Trabalhar com a inteligência contra ameaças do Microsoft Sentinel

Use inteligência de ameaças do Microsoft Sentinel para criar, gerenciar, pesquisar e visualizar inteligência de ameaças. No portal Defender, gerencie inteligência de ameaças no explorador de Intel. No portal Azure, use a página de Inteligência de Ameaças.

• Crie objetos de inteligência de ameaças usando expressão estruturada de informações sobre ameaças (STIX).
• Gerencie a inteligência de ameaças consultando, fazendo a curadoria e visualizando-a.

Pré-requisitos

• Você precisa das permissões de um Colaborador do Microsoft Sentinel ou de uma função superior atribuída à sua conta de usuário para gerenciar a inteligência contra ameaças.
• Para importar e exportar inteligência contra ameaças, você precisa instalar a solução de Inteligência contra Ameaças no Microsoft Sentinel e habilitar os conectores relevantes, conforme descrito em Usar STIX/TAXII para importar e exportar inteligência contra ameaças no Microsoft Sentinel.

Acessar inteligência contra ameaças

Acesse inteligência de ameaças pelo portal Defender ou pelo portal Azure. A experiência de navegação e busca varia entre os portais, enquanto tarefas de criação e outras de gerenciamento usam os mesmos fluxos de trabalho.

Criar inteligência contra ameaças

Use a interface de gerenciamento para criar objetos STIX e executar outras tarefas comuns de inteligência contra ameaças, como marcação de indicadores e estabelecimento de conexões entre objetos.

• Defina relações à medida que você cria novos objetos STIX.
• Crie rapidamente vários objetos usando o recurso de duplicação para copiar os metadados de um objeto TI novo ou existente.

Para obter mais informações sobre objetos STIX com suporte, consulte Inteligência contra ameaças no Microsoft Sentinel.

Criar um novo objeto STIX

Para criar um novo objeto STIX na interface de gerenciamento, conclua as etapas a seguir.

1. Selecione Adicionar novo>objeto TI.

   

2. Escolha o tipo de objeto e preencha o formulário na página Novo objeto TI . Os campos obrigatórios são marcados com um asterisco vermelho (*).

3. Considere atribuir um valor de sensibilidade ou uma classificação do protocolo de semáforo (TLP) ao objeto de TI. Para obter mais informações sobre o que os valores de sensibilidade e as classificações TLP representam, consulte Curate threat intelligence.

4. Se você souber como esse objeto se relaciona com outro objeto de inteligência contra ameaças, indique essa conexão com o tipo de Relação e a referência de Destino.

5. Selecione Adicionar para um objeto individual ou Adicionar e duplicar se quiser criar mais itens com os mesmos metadados. Quando você seleciona Adicionar e duplicar, a seção de metadados comuns de cada objeto STIX é copiada para o novo objeto.

Gerenciar a inteligência de ameaças

Otimize a inteligência de ameaças das suas fontes com regras de ingestão. Faça a curadoria da inteligência de ameaças existente com o criador de relacionamentos, pesquise e filtre a inteligência de ameaças e adicione tags aos objetos de inteligência de ameaças.

Otimizar feeds de inteligência contra ameaças com regras de ingestão

Reduza o ruído de seus feeds de TI, estenda a validade de indicadores de alto valor e adicione tags significativas aos objetos recebidos. Essas tarefas são apenas alguns dos casos de uso das regras de ingestão. Aqui estão as etapas para prorrogar a data Valid until dos indicadores de alto valor.

1. Selecione Regras de ingestão para abrir uma página totalmente nova para exibir as regras existentes e construir uma nova lógica de regra.

   

2. Insira um nome descritivo para sua regra. A página de regras de ingestão tem uma regra ampla para o nome, mas é a única descrição de texto disponível para diferenciar suas regras sem editá-las.

3. Selecione o tipo de objeto. O exemplo de estender a validade do indicador baseia-se na Valid from propriedade, que está disponível apenas para Indicator tipos de objetos.

4. Adicione uma condição para SourceEquals e selecione seu valor Sourcealto.

5. Adicionar condição para ConfidenceGreater than or equal e insira uma pontuação de Confidence.

6. Selecione a ação. Como a regra deve modificar os indicadores de correspondência, selecione Edit.

7. Selecione a ação Adicionar para Valid untile Extend byselecione um intervalo de tempo em dias.

8. Considere adicionar uma tag para indicar o alto valor atribuído a esses indicadores, como Extended. O campo de data do Modified objeto não é atualizado pelas regras de ingestão.

9. Selecione a ordem em que você deseja que a regra seja executada. As regras são executadas do menor para o maior número de ordem. Cada regra avalia cada objeto ingerido.

10. Se a regra estiver pronta para ser habilitada, alterne Status para ativado.

11. Selecione Adicionar para criar a regra de ingestão.

Para obter mais informações, consulte Regras de ingestão de inteligência contra ameaças.

