Inteligência contra ameaças no Microsoft Sentinel

O Microsoft Sentinel é uma solução de SIEM (gerenciamento de eventos e informações de segurança) nativa de nuvem que pode ingerir, coletar e gerenciar inteligência contra ameaças de várias fontes.

Introdução à inteligência contra ameaças

A CTI (inteligência contra ameaças cibernéticas) são informações que descrevem ameaças existentes ou potenciais a sistemas e usuários. Essa inteligência assume várias formas, como relatórios escritos que detalham as motivações, a infraestrutura e as técnicas de um determinado agente de ameaça. Também podem ser observações específicas de endereços IP, domínios, hashes de arquivos e outros artefatos associados a ameaças cibernéticas conhecidas.

As organizações usam a CTI para fornecer contexto essencial para atividades incomuns, para que a equipe de segurança possa agir rapidamente para proteger seu pessoal, informações e ativos. Você pode obter CTI de vários lugares, como:

• Feeds de dados de software livre
• Comunidades de compartilhamento de inteligência sobre ameaças
• Feeds de inteligência comercial
• Inteligência local coletada no decorrer de investigações de segurança dentro de uma organização

Para soluções SIEM como o Microsoft Sentinel, as formas mais comuns de CTI são indicadores de ameaça, que também são conhecidos como IOCs (indicadores de comprometimento) ou indicadores de ataque. Indicadores de ameaça são dados que associam artefatos observados, como URLs, hashes de arquivo ou endereços IP, a atividades de ameaça conhecidas, como phishing, botnets ou malware. Essa forma de inteligência contra ameaças geralmente é chamada de inteligência tática contra ameaças. É aplicado a produtos de segurança e automação em larga escala para detectar possíveis ameaças a uma organização e se proteger contra elas.

Outra faceta da inteligência de ameaças representa os agentes de ameaças, suas técnicas, táticas e procedimentos (TTPs), sua infraestrutura e as identidades de suas vítimas. O Microsoft Sentinel dá suporte ao gerenciamento dessas facetas junto com IOCs, expressas usando o padrão de código aberto para troca de CTI conhecido como expressão estruturada de informações sobre ameaças (STIX). A inteligência de ameaças expressa como objetos STIX melhora a interoperabilidade e permite que as organizações cacem ameaças com mais eficiência. Use objetos STIX de inteligência contra ameaças no Microsoft Sentinel para detectar atividades maliciosas observadas em seu ambiente e fornecer o contexto completo de um ataque para informar as decisões de resposta.

A tabela a seguir descreve as atividades necessárias para aproveitar ao máximo a integração da TI (inteligência contra ameaças) no Microsoft Sentinel:

A inteligência contra ameaças também fornece um contexto útil em outras experiências do Microsoft Sentinel, como blocos de anotações. Para obter mais informações, confira Primeiros passos com notebooks e MSTICPy.

Importar e conectar inteligência de ameaças

A maioria da inteligência de ameaças é importada por conectores de dados ou por uma API. Configure regras de ingestão para conectores de dados para reduzir o ruído e garantir que seus feeds de inteligência sejam otimizados. Estas são as soluções disponíveis para o Microsoft Sentinel.

• Conector de dados do Informações sobre Ameaças do Microsoft Defender para ingerir a inteligência de ameaças da Microsoft
• Inteligência de ameaças - TAXII Conector de dados para feeds STIX/TAXII padronizados do setor
• API de upload de inteligência de ameaças para feeds de inteligência de ameaças integrados e selecionados, com conexão via API REST (não requer um conector de dados)
• O conector de dados Threat Intelligence Platform também conecta feeds de inteligência de ameaças usando uma API REST legada, mas está em processo de descontinuação

Use essas soluções em qualquer combinação, dependendo de onde sua organização obtém inteligência contra ameaças. Todos esses conectores de dados estão disponíveis no Hub de conteúdo como parte da solução de Inteligência contra Ameaças . Para obter mais informações sobre essa solução, consulte a entrada do Azure Marketplace Inteligência contra Ameaças.

