Página de entidade do dispositivo no Microsoft Defender

A página de entidade do dispositivo no portal do Microsoft Defender ajuda você na investigação de entidades do dispositivo. A página contém todas as informações importantes sobre uma determinada entidade de dispositivo. Se um alerta ou incidente indicar que um dispositivo está se comportando de maneira suspeita ou pode estar comprometido, investigue os detalhes do dispositivo para identificar outros comportamentos ou eventos que possam estar relacionados ao alerta ou incidente e descubra o escopo potencial da violação. Você também pode usar a página de entidade do dispositivo para realizar algumas tarefas comuns de segurança, bem como algumas ações de resposta para mitigar ou corrigir ameaças à segurança.

As entidades do dispositivo podem ser encontradas nas seguintes áreas:

• Lista de dispositivos, em Ativos
• Fila de alertas
• Qualquer alerta/incidente individual
• Qualquer página de entidade de usuário individual
• Visualização de detalhes de qualquer arquivo individual
• Visualização de detalhes de qualquer endereço IP ou domínio
• Log de atividades
• Consultas de busca avançada
• Central de Ações

Você pode selecionar dispositivos sempre que os vir no portal para abrir a página de entidade do dispositivo, que exibe mais detalhes sobre o dispositivo. Por exemplo, você pode ver os detalhes dos dispositivos listados nos alertas de um incidente no portal Microsoft Defender em Investigação & resposta > Incidentes & alertas > Incidentes >incidente> Ativos > Dispositivos.

A página da entidade do dispositivo exibe suas informações em formato de abas. Este artigo apresenta os tipos de informações disponíveis em cada guia e também as ações que você pode executar em um determinado dispositivo.

As seguintes guias são exibidas na página de entidade do dispositivo:

• Visão geral
• Incidentes e alertas
• Timeline
• Gerenciamento de configuração
• Recomendações de segurança
• Estoques
• Vulnerabilidades descobertas
• KBs ausentes
• Linhas de base de segurança
• Políticas de segurança
• Eventos do Sentinel

Cabeçalho da página de entidade

A seção superior da página de entidade inclui os seguintes detalhes:

• Nome da entidade
• Indicadores de gravidade do risco, criticidade e valor do dispositivo
• Marcas pelas quais o dispositivo pode ser classificado. Pode ser adicionado pelo Defender para Endpoint, pelo Defender para Identidade ou pelos usuários. As tags do Microsoft Defender para Identidade não podem ser editadas.
• As ações de resposta também estão localizadas aqui. Leia mais sobre eles abaixo.

Guia Visão geral

A guia padrão é Visão geral. Ele fornece uma visão rápida dos fatos de segurança mais importantes sobre o dispositivo. A guia Visão geral contém os detalhes do dispositivo, a barra lateral e um dashboard com alguns cartões exibindo informações de alto nível.

Detalhes do dispositivo

A barra lateral lista o nome completo e o nível de exposição do dispositivo. Também fornece algumas informações básicas importantes em subseções menores, que podem ser expandidas ou recolhidas, como:

Painel

A parte principal da guia Visão geral mostra vários cartões de exibição do tipo dashboard:

• Alertas ativos e nível de risco envolvendo o dispositivo nos últimos seis meses, agrupados por gravidade
• Avaliações de segurança e nível de exposição do dispositivo
• Usuários conectados no dispositivo nos últimos 30 dias
• Status de integridade do dispositivo e outras informações sobre as verificações mais recentes do dispositivo.

aba Incidentes e alertas

A guia Incidentes e alertas contém uma lista de incidentes que contêm alertas que foram gerados no dispositivo, de qualquer uma das várias fontes de detecção do Microsoft Defender, incluindo, se integrado, o Microsoft Sentinel. Esta lista é uma versão filtrada da fila de incidentes e mostra uma breve descrição do incidente ou alerta, sua gravidade (alta, média, baixa, informativa), seu status na fila (novo, em andamento, resolvido), sua classificação (não definida, alerta falso, alerta verdadeiro), estado da investigação, categoria, quem é atribuído para resolvê-lo e última atividade observada.

Você pode personalizar quais colunas são exibidas para cada item. Você também pode filtrar os alertas por gravidade, status ou qualquer outra coluna na tela.

A coluna de entidades afetadas refere-se a todas as entidades de dispositivo e usuário referenciadas no incidente ou alerta.

