Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
No Microsoft Defender, uma identidade representa uma pessoa ou entidade em sua organização. Os usuários geralmente têm várias contas em provedores como o Active Directory local, o Microsoft Entra ID, aplicativos SaaS e outros IDPs. O Defender correlaciona essas contas em uma única identidade.
Cada identidade tem uma conta principal. Quando várias contas estão associadas a uma identidade, o Microsoft Defender designa uma conta como principal e a usa para detalhes de perfil no nível de identidade.
A página Identidade consolida detalhes de identidade, atividades observadas, alertas e exposição em contas vinculadas para que as equipes de segurança possam avaliar rapidamente o risco, determinar possíveis comprometimentos, entender o acesso da identidade em todo o ambiente e responder a ele com ações de correção. Você pode abrir a página Identidade selecionando uma identidade em várias áreas no portal do Microsoft Defender, incluindo:
- Inventário de identidades
- Fila de alertas
- Páginas de alerta individuais
- Incidentes ou dispositivos
- Resultados avançados de busca
- Log de atividades
- Central de Ações
A página Identidade é organizada em uma seção superior e um conjunto de guias. A seção superior mostra o contexto de identidade, como as informações e tags da organização, e inclui o menu Ações . Use as guias para revisar detalhes de resumo, alertas relacionados e exibições de investigação mais profundas.
- Informações da organização: o cargo da identidade, o departamento e muito mais.
- Marcas de conta: Marcas do Active Directory associadas à identidade
Ações de identidade
Na página Visão geral , use o menu Ações para disparar ações de correção na identidade. As ações se aplicam às contas associadas à identidade e dependem de quais conectores estão habilitados, abrangendo Active Directory local, Microsoft Entra ID, sistemas de gerenciamento de identidade e acesso (IAM) e aplicativos SaaS. As ações disponíveis podem incluir desabilitar ou habilitar contas, revogar sessões, forçar uma alteração de senha e marcar o usuário como comprometido. Você também pode visualizar as configurações da conta da identidade.
Para obter a lista completa de ações de correção e os provedores de identidade e aplicativos conectados que dão suporte a eles, consulte as ações de correção em Microsoft Defender para Identidade.
Guia Visão Geral
A guia Visão geral fornece um snapshot de alto nível que ajuda os analistas a avaliar rapidamente o risco e decidir se é necessária uma investigação mais profunda.
A guia de visão geral inclui seções para:
- Detalhes da entidade
- Incidentes e alertas
- Dispositivos de logon interativo associados
Detalhes da entidade
O painel Detalhes da entidade resume as principais informações de identidade e sinais de investigação, incluindo:
- Atributos e informações de contato do Microsoft Entra ID
- Proteção e indicações de ameaça do usuário
- Carimbos de data/hora vistos pela primeira vez e vistos pela última vez
- Número de dispositivos em que a identidade se conectou
- Contas de usuário vinculadas, dispositivos e associações a grupos
- Alertas e incidentes relacionados, agrupados por severidade
Outros detalhes aparecem dependendo dos serviços e recursos habilitados. Por exemplo:
- Os ambientes com o Microsoft Defender para Identidade podem ver:
- Sinalizadores de controle de conta do Active Directory, como senha que nunca expira ou status de bloqueio de conta
- Uma árvore organizacional que mostra a posição da identidade na hierarquia de relatórios.
- (Versão Prévia) Ambientes com o Gerenciamento de Risco Interno do Microsoft Purview podem ver a gravidade do risco interno de um usuário e obter insights sobre as atividades suspeitas de um usuário na página do usuário. Selecione a gravidade do risco interno para ver os insights de risco sobre o usuário.
- (Versão Prévia) ambientes com a Análise do Comportamento de Usuários e Entidades (UEBA) do Microsoft Sentinel, podem ver:
- As três principais anomalias da UEBA do usuário nos últimos 30 dias.
- Links para iniciar consultas de busca avançadas predefinidas e exibir todos os comportamentos anômalos relacionados ao usuário na guia Eventos do Microsoft Sentinel.
Guia Incidentes e alertas
A guia Incidentes e alertas lista todos os alertas e incidentes envolvendo a identidade dentro da janela de retenção com suporte. Consulte a página de incidentes ou a página de alertas para obter uma descrição detalhada do item específico.
Observado na guia organização
A guia Observado na organização mostra onde e como a identidade aparece no ambiente, ajudando os analistas a entender o raio de explosão e o possível movimento lateral.
