Executar ações de resposta em um dispositivo

Responda rapidamente aos ataques detetados ao isolar dispositivos ou ao recolher um pacote de investigação. Depois de executar ações em dispositivos, você pode verificar os detalhes da atividade na Central de Ações.

As ações de resposta são executadas na parte superior de uma página de dispositivo específica e incluem:

• Gerenciar tags
• Iniciar investigação automatizada
• Iniciar sessão de resposta em direto
• Coletar pacote de investigação
• Executar verificação de antivírus
• Restringir a execução de aplicativo
• Isolar dispositivo
• Contém o dispositivo
• Consultar um especialista em ameaças
• Central de Ações

Você pode encontrar páginas dos dispositivos em qualquer uma das seguintes visualizações:

• Fila de alertas: selecione o nome do dispositivo ao lado do ícone do dispositivo na fila de alertas.
• Lista de dispositivos: selecione o cabeçalho do nome do dispositivo na lista de dispositivos.
• Caixa de pesquisa: selecione Dispositivo no menu suspenso e insira o nome do dispositivo.

Algumas ações de resposta de alto impacto podem ser restringidas em recursos de alto valor para evitar potenciais interrupções comerciais. Para obter mais informações, veja Restringir ações de resposta em recursos de valor elevado.

Gerenciar tags

Adicione ou faça a gestão de etiquetas para criar uma afiliação de grupo lógico. As marcas de dispositivo oferecem suporte ao mapeamento correto da rede, permitindo anexar marcas diferentes para capturar contexto e habilitar a criação de lista dinâmica como parte de um incidente.

Para obter mais informações sobre a identificação de dispositivos, consulte Criar e gerir etiquetas de dispositivos.

Iniciar investigação automatizada

Você pode iniciar uma nova investigação automatizada no dispositivo, se necessário. Enquanto uma investigação está em andamento, qualquer outro alerta do dispositivo é adicionado até que ela seja concluída. Se a mesma ameaça aparecer em outros dispositivos, esses dispositivos também são adicionados.

Para obter mais informações sobre investigações automatizadas, veja Descrição geral das Investigações automatizadas.

Iniciar sessão de resposta em direto

A resposta em tempo real oferece acesso instantâneo a um dispositivo por meio de uma conexão remota de shell. A resposta ao vivo permite que você faça um trabalho investigativo profundo e tome ações rápidas para conter ameaças em tempo real.

A resposta em tempo real ajuda você a coletar dados forenses, executar scripts, enviar entidades suspeitas para análise, corrigir ameaças e buscar ameaças emergentes.

Para obter mais informações sobre a resposta em direto, veja Investigar entidades em dispositivos com resposta em direto.

Coletar pacote de investigação de dispositivos

Como parte do processo de investigação ou de resposta, você pode coletar um pacote de investigação de um dispositivo. Ao recolher o pacote de investigação, pode identificar o estado atual do dispositivo e compreender melhor as ferramentas e técnicas utilizadas pelo atacante.

Para transferir o pacote (pasta zipada) e investigar os eventos ocorridos num dispositivo, siga estes passos:

1. Selecione Coletar pacote de investigação da linha de ações de resposta na parte superior da página do dispositivo.

2. Especifique na caixa de texto o motivo pelo qual pretende efetuar esta ação. Selecione Confirmar.

3. O arquivo ZIP é baixado.

Em alternativa, utilize este procedimento alternativo:

1. Selecione Coletar Pacote de Investigação na seção de ações de resposta da página do dispositivo.

   

2. Adicione comentários e, em seguida, selecione Confirmar.

   

3. Selecione Centro de ação na secção de ações de resposta da página do dispositivo.

   

4. Selecione Pacote de coleta disponível para baixar o pacote de coleta.

   

   Observação

   A coleta do pacote de investigação poderá falhar se o dispositivo de destino tiver um nível de bateria baixo ou estiver em uma conexão limitada.

Conteúdo do pacote de investigação para dispositivos Windows

Para dispositivos Windows, o pacote contém as pastas descritas na tabela seguinte:

Conteúdo do pacote de investigação para dispositivos Mac e Linux

A tabela seguinte lista os conteúdos dos pacotes de coleção para Mac e Linux dispositivos:

Executar verificação do Microsoft Defender Antivirus em dispositivos

Como parte do processo de investigação ou resposta, pode iniciar remotamente uma análise antivírus para ajudar a identificar e remediar software maligno que possa estar presente num dispositivo comprometido.