Coletar inteligência contra ameaças com o construtor de relacionamentos

Conecte objetos de inteligência contra ameaças com o construtor de relações. Há no máximo 20 relacionamentos no construtor ao mesmo tempo, mas mais conexões podem ser criadas por meio de várias iterações e adicionando referências de destino de relacionamento para novos objetos.

1. Selecione Adicionar novo>relacionamento de TI.

2. Comece com um objeto TI existente, como um agente de ameaça ou padrão de ataque em que o único objeto se conecta a um ou mais objetos existentes, como indicadores.

3. Adicione o tipo de relação de acordo com as práticas recomendadas descritas na tabela a seguir e na tabela de resumo de relacionamento de referência STIX 2.1:

   Tipo de relação	Descrição
   Duplicado de Derivado de Relacionado a	Relações comuns definidas para qualquer objeto de domínio STIX (SDO) Para obter mais informações, consulte a referência STIX 2.1 sobre relações comuns
   Destinos	Attack pattern ou Threat actor tem como alvo Identity
   Usos	Threat actor Usa Attack pattern
   Atribuído a	Threat actor Atribuído a Identity
   Indica	Indicator Indica Attack pattern ou Threat actor
   Usurpações de identidade	Threat actorUsurpações de identidadeIdentity

4. Como exemplo de configuração de construtor de relacionamento, você pode conectar um ator de ameaça a um padrão de ataque, indicador e identidade no portal do Defender.

   

5. Complete o relacionamento configurando as propriedades comuns.

Busca e filtragem de inteligência sobre ameaças

O Microsoft Sentinel exibe apenas a versão mais recente da sua inteligência de ameaças na interface de gerenciamento. Para obter mais informações sobre como os objetos são atualizados, consulte Ciclo de vida da inteligência contra ameaças.

Indicadores de IP e nome de domínio são enriquecidos com dados extras GeoLocation e WhoIs , portanto, você pode fornecer mais contexto para quaisquer investigações em que o indicador seja encontrado.

Aqui está um exemplo de indicador enriquecido com dados GeoLocationeWhoIs.

Marcar e editar inteligência de ameaças

Marcar informações de inteligência sobre ameaças é uma maneira rápida de agrupar objetos para torná-los mais fáceis de encontrar. Normalmente, você pode aplicar marcas relacionadas a um incidente específico. Porém, se um objeto representa ameaças de um ator conhecido específico ou de uma campanha de ataque amplamente conhecida, considere criar um relacionamento em vez de uma tag.

1. Pesquise e filtre os objetos de inteligência de ameaças que você deseja atualizar.
2. Depois de encontrar os objetos com os quais deseja trabalhar, selecione-os escolhendo um ou mais objetos do mesmo tipo.
3. Selecione Adicionar marcas e marque-as todas de uma vez com uma ou mais marcações.
4. Como a marcação é de forma livre, recomendamos que você crie convenções de nomenclatura padrão para marcas em sua organização.

Edite os objetos de inteligência de ameaças, um de cada vez, sejam eles criados diretamente no Microsoft Sentinel ou provenientes de fontes parceiras, como servidores TIP e TAXII. Para as informações sobre ameaças criadas na interface de gerenciamento, todos os campos são editáveis. Para dados de inteligência sobre ameaças importados de fontes parceiras, apenas campos específicos são editáveis, incluindo tags, Data de expiração, Nível de confiança e Revogação. Seja a inteligência de ameaça criada no Microsoft Sentinel ou ingerida de uma fonte parceira, apenas a versão mais recente do objeto aparece na interface de gerenciamento.

Para obter mais informações sobre como a inteligência contra ameaças é atualizada, consulte Exibir sua inteligência contra ameaças.

Localizar e exibir a inteligência de ameaças usando consultas

Visualize sua inteligência de ameaças usando consultas, independentemente do feed de origem ou do método usado para importá-las.

Os indicadores de ameaça são armazenados na tabela do Microsoft SentinelThreatIntelIndicators. A ThreatIntelIndicators tabela serve de base para consultas de inteligência de ameaças realizadas por outros recursos do Microsoft Sentinel, como Analytics, Hunting e Workbooks.

Para obter mais informações, consulte Ver sua inteligência de ameaças.

Visualize sua inteligência sobre ameaças com pastas de trabalho

Use uma pasta de trabalho do Microsoft Sentinel criada especificamente para visualizar informações importantes sobre sua inteligência contra ameaças no Microsoft Sentinel e personalize a pasta de trabalho de acordo com suas necessidades comerciais.

Para localizar a pasta de trabalho de inteligência contra ameaças no Microsoft Sentinel e personalizá-la, conclua as etapas a seguir.

1. No portal do Azure, acesse o Microsoft Sentinel.

2. Escolha o workspace para o qual você importou indicadores de ameaça usando qualquer um dos conectores de dados de inteligência de ameaças.

