Guia de Operações de Segurança do Microsoft Defender para Office 365

Este artigo apresenta uma visão geral dos requisitos e das tarefas para operar o Microsoft Defender para Office 365 com êxito na sua organização. Estas tarefas ajudam a garantir que o seu centro de operações de segurança (SOC) fornece uma abordagem fiável e de alta qualidade para proteger, detetar e responder a ameaças de segurança relacionadas com o e-mail e a colaboração.

O resto deste guia descreve as atividades necessárias para o pessoal do SecOps. As atividades são agrupadas em tarefas prescritivas diárias, semanais, mensais e ad hoc.

Um artigo complementar a este guia fornece uma visão geral para gerenciar Defender para Office 365 incidentes e alertas.

O Guia de Operações de Segurança Microsoft Defender XDR contém informações adicionais que pode utilizar para planeamento e desenvolvimento.

Para assistir a um vídeo sobre os requisitos e as tarefas de SecOps do Defender para Office 365, consulte https://youtu.be/eQanpq9N1Ps.

Atividades diárias

Monitorar a fila de incidentes do Microsoft Defender XDR

A página Incidentes no portal Microsoft Defender em https://security.microsoft.com/incidents (também conhecida como fila Incidentes) permite-lhe gerir e monitorizar eventos a partir das seguintes origens no Defender para Office 365:

• Políticas de alerta.
• Investigação e resposta automatizadas (AIR).

Para obter mais informações sobre a fila de Incidentes, consulte Priorizar incidentes no Microsoft Defender XDR.

Seu plano de triagem para monitorar a fila de Incidentes deve usar a seguinte ordem de precedência dos incidentes:

1. Foi detetado um clique de URL potencialmente malicioso.
2. Utilizador impedido de enviar e-mails.
3. Foram detetados padrões de envio de e-mail suspeitos.
4. Email reportado pelo usuário como malware ou phish, e Vários usuários reportaram o email como malware ou phish.
5. Mensagens de email contendo arquivo malicioso removidas após a entrega, Mensagens de email contendo URL maliciosa removidas após a entrega e Mensagens de email de uma campanha removidas após a entrega.
6. Phish entregue devido a uma substituição de ETR, Phish entregue porque a pasta Lixo Eletrônico de um usuário está desabilitada e Phish entregue devido a uma política de permissão de IP
7. Malware não removido porque o ZAP está desabilitado e Phishing não removido porque o ZAP está desabilitado.

A gestão da fila de incidentes e as pessoas responsáveis são descritas na tabela seguinte:

Gerenciar detecções de falsos positivos e falsos negativos

No Defender para Office 365, gere falsos positivos (email válido marcado como inválido) e falsos negativos (email inválido permitido) nas seguintes localizações:

• A página Envios (envios do administrador).
• A Lista de Permissões/Bloqueios do Inquilino
• Explorador de Ameaças

A gestão de falsos positivos e falsos negativos e as pessoas responsáveis são descritas na seguinte tabela:

Rever campanhas de phishing e software maligno que resultaram em e-mails entregues

Examine as campanhas de phishing e malware que resultaram em emails entregues e tome medidas para remover mensagens mal-intencionadas das caixas de correio do usuário.

Atividades semanais

Rever as tendências de deteção de e-mail nos relatórios do Defender para Office 365

No Defender para Office 365, pode utilizar os seguintes relatórios para rever as tendências de deteção de e-mail na sua organização:

• O relatório de status de Fluxo de Correio
• O relatório de status da proteção contra ameaças

Controlar e responder a ameaças emergentes com a Análise de ameaças

Utilize a Análise de ameaças para rever ameaças ativas e populares.

Reveja os utilizadores principais visados para software maligno e phishing

Utilize o separador Utilizadores principais visados (vista) na área de detalhes das vistas Todos os e-mails, Software Maligno e Phish em Explorer de Ameaças para detetar ou confirmar os utilizadores que são os principais alvos de software maligno e e-mail de phishing.

Reveja as principais campanhas de software maligno e phishing que visam a sua organização

As visualizações da campanha revelam ataques de malware e phishing contra sua organização. Para obter mais informações, consulte Exibições da campanha no Microsoft Defender para Office 365.

Atividades ad hoc

Investigação manual e remoção de e-mails

Use a atividade a seguir para investigar e remover manualmente emails mal-intencionados quando necessário.

Busque proativamente ameaças

Use as atividades a seguir para procurar proativamente ameaças em Defender para Office 365 ferramentas.

Rever as configurações da política do Defender para Office 365

Examine as seguintes atividades de configuração de política para ajudar a manter a postura de segurança da sua organização.

Examinar as detecções de falsificação e de usurpação de identidade

Use a atividade a seguir para examinar as detecções de falsificação e representação e ajustar a filtragem conforme necessário.