Depois de selecionar Executar verificação antivírus, selecione o tipo de verificação que deseja executar (rápido ou completo) e adicione um comentário antes de confirmar a verificação.

O Centro de Ação mostra os detalhes da varredura antivírus. A linha do tempo do dispositivo inclui um novo evento que mostra que uma ação de verificação foi enviada no dispositivo. Alertas do Microsoft Defender Antivirus mostram quaisquer ameaças encontradas durante a varredura.

Restringir a execução de aplicativo

Além de conter um ataque ao parar processos maliciosos, também pode bloquear um dispositivo e impedir a execução de tentativas subsequentes de programas potencialmente maliciosos.

Para restringir a execução de um aplicativo, é aplicada uma política de integridade de código. Essa política só permite que arquivos sejam executados se forem assinados por um certificado emitido pela Microsoft. Permitir apenas arquivos assinados pela Microsoft ajuda a impedir que atacantes controlem dispositivos comprometidos.

Depois de selecionar Restringir a execução de aplicações na página do dispositivo, escreva um comentário e selecione Confirmar. O Centro de Ação mostra os detalhes das restrições do aplicativo, e a linha do tempo do dispositivo inclui um novo evento.

Notificação do usuário do dispositivo para restrição de aplicativo

Quando uma aplicação é restrita, é apresentada a seguinte notificação para informar o utilizador de que uma aplicação está a ser impedida de ser executada:

Isolar dispositivos da rede

Dependendo da gravidade do ataque e da sensibilidade do dispositivo, poderá querer isolar o dispositivo da rede. O isolamento do dispositivo pode ajudar a impedir que o invasor controle o dispositivo comprometido e execute outras atividades, como exfiltração de dados e movimentação lateral.

Pontos importantes a ter em conta:

• Em ambientes que utilizam proxies Web (incluindo Configuração Automática de Proxy (PAC), WPAD ou configurações de proxy estático/direto), os dispositivos poderão não conseguir recuperar do isolamento de rede. Utilize o isolamento seletivo nesses casos. Ao utilizar o isolamento seletivo, não são necessárias definições de exclusão para evitar este cenário.

• O isolamento de dispositivos da rede é suportado para macOS para a versão de cliente 101.98.84 e posterior. Você também pode usar a resposta ao vivo para executar a ação. Para obter mais informações sobre a resposta em direto, veja Investigar entidades em dispositivos com resposta em direto

• O isolamento total está disponível para dispositivos com Windows 11, Windows 10, versão 1703 ou posterior, Windows Server 2012 R2 e posterior, e Azure Stack HCI OS, versão 23H2 e posterior.

• O isolamento de dispositivos da rede é suportado quando o Defender está em execução no modo passivo em todos os sistemas operativos Windows suportados, macOS e Linux versões suportadas.

• Você pode usar o recurso de isolamento de dispositivo em todas as versões do Microsoft Defender para Endpoint no Linux com suporte listadas em Requisitos do sistema. Certifique-se de que os seguintes pré-requisitos estão ativados:

  • iptables
  • ip6tables
  • Kernel Linux com CONFIG_NETFILTER, CONFIG_IP_NF_IPTABLES e CONFIG_IP_NF_MATCH_OWNER para versões do kernel inferiores à 5.x e CONFIG_NETFILTER_XT_MATCH_OWNER a partir do kernel 5.x.

• O isolamento seletivo está disponível para dispositivos em execução no Windows 11, Windows 10 versão 1703 ou posterior, Windows Server 2012 R2 e posterior, Azure Stack HCI OS, versão 23H2 e posterior, e macOS. Para obter mais informações sobre o isolamento seletivo, veja Exclusões de isolamento.