3. Na seção Gerenciamento de ameaças do menu do Microsoft Sentinel, selecione Pastas de trabalho.

4. Encontre a pasta de trabalho intitulada Inteligência de Ameaças. Verifique se você tem dados na ThreatIntelIndicators tabela.

   

5. Selecione Salvar e escolha um local do Azure para armazenar a pasta de trabalho. Salvar a pasta de trabalho é necessário se você pretende modificá-la de alguma forma e salvar as alterações.

6. Agora selecione Exibir pasta de trabalho salva para abrir a pasta de trabalho para exibição e edição.

7. Agora você deve ver os gráficos padrão fornecidos pelo modelo. Para modificar um gráfico, selecione Editar na parte superior da página para iniciar o modo de edição da pasta de trabalho.

8. Adicione um novo gráfico de indicadores de ameaça por tipo de ameaça. Role até a parte inferior da página e selecione Adicionar Consulta.

9. Adicione o seguinte texto à caixa de texto Consulta de Logs do workspace do Log Analytics:

   ThreatIntelligenceIndicator
   | summarize count() by ThreatType
   

   Para obter mais informações sobre o summarize operador e a count() função de agregação usada nesta consulta, consulte a documentação do Kusto:

   • operador summarize
   • função de agregação count()

10. No menu suspenso Visualização , selecione Gráfico de barras.

11. Selecione Edição concluída e exiba o novo gráfico para sua pasta de trabalho.

    

As pastas de trabalho fornecem painéis interativos avançados que fornecem insights sobre todos os aspectos do Microsoft Sentinel. Você pode realizar muitas tarefas com pastas de trabalho, e os modelos fornecidos são um ótimo ponto de partida. Personalize os modelos ou crie novos painéis combinando várias fontes de dados para que você possa visualizar seus dados de maneiras exclusivas.

As pastas de trabalho do Microsoft Sentinel são baseadas em pastas de trabalho do Azure Monitor, portanto, uma documentação extensa e muitos outros modelos estão disponíveis. Para obter mais informações, consulte Criar relatórios interativos com pastas de trabalho do Azure Monitor.

Há também um recurso avançado para pastas de trabalho do Azure Monitor no GitHub, em que você pode baixar mais modelos e contribuir com seus próprios modelos.

Exportar inteligência de ameaças

O Microsoft Sentinel permite exportar inteligência contra ameaças para outros destinos. Por exemplo, se você tiver ingerido inteligência contra ameaças usando o conector de dados Inteligência contra Ameaças - TAXII , poderá exportar a inteligência contra ameaças de volta para a plataforma de origem para compartilhamento bidirecional de inteligência. O recurso de exportação de inteligência de ameaças do Microsoft Sentinel reduz a necessidade de processos manuais ou playbooks personalizados para distribuir inteligência de ameaças.

Para exportar inteligência de ameaças:

1. Para o Microsoft Sentinel no portal do Defender, selecione Inteligência contra ameaças>Intel explorer. Para o Microsoft Sentinel no portal do Azure, selecione Gerenciamento de ameaças>Inteligência contra ameaças.

2. Selecione um ou mais objetos STIX e, em seguida, selecione Exportar na barra de ferramentas na parte superior da página. Por exemplo:

   • Portal do Defender
   • Portal do Azure

   

3. No painel Exportar , no menu suspenso Exportar TI , selecione o servidor para o qual você deseja exportar a inteligência contra ameaças.

   Se não houver um servidor listado, você precisa configurar primeiro um servidor TAXII 2.1 para exportação, conforme descrito em Habilitar o conector de dados Threat intelligence - TAXII Export. Atualmente, o Microsoft Sentinel oferece suporte apenas à exportação para plataformas baseadas em TAXII 2.1.

4. Selecione Exportar.

   Importante

   Ao exportar objetos de inteligência contra ameaças, o sistema executa uma operação em massa. Existe um problema conhecido em que essa operação em massa às vezes falha. Se a operação de exportação em massa falhar, você verá um aviso ao abrir o painel lateral de Exportação, pedindo para remover a ação falhada da visualização do histórico de operações em massa. O Microsoft Sentinel pausa operações de exportação subsequentes até que você remova a operação que falhou.

Para acessar o histórico de exportação:

1. Navegue até o item exportado no explorador Intel (portal Defender) ou na página de Inteligência de Ameaças (portal Azure).
2. Na coluna Exportações , selecione Exibir histórico de exportação para mostrar o histórico de exportação desse item.

Conteúdo relacionado

Para saber mais, confira os seguintes artigos:

• Informações sobre ameaças no Microsoft Sentinel
• Conecte o Microsoft Sentinel a fontes de inteligência sobre ameaças STIX/TAXII.
• Veja quais TIPs, feeds do TAXII e enriquecimentos podem ser facilmente integrados ao Microsoft Sentinel.

Para obter mais informações sobre KQL, consulte Visão geral da Linguagem de Consulta Kusto (KQL).

Outros recursos:

• Referência rápida de KQL
• Recursos de aprendizado da Linguagem de Consulta Kusto