Quando um incidente ou alerta é selecionado, um painel lateral é exibido. Nesse painel, você pode gerenciar o incidente ou alerta e exibir mais detalhes, como número de incidente/alerta e dispositivos relacionados. Vários alertas podem ser selecionados por vez.

Para ver uma exibição de página inteira de um incidente ou alerta, selecione seu título.

Aba Linha do tempo

A guia Linha do Tempo exibe uma exibição cronológica de todos os eventos que foram observados no dispositivo. Isso pode ajudá-lo a correlacionar quaisquer eventos, arquivos e endereços IP em relação ao dispositivo.

A escolha das colunas exibidas na lista pode ser personalizada. As colunas padrão listam a hora do evento, o usuário ativo, o tipo de ação, as entidades associadas (processos, arquivos, endereços IP) e informações adicionais sobre o evento.

Você pode controlar o período para o qual os eventos são exibidos deslizando as bordas do período ao longo do gráfico geral da linha do tempo na parte superior da página. Você também pode escolher um período no menu suspenso na parte superior da lista (o padrão é 30 dias). Para controlar ainda mais sua exibição, você pode filtrar por grupos de eventos ou personalizar as colunas.

Você pode exportar o equivalente a sete dias de eventos para um arquivo CSV, para download.

Aprofunde-se nos detalhes de eventos específicos selecionando um evento e visualizando seus detalhes no painel lateral exibido. Veja os detalhes do evento abaixo.

Linha do tempo unificada (Prévia)

A partir de janeiro de 2025, se você integrou o Microsoft Sentinel ao portal do Defender, as atividades do dispositivo que aparecem na linha do tempo do Sentinel na guia Eventos do Sentineltambém são exibidas aqui na guia principal Linha do tempo, para que possam ser visualizadas junto com os eventos registrados por outros serviços do Microsoft Defender em um único contexto. Essa linha do tempo unificada ajuda a simplificar as investigações, fornecendo uma exibição unificada das atividades do dispositivo, eliminando a necessidade de alternar entre as telas e permitindo uma tomada de decisão mais rápida.

Você pode optar por não mostrar eventos do Microsoft Sentinel na linha do tempo principal e, em vez disso, continuar a exibi-los como antes, somente na guia Eventos do Sentinel. Para fazer isso, selecione Configurações da linha do tempo e mova os eventos do Stream de consultas do Microsoft Sentinel para Desativado. Selecione Aplicar para salvar a configuração.

Para obter mais informações sobre esses eventos de atividade, confira Páginas de entidades no Microsoft Sentinel.

Detalhes do evento

Selecione um evento para exibir detalhes relevantes sobre ele. Um painel expansível é exibido para mostrar muito mais informações sobre o evento. Os tipos de informações exibidas dependem do tipo de evento. Quando aplicável e os dados estiverem disponíveis, você poderá ver um gráfico mostrando entidades relacionadas e seus relacionamentos, como uma cadeia de arquivos ou processos. Você também pode ver uma descrição resumida das táticas e técnicas MITRE ATT&CK aplicáveis ao evento.

Para inspecionar ainda mais o evento e os eventos relacionados, você pode executar rapidamente uma consulta de busca avançada selecionando Buscar eventos relacionados. A consulta retorna o evento selecionado e a lista de outros eventos que ocorreram na mesma hora no mesmo ponto de extremidade.

Aba de gerenciamento de configuração

Políticas de segurança

A guia Políticas de segurança mostra as políticas de segurança de endpoint aplicadas ao dispositivo. Você vê uma lista de políticas, tipo, status e horário do último check-in. Selecionar o nome de uma política leva você para a página de detalhes da política, onde você pode ver o status das configurações da política, dispositivos aplicados e grupos atribuídos.

Configurações efetivas

A guia Configurações efetivas fornece visibilidade do valor real de cada configuração de segurança e identifica a origem que a configurou. Ele lista os nomes de configuração, os tipos de política, os valores efetivos, a origem de cada valor efetivo e a hora do último relatório.

As fontes de configuração podem incluir ferramentas como o Microsoft Defender para Endpoint, a Política de Grupo, o Intune ou configurações padrão. Eles também podem ser caminhos de registro específicos, como os hives do MDM ou da Política de Grupo. Se a origem for um local do Registro, o campo Configurado por será exibido como Desconhecido junto com o caminho do Registro.