• Ao isolar um dispositivo, só são permitidos determinados processos e destinos. Portanto, os dispositivos que estão por trás de um túnel VPN completo não conseguirão acessar o serviço de nuvem do Microsoft Defender para Endpoint depois que o dispositivo for isolado. Recomendamos o uso de uma VPN com túnel dividido para o tráfego relacionado à proteção baseada em nuvem do Microsoft Defender para Ponto de Extremidade e do Microsoft Defender Antivirus.

• A funcionalidade suporta a ligação VPN.

• Você deve ter pelo menos a função Active remediation actions atribuída. Para obter mais informações, veja Criar e gerir funções.

• Você precisa ter acesso ao dispositivo com base nas configurações do grupo de dispositivos. Para obter mais informações, veja Criar e gerir grupos de dispositivos.

• Exclusões, como email, aplicativos de mensagens e outros aplicativos para isolamento no macOS e no Linux, não são compatíveis.

• Um dispositivo isolado é removido do isolamento quando um administrador modifica ou adiciona uma nova iptable regra ao dispositivo isolado.

• Isolar um servidor em execução no Microsoft Hyper-V bloqueia o tráfego de rede para todas as máquinas virtuais subordinadas do servidor.

• O isolamento do dispositivo é automaticamente levantado após sete dias.

A funcionalidade de isolamento do dispositivo desliga o dispositivo comprometido da rede, mantendo a conectividade ao serviço Defender para Endpoint, que continua a monitorizar o dispositivo. No Windows 10, versão 1709 ou posterior, pode utilizar o isolamento seletivo para um maior controlo sobre o nível de isolamento de rede. Também pode optar por ativar a conectividade do Outlook e do Microsoft Teams.

Depois de selecionar Isolar dispositivo na página do dispositivo, escreva um comentário e selecione Confirmar. A central de ações mostra as informações do exame, e a linha do tempo do dispositivo inclui um novo evento.

Isolar dispositivo - interrupção automática do ataque (Pré-visualização)

Quando um dispositivo da sua organização pode ser comprometido, o Microsoft Defender para Ponto de Extremidade pode isolá-lo automaticamente como parte de uma interrupção automática de ataques. O isolamento automático ajuda a reduzir ainda mais o impacto na organização e limitar o movimento lateral dos atacantes. Também ajuda a prevenir a exfiltração de dados e a disseminação de ransomware. Quando um dispositivo é isolado automaticamente:

• O dispositivo comprometido é desligado da rede, o que reduz o risco de impacto adicional na organização.
• O dispositivo mantém a conectividade com o serviço Microsoft Defender para Endpoint, que continua monitorando o dispositivo.

Ver ações automáticas de isolamento de dispositivos

Após a aplicação do isolamento automático, pode rever a ação e o respetivo status no portal do Defender:

• Abra o incidente relevante e reveja o separador Atividades .

  

• Abra a página do dispositivo afetado e confirme o status do isolamento do dispositivo.

• Abra o Centro de ação para rever o histórico de ações e o estado atual.

  

Salvaguardas e impacto comercial

Antes de implementar ou responder ao isolamento automático do dispositivo, considere o seguinte:

• Ação direcionada: o isolamento visa dispositivos específicos envolvidos no incidente, em vez de abranger amplamente todo o ambiente.
• Isolamento com limite de tempo: o isolamento é automaticamente anulado após uma janela de tempo definida. Você também pode encerrar o isolamento mais cedo após concluir a investigação e a remediação.
• Controlo do cliente: os operadores de segurança podem rever o contexto do incidente e tomar medidas de seguimento, incluindo libertar isolamento quando for seguro fazê-lo.

Exclusões de isolamento e de interrupção automática de ataques

Existem dois tipos de exclusões relevantes para o isolamento automático de dispositivos:

• Exclusões seletivas de isolamento: defina os processos e destinos de rede que permanecem acessíveis num dispositivo isolado. Utilize-as para preservar comunicações críticas (por exemplo, ferramentas de gestão ou aplicações empresariais) enquanto o dispositivo está isolado. As exclusões de isolamento seletivo estão disponíveis para dispositivos que executam Windows 11, Windows 10 versão 1703 ou posterior, Windows Server 2012 R2 e versões posteriores, Azure Stack HCI OS versão 23H2 e versões posteriores, e macOS.
• Exclusões de interrupção automática de ataques: defina que dispositivos ou entidades são excluídos totalmente das ações de interrupção automática. Utilize-os para impedir que os dispositivos críticos para a empresa sejam isolados em primeiro lugar.