Essa guia pode incluir:
| Seção | Descrição |
|---|---|
| Contas | Todas as contas associadas à identidade em sistemas de identidade, incluindo contas correlacionadas automática e manualmente. Os analistas podem vincular manualmente outras contas relacionadas. Um indicador mostra qual conta é a conta principal. |
| Dispositivos | Dispositivos em que a identidade entrou. Isso geralmente mostra a atividade recente, |
| Localizações | Locais observados para entradas |
| Grupos | Grupos associados à identidade (quando disponíveis) |
Contas principais
Cada identidade pode incluir várias contas relacionadas de diferentes provedores de identidade. O Microsoft Defender identifica uma conta como a conta principal e usa os valores de perfil dessa conta para campos de nível de identidade, como nome de exibição e cargo.
O Microsoft Defender usa a lógica de correlação interna para determinar a conta principal.
Na tabela de Contas , a conta principal é identificada pelo ícone da conta principal ao lado do nome de exibição da conta.
Aba de pontuação de risco
A guia Pontuação de risco resume o nível de risco da identidade combinando a atividade de alerta com atributos de identidade, como atribuições de função e classificação de confidencialidade. Use esta guia para entender a pontuação de risco de uma identidade, identificar fatores contribuintes e priorizar a investigação.
| Seção | Descrição |
|---|---|
| Resumo dos riscos | Apresenta:
|
| Probabilidade de comprometimento | Mostra o nível de gravidade da probabilidade e divide os alertas por MITRE ATT&estágio da cadeia kill CK (por exemplo, Acesso Inicial, Persistência e Escalonamento de Privilégios) para cada conjunto de contas. |
| Impacto do comprometimento | Mostra o nível de impacto potencial com base no nível de criticidade da identidade, classificação (por exemplo, administrador global) e atribuições de função de Microsoft Entra Privileged Identity Management (PIM). |
| Tendência de risco | Um gráfico de linhas que mostra como a pontuação de risco foi alterada em um período de tempo configurável (por exemplo, 30 dias). Selecione Ir para a linha do tempo para exibir a linha do tempo completa da atividade. |
| Probabilidade de detalhes de comprometimento | Um gráfico de barras que mostra a distribuição de alertas nas categorias MITRE ATT&CK, com uma tabela de alertas filtrável. Use a alternância Somente alertas ativos para se concentrar em alertas não resolvidos. Filtre por conjunto de contas, status ou estágio da cadeia de encerramento. |
A ação Confirmar segurança agora inclui Redefinir risco tanto para a pontuação de risco de identidade quanto para o nível de risco do Microsoft Entra. Para obter mais informações, consulte Ações de correção no Microsoft Defender para Identidade.
Observação
O risco de identidade em Microsoft Defender para Identidade usa a lógica de decadência automatizada para permitir a priorização do SOC. Se nenhum novo fator de risco for detectado, a pontuação de risco de identidade diminuirá ao longo do tempo. O Microsoft Entra ID mantém seu próprio nível de risco de forma independente e não aplica redução gradual. Como resultado, você pode ver um nível de risco do Entra sem pontuação de risco de identidade correspondente quando o tempo de atualização de risco da Entra for maior que 30 dias.
Guia Linha do Tempo
A guia Linha do tempo fornece uma visão cronológica, centrada na identidade, das atividades e dos alertas correlacionados com a identidade em todo o seu ambiente: Active Directory local, Microsoft Entra ID, IAM e outros provedores de identidade, aplicativos SaaS, nuvem e endpoints. Ele agrega dados de produtos integrados de segurança da Microsoft, como Microsoft Defender para Identidade, Microsoft Defender para Ponto de Extremidade, Microsoft Defender para Aplicativos de Nuvem, e Microsoft Sentinel.
A linha do tempo reúne logins, eventos de auditoria, sinais de risco, controles aplicados e avaliações de Acesso Condicional junto com toda a atividade da carga de trabalho, permitindo que você reconstrua sequências de atividade e correlacione eventos durante uma investigação. Como a atividade é correlacionada no nível da identidade, a linha do tempo inclui eventos onde a identidade é o ator ou o alvo. Ela cobre todas as contas vinculadas à identidade, incluindo contas correlacionadas manualmente e com base em políticas (personalizadas). Eventos duplicados são removidos para que a mesma atividade não apareça duas vezes; por exemplo, quando um login aparece tanto no Entra ID quanto nos dados do aplicativo em nuvem, a linha do tempo favorece a fonte do Entra ID.
