Entidades no Microsoft Sentinel

Quando alertas são enviados ou gerados pelo Microsoft Sentinel, eles contêm elementos de dados que o Sentinel pode reconhecer e classificar em categorias como entidades. Quando o Microsoft Sentinel entende que tipo de entidade um determinado elemento de dados representa, ele sabe as perguntas certas a serem feitas sobre ele e pode comparar insights sobre esse item em toda a gama de fontes de dados e rastreá-lo facilmente e consultá-lo durante toda a experiência do Sentinel – análise, investigação, correção, busca e assim por diante. Alguns exemplos comuns de entidades são contas de usuário, hosts, caixas de correio, endereços IP, arquivos, aplicativos de nuvem, processos e URLs.

No portal do Microsoft Defender, as entidades geralmente se enquadram em duas categorias principais:

Identificadores de entidade

O Microsoft Sentinel dá suporte a uma ampla variedade de tipos de entidades. Cada tipo tem seus próprios atributos exclusivos, que são representados como campos no esquema de entidade e são chamados de identificadores. Veja a lista completa de entidades com suporte abaixo e o conjunto completo de esquemas e identificadores de entidade na referência de tipos de entidade do Microsoft Sentinel.

Identificadores fortes e fracos

Para cada tipo de entidade existem campos, ou conjuntos de campos, que podem identificar instâncias específicas dessa entidade. Esses campos ou conjuntos de campos podem ser chamados de identificadores fortes se puderem identificar exclusivamente uma entidade sem qualquer ambiguidade, ou de identificadores fracos se puderem identificar uma entidade em algumas circunstâncias, mas não são garantidos que identifiquem exclusivamente uma entidade em todos os casos. Em muitos casos, porém, uma seleção de identificadores fracos pode ser combinada para produzir um identificador forte.

Por exemplo, as contas de usuário podem ser identificadas como entidades de conta de mais de uma maneira: usando um único identificador forte, como o identificador numérico de uma conta do Microsoft Entra (o campo GUID) ou seu valor UPN (Nome Principal do Usuário) ou, como alternativa, usando uma combinação de identificadores fracos, como os campos Nome e NTDomain. Diferentes fontes de dados podem identificar o mesmo usuário de maneiras diferentes. Sempre que o Microsoft Sentinel encontra duas entidades que ele pode reconhecer como a mesma entidade com base em seus identificadores, ele mescla as duas entidades em uma única entidade, para que possa ser tratado de maneira adequada e consistente.

Se, no entanto, um de seus provedores de recursos criar um alerta no qual uma entidade não esteja suficientemente identificada, por exemplo, usando apenas um único identificador fraco , como um nome de usuário sem o contexto de nome de domínio, a entidade do usuário não poderá ser mesclada com outras instâncias da mesma conta de usuário. Essas outras instâncias seriam identificadas como uma entidade separada e essas duas entidades permaneceriam separadas em vez de unificadas.

Para minimizar o risco de isso acontecer, verifique se todos os provedores de alertas identificam corretamente as entidades nos alertas que produzem. Além disso, a sincronização de entidades de conta de usuário com o Microsoft Entra ID pode criar um diretório unificador, que poderá mesclar entidades de conta de usuário.

Entidades com suporte

Os seguintes tipos de entidades são identificados atualmente no Microsoft Sentinel:

• Account
• Host
• Endereço IP
• URL
• Recurso do Azure
• Aplicativo de nuvem
• Resolução de DNS
• Arquivo
• Hash de arquivo
• Malware
• Processo
• Chave do Registro
• Valor do registro
• Grupo de segurança
• Caixa de Correio
• Cluster de email
• Mensagem de email
• Email de envio

Você pode exibir os identificadores dessas entidades e outras informações relevantes na referência de entidades.

Mapeamento de entidades

Como o Microsoft Sentinel reconhece uma parte dos dados em um alerta como identificando uma entidade?

Vejamos como o processamento de dados é feito no Microsoft Sentinel. Os dados são ingeridos de várias fontes por meio de conectores, sejam eles de serviço para serviço, baseados em agente ou baseados em API. Os dados são armazenados em tabelas no seu workspace do Log Analytics. Essas tabelas são consultadas em intervalos regulares pelas regras de análise agendadas ou quase em tempo real que você definiu e habilitou, ou sob demanda como parte de consultas de busca quando você busca ameaças. Parte da definição dessas regras de análise e consultas de busca é o mapeamento de campos de dados nas tabelas para tipos de entidade reconhecidos pelo Microsoft Sentinel. De acordo com os mapeamentos definidos, o Microsoft Sentinel pegará campos dos resultados retornados pela sua consulta, os reconhecerá pelos identificadores especificados para cada tipo de entidade e aplicará a eles o tipo de entidade identificado por esses identificadores.

Qual é o sentido de tudo isso?

Quando o Microsoft Sentinel é capaz de identificar entidades em alertas de diferentes tipos de fontes de dados e, especialmente, se puder fazer isso usando identificadores fortes comuns a cada fonte de dados ou a outro esquema, ele poderá correlacionar facilmente entre todos esses alertas e fontes de dados. Essas correlações ajudam a criar um repositório avançado de informações e insights sobre as entidades, fornecendo uma base sólida e um contexto para investigar e responder a ameaças à segurança.

Saiba como mapear campos de dados para entidades.

Saiba quais identificadores identificam fortemente uma entidade.

Páginas de entidades

As informações sobre páginas de entidades agora podem ser encontradas em Páginas de entidades no Microsoft Sentinel.

Próximas etapas

Neste documento, você aprendeu a trabalhar com entidades no Microsoft Sentinel. Para obter orientações práticas sobre a implementação e para usar os insights obtidos, consulte os seguintes artigos:

• Habilite a análise do comportamento de entidades no Microsoft Sentinel.
• Busque ameaças de segurança.