Guia de Operações de Segurança do Microsoft Defender para Endpoint

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Este artigo apresenta uma visão geral dos requisitos e das tarefas para operar o Microsoft Defender para Ponto de Extremidade com êxito em sua organização. Essas tarefas ajudam seu centro de operações de segurança (SOC) a detectar e responder com eficácia a ameaças à segurança detectadas pelo Microsoft Defender para Ponto de Extremidade.

Este artigo também descreve tarefas diárias, semanais, mensais e ad-hoc que a sua equipa de segurança pode realizar para a sua organização.

Observação

Estas são etapas recomendadas; verifique-as em relação às suas próprias políticas e ao seu ambiente para garantir que sejam adequadas à finalidade pretendida.

Pré-requisitos

O Ponto Final Microsoft Defender deve ser configurado para suportar o seu processo regular de operações de segurança. Embora não sejam abordados neste documento, os artigos a seguir fornecem informações de configuração e instalação:

Atividades diárias

Geral

  • Revisar ações

    No centro de ação, reveja as ações que foram executadas no seu ambiente, automatizadas e manuais. Estas informações ajudam-no a validar que a investigação e resposta automatizadas (AIR) estão a funcionar conforme esperado e a identificar quaisquer ações manuais que precisem de ser revistas. Para obter mais informações, veja Visitar o Centro de ação para ver as ações de remediação.

Equipa de operações de segurança

Equipa de administração de segurança

  • Examinar relatórios de integridade

    Reveja os relatórios de estado de funcionamento para identificar quaisquer tendências de estado de funcionamento do dispositivo que precisem de ser abordadas. Os relatórios de integridade do dispositivo abrangem a assinatura antivírus do Microsoft Defender para Ponto de Extremidade, a integridade da plataforma e a integridade do EDR. Para obter mais informações, consulte Relatórios de integridade do dispositivo no Microsoft Defender para Ponto de Extremidade.

  • Verificar o estado de funcionamento do sensor de deteção e resposta de pontos finais (EDR)

    A integridade do EDR está mantendo a conexão com o serviço EDR para garantir que o Defender para Ponto de Extremidade esteja recebendo os sinais necessários a fim de emitir alertas e identificar vulnerabilidades.

    Examine dispositivos não íntegros. Para obter mais informações, veja Estado de funcionamento do dispositivo, Estado de funcionamento do sensor & relatório do SO.

  • Verificar Microsoft Defender estado de funcionamento do Antivírus

    Ver a status das atualizações do Antivírus do Microsoft Defender é fundamental para o melhor desempenho do Defender para Endpoint no seu ambiente e deteções atualizadas. A página de integridade do dispositivo mostra o status atual da plataforma, da inteligência e da versão do mecanismo. Para obter mais informações, veja o relatório Estado de funcionamento do dispositivo Microsoft Defender Antivírus.

Atividades semanais

Geral

  • Centro de Mensagens

    Microsoft Defender usa o centro de mensagens Microsoft 365 para notificar você sobre as alterações futuras, como recursos novos e alterados, manutenção planejada ou outros anúncios importantes.

    Reveja as mensagens do Centro de mensagens para compreender as alterações futuras que afetam o seu ambiente.

    Você pode acessar essa opção no Centro de administração do Microsoft 365, na guia Saúde. Para mais informações, consulte Como verificar a integridade do serviço do Microsoft 365.

Equipa de operações de segurança

Equipa de administração de segurança

  • Revisar o status de ameaças e vulnerabilidades (TVM)

    Reveja TVM para identificar quaisquer novas vulnerabilidades e recomendações que exijam ação. Para obter mais informações, veja Gestão de vulnerabilidades dashboard.

  • Rever relatórios de redução da superfície de ataque

    Reveja os relatórios do ASR para identificar quaisquer ficheiros que afetem o seu ambiente. Para obter mais informações, veja Relatório de regras de redução da superfície de ataque (ASR).

  • Rever eventos de proteção Web

    Reveja o relatório de defesa da Web para identificar quaisquer endereços IP ou URLs bloqueados. Para obter mais informações, consulte Proteção web.

Atividades mensais

Geral

Reveja os seguintes artigos para compreender as atualizações lançadas recentemente:

Equipa de administração de segurança

Periodicamente

Estas tarefas são vistas como manutenção para a sua postura de segurança e são fundamentais para a sua proteção contínua. No entanto, como podem demorar algum tempo e esforço, recomenda-se que defina uma agenda padrão que pode manter para realizar estas tarefas.

  • Revisar exclusões

    Reveja as exclusões que foram definidas no seu ambiente para confirmar que não criou uma lacuna de proteção ao excluir itens que já não têm de ser excluídos.

  • Rever as configurações da política do Defender

    Reveja periodicamente as definições de configuração do Defender para confirmar que estão definidas conforme necessário.

  • Rever os níveis de automatização

    Reveja os níveis de automatização nas capacidades de investigação e remediação automatizadas. Para obter mais informações, veja Níveis de automatização na investigação e remediação automatizadas.

  • Revisar detecções personalizadas

    Reveja periodicamente se as deteções personalizadas que foram criadas ainda são válidas e eficazes. Para obter mais informações, consulte Examinar detecção personalizada.

  • Revisar a supressão de alertas

    Reveja periodicamente quaisquer regras de supressão de alertas que tenham sido criadas para confirmar que ainda são necessárias e válidas. Para obter mais informações, consulte Supressão de alertas de revisão.

Solução de problemas

Os artigos a seguir fornecem orientações para solucionar problemas e corrigir erros que você talvez encontre durante a configuração do serviço Microsoft Defender para Ponto de Extremidade.

  • Última atualização em