Tipos de atividades que aparecem na linha do tempo
Os seguintes tipos de dados estão disponíveis na linha do tempo:
- Alertas afetados de um usuário
- Atividades do Active Directory e do Microsoft Entra ID, incluindo logons do Microsoft Entra e eventos de atividade (auditoria) do Microsoft Graph
- Sinais de risco do Microsoft Entra ID e resultados da avaliação do Acesso Condicional, mostrados em linha
- Eventos de aplicativos de nuvem
- Eventos de logon do dispositivo
- Alterações nos serviços de diretório
- Atividades associadas a contas personalizadas (manualmente ou baseadas em políticas) correlacionadas
Tabelas agregadas na linha do tempo
A linha do tempo se baseia em múltiplas tabelas avançadas de caça e as normaliza em um único esquema. As tabelas a seguir são usadas para construir a linha do tempo de identidade:
- AlertInfo
- IdentityLogonEvents
- IdentityQueryEvents
- IdentityDirectoryEvents
- CloudAppEvents
- DeviceLogonEvents
- EntraIdSignInEvents
- GraphAPIAuditEvents
Esquema de linha do tempo
A linha do tempo normaliza eventos das diferentes tabelas de origem em um esquema unificado. Algumas colunas são mostradas por padrão; outros podem ser adicionados a partir das colunas Personalizar. As seguintes colunas estão disponíveis:
Observação
Um campo é preenchido somente se ele existir na tabela fonte daquele evento. Se a tabela fonte não fornecer um valor para uma coluna, essa coluna fica vazia para o evento.
| Coluna | Tipo | Mostrado por padrão | Filtrável por padrão |
|---|---|---|---|
| Hora | DateTime | Yes | Yes |
| Tipo | Enum (Evento ou Alerta) | Yes | Yes |
| Title | String | Yes | Yes |
| ID da conta do provedor de origem | String | Yes | Yes |
| Nome de exibição da conta | String | Yes | Yes |
| Fornecedor de origem | String | Yes | Yes |
| endereço IP | String | Yes | Yes |
| Device | String | Yes | Yes |
| Risco/Gravidade | String | Yes | Yes |
| Location | String | Yes | Yes |
| Políticas de acesso condicional | Dinâmico | Yes | No |
| Tabela de origem | String | Yes | No |
| Espaço de trabalho do Sentinel | String | No | No |
| Target | Dinâmico | No | Não filtrável |
| ID da sessão | String | No | No |
| Identificador de token exclusivo | String | No | No |
| Informações adicionais | Dinâmico | No | Não filtrável |
| ReportId | String | No | No |
Painel de detalhes do evento
Selecione um evento na linha do tempo para abrir um painel lateral com os detalhes do evento. O painel organiza as informações em abas. Para eventos de login do Microsoft Entra ID, o painel inclui uma aba de Acesso Condicional que mostra as políticas de Acesso Condicional avaliadas durante o login, incluindo o nome de cada política, controles de concessão e resultado (por exemplo, Sucesso, Não aplicado ou Bloqueio). Revisar esses resultados ajuda os analistas a entender quais controles foram aplicados durante uma investigação.
Guia Recomendações de segurança
A guia Recomendações de segurança exibe avaliações de postura relacionadas à identidade identificadas por meio do ISPM (Gerenciamento de Postura de Segurança de Identidade). Essas recomendações destacam configurações incorretas ou configurações arriscadas nas contas da identidade, e selecionar uma recomendação abre os detalhes no Microsoft Secure Score para obter diretrizes de correção.
Guia Caminhos de ataque
A guia Caminhos de ataque visualiza possíveis caminhos de movimento lateral que envolvem a identidade ou levam a ela. Esses insights ajudam as equipes de segurança a entender relacionamentos exploráveis e reduzir a superfície de ataque baseada em identidade.
Guia Políticas
A guia Políticas exibe políticas de segurança relacionadas à identidade que são relevantes para a identidade com base em seus atributos, funções e atividade observada.
Essa exibição fornece contexto de investigação, mostrando quais políticas se aplicam à identidade e como elas influenciam o acesso ou a avaliação de risco. As políticas são gerenciadas em outro lugar; Essa guia ajuda os analistas a correlacionar a imposição de políticas com logins, alertas e descobertas de investigação.
Guia Identity Explorer (versão prévia)
Observação
A guia Identity Explorer requer uma licença do Microsoft Sentinel Data Lake.
A guia Identity Explorer usa o gráfico de busca para visualizar caminhos de ataque de identidade e cenários de exposição como gráficos interativos. O grafo é pré-configurado com a identidade atual, para que você possa ver imediatamente como a identidade se relaciona com outras entidades em seu ambiente.
Use o Identity Explorer para descobrir caminhos de movimento lateral, rotas de escalonamento de privilégios e riscos de acesso a credenciais associados à identidade.
Pesquisa com cenários predefinidos
Selecione Pesquisar com cenários predefinidos para executar consultas com foco na identidade. Cada cenário é mapeado para uma ou mais técnicas MITRE ATT&CK e se concentra em um tipo específico de risco de identidade.
