Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Observação
Este artigo descreve a experiência de incidentes legados no portal do Microsoft Defender. Os casos de incidente estão em versão preliminar e representam a experiência recomendada para gerenciar incidentes. A experiência legada de incidentes permanece disponível durante esta versão prévia. Para ter a experiência recomendada com casos de incidente, consulte Priorizar casos de incidente no Portal do Microsoft Defender.
O portal do Microsoft Defender aplica análise de correlação e agrega alertas relacionados e investigações automatizadas de diferentes produtos em um incidente. Microsoft Sentinel e Defender também disparam alertas exclusivos sobre atividades que só podem ser identificadas como mal-intencionadas, dada a visibilidade de ponta a ponta na plataforma unificada em todo o conjunto de produtos. Essa exibição fornece aos analistas de segurança uma história de ataque mais ampla, o que os ajuda a entender e lidar melhor com ameaças complexas em toda a organização.
Importante
O Microsoft Sentinel geralmente está disponível no portal do Microsoft Defender, com ou sem licença do Microsoft Defender XDR ou E5. Para obter mais informações, consulte Microsoft Sentinel no portal do Microsoft Defender.
Após 31 de março de 2027, o Microsoft Sentinel não terá mais suporte no portal do Azure e estará disponível apenas no portal do Microsoft Defender.
Se você estiver usando o Microsoft Sentinel no portal do Azure, recomendamos que comece a planejar sua transição para o portal do Defender agora para garantir uma transição tranquila e aproveitar ao máximo a experiência unificada de operações de segurança oferecida pelo Microsoft Defender. Para obter mais informações, confira Transição do ambiente do Microsoft Sentinel para o portal do Defender e Planejando a mudança para o portal do Microsoft Defender para todos os clientes do Microsoft Sentinel (blog).
Fila de incidentes
A fila de incidentes mostra uma fila de incidentes que foram criados em dispositivos, usuários, caixas de correio e outros recursos. Ele ajuda você a fazer a triagem dos incidentes, priorizar e criar uma decisão de resposta de segurança cibernética informada.
Encontre a fila de incidentes na opção Incidentes & alertas > Incidentes na barra de início rápido do portal do Microsoft Defender.
Selecione Incidentes e alertas mais recentes para alternar um gráfico de linha do tempo do número de alertas recebidos e incidentes criados nas últimas 24 horas.
A fila de incidentes inclui o Defender Queue Assistant, que ajuda as equipes de segurança a lidar com o grande volume de incidentes e a se concentrar nos incidentes que mais importam. Usando um algoritmo de priorização de aprendizado de máquina, o Queue Assistant revela os incidentes de maior prioridade, explica o raciocínio por trás da priorização e fornece ferramentas intuitivas para classificar e filtrar a fila de incidentes. O algoritmo é executado para todos os alertas, alertas nativos da Microsoft, detecções personalizadas ou sinais de terceiros. O algoritmo é treinado em dados anônimos do mundo real e considera, entre outras coisas, os seguintes pontos de dados ao calcular a pontuação de prioridade:
- Sinais de interrupção de ataque
- Análise de ameaças
- Severidade
- SnR
- Técnicas MITRE
- Criticidade do ativo
- Tipos de alerta e raridade
- Ameaças de alto perfil, como ransomware e ataques a estados-nação.
Os incidentes recebem automaticamente uma pontuação de prioridade de 0 a 100, sendo 100 a prioridade mais alta. Os intervalos de pontuação são codificados por cores da seguinte forma:
- Vermelho: prioridade máxima (pontuação > 85)
- Laranja: prioridade média (15–85)
- Cinza: Baixa prioridade (<15)
Selecione a linha do incidente em qualquer lugar, exceto no nome do incidente, para exibir um painel de resumo com informações importantes sobre o incidente. O painel inclui a avaliação de prioridade, os fatores que influenciam a pontuação de prioridade, os detalhes do incidente, as ações recomendadas e as ameaças relacionadas. Use as setas para cima e para baixo na parte superior do painel para navegar até o incidente anterior ou seguinte na fila de incidentes. Para obter mais informações sobre como investigar o incidente, consulte Investigar incidentes.
Por padrão, a fila de incidentes mostra incidentes criados na última semana. Escolha um intervalo de tempo diferente selecionando a lista suspensa do seletor de tempo acima da fila.
O número total de incidentes na fila é exibido ao lado do seletor de tempo. O número de incidentes varia de acordo com os filtros em uso. Você pode pesquisar incidentes por nome ou ID do incidente
Selecione Personalizar colunas para selecionar colunas exibidas na fila. Marque ou desmarque as colunas que deseja ver na fila de incidentes. Organize a ordem das colunas arrastando-as para cima e para baixo.
