no workspace primário no portal do Defender. Transfira as regras de automação para o espaço de trabalho correspondente para que continuem funcionando.
Automação e o mecanismo de correlação O mecanismo de correlação pode combinar alertas de vários sinais em um único incidente, o que pode resultar no recebimento de dados pela automação que você não previu. É recomendável revisar suas regras de automação para garantir que você veja os resultados esperados.

Configurar APIs

A experiência unificada no portal do Defender introduz alterações notáveis em incidentes e alertas de APIs. Ele dá suporte a chamadas de API com base na API REST v1.0 do Microsoft Graph, que pode ser usada para automação relacionada a alertas, incidentes, busca avançada e muito mais.

A API do Microsoft Sentinel continua a dar suporte a ações contra recursos do Microsoft Sentinel, como regras de análise, regras de automação e muito mais. Para interagir com incidentes e alertas unificados, recomendamos que você use a API REST do Microsoft Graph. Se você estiver usando a API do Microsoft Sentinel SecurityInsights para interagir com incidentes do Microsoft Sentinel, talvez seja necessário atualizar suas condições de automação e critérios de acionamento devido a alterações no corpo da resposta.

A tabela a seguir lista campos importantes nos snippets de resposta e os compara nos portais do Azure e do Defender:

Funcionalidade portal do Azure Portal do Defender
Vincular ao incidente incidentUrl: A URL direta para o incidente no portal do Microsoft Sentinel providerIncidentUrl: esse campo adicional fornece um link direto para o incidente, que pode ser usado para sincronizar essas informações com um sistema de tíquetes de terceiros, como o ServiceNow.

incidentUrlainda está disponível, mas aponta para o portal do Microsoft Sentinel.
As fontes que dispararam a detecção e publicaram o alerta alertProductNames alertProductNames: Requer adição ?$expand=alerts ao GET.

Por exemplo, https://graph.microsoft.com/v1.0/security/incidents/368?$expand=alerts
O nome do provedor de alertas providerName= "Azure Sentinel" providerName = "Microsoft XDR"
O serviço ou produto que criou o alerta Não existe no portal do Azure serviceSource

Por exemplo, "microsoftDefenderForCloudApps"
A tecnologia de detecção ou sensor que identificou o componente ou atividade notável Não existe no portal do Azure detectionSource

Por exemplo, "cloudAppSecurity"
Nome do produto que publicou este alerta Não existe no portal do Azure productName

Por exemplo, "Microsoft Defender para Aplicativos de Nuvem"

Executar operações no portal do Defender

Público-alvo: analistas de segurança

Vídeos:

Atualizar os processos de triagem de incidentes para o portal do Defender

Se você usou o Microsoft Sentinel no portal do Azure, notará melhorias significativas na experiência do usuário no portal do Defender. Embora você precise atualizar os processos do SOC e treinar novamente seus analistas, o design consolida todas as informações relevantes em um único lugar para fornecer fluxos de trabalho mais simplificados e eficientes.

A fila de incidentes unificada no portal do Defender consolida todos os incidentes entre produtos em uma única exibição, afetando a forma como os analistas fazem a triagem de incidentes que agora contêm vários alertas de domínio de segurança cruzada. Por exemplo:

  • Tradicionalmente, os analistas fazem a triagem de incidentes com base em domínios de segurança específicos ou em áreas de especialização, geralmente tratando chamados por entidade, como usuário ou host. Essa abordagem pode criar pontos cegos, que a experiência unificada visa resolver.
  • Quando um invasor se move lateralmente, alertas relacionados podem acabar em incidentes separados devido a diferentes domínios de segurança. A experiência unificada elimina esse problema, fornecendo uma visão abrangente, garantindo que todos os alertas relacionados sejam correlacionados e gerenciados de forma coesa.

Os analistas também podem exibir fontes de detecção e nomes de produtos no portal do Defender e aplicar e compartilhar filtros para uma triagem mais eficiente de incidentes e alertas.

O processo de triagem unificado pode ajudar a reduzir as cargas de trabalho dos analistas e até mesmo combinar potencialmente as funções dos analistas de nível 1 e nível 2. No entanto, o processo de triagem unificada também pode exigir um conhecimento mais amplo e profundo do analista. Recomendamos treinamento na nova interface do portal para garantir uma transição suave.

O portal Defender também fornece recursos de investigação que não estão disponíveis no portal Azure, incluindo a história de ataque e o grafo de incidentes para visualizar o escopo completo de um ataque e a análise de raio de explosão para ajudar os analistas a visualizar possíveis caminhos de propagação, avaliar o impacto nos negócios e priorizar ações de contenção.

Para obter mais informações, consulte Incidentes e alertas no portal do Microsoft Defender.