Além disso, confira este catálogo de integrações de inteligência contra ameaças que estão disponíveis com o Microsoft Sentinel.

Adicione inteligência de ameaças ao Microsoft Sentinel com o conector de dados do Defender Threat Intelligence

Traga IOCs públicos, de software livre e de alta fidelidade gerados pela Inteligência de Ameaças do Defender para seu espaço de trabalho do Microsoft Sentinel usando os conectores de dados de Inteligência de ameaças do Defender. Com uma configuração simples com um clique, use a inteligência de ameaças dos conectores de dados padrão e premium do Defender Threat Intelligence para monitorar, gerar alertas e caçar ameaças.

Duas versões do conector de dados estão disponíveis: padrão e premium. Também há uma regra de análise de ameaças do Defender Threat Intelligence, disponível gratuitamente, que oferece uma amostra do que o conector de dados premium do Defender Threat Intelligence disponibiliza. No entanto, com análises de correspondência, somente os indicadores que correspondem à regra são importados para o seu ambiente.

O conector de dados premium da Inteligência contra Ameaças do Defender ingere inteligência de código aberto enriquecida pela Microsoft e IOCs coletados pela Microsoft. Esses recursos premium permitem a análise em mais fontes de dados com maior flexibilidade e compreensão dessa inteligência contra ameaças. Aqui está uma tabela que mostra o que esperar ao licenciar e habilitar a versão premium.

Para saber mais, confira os seguintes artigos:

• Para saber como obter uma licença premium e conhecer todas as diferenças entre as versões padrão e premium, consulte Explorar as licenças do Inteligência contra Ameaças do Defender.
• Para saber mais sobre a experiência gratuita do Defender Threat Intelligence, consulte Apresentando a experiência gratuita do Defender Threat Intelligence para o Microsoft Defender XDR.
• Para saber como habilitar os conectores de dados da Inteligência de Ameaças do Defender e da Inteligência de Ameaças do Defender premium, consulte Habilitar o conector de dados da Inteligência de Ameaças do Defender.
• Para saber mais sobre a análise de correspondência, confira Usar a análise de correspondência para detectar ameaças.

Adicionar inteligência contra ameaças ao Microsoft Sentinel com a API de carregamento

Muitas organizações usam soluções de plataforma de inteligência de ameaças (TIP) para agregar feeds de indicadores de ameaças de várias fontes. A partir do feed agregado, os dados são coletados para serem aplicados a soluções de segurança, como dispositivos de rede, soluções EDR/XDR ou SIEMs, como o Microsoft Sentinel. Usando a API de upload, você pode usar essas soluções para importar objetos STIX de inteligência contra ameaças para o Microsoft Sentinel.

A nova API de carregamento não requer um conector de dados e oferece as seguintes melhorias:

• Os campos indicadores de ameaça são baseados no formato padronizado STIX.
• O aplicativo Microsoft Entra requer a função Colaborador do Microsoft Sentinel.
• O endpoint de solicitação da API é definido no nível do workspace. As permissões necessárias do aplicativo Microsoft Entra permitem atribuição granular no nível do espaço de trabalho.

Para obter mais informações, consulte Conectar sua plataforma de inteligência contra ameaças usando a API de upload.

Adicionar inteligência de ameaças no Microsoft Sentinel com o conector de dados da Plataforma de Inteligência de Ameaças

Assim como a API de upload, o conector de dados da Plataforma de Inteligência contra Ameaças usa uma API que permite que sua TIP ou solução personalizada envie inteligência contra ameaças para o Microsoft Sentinel. No entanto, esse conector de dados está limitado apenas a indicadores e está sendo preterido. Aproveite as otimizações que a API de upload tem a oferecer.