Rever a associação à conta de prioridade

Examine a associação de conta prioritária regularmente para manter as proteções alinhadas com as alterações organizacionais.

Apêndice: ferramentas, permissões e integração com SIEM/SOAR do Defender para Office 365

Saiba mais sobre Microsoft Defender para Office 365 ferramentas e processos

Os membros das equipes de operações de segurança e resposta precisam integrar as ferramentas e os recursos do Defender para Office 365 aos processos existentes de investigação e resposta. Aprender sobre novas ferramentas e capacidades pode demorar algum tempo, mas é uma parte fundamental do processo de integração. A maneira mais simples de os membros das equipes de SecOps e de segurança de email aprenderem sobre o Defender para Office 365 é usar o conteúdo de treinamento disponível como parte do conteúdo de treinamento Ninja em https://aka.ms/mdoninja.

O conteúdo de treinamento ninja é estruturado para diferentes níveis de conhecimento (conceitos básicos, intermediários e avançados) com vários módulos por nível.

Também estão disponíveis breves vídeos para tarefas específicas no Microsoft Defender para Office 365 canal do YouTube.

Permissões para atividades e tarefas do Defender para Office 365

As permissões para gerir o Defender para Office 365 no portal do Microsoft Defender e no PowerShell baseiam-se no modelo de permissões de controlo de acesso baseado em funções (RBAC). O RBAC é o mesmo modelo de permissões utilizado pela maioria dos serviços do Microsoft 365. Para obter mais informações, veja Permissões no portal do Microsoft Defender.

As seguintes permissões (funções e grupos de funções) estão disponíveis no Defender para Office 365 e podem ser utilizadas para conceder acesso aos membros da equipa de segurança:

• Controle de acesso baseado em função (RBAC) unificado do Microsoft Defender: uma experiência única de gerenciamento de permissões que fornece um local central para os administradores controlarem as permissões de usuário em várias soluções de segurança. Para obter mais informações, veja Microsoft Defender RBAC unificado. Para obter informações sobre permissões específicas do Defender para Office 365, consulte Permissões RBAC unificadas para o Defender para Office 365. Para obter a configuração passo a passo, consulte Como configurar o RBAC Unificado para Defender para Office 365.

  • Acesso de leitura para email e cabeçalhos das mensagens do Teams: Operações de segurança/Dados brutos (email e colaboração)/Metadados de email e colaboração (leitura).
  • Visualizar e baixar mensagens de email: Operações de segurança/Dados brutos (email e colaboração)/Conteúdo de email e colaboração (leitura).
  • Remediar email malicioso: Operações de segurança/Dados de segurança/Ações avançadas de Email e colaboração (gerenciar).

• Microsoft Entra ID: funções centralizadas que atribuem permissões a todos os serviços do Microsoft 365, incluindo o Defender para Office 365. Pode ver as funções de Microsoft Entra e os utilizadores atribuídos no portal do Microsoft Defender, mas não pode geri-las diretamente aí. Em vez disso, gerencie as funções e os membros do Microsoft Entra em https://aad.portal.azure.com/#view/Microsoft_AAD_IAM/RolesManagementMenuBlade/~/AllRoles/adminUnitObjectId//resourceScope/%2F. As funções mais frequentes utilizadas pelas equipas de segurança são:

  • Administrador de Segurança
  • Leitor de Segurança

• Exchange Online e Email e colaboração: funções e grupos de funções que concedem permissões específicas para o Microsoft Defender do Office 365. As seguintes funções não estão disponíveis no Microsoft Entra ID, mas podem ser importantes para as equipas de segurança:

  • Função de pré-visualização (Email & colaboração): Atribua essa função aos membros da equipe que precisam pré-visualizar ou baixar mensagens de e-mail como parte das atividades de investigação. Permite que os usuários visualizem e baixem mensagens de e-mail de caixas de correio em nuvem usando Explorador de Ameaças (Explorer) ou Detecções em tempo real e a página da entidade de e-mail.

    Por predefinição, a função Pré-visualização é atribuída apenas aos seguintes grupos de funções:

    • Investigador de Dados
    • Gerente de Descoberta Eletrônica

    Pode adicionar utilizadores a esses grupos de funções ou pode criar um novo grupo de funções com a função pré-visualização atribuída e adicionar os utilizadores ao grupo de funções personalizado.

  • Função Search and Purge de Pesquisa e Depuração (Email e colaboração): aprove a exclusão de mensagens mal-intencionadas, conforme recomendado pelo AIR, ou execute ações manuais em mensagens em experiências de busca, como o Explorador de Ameaças.