Selecione uma configuração para abrir um painel lateral com mais detalhes. Você verá o valor atual, todas as outras tentativas de configuração que não tiveram efeito e, para configurações complexas, como regras ASR ou exclusões AV, um detalhamento de todas as regras configuradas, suas origens e quaisquer exclusões.

Aba de recomendações de segurança

A guia Recomendações de segurança lista as ações que você pode executar para proteger o dispositivo. Selecionar um item nesta lista abre um submenu onde você pode obter instruções sobre como aplicar a recomendação.

Assim como nas guias anteriores, a escolha das colunas exibidas pode ser personalizada.

A exibição padrão inclui colunas que detalham os pontos fracos de segurança abordados, a ameaça associada, o componente ou software relacionado afetado pela ameaça e muito mais. Os itens podem ser filtrados pelo status da recomendação.

Saiba mais sobre recomendações de segurança.

Guia Inventários

Essa guia exibe inventários de quatro tipos de componentes: software, componentes vulneráveis, extensões do navegador e certificados.

Inventário de software

Este cartão lista os softwares instalados no dispositivo.

A exibição padrão exibe o fornecedor do software, o número da versão instalada, o número de pontos fracos de software conhecidos, insights sobre ameaças, código do produto e marcas. O número de itens exibidos e quais colunas são exibidas podem ser personalizados.

Selecionar um item nesta lista abre um submenu contendo mais detalhes sobre o software selecionado, o caminho e o carimbo de data/hora da última vez em que o software foi encontrado.

Essa lista pode ser filtrada pelo código do produto, pontos fracos e presença de ameaças.

Componentes vulneráveis

Este card lista os componentes de software que contêm vulnerabilidades.

As opções padrão de exibição e filtragem são as mesmas do software.

Selecione um item para mostrar mais informações em um painel.

Extensões do navegador

Este card mostra as extensões de navegador instaladas no dispositivo. Os campos padrão exibidos são o nome da extensão, o navegador para o qual ela está instalada, a versão, o risco de permissão (com base no tipo de acesso a dispositivos ou sites solicitados pela extensão) e o status. Opcionalmente, o fornecedor também pode ser exibido.

Selecione um item para mostrar mais informações em um painel.

Certificados

Este card exibe todos os certificados instalados no dispositivo.

Os campos exibidos por padrão são o nome do certificado, a data de emissão, a data de expiração, o tamanho da chave, o emissor, o algoritmo de assinatura, o uso da chave e o número de instâncias.

A lista pode ser filtrada por status, autoassinado ou não, tamanho da chave, hash de assinatura e uso da chave.

Selecione um certificado para exibir mais informações em um painel.

Guia Vulnerabilidades descobertas

Essa guia lista todas as vulnerabilidades e explorações comuns (CVEs) que podem afetar o dispositivo.

A exibição padrão lista a gravidade da CVE, a Pontuação de Vulnerabilidade Comum (CVSS), o software relacionado à CVE, quando a CVE foi publicada, quando a CVE foi detectada pela primeira vez e atualizada pela última vez e as ameaças associadas à CVE.

Assim como nas guias anteriores, a escolha das colunas a serem exibidas pode ser personalizada. A lista pode ser filtrada por gravidade, status da ameaça, exposição do dispositivo e marcas.

Selecionar um item nessa lista abre um submenu que descreve a CVE.

Guia KBs ausentes

A aba KBs ausentes lista as atualizações da Microsoft que ainda não foram aplicadas ao dispositivo. Os "KBs" em questão são artigos da Base de Dados de Conhecimento, que descrevem essas atualizações; Por exemplo, KB4551762.

A exibição padrão lista o boletim que contém as atualizações, a versão do sistema operacional, o número de ID da KB, os produtos afetados, os CVEs endereçados e as tags.

A escolha das colunas a serem exibidas pode ser personalizada.

Selecionar um item abre um submenu vinculado à atualização.