O conector de dados TIP usa a API tiIndicators do Microsoft Graph Security, que não oferece suporte a outros objetos STIX. Use-o com qualquer TIP personalizado que se comunique com a API tiIndicators para enviar indicadores ao Microsoft Sentinel (e a outras soluções de segurança da Microsoft, como o Defender XDR).

Para obter mais informações sobre as soluções TIP integradas ao Microsoft Sentinel, consulte Produtos de plataforma de inteligência contra ameaças integrada. Para obter mais informações, consulte Conectar sua plataforma de inteligência contra ameaças ao Microsoft Sentinel.

Adicione inteligência de ameaças ao Microsoft Sentinel com o conector de dados Inteligência de Ameaças - TAXII

O padrão do setor mais amplamente adotado para a transmissão de inteligência de ameaças é uma combinação do formato de dados STIX e do protocolo TAXII. Se sua organização obtiver inteligência contra ameaças de soluções que dão suporte à versão atual do STIX/TAXII (2.0 ou 2.1), use o conector de dados Inteligência contra Ameaças - TAXII para trazer sua inteligência contra ameaças para o Microsoft Sentinel. Ao usar o conector de dados de Inteligência de Ameaças - TAXII, o Microsoft Sentinel conta com um cliente TAXII integrado que importa inteligência de ameaças de servidores TAXII 2.x.

Para importar inteligência contra ameaças formatada em STIX para o Microsoft Sentinel de um servidor TAXII:

1. Obtenha a raiz da API do servidor TAXII e o identificador da coleção.
2. Habilite o conector de dados TAXII de Inteligência de Ameaças no Microsoft Sentinel.

Para obter mais informações, consulte Conectar o Microsoft Sentinel a feeds de inteligência de ameaças STIX/TAXII.

Criar e gerenciar inteligência contra ameaças

A inteligência contra ameaças da plataforma Microsoft Sentinel é gerenciada ao lado do Informações sobre Ameaças do Microsoft Defender (MDTI) e da Análise de Ameaças no portal Microsoft Defender.

Duas das tarefas mais comuns de inteligência contra ameaças são a criação de nova inteligência contra ameaças relacionada a investigações de segurança e a adição de marcas. A interface de gerenciamento simplifica o processo manual de curadoria de informações sobre ameaças individuais usando alguns recursos importantes.

• Configure as regras de ingestão para otimizar as informações sobre ameaças das fontes do conector de dados.
• Defina relações à medida que você cria novos objetos STIX.
• Faça a curadoria da TI existente usando o construtor de relações.
• Copie metadados comuns de um objeto TI novo ou existente usando o recurso de duplicação.
• Adicionar marcas de forma livre a objetos usando a seleção múltipla.

Os seguintes objetos STIX estão disponíveis no Microsoft Sentinel:

Configurar regras de ingestão

Você pode otimizar a inteligência contra ameaças dos conectores de dados filtrando e aprimorando objetos antes que eles sejam entregues ao seu espaço de trabalho. As regras de ingestão se aplicam apenas a conectores de dados e não afetam a inteligência contra ameaças adicionada por meio da API de carregamento ou criada manualmente. As regras de ingestão atualizam atributos ou filtram completamente os objetos. A tabela a seguir lista alguns casos de uso:

Lembre-se das dicas a seguir ao usar as regras de ingestão:

• Todas as regras se aplicam em ordem. Os objetos de inteligência de ameaças sendo ingeridos serão processados por cada regra até que uma ação Delete seja tomada. Se nenhuma ação for realizada em um objeto, ele será ingerido da origem como está.
• A ação Delete significa que o objeto de inteligência de ameaças é ignorado durante a ingestão, ou seja, ele é removido do fluxo de processamento. As versões anteriores do objeto já ingeridas não são afetadas.
• Regras novas e editadas levam até 15 minutos para entrar em vigor.

Para obter mais informações, consulte Trabalhar com regras de ingestão de inteligência contra ameaças.