Se um dispositivo isolado automaticamente for crítico para a empresa, priorize a validação rápida e a coordenação dos intervenientes. Libere a isolação somente depois de confirmar que as medidas adequadas de contenção e remediação estejam em vigor. Considere utilizar exclusões de interrupção automática de ataques para reduzir a probabilidade de isolar dispositivos que não toleram interrupções.

Confirmar o isolamento automático do dispositivo

Para confirmar que o isolamento automático do dispositivo foi aplicado, siga estes passos:

1. Abra o incidente relevante gerado pela interrupção automática do ataque no portal do Microsoft Defender.
2. Reveja o separador Atividade ou Centro de ação para ver que ações de resposta automatizadas foram aplicadas.
3. Abra a página do dispositivo afetado e confirme que o status do dispositivo mostra que ele está isolado.
   • Se a ação de isolamento for apresentada como falhada ou pendente, confirme que o dispositivo está online e pode reportar ao Defender para Endpoint. Pode tentar novamente a partir do painel de ação do dispositivo, se disponível.
   • Se um dispositivo parecer isolado, mas não conseguir recolher dados de investigação, verifique se o método de investigação (por exemplo, resposta em direto) é suportado para esse dispositivo e cenário. Confirme também se os pontos finais de serviço necessários estão acessíveis na configuração de rede. Para obter mais informações, consulte Investigar entidades em dispositivos usando resposta ao vivo e Configurar a conectividade do dispositivo e as configurações de proxy no Microsoft Defender para Ponto de Extremidade.

Liberar um dispositivo do isolamento automático

Você pode liberar o dispositivo da contenção a qualquer momento após mitigar o risco e concluir a investigação:

1. Selecione o dispositivo na página Inventário de dispositivos ou abra o dispositivo.
2. Selecione Libertar do isolamento no menu de ação.

Para obter mais informações sobre o lançamento de dispositivos, veja Isolar dispositivos da rede.

Excluir dispositivos do isolamento automático

Você pode excluir dispositivos específicos do isolamento automático de dispositivos usando aplicações de políticas e exclusões. Crie uma nova tag de dispositivo ou use uma tag existente, atribua a tag aos dispositivos que deseja excluir e configure a aplicação de política para excluir a ação Isolar dispositivo para essa tag.

Para instruções detalhadas, veja Aplicações e exclusões de Política (Prévia).

Quando a interrupção automática de ataque identifica um dispositivo excluído como comprometido, a ação de Isolar dispositivo não é executada. A ação aparece com o status Ignorado na Central de Ações, e o dispositivo continua funcionando normalmente.

Forçar a remoção do dispositivo do isolamento

A funcionalidade de isolamento de dispositivos é uma ferramenta inestimável para proteger os dispositivos contra ameaças externas. No entanto, existem instâncias em que os dispositivos isolados não respondem.

Há um script disponível para download para casos em que dispositivos isolados deixam de responder, que você pode executar para retirá-los do isolamento à força. O script está disponível por meio de um link na página do dispositivo no portal Microsoft Defender.

Para remover à força o dispositivo do isolamento:

1. Na página do dispositivo, selecione Baixar script para forçar a liberação de um dispositivo do isolamento no menu de ações.

2. No painel à direita, selecione Transferir script.

Requisitos mínimos para a libertação forçada de dispositivos

Para forçar a liberação de um dispositivo do isolamento, o dispositivo deve estar executando o Windows. São suportadas as seguintes versões:

• Windows 10 21H2 e 22H2 com KB5023773.
• Windows 11 versão 21H2, todas as edições com KB5023774.
• Windows 11 versão 22H2, todas as edições com KB5023778.

Notificação ao usuário do dispositivo sobre isolamento

Quando um dispositivo está a ser isolado, é apresentada a seguinte notificação para informar o utilizador de que o dispositivo está a ser isolado da rede:

Conter ativos críticos

Quando um ativo crítico é comprometido e usado para espalhar ameaças, deter a propagação pode ser difícil. Esses ativos precisam continuar funcionando para evitar perda de produtividade. O Defender para Endpoint inclui o ativo crítico em um nível detalhado de granularidade. Isso impede que o ataque se espalhe enquanto mantém o ativo funcionando.