Guia de eventos do Sentinel

Se sua organização integrou o Microsoft Sentinel ao portal do Defender, essa guia adicional está na página de entidade do dispositivo. Essa guia importa a página de entidade Host do Microsoft Sentinel e exibe as seguintes seções:

Linha do tempo do Sentinel

Esta linha do tempo mostra quatro tipos de mensagens associadas à entidade dispositivo, conhecidas no Microsoft Sentinel como entidade host, e podem ser encontradas na página de entidade do Microsoft Sentinel para o dispositivo. Os quatro tipos de mensagem são:

• Alertas criados por regras de análise do Microsoft Sentinel de serviços do Azure e fontes de dados que não são da Microsoft.

  Esses alertas também são exibidos na guia principal Incidentes e alertas, para que possam ser exibidos junto com alertas gerados por outros serviços do Microsoft Defender em um único contexto.

• Indicadores de buscas de outras investigações do Microsoft Sentinel que fazem referência a essa entidade de dispositivo.

• Anomalias, ou seja, comportamentos incomuns detectados pelas regras de anomalia do Microsoft Sentinel.

• Atividades do dispositivo coletadas de serviços do Azure e fontes de dados que não são da Microsoft. As atividades são agregações de eventos notáveis coletados por consultas desenvolvidas por equipes de pesquisa de segurança da Microsoft. Você também pode adicionar suas próprias atividades personalizadas.

  A partir de janeiro de 2025:

  • As atividades do dispositivo incluem tráfego de rede descartado, bloqueado ou negado originado por um determinado dispositivo, com base em dados coletados de logs de dispositivos de rede líderes do setor. Esses logs fornecem às suas equipes de segurança informações críticas para identificar e lidar rapidamente com ameaças potenciais.

  • As atividades do dispositivo agora são exibidas na linha do tempo unificada do dispositivo ao lado de eventos de dispositivo de outras fontes do portal do Defender. Para obter mais informações, consulte Linha do tempo unificada (prévia).

Insights

Os insights de entidade são consultas definidas por pesquisadores de segurança da Microsoft para ajudá-lo a investigar com mais eficiência e eficácia. Esses insights fazem automaticamente as grandes perguntas sobre sua entidade de dispositivo, fornecendo informações de segurança valiosas na forma de gráficos e dados tabulares. Os insights incluem dados sobre logins, adições de grupo, execuções de processos, eventos anômalos e muito mais, e incluem algoritmos avançados de aprendizado de máquina para detectar comportamentos anômalos.

Veja a seguir alguns dos insights mostrados:

• Captura de tela feita no host.
• Processos não assinados pela Microsoft detectados.
• Informações de execução do processo do Windows.
• Atividade de logon do Windows.
• Ações nas contas.
• Logs de eventos foram limpos no host.
• Adições em grupo.
• Enumeração de hosts, usuários, grupos no host.
• Controle de Aplicativos do Microsoft Defender.
• Processe a raridade via cálculo de entropia.
• Número anormalmente alto de eventos de segurança.
• Informações da lista de observação (versão prévia).
• Eventos do Windows Defender Antivírus.

Os insights são baseados nas seguintes fontes de dados:

• Syslog (Linux)
• EventoDeSegurança (Windows)
• AuditLogs (Microsoft Entra ID)
• SigninLogs (Microsoft Entra ID)
• Atividade do Office (Office 365)
• BehaviorAnalytics (Microsoft Azure Sentinel UEBA)
• Heartbeat (agente do Azure Monitor)
• CommonSecurityLog (Microsoft Sentinel)

Se você quiser explorar ainda mais qualquer um dos insights neste painel, selecione o link que acompanha o insight. O link leva você para a página Busca avançada , onde exibe a consulta subjacente ao insight, juntamente com seus resultados brutos. Você pode modificar a consulta ou fazer uma busca detalhada nos resultados para expandir sua investigação ou apenas satisfazer sua curiosidade.

Ações de resposta

As ações de resposta oferecem atalhos para analisar, investigar e se defender contra ameaças.

• Dispositivos inscritos no Microsoft Defender para Ponto de Extremidade podem exibir um número diferente de ações de resposta, dependendo do sistema operacional e da versão do dispositivo.

As ações de resposta são executadas na parte superior de uma página de dispositivo específica e incluem:

Tópicos relacionados

• visão geral do Microsoft Defender
• Ativar o Microsoft Defender XDR
• Página de entidade do usuário no Microsoft Defender
• Página de entidade de endereço IP no Microsoft Defender
• Integração do Microsoft Defender XDR com o Microsoft Sentinel
• Conectar o Microsoft Sentinel ao Microsoft Defender XDR