Criar relações

Você pode aprimorar a detecção e a resposta a ameaças estabelecendo conexões entre objetos usando o construtor de relações. A tabela a seguir lista alguns de seus casos de uso:

A imagem a seguir mostra como o construtor de relações conecta todos esses casos de uso.

Fazer curadoria da inteligência de ameaças

Defina quais objetos de TI você pode compartilhar com os públicos apropriados ao definir um nível de sensibilidade chamado TLP (Traffic Light Protocol).

Defina valores TLP para objetos TI na interface do usuário ao criá-los ou editá-los. Configurar o TLP por meio da API é menos intuitivo e requer a escolha de um dos quatro marking-definition GUIDs de objeto. Para obter mais informações sobre como configurar o TLP por meio da API, consulte object_marking_refs nas propriedades comuns da API de upload.

Outra forma de organizar a TI é usando tags. Marcar informações de inteligência sobre ameaças é uma maneira rápida de agrupar objetos para torná-los mais fáceis de encontrar. Normalmente, você pode aplicar marcas relacionadas a um incidente específico. Porém, se um objeto representa ameaças de um ator conhecido específico ou de uma campanha de ataque amplamente conhecida, considere criar um relacionamento em vez de uma tag. Depois de pesquisar e filtrar a inteligência contra ameaças com a qual deseja trabalhar, marque-as individualmente ou faça uma seleção múltipla e marque-as todas de uma vez. Como a marcação é livre, crie convenções padronizadas de nomenclatura para tags de inteligência de ameaças.

Para obter mais informações, consulte Trabalhar com inteligência contra ameaças no Microsoft Sentinel.

Veja sua inteligência de ameaças

Exiba sua inteligência contra ameaças na interface de gerenciamento ou usando consultas:

• Na interface de gerenciamento, use a pesquisa avançada para classificar e filtrar seus objetos de inteligência contra ameaças sem escrever uma consulta do Log Analytics.

  

• Use consultas no Logs do portal do Azure ou na Caça avançada do portal do Defender para exibir a inteligência de ameaças.

  De qualquer forma, a ThreatIntelIndicators tabela no esquema do Microsoft Sentinel armazena todos os indicadores de ameaça do Microsoft Sentinel. Essa tabela serve a base para consultas de inteligência contra ameaças executadas por outros recursos do Microsoft Sentinel, como análises, consultas de busca e pastas de trabalho.

Ciclo de vida da inteligência de ameaças

O Microsoft Sentinel armazena dados de inteligência contra ameaças em suas tabelas de inteligência contra ameaças e reingestiona automaticamente todos os dados a cada sete a 10 dias para otimizar a eficiência da consulta.

Quando um indicador é criado, atualizado ou excluído, o Microsoft Sentinel cria uma nova entrada nas tabelas. Somente o indicador mais atual aparece na interface de gerenciamento. O Microsoft Sentinel elimina duplicatas de indicadores com base na propriedade Id (a propriedade IndicatorId no ThreatIntelligenceIndicator herdado) e escolhe o indicador com o TimeGenerated[UTC] mais recente.

A propriedade Id é uma concatenação do valor --- codificado em base64, SourceSystem (três traços) e o stixId (que é o valor Data.Id).

O custo dessa reingestão corresponde ao preço padrão de ingestão de logs para tabelas pagas. Observação: O custo final exato refletirá eventuais descontos ou níveis de compromisso no nível do locatário ativos na conta no momento.

Veja seus enriquecimentos de dados de GeoLocation e WhoIs (versão prévia pública)

A Microsoft enriquece os indicadores de IP e domínio com dados GeoLocation e WhoIs adicionais para fornecer mais contexto para investigações onde o IOC selecionado é encontrado.

Exibir GeoLocation e WhoIs dados no painel de Inteligência Contra Ameaças para os tipos de indicadores de ameaça importados para o Microsoft Sentinel.

