Páginas de entidades no Microsoft Sentinel

Quando você se depara com uma conta de usuário, um nome de host, um endereço IP ou um recurso do Azure em uma investigação de incidente, pode decidir que deseja saber mais sobre isso. Por exemplo, convém saber o histórico de atividades dele, se ele apareceu em outros alertas ou incidentes, se ele fez algo inesperado ou fora do personagem e assim por diante. Em suma, você deseja informações que possam ajudá-lo a determinar que tipo de ameaça essas entidades representam e orientar sua investigação de acordo.

Este artigo descreve as páginas de entidades do Microsoft Sentinel no portal do Azure. Para obter informações sobre páginas de entidades no portal do Defender, consulte:

• Página de entidade do usuário no Microsoft Defender
• Página de entidade do dispositivo no Microsoft Defender
• Página de entidade de endereço IP no Microsoft Defender

Páginas de entidades

Nessas situações, você pode selecionar a entidade (ela aparecerá como um link clicável) e ser levado para uma página de entidade, uma folha de dados cheia de informações úteis sobre essa entidade. Você também pode acessar uma página de entidade pesquisando diretamente por entidades na página de comportamento de entidade do Microsoft Sentinel. Os tipos de informações que você encontrará nas páginas de entidades incluem fatos básicos sobre a entidade, uma linha do tempo de eventos notáveis relacionados a essa entidade e insights sobre o comportamento da entidade.

Mais especificamente, as páginas de entidades consistem em três partes:

• O painel do lado esquerdo contém as informações de identificação da entidade, coletadas de fontes de dados como Microsoft Entra ID, Monitor do Azure, Atividade Azure, Azure Resource Manager, Microsoft Defender para Nuvem, CEF/Syslog e Microsoft Defender XDR (com todos os seus componentes).

• O painel central mostra uma linha do tempo gráfica e textual de eventos notáveis relacionados à entidade, como alertas, indicadores, anomalias e atividades. As atividades são agregações de eventos notáveis do Log Analytics. As consultas que detectam essas atividades são desenvolvidas por equipes de pesquisa de segurança da Microsoft, e agora você pode adicionar suas próprias consultas personalizadas para detectar atividades de sua escolha.

• O painel à direita apresenta informações comportamentais da entidade. Esses insights são desenvolvidos continuamente pelas equipes de pesquisa de segurança da Microsoft. Elas se baseiam em várias fontes de dados e fornecem contexto para a entidade e suas atividades observadas, ajudando você a identificar rapidamente comportamentos anômalos e ameaças à segurança.

Se você estiver investigando um incidente usando a nova experiência de investigação, poderá ver uma versão em painel da página da entidade diretamente na página de detalhes do incidente. Você tem uma lista de todas as entidades em um determinado incidente e, ao selecionar uma entidade, abre-se um painel lateral com três "cartões" — Informações, Linha do tempo e Insights — que exibem as mesmas informações descritas acima, dentro do período específico correspondente ao dos alertas do incidente.

Se você estiver usando o Microsoft Sentinel no portal do Defender, os painéis de linha do tempo e insights aparecerão na guia de eventos do Sentinel da página de entidade do Defender.

A linha do tempo

A linha do tempo é uma parte importante da contribuição da página de entidade para a análise de comportamento no Microsoft Sentinel. Ele apresenta uma história sobre eventos relacionados à entidade, ajudando você a entender a atividade da entidade dentro de um período de tempo específico.

Você pode escolher o intervalo de tempo entre várias opções predefinidas (como últimas 24 horas) ou defini-lo para qualquer período de tempo definido de forma personalizada. Além disso, você pode definir filtros que limitam as informações na linha do tempo a tipos específicos de eventos ou alertas.

Os seguintes tipos de itens estão incluídos na linha do tempo.

• Alertas: todos os alertas nos quais a entidade é definida como uma entidade mapeada. Observe que, se sua organização criou alertas personalizados usando regras de análise, você deve verificar se o mapeamento de entidade das regras é feito corretamente.