    Por predefinição, a função Procurar e Remover é atribuída apenas aos seguintes grupos de funções:

    • Investigador de Dados
    • Gerenciamento de Organização

    Pode adicionar utilizadores a esses grupos de funções ou pode criar um novo grupo de funções com a função Procurar e Remover atribuída e adicionar os utilizadores ao grupo de funções personalizado.

  • Gerenciador de Lista de Bloqueio de Inquilino (Exchange Online): Gerencie as entradas de permissão e bloco na Lista de Permissões/Blocos de Inquilino. Bloquear URLs, ficheiros (com hash de ficheiro) ou remetentes é uma ação de resposta útil a tomar ao investigar e-mails maliciosos que foram entregues.

    Por predefinição, esta função é atribuída apenas ao grupo de funções Operador de Segurança no Exchange Online, não no Microsoft Entra ID. A associação à função Operador de Segurança no Microsoft Entra IDnão lhe permite gerir entradas da Lista de Permissões/Bloqueios de Inquilinos.

    Os membros das funções de Administrador de Segurança ou gestão da Organização no Microsoft Entra ID ou os grupos de funções correspondentes no Exchange Online conseguem gerir entradas na Lista de Permissões/Bloqueios de Inquilinos.

Integração SIEM/SOAR

O Defender para Office 365 expõe a maioria dos seus dados através de um conjunto de APIs programáticas. Estas APIs ajudam-no a automatizar fluxos de trabalho e a utilizar plenamente as capacidades do Defender para Office 365. Os dados estão disponíveis por meio das APIs de Microsoft Defender e podem ser usados para integrar Defender para Office 365 a soluções SIEM/SOAR existentes.

• API de Incidentes: os alertas do Defender para Office 365 e as investigações automatizadas são partes ativas dos incidentes no Microsoft Defender. As equipas de segurança podem concentrar-se no que é crítico ao agrupar o âmbito de ataque completo e todos os recursos afetados em conjunto.

• API de transmissão em fluxo de eventos: permite o envio de eventos e alertas em tempo real para um único fluxo de dados à medida que acontecem. Os tipos de eventos suportados no Defender para Office 365 incluem:

  • EmailAttachmentInfo
  • EmailEvents
  • EmailPostDeliveryEvents
  • EmailUrlInfo

  Os eventos contêm dados do processamento de todos os e-mails (incluindo mensagens intra-organização) nos últimos 30 dias.

• API de Investigação Avançada: permite a investigação de ameaças entre produtos.

• API de Avaliação de Ameaças: pode ser utilizada para comunicar spam, URLs de phishing ou anexos de software maligno diretamente à Microsoft.

Para conectar incidentes do Defender para Office 365 e dados brutos ao Microsoft Sentinel, você pode usar o conector Microsoft Defender XDR (M365D)

Pode utilizar o seguinte exemplo de "Olá, Mundo" para testar o acesso da API às APIs Microsoft Defender: Olá, Mundo para Microsoft Defender XDR API REST.

Para obter mais informações sobre a integração de ferramentas SIEM, veja Integrar as ferramentas SIEM com Microsoft Defender XDR.

Lidar com falsos positivos e falsos negativos no Microsoft Defender para Office 365

As mensagens comunicadas pelo utilizador e as submissões de mensagens de e-mail são sinais de reforço positivo críticos para os nossos sistemas de deteção de machine learning. As submissões ajudam-nos a rever, fazer a triagem, aprender rapidamente e mitigar ataques. Relatar ativamente falsos positivos e falsos negativos é uma atividade importante que fornece comentários ao Defender para Office 365 quando há erros durante a detecção.

As organizações têm várias opções para configurar mensagens comunicadas pelo utilizador. Consoante a configuração, as equipas de segurança podem ter um envolvimento mais ativo quando os utilizadores submetem falsos positivos ou falsos negativos à Microsoft:

• As mensagens comunicadas pelo utilizador são enviadas para a Microsoft para análise quando as definições comunicadas pelo utilizador estão configuradas com uma das seguintes definições:

  • Enviar as mensagens denunciadas para: somente a Microsoft.
  • Enviar as mensagens denunciadas para: Microsoft e minha caixa de correio de denúncias.

  Os membros das equipes de segurança devem fazer envios administrativos ad-hoc quando a equipe de operações descobrir falsos positivos ou falsos negativos que não foram relatados pelos usuários.

• Quando as mensagens relatadas pelos usuários estiverem configuradas para ser enviadas apenas para a caixa de correio da organização, as equipes de segurança deverão enviar ativamente à Microsoft, por meio de envios administrativos, os falsos positivos e os falsos negativos relatados pelos usuários.

Quando um utilizador comunica uma mensagem como phishing, o Defender para Office 365 gera um alerta e o alerta aciona um manual de procedimentos AIR. A lógica do incidente correlaciona estas informações com outros alertas e eventos sempre que possível. Esta consolidação de informações ajuda as equipas de segurança a fazer a triagem, investigar e responder a mensagens comunicadas pelo utilizador.