O botão Exportar permite exportar os dados filtrados na fila de incidentes para um arquivo CSV. O número máximo de registros que você pode exportar para um arquivo CSV é 10.000.
Nomes de incidentes
Para oferecer melhor visibilidade de relance, o Microsoft Defender gera automaticamente nomes de incidentes com base em atributos do alerta, como o número de endpoints afetados, usuários afetados, fontes de detecção ou categorias. Essa nomenclatura específica permite que você entenda rapidamente o escopo do incidente.
Por exemplo: Incidente em vários estágios em vários endpoints relatado por várias fontes.
Se você integrou o Microsoft Sentinel ao portal do Defender, todos os alertas e incidentes provenientes do Microsoft Sentinel provavelmente terão seus nomes alterados (independentemente de terem sido criados antes ou depois da integração).
Recomendamos que você evite usar o nome do incidente como uma condição para disparar regras de automação. Se o nome do incidente for definido como uma condição e esse nome for alterado, a regra não será disparada.
Filtros
A fila de incidentes também fornece várias opções de filtragem que, quando aplicadas, permitem que você execute uma ampla varredura de todos os incidentes existentes em seu ambiente ou decida se concentrar em um cenário ou ameaça específico. A aplicação de filtros na fila de incidentes pode ajudar a determinar qual incidente exige atenção imediata.
A lista Filtros acima da fila de incidentes mostra os filtros atuais atualmente aplicados à fila. Selecione Adicionar filtro para aplicar mais filtros para limitar o conjunto de incidentes mostrados.
Selecione os filtros que deseja usar e selecione Adicionar. Os filtros selecionados são mostrados junto com os filtros aplicados existentes. Selecione o novo filtro para especificar suas condições. Por exemplo, se você escolheu o filtro "Fontes de serviço/detecção", selecione-o para escolher as fontes pelas quais filtrar a lista.
Você pode remover um filtro selecionando o X no nome do filtro na lista de filtros.
A tabela a seguir lista os filtros disponíveis.
| Nome do filtro | Descrição/Condições |
|---|---|
| Status | Selecione Novo, Em andamento ou Resolvido. |
|
Severidade do alerta Severidade do incidente |
A gravidade de um alerta ou incidente é indicativa do impacto que ele pode ter em seus ativos. Quanto maior a gravidade, maior o impacto e normalmente requer a atenção mais imediata. Selecione Alto, Médio, Baixo ou Informativo. |
| Atribuição de incidente | Selecione o(s) usuário(s) atribuído(s). |
| Várias fontes de serviço | Especifique se o filtro é para mais de uma fonte de serviço. |
| Fontes de serviço/detecção | Especifique incidentes que contenham alertas de um ou mais dos seguintes: Muitos desses serviços podem ser expandidos no menu para revelar outras opções de fontes de detecção dentro de um determinado serviço. |
| Tags | Selecione um ou mais nomes de tag da lista. |
| Várias categorias | Especifique se o filtro é para mais de uma categoria. |
| Categories | Escolha categorias para se concentrar em táticas, técnicas ou componentes de ataque específicos vistos. |
| Entities | Especifique o nome de um ativo, como um usuário, dispositivo, caixa de correio ou nome do aplicativo. |
| Rótulo de confidencialidade | Filtre incidentes com base no rótulo de confidencialidade aplicado aos dados. Alguns ataques se concentram na exfiltração de dados confidenciais ou valiosos. Ao aplicar um filtro para rótulos de confidencialidade específicos, você pode determinar rapidamente se as informações confidenciais estão potencialmente comprometidas e priorizar o tratamento desses incidentes. |
| Grupos de dispositivos | Especifique um nome de grupo de dispositivos . |
| Plataforma do SO | Especificar os sistemas operacionais dos dispositivos. |
| Classificação | Especifique o conjunto de classificações dos alertas relacionados. |
| Estado de investigação automatizada | Especifique o status da investigação automatizada. |
| Ameaça associada | Especifique uma ameaça nomeada. |
| Política/regra de política | Filtrar incidentes por política ou regra da política. |
| Nomes de produtos | Filtrar incidentes com base no nome do produto. |
| Fluxo de dados | Filtrar incidentes com base no local ou na carga de trabalho. |
Observação
Se você provisionou o acesso ao Gerenciamento de Risco Interno do Microsoft Purview, poderá exibir e gerenciar alertas de gerenciamento de risco interno e buscar eventos de gerenciamento de risco interno no portal do Microsoft Defender. Para saber mais, confira Investigar ameaças de risco interno no portal do Microsoft Defender.
