Detecção de ameaças no Microsoft Sentinel

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Importante

As detecções personalizadas agora são a melhor maneira de criar novas regras no Microsoft Sentinel SIEM, no Microsoft Defender XDR. Com detecções personalizadas, você pode reduzir os custos de ingestão, obter detecções ilimitadas em tempo real e se beneficiar da integração perfeita com dados, funções e ações de correção do Defender XDR com mapeamento automático de entidades. Para obter mais informações, leia este blog.

Depois de configurar o Microsoft Sentinel para coletar dados de toda a sua organização, você precisa vasculhar constantemente todos esses dados para detectar ameaças de segurança ao seu ambiente. Para realizar essa tarefa, o Microsoft Sentinel fornece regras de detecção de ameaças que são executadas regularmente, consultando os dados coletados e analisando-os para descobrir ameaças. Essas regras vêm em alguns sabores diferentes e são conhecidas coletivamente como regras de análise.

Essas regras geram alertas quando encontram o que procuram. Os alertas contêm informações sobre os eventos detectados, como as entidades (usuários, dispositivos, endereços e outros itens) envolvidos. Os alertas são agregados e correlacionados em incidentes — arquivos de caso — que você pode atribuir e investigar para conhecer toda a extensão da ameaça detectada e responder de acordo. Você também pode criar respostas predeterminadas e automatizadas na própria configuração das regras.

Você pode criar essas regras do zero, usando o assistente integrado de regra de análise. No entanto, a Microsoft incentiva você a usar a vasta gama de modelos de regra de análise disponíveis para você por meio das várias soluções para o Microsoft Sentinel fornecidas no hub de conteúdo. Esses modelos são protótipos de regras pré-criados, projetados por equipes de especialistas em segurança e analistas com base em seu conhecimento de ameaças conhecidas, vetores de ataque comuns e cadeias de escalonamento de atividades suspeitas. Você ativa as regras desses modelos para pesquisar automaticamente em seu ambiente qualquer atividade que pareça suspeita. Muitos dos modelos podem ser personalizados para pesquisar tipos específicos de eventos ou filtrá-los, de acordo com suas necessidades.

Este artigo ajuda você a entender como o Microsoft Sentinel detecta ameaças e o que acontece em seguida.

Importante

Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender. Todos os clientes que usam o Microsoft Sentinel no portal do Azure serão redirecionados para o portal do Defender e usarão o Microsoft Sentinel apenas no portal do Defender.

Se você ainda estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender.

Tipos de regras de análise

Você pode exibir as regras e os modelos de análise disponíveis para uso na página Análise do menu Configuração no Microsoft Sentinel. As regras ativas no momento são visíveis em uma guia e modelos para criar novas regras em outra guia. Uma terceira guia exibe Anomalias, um tipo de regra especial descrito mais adiante neste artigo.

Para encontrar mais modelos de regra do que os exibidos atualmente, acesse o Hub de conteúdo no Microsoft Sentinel para instalar as soluções de produto relacionadas ou o conteúdo autônomo. Os modelos de regra de análise estão disponíveis com quase todas as soluções de produto no hub de conteúdo.

Os seguintes tipos de regras de análise e modelos de regra estão disponíveis no Microsoft Sentinel:

Além dos tipos de regra anteriores, existem alguns outros tipos de modelo especializados que podem criar cada uma instância de uma regra, com opções de configuração limitadas:

Regras agendadas

De longe o tipo mais comum de regra de análise, as regras agendadas são baseadas em consultas Kusto configuradas para serem executadas em intervalos regulares e examinar dados brutos de um período de "lookback" definido. Se o número de resultados capturados pela consulta ultrapassar o limite configurado na regra, a regra produzirá um alerta.

As consultas em modelos de regras agendadas foram escritas por especialistas em segurança e ciência de dados, da Microsoft ou do fornecedor da solução que fornece o modelo. As consultas podem executar operações estatísticas complexas em seus dados de destino, revelando linhas de base e exceções em grupos de eventos.

A lógica da consulta é exibida na configuração da regra. Você pode usar a lógica de consulta e as configurações de agendamento e lookback, conforme definido no modelo, ou personalizá-las para criar novas regras. Como alternativa, você pode criar regras totalmente novas do zero.

Saiba mais sobre as regras de análise agendadas no Microsoft Sentinel.

Regras de NRT (quase em tempo real)

As regras NRT são um subconjunto limitado de regras agendadas. Eles são projetados para serem executados uma vez a cada minuto, a fim de fornecer informações o mais atualizadas possível.

Elas funcionam principalmente como regras agendadas e são configuradas de forma semelhante, com algumas limitações.

Saiba mais sobre a detecção rápida de ameaças com regras de análise quase em tempo real (NRT) no Microsoft Sentinel.

Regras de anomalia

As regras de anomalia usam o aprendizado de máquina para observar tipos específicos de comportamentos durante um período de tempo para determinar uma linha de base. Cada regra tem seus próprios parâmetros e limites exclusivos, apropriados ao comportamento que está sendo analisado. Após o término do período de observação, a linha de base é definida. Quando a regra observa comportamentos que excedem os limites definidos na linha de base, ela sinaliza essas ocorrências como anômalas.

Embora as configurações de regras prontas para uso não possam ser alteradas ou ajustadas, você pode duplicar uma regra e, em seguida, alterar e ajustar a duplicata. Nesses casos, execute a cópia no modo Flighting e o original em paralelo no modo Production. Em seguida, compare os resultados e mude a duplicata para Produção se e quando o ajuste fino for do seu agrado.

