Detecção avançada de ataque em vários estágios no Microsoft Sentinel

O Microsoft Sentinel usa Fusion, um mecanismo de correlação baseado em algoritmos escaláveis de aprendizado de máquina, para detectar automaticamente ataques de vários estágios (também conhecidos como ameaças persistentes avançadas ou APTs) por meio da identificação de combinações de comportamentos anômalos e atividades suspeitas observadas em vários estágios da cadeia de ataque. Com base nessas descobertas, o Microsoft Sentinel gera incidentes que, de outra forma, seriam difíceis de detectar. Esses incidentes compreendem dois ou mais alertas ou atividades. Por padrão, esses incidentes são de baixo volume, alta fidelidade e alta gravidade.

Personalizada para o seu ambiente, essa tecnologia de detecção não apenas reduz as taxas de falsos positivos , mas também pode detectar ataques com informações limitadas ou ausentes.

Como o Fusion correlaciona vários sinais de vários produtos para detectar ataques avançados de vários estágios, as detecções bem-sucedidas do Fusion são apresentadas como incidentes do Fusion na página Incidentes do Microsoft Sentinel, e não como alertas, e são armazenadas na tabela SecurityIncident em Logs e não na tabela SecurityAlert.

Configurar o Fusion

A fusão está habilitada por padrão no Microsoft Sentinel, como uma regra de análise chamada Detecção avançada de ataques em vários estágios. Você pode visualizar e alterar o status da regra, configurar sinais de origem a serem incluídos no modelo do Fusion ML ou excluir padrões de detecção específicos que podem não ser aplicáveis ao seu ambiente da detecção do Fusion. Saiba como configurar a regra de fusão.

Para workspaces do Microsoft Sentinel integrados ao portal do Microsoft Defender, o Fusion está desabilitado. Sua funcionalidade foi substituída pelo mecanismo de correlação do Microsoft Defender XDR.

Integração contra ameaças emergentes

Configurar o Fusion

A fusão está habilitada por padrão no Microsoft Sentinel, como uma regra de análise chamada Detecção avançada de ataques em vários estágios. Você pode visualizar e alterar o status da regra, configurar sinais de origem a serem incluídos no modelo do Fusion ML ou excluir padrões de detecção específicos que podem não ser aplicáveis ao seu ambiente da detecção do Fusion. Saiba como configurar a regra de fusão.

Talvez você queira recusar o Fusion se tiver habilitado as CMKs (Chaves Gerenciadas pelo Cliente) em seu espaço de trabalho. Atualmente, o Microsoft Sentinel usa 30 dias de dados históricos para treinar os algoritmos de aprendizado de máquina do mecanismo Fusion, e esses dados são sempre criptografados usando as chaves da Microsoft à medida que passam pelo pipeline de aprendizado de máquina. No entanto, os dados de treinamento não são criptografados usando CMK. Para recusar o Fusion, desabilite a regra de análise de Detecção Avançada de Ataques em Vários Estágios no Microsoft Sentinel. Para obter mais informações, consulte Configurar regras de fusão.

A fusão é desabilitada quando o Microsoft Sentinel é integrado ao portal do Defender. Em vez disso, ao trabalhar no portal do Defender, a funcionalidade fornecida pelo Fusion é substituída pelo mecanismo de correlação do Microsoft Defender XDR.

Fusão para ameaças emergentes (versão prévia)

O volume de eventos de segurança continua a crescer, e o escopo e a sofisticação dos ataques estão aumentando cada vez mais. Podemos definir os cenários de ataque conhecidos, mas e as ameaças emergentes e desconhecidas em seu ambiente?

O mecanismo de fusão baseado em ML do Microsoft Sentinel pode ajudá-lo a encontrar as ameaças emergentes e desconhecidas em seu ambiente aplicando análise estendida de ML e correlacionando um escopo mais amplo de sinais anômalos, mantendo a fadiga de alerta baixa.

Os algoritmos de ML do mecanismo Fusion aprendem constantemente com os ataques existentes e aplicam análises com base em como os analistas de segurança pensam. Portanto, ele pode descobrir ameaças não detectadas anteriormente de milhões de comportamentos anômalos em toda a cadeia de eliminação em todo o seu ambiente, o que ajuda você a ficar um passo à frente dos invasores.

O Fusion para ameaças emergentes oferece suporte à coleta e análise de dados das seguintes fontes:

• Detecções de anomalias prontas para uso

• Alertas dos serviços Microsoft:

  • Proteção do Entra ID da Microsoft
  • Microsoft Defender para Nuvem
  • Microsoft Defender para IoT
  • Microsoft Defender XDR
  • Microsoft Defender para Aplicativos de Nuvem
  • Microsoft Defender para Endpoint
  • Microsoft Defender para Identidade
  • Microsoft Defender para Office 365

• Alertas gerados por regras de análise agendadas. As regras de análise devem conter informações de kill chain (táticas) e de mapeamento de entidade para serem utilizadas pelo Fusion.

Você não precisa ter conectado todas as fontes de dados listadas acima para fazer o Fusion para ameaças emergentes funcionar. No entanto, quanto mais fontes de dados você tiver conectado, mais ampla será a cobertura e mais ameaças o Fusion encontrará.

Quando as correlações do mecanismo Fusion resultam na detecção de uma ameaça emergente, o Microsoft Sentinel gera um incidente de alta gravidade intitulado Possíveis atividades de ataque em vários estágios detectadas pelo Fusion.

Fusion contra ransomware

O mecanismo Fusion do Microsoft Sentinel gera um incidente quando detecta vários alertas de diferentes tipos das seguintes fontes de dados e determina que eles podem estar relacionados à atividade de ransomware:

• Microsoft Defender para Nuvem
• Microsoft Defender para Endpoint
• Conector do Microsoft Defender para Identidade
• Microsoft Defender para Aplicativos de Nuvem
• Regras de análise agendada do Microsoft Sentinel. O Fusion considera apenas regras de análise programadas com informações táticas e entidades mapeadas.

Esses incidentes do Fusion são chamados de Múltiplos alertas possivelmente relacionados à atividade de Ransomware detectada e são gerados quando alertas relevantes são detectados durante um período de tempo específico e estão associados aos estágios de Execução e Evasão de Defesa de um ataque.

Por exemplo, o Microsoft Sentinel geraria um incidente para possíveis atividades de ransomware se os seguintes alertas fossem disparados no mesmo host dentro de um período de tempo específico:

Detecções de fusão baseadas em cenário

A seção a seguir lista os tipos de ataques de vários estágios baseados em cenário, agrupados por classificação de ameaça, que o Microsoft Sentinel detecta usando o mecanismo de correlação de fusão.

Para habilitar esses cenários de detecção de ataques baseados no Fusion, as fontes de dados associadas devem ser ingeridas no workspace do Log Analytics. Selecione os links na tabela abaixo para saber mais sobre cada cenário e suas fontes de dados associadas.

Conteúdo relacionado

Para saber mais, confira:

• Cenários detectados pelo mecanismo do Microsoft Sentinel Fusion
• Configurar regras de detecção de ataques em vários estágios (Fusion) no Microsoft Sentinel