Página de entidade de endereço IP no Microsoft Defender

  • Aplica-se a: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

A página de entidade de endereço IP no portal do Microsoft Defender ajuda você a examinar a possível comunicação entre seus dispositivos e endereços IP (de protocolo de internet) externos.

Identificar todos os dispositivos na organização que se comunicaram com um endereço IP mal-intencionado suspeito ou conhecido, como servidores de Comando e Controle (C2), ajuda a determinar o escopo potencial da violação, dos arquivos associados e dos dispositivos infectados.

Você pode encontrar informações nas seguintes seções na página entidade do endereço IP:

Importante

O Microsoft Sentinel geralmente está disponível no portal do Microsoft Defender, com ou sem licença do Microsoft Defender XDR ou E5. Para obter mais informações, consulte Microsoft Sentinel no portal do Microsoft Defender.

Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender.

Se você estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender agora para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender. Para obter mais informações, confira Transição do ambiente do Microsoft Sentinel para o portal do Defender e Planejando a mudança para o portal do Microsoft Defender para todos os clientes do Microsoft Sentinel (blog).

Visão Geral

No painel esquerdo, a página Visão geral fornece um resumo dos detalhes do IP (se disponível).

Seção Detalhes
Informações de segurança
  • Incidentes abertos
  • Alertas ativos
    		•
    Detalhes do IP
  • Organização (ISP)
  • ASN
  • País/Região, Estado, Cidade
  • Transportadora
  • Latitude e longitude
  • CEP
    		•

    À esquerda, há também um painel que mostra a atividade dos logs (horário da primeira e da última ocorrência, fonte de dados) coletada de várias fontes de log, e outro painel que mostra uma lista de hosts com logs registrados, coletada das tabelas de heartbeat do Agente de Monitoramento do Azure.

    O corpo principal da página Visão geral contém cartões de dashboard mostrando uma contagem de incidentes e alertas (agrupados por gravidade) contendo o endereço IP e um gráfico da prevalência do endereço IP na organização durante o período de tempo indicado.

    Incidentes e alertas

    A página Incidentes e alertas mostra uma lista de incidentes e alertas que incluem o endereço IP como parte de sua história. Esses incidentes e alertas vêm de qualquer uma das várias fontes de detecção do Microsoft Defender, incluindo, se integrado, o Microsoft Sentinel. Esta lista é uma versão filtrada da fila de incidentes e mostra uma breve descrição do incidente ou alerta, sua gravidade (alta, média, baixa, informativa), seu status na fila (novo, em andamento, resolvido), sua classificação (não definida, alerta falso, alerta verdadeiro), estado da investigação, categoria, quem é atribuído para resolvê-lo e última atividade observada.

    Você pode personalizar quais colunas são exibidas para cada item. Você também pode filtrar os alertas por gravidade, status ou qualquer outra coluna na tela.

    A coluna de ativos impactados refere-se a todos os usuários, aplicativos e outras entidades referenciadas no incidente ou alerta.

    Quando um incidente ou alerta é selecionado, um painel lateral é exibido. Nesse painel, você pode gerenciar o incidente ou alerta e exibir mais detalhes, como número de incidente/alerta e dispositivos relacionados. Vários alertas podem ser selecionados por vez.

    Para ver uma exibição de página inteira de um incidente ou alerta, selecione seu título.

    Observado na organização

    A seção Observado na organização fornece uma lista de dispositivos que têm uma conexão com esse IP e os últimos detalhes do evento para cada dispositivo (a lista é limitada a 100 dispositivos).

    Insights de Inteligência sobre Ameaças

    A aba Insights de inteligência sobre ameaças exibe dados de enriquecimento do Microsoft Threat Intelligence diretamente na página da entidade de endereço IP. Esses enriquecimentos fornecem inteligência observada globalmente para ajudá-lo a avaliar o risco de um endereço IP durante uma investigação.

    Para obter uma visão geral do enriquecimento de entidades, consulte Ver inteligência sobre ameaças nas páginas de entidades.

    Reputação

    A seção de reputação exibe uma avaliação de risco para o endereço IP com base nas regras de detecção e inteligência do Microsoft. A pontuação de reputação indica se o endereço IP é conhecido por ser mal-intencionado, suspeito ou benigno, ajudando os analistas a priorizar rapidamente sua investigação.

    Relatórios de ameaças atribuídos

    Quando Microsoft vinculou o endereço IP a um ator ou campanha de ameaça conhecido, esta seção mostra relatórios relacionados de análise de ameaças. Esses relatórios fornecem contexto sobre as táticas, técnicas e procedimentos (TTPs) do ator de ameaças.