Anomalias não indicam necessariamente um comportamento malicioso ou mesmo suspeito por si só. Portanto, as regras de anomalia não geram seus próprios alertas. Em vez disso, eles registram os resultados de suas análises - as anomalias detectadas - na tabela Anomalias . Você pode consultar esta tabela para fornecer um contexto que melhore suas detecções, investigações e busca de ameaças.

Para obter mais informações, confira Usar anomalias personalizáveis para detectar ameaças no Microsoft Sentinel e Trabalhar com regras de análise de detecção de anomalias no Microsoft Sentinel.

Regras de segurança da Microsoft

Embora as regras agendadas e NRT criem incidentes automaticamente para os alertas que geram, os alertas gerados em serviços externos e ingeridos no Microsoft Sentinel não criam seus próprios incidentes. As regras de segurança da Microsoft criam automaticamente incidentes do Microsoft Sentinel a partir dos alertas gerados em outras soluções de segurança da Microsoft, em tempo real. Você pode usar modelos de segurança da Microsoft para criar novas regras com lógica semelhante.

Importante

As regras de segurança da Microsoft não estarão disponíveis se você tiver:

Nesses cenários, o Microsoft Defender XDR cria os incidentes.

Todas as regras que você definiu anteriormente são desativadas automaticamente.

Para obter mais informações sobre as regras de criação de incidentes de segurança da Microsoft , consulte Criar incidentes automaticamente de alertas de segurança da Microsoft.

Inteligência contra ameaças

Aproveite a inteligência contra ameaças produzida pela Microsoft para gerar alertas e incidentes de alta fidelidade com a regra de Análise de Inteligência contra Ameaças da Microsoft . Essa regra exclusiva não é personalizável, mas, quando habilitada, faz a correspondência automática entre logs de CEF (Formato de Evento Comum), dados de Syslog ou eventos DNS do Windows com indicadores de ameaça de domínio, IP e URL da Inteligência contra Ameaças da Microsoft. Determinados indicadores contêm mais informações de contexto por meio do MDTI (Informações sobre Ameaças do Microsoft Defender).

Para obter mais informações sobre como habilitar essa regra, consulte Usar análises correspondentes para detectar ameaças.
Para obter mais informações sobre o MDTI, consulte O que é a Inteligência contra Informações sobre Ameaças do Microsoft Defender.

Detecção avançada de ataques em vários estágios (Fusion)

O Microsoft Sentinel usa o mecanismo de correlação Fusion, com seus algoritmos de aprendizado de máquina escalonáveis, para detectar ataques avançados em vários estágios, correlacionando muitos alertas e eventos de baixa fidelidade em vários produtos em incidentes acionáveis e de alta fidelidade. A regra de detecção avançada de ataques em vários estágios está habilitada por padrão. Como a lógica está oculta e, portanto, não é personalizável, só pode haver uma regra com esse modelo.

O mecanismo Fusion também pode correlacionar alertas produzidos por regras de análise programadas com alertas de outros sistemas, produzindo incidentes de alta fidelidade como resultado.

Importante

O tipo de regra de detecção avançada de ataques em vários estágiosnão estará disponível se você tiver:

Nesses cenários, o Microsoft Defender XDR cria os incidentes.

Além disso, alguns dos modelos de detecção do Fusion estão atualmente em PRÉVIA (consulte Detecção avançada de ataques de vários estágios no Microsoft Sentinel para saber quais). Consulte os Termos de Uso Complementares das Versões Prévias do Microsoft Azure para obter termos legais adicionais que se aplicam aos recursos do Azure que estão em versão beta, versão prévia ou que ainda não foram lançados em disponibilidade geral.

Análise de comportamento de ML (aprendizado de máquina)

Aproveite os algoritmos de aprendizado de máquina proprietários da Microsoft para gerar alertas e incidentes de alta fidelidade com as regras de Análise de Comportamento de ML . Essas regras exclusivas (atualmente em versão prévia) não são personalizáveis, mas, quando habilitadas, detectam comportamentos anômalos específicos de login SSH e RDP com base em informações de IP, geolocalização e histórico do usuário.

Permissões de acesso para regras de análise

Quando você cria uma regra de análise, um token de permissões de acesso é aplicado à regra e salvo junto com ela. Esse token garante que a regra possa acessar o workspace que contém os dados consultados pela regra e que esse acesso seja mantido mesmo que o criador da regra perca o acesso a esse workspace.

No entanto, há uma exceção a esse acesso: quando uma regra é criada para acessar workspaces em outras assinaturas ou locatários, como o que acontece no caso de um MSSP, o Microsoft Sentinel toma medidas de segurança adicionais para impedir o acesso não autorizado aos dados do cliente. Para esses tipos de regras, as credenciais do usuário que criou a regra são aplicadas à regra em vez de um token de acesso independente, para que, quando o usuário não tiver mais acesso à outra assinatura ou locatário, a regra pare de funcionar.

Se você usa o Microsoft Sentinel em um cenário entre assinaturas ou entre locatários, quando um de seus analistas ou engenheiros perde acesso a um determinado workspace, todas as regras criadas por esse usuário deixam de funcionar. Nessa situação, você recebe uma mensagem de monitoramento de integridade referente a "acesso insuficiente ao recurso" e a regra é desabilitada automaticamente após ter falhado um determinado número de vezes.

Exportar regras para um modelo do ARM

Você pode exportar facilmente sua regra para um modelo Azure Resource Manager (ARM) se quiser gerenciar e implantar suas regras como código. Você também pode importar regras de arquivos de modelo para exibi-las e editá-las na interface do usuário.

Próximas etapas

  • Última atualização em