Por meio de interrupção automática de ataques, o Defender for Endpoint sinaliza um dispositivo malicioso e identifica seu papel. Em seguida, aplica uma política de correspondência para conter o ativo crítico. Esse confinamento bloqueia apenas portas e direções de comunicação específicas.

Pode identificar recursos críticos através da etiqueta de recurso crítico no dispositivo ou página IP. A contenção de dispositivos suporta tipos de recursos críticos, como controladores de domínio, servidores DNS e servidores DHCP.

Conter dispositivos da rede

Ao encontrar um dispositivo não gerenciado que esteja comprometido ou possa estar comprometido, você pode isolá-lo da rede. Isso impede que o ataque se mova lateralmente. Quando você contém um dispositivo, todos os dispositivos embarcados no Defender for Endpoint bloqueiam a comunicação de entrada e saída com esse dispositivo. O contenimento ajuda a proteger dispositivos próximos enquanto o analista de segurança encontra e corrige a ameaça.

Assim que os dispositivos estiverem contidos, recomendamos que investigue e remediar a ameaça nos dispositivos contidos o mais rapidamente possível. Após a remediação, você deve remover os dispositivos do isolamento.

Como conter um dispositivo

Para conter um dispositivo na página de inventário de dispositivos, siga estes passos:

1. Aceda à página Inventário de dispositivos e selecione o dispositivo a conter.

2. Selecione Conter dispositivo no menu de ações do menu suspenso do dispositivo.

   

3. Na janela pop-up de contenção do dispositivo, digite um comentário e selecione Confirm.

   

Conter um dispositivo na página do dispositivo

Um dispositivo também pode ser contido na página do dispositivo ao selecionar Conter dispositivo na barra de ação:

Depois de conter um dispositivo, se o comportamento não for o esperado, verifique se o serviço Base Filtering Engine (BFE) está habilitado nos dispositivos integrados ao Defender para Endpoint.

Parar de conter um dispositivo

Você pode interromper o isolamento de um dispositivo a qualquer momento.

1. Selecione o dispositivo na página Inventário de dispositivos ou abra o dispositivo.

2. Selecione Liberar da contenção no menu de ação. A liberação da contenção restaura a conexão do dispositivo com a rede.

Conter endereços IP de dispositivos não descobertos

Defender for Endpoint também pode conter endereços IP vinculados a dispositivos que não são descobertos ou não estão integrados. Conter um endereço IP impede que atacantes espalhem ataques para outros dispositivos. Quando um endereço IP está contido, todos os dispositivos embarcados bloqueiam o tráfego de entrada e saída com dispositivos que usam esse endereço IP.

A contenção de um endereço IP associado a dispositivos não descobertos ou a dispositivos não integrados ao Defender para Endpoint é feita automaticamente por meio da interrupção automática de ataques. A política Conter IP bloqueia automaticamente um endereço IP malicioso quando o Defender para Ponto Final deteta que o endereço IP está associado a um dispositivo não descoberto ou a um dispositivo não integrado.

Uma mensagem indicando que a ação foi aplicada é exibida na página do incidente, dispositivo ou IP aplicável. Veja um exemplo.

Depois que um endereço IP for contido, você poderá ver a ação no modo de exibição Histórico da Central de Ações. Pode ver quando ocorreu a ação e identificar os endereços IP que estavam contidos.

Se um endereço IP contido fizer parte de um incidente, está presente um indicador no gráfico de incidentes e no separador de provas e resposta do incidente. Eis um exemplo.

Você pode interromper a contenção de um endereço IP a qualquer momento. Para interromper a contenção, selecione a ação Conter IP na Central de Ações. No menu suspenso, selecione Desfazer. Esta ação restaura a ligação do endereço IP à rede.