Por exemplo, use os dados de GeoLocation para encontrar informações como a organização, o país ou a região de um indicador de IP. Use os dados de WhoIs para encontrar informações como o registrador e a data de criação do registro em um indicador de domínio.

Detecte ameaças com a análise de indicadores de ameaça

O caso de uso mais importante da inteligência contra ameaças em soluções SIEM, como o Microsoft Sentinel, é potencializar as regras de análise para detecção de ameaças. Essas regras baseadas em indicadores comparam eventos brutos de suas fontes de dados com seus indicadores de ameaça para detectar ameaças à segurança em sua organização. No Microsoft Sentinel Analytics, você cria regras de análise baseadas em consultas que são executadas em um agendamento e geram alertas de segurança. Juntamente com as configurações, eles determinam com que frequência a regra deve ser executada, que tipo de resultados de consulta devem gerar alertas e incidentes de segurança e, opcionalmente, quando disparar uma resposta automatizada.

Embora você sempre possa criar novas regras de análise do zero, o Microsoft Sentinel fornece um conjunto de modelos de regra internos, criados por engenheiros de segurança da Microsoft, para aproveitar seus indicadores de ameaça. Esses modelos se baseiam no tipo de indicadores de ameaça (domínio, email, hash de arquivo, endereço IP ou URL) e eventos de fonte de dados que você deseja corresponder. Cada modelo lista as fontes necessárias para que a regra funcione. Essas informações facilitam determinar se os eventos necessários já são importados no Microsoft Sentinel.

Por padrão, quando essas regras internas são disparadas, um alerta é criado. No Microsoft Sentinel, os alertas gerados a partir de regras de análise também geram incidentes de segurança. No menu do Microsoft Sentinel, em Gerenciamento de ameaças, selecione Incidentes. Os incidentes são o que suas equipes de operações de segurança triam e investigam para determinar as medidas de resposta apropriadas. Para obter mais informações, confira Tutorial: Investigar incidentes com o Microsoft Sentinel.

Para obter mais informações sobre o uso de indicadores de ameaça em suas regras analíticas, consulte Usar inteligência contra ameaças para detectar ameaças.

A Microsoft fornece acesso à sua inteligência contra ameaças por meio da regra de análise da Inteligência contra Ameaças do Defender. Para saber mais sobre como usar essa regra, que gera alertas e incidentes de alta fidelidade, consulte Usar análise de correspondência para detectar ameaças.

As pastas de trabalho fornecem informações sobre sua inteligência de ameaças

As pastas de trabalho fornecem painéis interativos avançados que fornecem insights sobre todos os aspectos do Microsoft Sentinel, e a inteligência contra ameaças não é exceção. Use a pasta de trabalho interna de Inteligência contra Ameaças para visualizar informações importantes sobre sua inteligência contra ameaças. Personalize a pasta de trabalho de acordo com as necessidades do seu negócio. Crie novos painéis combinando várias fontes de dados para ajudar você a visualizar seus dados de maneiras exclusivas.

Como as pastas de trabalho do Microsoft Sentinel são baseadas em pastas de trabalho do Azure Monitor, uma documentação extensa e muitos outros modelos já estão disponíveis. Para obter mais informações, consulte Criar relatórios interativos com pastas de trabalho do Azure Monitor.

Há também um recurso avançado para pastas de trabalho do Azure Monitor no GitHub, em que você pode baixar mais modelos e contribuir com seus próprios modelos.

Para obter mais informações sobre como usar e personalizar a pasta de trabalho de Inteligência contra Ameaças , consulte Visualizar a inteligência contra ameaças com pastas de trabalho.

Conteúdo relacionado

Neste artigo, você aprendeu sobre os recursos de inteligência contra ameaças da plataforma Microsoft Sentinel. Para saber mais, confira os seguintes artigos:

• Novos objetos STIX no Microsoft Sentinel
• Inteligência de Ameaças da Microsoft no Microsoft Defender XDR
• Busca avançada no portal do Defender