Entenda como os alertas estão correlacionados e os incidentes são mesclados no portal do Defender

O mecanismo de correlação do Defender mescla incidentes quando reconhece elementos comuns entre alertas em incidentes separados. Quando um novo alerta atende aos critérios de correlação, o Microsoft Defender o agrega e correlaciona com outros alertas relacionados de todas as fontes de detecção em um novo incidente. Depois de integrar o Microsoft Sentinel ao portal do Defender, a fila de incidentes unificada revela um ataque mais abrangente, tornando os analistas mais eficientes e fornecendo uma história de ataque completa.

Em cenários de vários workspaces, somente os alertas de um workspace principal são correlacionados com os dados do Microsoft Defender XDR. Também há cenários específicos em que os incidentes não são mesclados.

Após a integração do Microsoft Sentinel ao portal do Defender, as seguintes alterações se aplicam a incidentes e alertas:

Recurso Descrição
Atraso logo após a integração do seu workspace Pode levar até cinco minutos para que os incidentes do Microsoft Defender se integrem totalmente ao Microsoft Sentinel. Isso não afeta os recursos fornecidos diretamente pelo Microsoft Defender, como a interrupção automática de ataques.
Regras de criação de incidentes de segurança Todas as regras ativas de criação de incidentes de segurança da Microsoft são desativadas para evitar a criação de incidentes duplicados. As configurações de criação de incidentes em outros tipos de regras de análise permanecem como estão e são configuráveis no portal do Defender.
Nome do provedor de incidente No portal do Defender, o nome do provedor de incidente é sempre Microsoft XDR.
Adicionar/remover alertas de incidentes Há suporte para adicionar ou remover alertas do Microsoft Sentinel de ou para incidentes apenas no portal do Defender. Para remover um alerta de um incidente no portal do Defender, você deve adicionar o alerta a outro incidente.
Editando comentários Adicione comentários a incidentes no Defender ou no portal do Azure, mas não há suporte para a edição de comentários existentes no portal do Defender. As edições feitas em comentários no portal do Azure não são sincronizadas com o portal do Defender.
Criação programática e manual de incidentes Os incidentes criados no Microsoft Sentinel por meio da API, por um playbook do Logic Apps ou manualmente no portal do Azure não são sincronizados para o portal do Defender. Esses incidentes ainda têm suporte no portal do Azure e na API. Veja Crie seus próprios incidentes manualmente no Microsoft Sentinel.
Reabertura de incidentes fechados No portal do Defender, você não pode definir o agrupamento de alertas nas regras de análise do Microsoft Sentinel para reabrir incidentes fechados se novos alertas forem adicionados.
Incidentes fechados não são reabertos nesse caso, e novos alertas geram novos incidentes.

Para obter mais informações, consulte Incidentes e alertas no portal do Microsoft Defender e Correlação de alertas e mesclagem de incidentes no portal do Microsoft Defender.

Observe as alterações para investigações com a busca avançada

Depois de integrar o Microsoft Sentinel ao portal do Defender, acesse e use todas as suas tabelas de log existentes, consultas KQL (Linguagem de Consulta Kusto) e funções na página Busca avançada. Todos os alertas do Microsoft Sentinel que estão vinculados a incidentes são incluídos na tabela AlertInfo, que pode ser acessada pela página Caça Avançada.

Os favoritos não estão disponíveis na Busca Avançada, que fornece uma experiência de consulta unificada nos dados do Microsoft Defender e do Microsoft Sentinel. No entanto, os favoritos ainda estão disponíveis no Microsoft Sentinel>Gerenciamento de ameaças>Busca, que fornece a experiência de busca específica do Microsoft Sentinel. Você também pode usar alternativas, como tags de incidente, consultas salvas ou tabelas personalizadas de busca avançada, para preservar e acompanhar o contexto da investigação.

Para obter mais informações, consulte A busca avançada com dados Microsoft Sentinel em Microsoft Defender, especialmente a lista de problemas conhecidos para busca avançada com dados Microsoft Sentinel e manter o controle de dados durante a busca com Microsoft Sentinel.

Investigar com entidades no portal do Defender

No portal do Microsoft Defender, as entidades geralmente são ativos, como contas, hosts ou caixas de correio, ou evidências, como endereços IP, arquivos ou URLs.

Depois de integrar o Microsoft Sentinel ao portal do Defender, as páginas de entidades para entidades de usuário, entidades de dispositivo e endereços IP são consolidadas em uma única exibição, que oferece uma visão abrangente da atividade e do contexto da entidade, além dos dados do Microsoft Sentinel e do Microsoft Defender XDR.

O portal do Defender também fornece uma barra de pesquisa global que centraliza os resultados de todas as entidades para que você possa pesquisar no SIEM e no XDR.

Para obter mais informações, consulte Páginas de entidade no Microsoft Sentinel.

Investigue com a UEBA no portal do Defender

A maioria das funcionalidades da UEBA (Análise de Comportamento de Usuários e Entidades) permanece a mesma no portal do Defender como era no portal do Azure, com exceção da adição de entidades à inteligência de ameaças e das diferenças de esquema de tabela para IdentityInfo:

  • Adicionar entidades provenientes de incidentes à inteligência contra ameaças tem suporte apenas no portal do Azure. Para obter mais informações, consulte Adicionar entidade a indicadores de ameaça.