Isolar um usuário da rede

Quando uma identidade na sua rede pode ficar comprometida, tem de impedir que essa identidade aceda à rede e a diferentes pontos finais. O Defender para Ponto de Extremidade pode conter uma identidade, bloqueando o acesso a ela e ajudando a prevenir ataques, especificamente, ransomware. Quando uma identidade é contida, todos os dispositivos compatíveis integrados ao Defender para Ponto de Extremidade bloqueiam o tráfego de entrada em protocolos relacionados ao ataque (logons de rede, RPC, SMB, RDP). Os dispositivos também encerram sessões remotas em andamento e desconectam conexões RDP existentes, incluindo todos os processos relacionados. O tráfego legítimo continua fluindo normalmente. Conter uma identidade pode ajudar significativamente a reduzir o impacto de um ataque. Quando uma identidade é contida, os analistas de operações de segurança têm tempo extra para localizar, identificar e remediar a ameaça à identidade comprometida. Uma vez contido por interrupção automática do ataque, um utilizador é removido automaticamente da contenção nos próximos cinco dias.

Conter notas importantes do utilizador

• O Defender para Ponto de Extremidade impõe a contenção do usuário na camada do ponto de extremidade e não desativa a conta no provedor de identidade. O Defender para Ponto Final bloqueia a utilização de identidades comprometidas por parte do atacante em dispositivos protegidos e limita o acesso baseado na autenticação, o acesso ao sistema de ficheiros e os caminhos de comunicação de rede. Esta ação aplica controlos a um nível granular, para que a Microsoft possa direcionar a atividade relacionada com ataques e preservar a comunicação comercial normal sempre que possível.
• Quando a ação conter utilizador é acionada pela proteção preditiva (Pré-visualização), a ação conter utilizador aplica restrições de forma mais seletiva, com um foco nos utilizadores identificado como de alto risco através da lógica de predição. A ação de contenção do usuário na proteção preditiva impede novas sessões, em vez de encerrar as já existentes.
• Embora a funcionalidade de proteção preditiva como um todo esteja em versão prévia, esta ação está disponível de forma geral, tanto quando é disparada pela interrupção de ataque quanto pela proteção preditiva.
• O bloqueio de comunicação de entrada com um usuário "contido" é compatível com o Microsoft Defender para Ponto de Extremidade integrado em dispositivos Windows 10 e 11 (versão Sense 8740 e superior), dispositivos Windows Server 2019+ e Windows Servers 2012R2 e 2016 com o agente moderno.
• Importante: quando uma ação Conter utilizador é imposta num controlador de domínio, inicia uma atualização de GPO na política Controlador de Domínio Predefinido. Uma alteração de um GPO inicia uma sincronização entre os controladores de domínio no seu ambiente. Este é o comportamento esperado e, se você monitorar seu ambiente em busca de alterações na GPO do AD, poderá ser notificado sobre essas alterações. Desfazer a ação Conter usuário reverte as alterações da GPO para o estado anterior, o que iniciará outra sincronização da GPO do AD em seu ambiente. Saiba mais sobre a intercalação de políticas de segurança em controladores de domínio.

Como conter um utilizador

Atualmente, a contenção de utilizadores só está disponível automaticamente através da interrupção automática de ataques. Quando a Microsoft deteta que um utilizador está comprometido, é definida automaticamente uma política "Conter Utilizador".

Veja as ações de conter usuário

Depois que um usuário está contido, você pode visualizar a ação na visualização Histórico do Centro de Ações. Na visualização Histórico do Centro de Ação, você pode ver quando a ação ocorreu e quais usuários da sua organização estavam incluídos:

Além disso, depois que uma identidade for considerada "contida", esse usuário será bloqueado pelo Defender para Ponto de Extremidade e não poderá realizar nenhum movimento lateral malicioso ou criptografia remota em ou para qualquer dispositivo integrado compatível com o Defender para Ponto de Extremidade. Estes blocos são apresentados como alertas para o ajudar a ver rapidamente os dispositivos que o utilizador comprometido tentou aceder e potenciais técnicas de ataque:

Para visualizar o status atual da ação de contenção de usuário e outras ações, consulte Rastrear o status da ação na guia Atividades (versão preliminar).

Desfazer ações de contenção de usuário

Você pode remover os bloqueios e a contenção de um usuário a qualquer momento:

1. Selecione a ação Conter Usuário na Central de Ações. No painel lateral, selecione Desfazer.

2. Selecione o usuário no inventário de usuários, no painel lateral da página de incidentes ou no painel lateral de alertas e selecione Desfazer.