O filtro padrão é mostrar todos os alertas e incidentes com um status Novo eEm andamento e com uma gravidade de Alta, Média ou Baixa.
Você também pode criar conjuntos de filtros na página de incidentes selecionando Consultas > de filtro salvas Criar conjunto de filtros. Se nenhum conjunto de filtros tiver sido criado, selecione Salvar para criar um.
Observação
Os clientes do Microsoft Defender XDR agora podem filtrar incidentes com alertas nos quais um dispositivo comprometido se comunicou com dispositivos de TO (tecnologia operacional) conectados à rede corporativa por meio da integração de descoberta de dispositivos do Microsoft Defender para IoT e do Microsoft Defender para Endpoint. Para filtrar esses incidentes, selecione Qualquer um nas origens de serviço/detecção e, em seguida, selecione Microsoft Defender para IoT no nome do produto ou consulte Investigar incidentes e alertas no Microsoft Defender para IoT no portal do Defender. Você também pode usar grupos de dispositivos para filtrar alertas específicos do site. Para obter mais informações sobre os pré-requisitos do Defender para IoT, confira Introdução ao monitoramento de IoT empresarial no Microsoft Defender XDR.
Salvar filtros personalizados como URLs
Depois de configurar um filtro útil na fila de incidentes, você pode marcar a URL da guia do navegador ou salvá-la como um link em uma página da Web, um documento do Word ou um local de sua escolha. A marcação oferece acesso com um único clique às principais exibições da fila de incidentes, como:
- Novos incidentes
- Incidentes de alta gravidade
- Incidentes não atribuídos
- Incidentes não atribuídos de alta gravidade
- Incidentes atribuídos a mim
- Incidentes atribuídos a mim e ao Microsoft Defender para Ponto de Extremidade
- Incidentes com uma tag específica ou tags específicas
- Incidentes com uma categoria de ameaça específica
- Incidentes com uma ameaça específica associada
- Incidentes com um ator específico
Depois de compilar e armazenar sua lista de exibições de filtro úteis como URLs, use-a para processar e priorizar rapidamente os incidentes em sua fila e gerenciá-los para atribuição e análise subsequentes.
Pesquisa
Na caixa Pesquisar nome ou ID acima da lista de incidentes, você pode pesquisar incidentes de várias maneiras, para encontrar rapidamente o que está procurando.
Pesquisar por ID ou nome do incidente
Pesquise diretamente por um incidente digitando a ID do incidente ou o nome do incidente. Quando você seleciona um incidente na lista de resultados da pesquisa, o portal do Microsoft Defender abre uma nova guia com as propriedades do incidente, a partir da qual você pode iniciar sua investigação.
Pesquisar por ativos impactados
É possível nomear um ativo, como um usuário, dispositivo, caixa de correio, nome do aplicativo ou recurso de nuvem, e localizar todos os incidentes relacionados a esse ativo.
Especifique um intervalo de tempo
A lista padrão de incidentes é para aqueles que ocorreram na última semana. Você pode especificar um novo intervalo de tempo na caixa suspensa ao lado do ícone de calendário selecionando:
- Um dia
- Três dias
- Uma semana
- 30 dias
- Seis meses
- Um intervalo personalizado no qual você pode especificar datas e horas
Próximas etapas
Depois de determinar qual incidente requer a prioridade mais alta, selecione-o e:
- Gerencie as propriedades do incidente para etiquetas, atribuição, resolução imediata de incidentes de falso positivo e comentários.
- Comece suas investigações.
Defender em caixa
Por um período limitado, nos meses de janeiro e julho de cada ano, o Defender Boxed aparece automaticamente na primeira vez que você abre a fila de incidentes. O Defender Boxed destaca o sucesso da segurança, as melhorias e as ações de resposta da sua organização durante os últimos seis meses ou ano civil.
Observação
O Defender Boxed está disponível apenas para usuários que realizaram atividades aplicáveis no portal do Microsoft Defender.
Você pode fazer as seguintes ações na série de cartas que aparecem no Defender Boxed:
Baixe um resumo detalhado de suas conquistas que pode ser compartilhado com outras pessoas em sua organização.
Altere a frequência com que o Defender Boxed aparecerá. Você pode escolher entre uma vez (todo mês de janeiro) ou duas vezes (todo mês de janeiro e julho) por ano.
Compartilhe sua conquista em suas redes sociais, email e outros fóruns, salvando o slide como uma imagem.
Para reabrir o Defender Boxed, vá para a fila Incidentes e selecione Seu Defender Boxed no lado direito do painel.
Confira também
Dica
Você deseja aprender mais? Participe da comunidade de Segurança da Microsoft em nossa Tech Community: Tech Community do Microsoft Defender XDR.