  • Depois de integrar o Microsoft Sentinel ao portal do Microsoft Defender, a tabela IdentityInfo fica disponível tanto na caça avançada do Microsoft Defender quanto no seu espaço de trabalho do Log Analytics do Microsoft Sentinel. A versão de Caça Avançada inclui campos unificados do Defender XDR e do Microsoft Sentinel. Alguns campos disponíveis na versão Microsoft Sentinel Log Analytics foram renomeados ou não são suportados no Advanced Hunting.

    Certifique-se de revisar e atualizar quaisquer consultas que rodem no Microsoft Defender, como consultas avançadas de caça ou detecções personalizadas. As regras analíticas, pastas de trabalho e outras consultas do Microsoft Sentinel continuam a usar a tabela IdentityInfo no espaço de trabalho do Log Analytics e não são afetadas.

    Para obter mais informações e uma comparação dos esquemas das tabelas no Advanced hunting experience e no Log Analytics, consulte a tabela IdentityInfo.

Importante

Quando você faz a migração para o portal do Defender, a tabela IdentityInfo se torna uma tabela nativa do Defender que não oferece suporte a controle de acesso baseado em função (RBAC) no nível de tabela. Se sua organização usar RBAC no nível da tabela para restringir o acesso à tabela IdentityInfo no portal do Azure, esse controle de acesso não estará mais disponível após a transição para o portal do Defender.

Atualizar os processos de investigação para usar a inteligência contra ameaças do Microsoft Defender

Para clientes do Microsoft Sentinel que estão migrando do portal do Azure para o portal do Defender, os recursos familiares de inteligência contra ameaças são mantidos no portal do Defender sob gerenciamento da Intel e aprimorados com outros recursos de inteligência contra ameaças disponíveis no portal do Defender. Os recursos com suporte dependem das licenças que você tem, como:

Recurso Descrição
Análise de ameaças Com suporte para clientes do Microsoft Defender XDR. Uma solução no produto fornecida por pesquisadores de segurança da Microsoft, projetada para ajudar as equipes de segurança, oferecendo insights sobre ameaças emergentes, ameaças ativas e seus impactos. Os dados são apresentados em um dashboard intuitivo com cartões, linhas de dados, filtros e muito mais.
Perfis da Intel Compatível com clientes do Informações sobre Ameaças do Microsoft Defender. Categorize ameaças e comportamentos por um perfil de ator de ameaça, facilitando o rastreamento e a correlação Esses perfis incluem quaisquer Indicadores de Comprometimento (IoC) relacionados a táticas, técnicas e ferramentas usadas em ataques.
Intel Explorer Compatível com clientes do Informações sobre Ameaças do Microsoft Defender. Consolida os IoCs disponíveis e fornece artigos relacionados a ameaças à medida que são publicados, permitindo que as equipes de segurança se mantenham atualizadas sobre ameaças emergentes.
Projetos Intel Preterido. Para organizar e investigar indicadores de ameaça, vincule os indicadores a um caso.

No portal do Defender, use o ThreatIntelIndicators e o ThreatIntelObjects junto com Indicadores de Comprometimento para caça a ameaças, resposta a incidentes, Copilot, relatórios e para criar gráficos relacionais que mostram conexões entre indicadores e entidades.

Para clientes que usam o feed de Informações sobre Ameaças do Microsoft Defender (MDTI), uma versão gratuita está disponível por meio do conector de dados do Microsoft Sentinel para MDTI. Os usuários com licenças MDTI também podem ingerir dados MDTI e usar o Security Copilot para análise de ameaças, revisão de ameaças ativas e pesquisa de agentes de ameaças.

Para obter mais informações sobre gerenciamento de ameaças, análise de ameaças, projetos de inteligência e inteligência contra ameaças no Microsoft Sentinel, consulte:

Usar pastas de trabalho para visualizar e relatar dados do Microsoft Defender

As pastas de trabalho do Azure continuam a ser a principal ferramenta para visualização e interação de dados no portal do Defender, funcionando como no portal do Azure.

Para usar pastas de trabalho com dados da busca avançada, certifique-se de inserir logs no Microsoft Sentinel.

Para obter mais informações, consulte Visualizar e monitorar seus dados usando pastas de trabalho no Microsoft Sentinel.

Incidentes semelhantes (Versão prévia) não têm suporte no portal do Defender

O recurso incidentes semelhantes em investigações de caso do Microsoft Sentinel está em versão prévia e não tem suporte no portal do Defender. Como esse recurso não é suportado no portal Defender, a aba Incidentes Semelhantes não está disponível em uma página de detalhes do incidente.

Conteúdo relacionado

Use os seguintes recursos para saber mais sobre a transição de Microsoft Sentinel para o portal do Defender:

  • Última atualização em