O fluxo de envio no serviço segue um processo fortemente integrado quando os usuários enviam mensagens de relatório e os administradores enviam mensagens. Esse processo inclui:

• Redução de ruído.
• Triagem automatizada.
• Classificação por analistas de segurança e soluções baseadas em aprendizado de máquina com participação humana.

Para obter mais informações, consulte Blog do Microsoft Defender para Office 365 - Relatar um email no Defender para Office 365.

Os membros da equipa de segurança podem fazer submissões a partir de várias localizações no portal do Microsoft Defender em https://security.microsoft.com:

• Envio do administrador: Use a página Submissões para enviar possíveis spams, tentativas de phishing, URLs e arquivos à Microsoft.

• Diretamente a partir do Threat Explorer através de uma das seguintes ações de mensagem:

  • Reportar limpeza
  • Reportar phishing
  • Reportar software maligno
  • Denunciar spam

  Pode selecionar até 10 mensagens para efetuar uma submissão em massa. As submissões administrativas criadas usando estes métodos ficam visíveis nas respectivas abas da página Submissões.

Para mitigar, no curto prazo, os falsos negativos, as equipes de segurança podem gerenciar diretamente entradas de bloqueio para arquivos, URLs e domínios ou endereços de email na Lista de Permissões/Bloqueios do Locatário.

Para a mitigação de curto prazo de falsos positivos, as equipes de segurança não podem gerenciar diretamente entradas de permissão para domínios e endereços de email na Lista de Permissões/Bloqueios do Locatário. Em vez disso, precisam usar submissões de administrador para relatar a mensagem de email como falso positivo. Para obter instruções, consulte Comunicar um bom e-mail à Microsoft.

A quarentena no Defender para Office 365 contém ficheiros e mensagens potencialmente perigosos ou indesejados. As equipas de segurança podem ver, libertar e eliminar todos os tipos de mensagens em quarentena para todos os utilizadores. Esta capacidade permite que as equipas de segurança respondam eficazmente quando uma mensagem ou ficheiro falso positivo é colocado em quarentena.

Integrar ferramentas de relatório de terceiros com mensagens relatadas pelo usuário no Defender para Office 365

Se a sua organização utilizar uma ferramenta de relatórios que não seja da Microsoft que permita que os utilizadores comuniquem internamente e-mails suspeitos, pode integrar a ferramenta com as capacidades de mensagens comunicadas pelo utilizador do Defender para Office 365. A integração de uma ferramenta de relatórios que não seja da Microsoft com os recursos de relatório de mensagens pelo usuário do Defender para Office 365 oferece os seguintes benefícios às equipes de segurança:

• Integração com as capacidades AIR do Defender para Office 365.
• Triagem simplificada.
• Tempo de resposta e investigação reduzidos.

Designe a caixa de correio de relatórios para onde as mensagens comunicadas pelo utilizador são enviadas na página Definições comunicadas pelo utilizador no portal Microsoft Defender em https://security.microsoft.com/securitysettings/userSubmission. Para obter mais informações, veja Definições comunicadas pelo utilizador.

Quando uma mensagem denunciada por um usuário chega à caixa de email de denúncias, o Defender para Office 365 gera automaticamente o alerta chamado Email denunciado pelo usuário como malware ou phishing. O alerta Email relatado pelo usuário como malware ou phishing inicia um guia estratégico do AIR. O manual de procedimentos executa uma série de passos de investigações automatizadas:

• Recolher dados sobre o e-mail especificado.
• Recolha dados sobre as ameaças e entidades relacionadas com esse e-mail (por exemplo, ficheiros, URLs e destinatários).
• Indique as ações recomendadas para a equipa secOps tomar com base nas conclusões da investigação.

Os emails relatados pelo usuário como alertas de malware ou phishing, investigações automatizadas e suas ações recomendadas são correlacionados automaticamente a incidentes em Microsoft Defender. Correlacionar alertas, investigações automatizadas e ações recomendadas a incidentes simplifica ainda mais o processo de triagem e resposta para as equipes de segurança. Se vários utilizadores reportarem as mesmas mensagens ou mensagens semelhantes, todos os utilizadores e mensagens estão correlacionados com o mesmo incidente.

Os dados de alertas e investigações no Defender para Office 365 são automaticamente comparados a alertas e investigações em outros produtos Microsoft Defender:

• Microsoft Defender para Endpoint
• Microsoft Defender para Aplicativos de Nuvem
• Microsoft Defender para Identidade

Se for descoberto um vínculo, o sistema cria um incidente que oferece visibilidade de todo o ataque.

Conteúdo relacionado

• Visão geral do Microsoft Defender para Office 365
• Introdução ao Microsoft Defender para Office 365