    Relações de infraestrutura

    A seção relações de infraestrutura fornece dados detalhados sobre o endereço IP, incluindo:

    Conjunto de dados Descrição
    Registos DNS Dados de resolução DNS históricos e atuais associados ao endereço IP.
    Informações da WHOIS Detalhes de registro do endereço IP, incluindo registrante, datas e registrador.
    Pares de anfitriões Relações entre hosts com base em conexões observadas no conteúdo da Web.
    Subdomínios Subdomínios conhecidos que apontam para o endereço IP.
    Certificados TLS/SSL Detalhes do certificado, incluindo emissor, validade e nomes alternativos do titular.
    Services Serviços de rede detectados em execução no endereço IP.
    Componentes Tecnologias e estruturas da Web identificadas no endereço IP.
    Rastreadores Análise da Web e códigos de acompanhamento observados no endereço IP.
    Cookies Nomes de cookie observados em respostas do endereço IP.

    Eventos do Sentinel

    Se sua organização integrou o Microsoft Sentinel ao portal do Defender, essa guia adicional estará na página da entidade de endereço IP. Essa guia importa a página de entidade IP do Microsoft Sentinel.

    Linha do tempo do Sentinel

    Esta linha do tempo mostra alertas associados à entidade de endereço IP. Esses alertas incluem aqueles vistos na guia Incidentes e alertas e aqueles criados pelo Microsoft Sentinel a partir de fontes de dados de terceiros que não são da Microsoft.

    Essa linha do tempo também mostra buscas marcadas de outras investigações que fazem referência a essa entidade IP, eventos de atividade de IP de fontes de dados externas e comportamentos incomuns detectados pelas regras de anomalia do Microsoft Sentinel.

    Insights

    Os insights de entidade são consultas definidas por pesquisadores de segurança da Microsoft para ajudá-lo a investigar com mais eficiência e eficácia. Esses insights fazem automaticamente as grandes perguntas sobre sua entidade IP, fornecendo informações de segurança valiosas na forma de gráficos e dados tabulares. Os insights incluem dados de várias fontes de inteligência de ameaças de IP, inspeção de tráfego de rede e muito mais, e incluem algoritmos avançados de aprendizado de máquina para detectar comportamento anômalo.

    Veja a seguir alguns dos insights mostrados:

    • Reputação do Microsoft Defender para Inteligência.
    • Endereço IP total do vírus.
    • Endereço IP futuro gravado.
    • Endereço IP da anomalia
    • AbuseIPDB.
    • Contagem de anomalias por endereço IP.
    • Inspeção de tráfego de rede.
    • Conexões remotas de endereço IP com correspondência de TI.
    • Conexões remotas por endereço IP.
    • Este IP tem uma correspondência de TI.
    • Informações da lista de observação (versão prévia).

    Os insights são baseados nas seguintes fontes de dados:

    • Syslog (Linux)
    • EventoDeSegurança (Windows)
    • AuditLogs (Microsoft Entra ID)
    • SigninLogs (Microsoft Entra ID)
    • Atividade do Office (Office 365)
    • BehaviorAnalytics (Microsoft Azure Sentinel UEBA)
    • Heartbeat (agente do Azure Monitor)
    • CommonSecurityLog (Microsoft Sentinel)

    Se você quiser explorar ainda mais qualquer um dos insights neste painel, selecione o link que acompanha o insight. O link leva você para a página Busca avançada , onde exibe a consulta subjacente ao insight, juntamente com seus resultados brutos. Você pode modificar a consulta ou fazer uma busca detalhada nos resultados para expandir sua investigação ou apenas satisfazer sua curiosidade.

    Ações de resposta

    As ações de resposta oferecem atalhos para analisar, investigar e se defender contra ameaças.

    As ações de resposta são executadas na parte superior de uma página de entidade IP específica e incluem:

    Ação Descrição
    Adicionar indicador Abre um assistente para adicionar este endereço IP como um Indicador de Comprometimento (IoC) à sua base de conhecimento de inteligência sobre ameaças.
    Abrir configurações de IP do aplicativo na nuvem Abre a tela de configuração de intervalos de endereços IP para você adicionar o endereço IP a ela.
    Investigar no log de atividades Abre a tela do log de atividades do Microsoft 365 para você procurar o endereço IP em outros logs.
    Ir à caça Abre a página Busca avançada , com uma consulta de busca interna para localizar instâncias desse endereço IP.

    Conteúdo relacionado

    Dica

    Você deseja aprender mais? Participe da comunidade de segurança da Microsoft na nossa Comunidade Técnica: Comunidade Técnica do Microsoft Defender para Ponto de Extremidade.

    • Última atualização em