A tabela a seguir descreve os cenários de identidade predefinidos disponíveis no Identity Explorer.
| Cenário | Descrição | Técnica MITRE |
|---|---|---|
| Usuários do Entra sincronizados com permissões no aplicativo OAuth, permitindo a autenticação como entidades de serviço privilegiadas | Aplicativos OAuth que atuam como entidades de serviço privilegiadas que podem acessar recursos sem interação do usuário. | Escalonamento de privilégios, movimento lateral |
| Os usuários não privilegiados têm um caminho que leva a um usuário/grupo confidencial (no local/na nuvem) | Usuários sem privilégios que têm caminhos para identidades confidenciais, mostrando possível escalonamento de privilégios. | Escalonamento de privilégios, movimento lateral |
| Contas de serviço com acesso RDP a dispositivo crítico | Contas de serviço que podem acessar remotamente dispositivos críticos via RDP, criando riscos de acesso persistentes se comprometidos. | Movimento Lateral |
| Usuários Kerberoastable com um caminho para um ativo crítico | Usuários Kerberoastable com caminhos de ataque a ativos críticos, permitindo ataques de senha offline que podem levar ao escalonamento de privilégios. | Escalonamento de privilégios, acesso com credenciais |
| Usuários do Entra sincronizados com permissões diretas para recursos de nuvem | O Microsoft Entra usuários com permissões híbridas em vários recursos de nuvem, rompendo limites de segurança e violando privilégios mínimos. | Movimento Lateral |
| Usuários externos do Entra com permissões diretas para recursos de nuvem | Identidades externas com acesso direto a recursos de nuvem, representando risco de terceiros e possível exposição de dados. | Movimento Lateral |
| Usuários sem privilégios com um caminho para possuir o domínio do AD (DCSync) | Usuários sem privilégios com caminhos que permitem o comprometimento completo do domínio do Active Directory por meio do DCSync. | Escalonamento de privilégios, acesso com credenciais |
| Usuários sem privilégios que podem acessar o grupo Administradores de Domínio (<5 saltos) | Usuários sem privilégios que podem acessar o grupo Administradores de Domínio em menos de cinco etapas. | Escalonamento de privilégios, movimento lateral |
| Usuários ASREPRoastable com um caminho para um ativo crítico | Contas roastáveis AS-REP com caminhos para ativos críticos que podem ser atacados por meio de quebra de senha offline. | Escalonamento de privilégios, acesso com credenciais |
| A conta de usuário não privilegiada exposta em vários dispositivos tem permissões de logon RDP para ativos críticos (no local/na nuvem) | Usuários sem privilégios expostos em vários dispositivos que podem acessar remotamente ativos críticos via RDP. | Acesso à credencial |
Para obter mais informações sobre o gráfico de busca e seus recursos, consulte Buscar ameaças usando o gráfico de busca.
Guia de eventos do Microsoft Sentinel
Quando Microsoft Sentinel está conectado ao portal do Defender, essa guia mostra um Microsoft Sentinel linha do tempo para a identidade. A linha do tempo inclui alertas associados à identidade, incluindo alertas também mostrados na guia Incidentes e alertas e alertas criados pelo Microsoft Sentinel. Ele também mostra buscas marcadas que fazem referência à identidade, eventos de atividade de fontes de dados externas e comportamentos incomuns identificados pelas regras de anomalia do Microsoft Sentinel.
Insights
A seção Insights mostra insights de entidade, que são consultas de investigação definidas por pesquisadores de segurança da Microsoft para ajudar os analistas a investigar identidades com mais eficiência. Esses insights destacam automaticamente os principais sinais de segurança, como atividade de entrada, alterações de grupo e comportamento anômalo, e apresentam os resultados como tabelas e gráficos. Os insights são da plataforma Microsoft Sentinel e as fontes de dados conectadas a ele, incluindo logs do Microsoft Entra ID e Microsoft Sentinel UEBA quando habilitado.
Tipos de insights
Veja a seguir alguns dos insights mostrados:
- Pares de usuário com base na associação a grupos de segurança
- Ações por conta
- Ações na conta
- Logs de eventos limpos pelo usuário
- Agrupar adições
- Contagem de operações de escritório anormalmente alta
- Acesso ao recurso
- Contagem de resultados de entrada do Azure anormalmente alta
- UEBA Insights
- Permissões de acesso do usuário para assinaturas do Azure
- Indicadores de ameaça relacionados ao usuário
- Watchlist insights (versão prévia)
- Atividade de entrada do Windows
Fontes de dados para insights
Os insights são baseados nas seguintes fontes de dados:
- Syslog (Linux)
- EventoDeSegurança (Windows)
- AuditLogs (Microsoft Entra ID)
- SigninLogs (ID do Microsoft Entra)
- AtividadeEscritório (Office 365)
- BehaviorAnalytics (UEBA do Microsoft Sentinel)
- Pulsação (agente do Azure Monitor)
- CommonSecurityLog (Microsoft Sentinel)
Explore os insights na Busca avançada
Para explorar ainda mais qualquer insight, selecione o link que acompanha o insight. O link abre a página de busca avançada com a consulta subjacente ao insight e seus resultados brutos. Você pode modificar a consulta ou fazer uma busca detalhada nos resultados para expandir sua investigação.