Esta ação restaura a ligação do utilizador à rede.

Capacidades de investigação com o Contain User

Depois de um utilizador estar contido, pode investigar a potencial ameaça ao ver as ações bloqueadas pelo utilizador comprometido. Na visualização da linha do tempo do dispositivo, você pode ver informações sobre eventos específicos, incluindo a granularidade de protocolo e de interface, e a Técnica MITRE relevante associada a eles.

Além disso, você pode expandir a investigação usando a caça avançada. Busque qualquer tipo de ação que comece com contain na tabela DeviceEvents. Em seguida, você pode visualizar todos os diferentes eventos de bloqueio individuais relacionados a Contain User na sua organização, se aprofundar no contexto de cada bloqueio e extrair as diferentes entidades e técnicas associadas a esses eventos.

Reforço de segurança de GPO — proteção preditiva (versão preliminar)

O recurso de proteção preditiva (Versão prévia) permite que o Defender for Endpoint aplique a ação de fortalecimento da GPO. O endurecimento do GPO bloqueia temporariamente novas políticas de Objetos de Políticas de Grupo em dispositivos de alto risco. Isso ajuda a evitar o comprometimento ao limitar alterações nas configurações principais.

Para obter melhores resultados com blindagem preditiva, use o sensor Microsoft Defender para Identidade. Para obter mais informações, veja Melhorar a proteção preditiva com Microsoft Defender para Identidade.

Após a aplicação da ação, você pode visualizar seu impacto no gráfico de incidentes, acompanhá-la no Centro de Ações e investigar com caça avançada. Para obter mais informações, veja Gerir ações de proteção preditiva.

Reforço do Safeboot - blindagem preditiva (Prévia)

Como parte do recurso de proteção preditiva (versão prévia), o Defender for Endpoint aplica automaticamente a ação de proteção reforçada do Safeboot. O reforço do Safeboot ajuda a proteger os dispositivos contra comprometimento ao aplicar configurações de inicialização mais rigorosas em dispositivos cuja previsão é de alto risco de comprometimento.

Para enriquecer as ações de proteção preditiva, recomendamos que utilize o sensor de Microsoft Defender para Identidade no seu ambiente. Para obter mais informações, veja Melhorar a proteção preditiva com Microsoft Defender para Identidade.

Depois que a ação for aplicada, você poderá ver o impacto da ação no grafo de incidentes, acompanhar as ações na Central de Ações e continuar investigando usando a busca avançada. Para obter mais informações, veja Gerir ações de proteção preditiva.

Para ver o status atual da ação de reforço do Safeboot e de outras ações, consulte Acompanhar o status da ação na aba Atividades (Versão prévia).

Consultar um especialista em ameaças

Você pode consultar um especialista em ameaças da Microsoft para obter mais informações sobre um dispositivo comprometido ou potencialmente comprometido. A Especialistas em Ameaças da Microsoft trabalha diretamente com você a partir do portal Defender para uma resposta rápida e precisa. Especialistas ajudam você a entender ameaças complexas, alertas de ataques direcionados e inteligência de ameaças exibidas no painel do seu portal.

Veja Configurar e gerir Notificações de Ataques de Ponto Final para obter detalhes.

Verificar detalhes da atividade e status

O Centro de ação (https://security.microsoft.com/action-center) fornece informações sobre as ações efetuadas num dispositivo ou ficheiro. Pode ver os seguintes detalhes:

• Coleta de pacotes de investigação
• Análise de antivírus
• Restrição de aplicações
• Isolamento do dispositivo

Todos os outros detalhes relacionados também são apresentados, por exemplo, data/hora de submissão, submissão de utilizador e se a ação teve êxito ou falhou.

O separador Atividades na página Incidente mostra os detalhes e status de ações que foram tomadas como parte da resposta ao incidente. Para obter mais informações, consulte Acompanhar o status da ação na guia Atividades (Versão prévia).

Conteúdo relacionado

• Executar ações de resposta em um arquivo
• Ações de resposta manuais no Microsoft Defender para Endpoint Plano 1
• Imprecisão de relatórios