• Indicadores: quaisquer indicadores que incluam a entidade específica mostrada na página.

• Anomalias: detecções UEBA com base em linhas de base dinâmicas criadas para cada entidade em várias entradas de dados e em relação às suas próprias atividades históricas, as de seus pares e as da organização como um todo.

• Atividades: agregação de eventos notáveis relacionados à entidade. Uma ampla gama de atividades é coletada automaticamente, e agora você pode personalizar esta seção adicionando atividades de sua escolha.

Informações sobre entidades

Os insights sobre entidades são consultas definidas por pesquisadores de segurança da Microsoft para ajudar seus analistas a investigar com mais eficiência e eficácia. Os insights são apresentados como parte da página da entidade e fornecem informações de segurança valiosas sobre hosts e usuários, na forma de dados tabulares e gráficos. Ter as informações aqui significa que você não precisa desviar para o Log Analytics. Os insights incluem dados sobre logins, adições de grupo, eventos anômalos e muito mais, e incluem algoritmos avançados de ML para detectar comportamentos anômalos.

Os insights são baseados nas seguintes fontes de dados:

• Syslog (Linux)
• EventoDeSegurança (Windows)
• AuditLogs (Microsoft Entra ID)
• SigninLogs (Microsoft Entra ID)
• Atividade do Office (Office 365)
• BehaviorAnalytics (Microsoft Azure Sentinel UEBA)
• Heartbeat (agente do Azure Monitor)
• CommonSecurityLog (Microsoft Sentinel)

De um modo geral, cada insight de entidade exibido na página da entidade é acompanhado por um link que o levará a uma página em que a consulta subjacente ao insight é exibida, juntamente com os resultados, para que você possa examinar os resultados com maior profundidade.

• No Microsoft Sentinel no portal do Azure, o link leva você para a página Logs.
• No portal do Microsoft Defender, o link leva você para a página Busca avançada.

Como usar páginas de entidades

As páginas de entidade foram projetadas para ser parte de vários cenários de uso e podem ser acessadas no gerenciamento de incidentes, no grafo de investigação, nos favoritos ou diretamente na página de pesquisa de entidades, na opção Comportamento da entidade do menu principal do Microsoft Sentinel.

As informações da página de entidade são armazenadas na tabela BehaviorAnalytics, descrita em detalhes na referência UEBA do Microsoft Sentinel.

Páginas de entidades com suporte

O Microsoft Sentinel oferece atualmente as seguintes páginas de entidade:

• Conta de usuário

• Anfitrião

• Endereço IP (versão prévia)

  Observação

  A página de entidade do endereço IP (agora em versão prévia) contém dados de geolocalização fornecidos pelo serviço de Inteligência Contra Ameaças da Microsoft. Esse serviço combina dados de geolocalização de soluções da Microsoft e de fornecedores e parceiros terceirizados. Os dados ficam disponíveis para análise e investigação no contexto de um incidente de segurança. Para obter mais informações, consulte também Enriquecer entidades no Microsoft Sentinel com dados de geolocalização por meio da API REST (visualização pública).

• Recurso do Azure (versão prévia)

• Dispositivo IoT (versão prévia) – somente no Microsoft Sentinel no portal do Azure por enquanto.

Próximas etapas

Neste documento, você aprendeu a obter informações sobre entidades no Microsoft Sentinel usando páginas de entidade. Para obter mais informações sobre entidades e como você pode usá-las, consulte os seguintes artigos:

• Saiba mais sobre entidades no Microsoft Sentinel.
• Personalizar atividades nas linhas do tempo das páginas de entidade.
• Identifique ameaças avançadas com a Análise do Comportamento de Usuários e Entidades (UEBA) no Microsoft Sentinel
• Habilite a análise do comportamento de entidades no Microsoft Sentinel.
• Busque ameaças de segurança.