Microsoft Sentinel formação de competências

Este artigo orienta-o através de uma formação de nível 400 para ajudá-lo a melhorar Microsoft Sentinel. A formação é composta por 21 módulos personalizados que apresentam documentação de produto, mensagens de blogue e outros recursos relevantes.

Os módulos aqui listados são divididos em cinco partes após o ciclo de vida de um Centro de Operações de Segurança (SOC):

Parte 1: Descrição geral

Parte 2: Arquitetar e implementar

Parte 3: Criar conteúdo

Parte 4: Funcionamento

Parte 5: Avançadas

Parte 1: Descrição geral

Módulo 0: Outras opções de aprendizagem e suporte

Este treino de qualificação é um treino de nível 400 baseado no treino Microsoft Sentinel Ninja. Se não quiser ir tão fundo ou tiver um problema específico para resolver, outros recursos poderão ser mais adequados:

Módulo 1: Introdução ao Microsoft Sentinel

Microsoft Sentinel é uma solução de gestão de eventos de informações de segurança (SIEM) e resposta automatizada de orquestração de segurança (SOAR) dimensionável, nativa da cloud. Microsoft Sentinel fornece análises de segurança e informações sobre ameaças em toda a empresa. Fornece uma solução única para deteção de alertas, visibilidade de ameaças, investigação proativa e resposta a ameaças. Para obter mais informações, consulte O que é Microsoft Sentinel?

Se quiser obter uma descrição geral inicial das capacidades técnicas do Microsoft Sentinel, a apresentação mais recente do Ignite é um bom ponto de partida. Também poderá considerar útil o Guia de Introdução para Microsoft Sentinel (é necessário o registo do site).

Encontre uma descrição geral mais detalhada nesta Microsoft Sentinel webinar: YouTube, MP4 ou apresentação.

Finalmente, quer experimentar sozinho? O Microsoft Sentinel Acelerador Tudo-em-Um (blogue, YouTube, MP4 ou apresentação) oferece uma forma fácil de começar. Para saber como começar, consulte a documentação de introdução ou veja o vídeo de configuração do Microsoft Sentinel da Insight.

Aprender com outros utilizadores

Milhares de organizações e fornecedores de serviços estão a utilizar Microsoft Sentinel. Como é habitual com produtos de segurança, a maioria das organizações não o divulga publicamente. Ainda assim, eis alguns que têm:

Saiba mais com os analistas

Módulo 2: Como é Microsoft Sentinel utilizado?

Muitas organizações utilizam Microsoft Sentinel como SIEM principal. A maioria dos módulos deste curso abrange este caso de utilização. Neste módulo, apresentamos algumas formas adicionais de utilizar Microsoft Sentinel.

Como parte do ecossistema de segurança da Microsoft

Utilize Microsoft Sentinel, Microsoft Defender para a Cloud e Microsoft Defender XDR em conjunto para proteger as suas cargas de trabalho da Microsoft, incluindo o Windows, o Azure e o Office:

Para monitorizar as cargas de trabalho de várias clouds

A cloud é (ainda) nova e, muitas vezes, não é monitorizada tão extensivamente como as cargas de trabalho no local. Leia esta apresentação para saber como o Microsoft Sentinel pode ajudá-lo a colmatar a lacuna na monitorização da cloud em todas as suas clouds.

Lado a lado com o SIEM existente

Para um período de transição ou a longo prazo, se estiver a utilizar Microsoft Sentinel para as cargas de trabalho na cloud, poderá estar a utilizar Microsoft Sentinel juntamente com o SIEM existente. Também poderá estar a utilizar ambos com um sistema de gestão de pedidos, como o ServiceNow.

Para obter mais informações sobre como migrar de outro SIEM para Microsoft Sentinel, veja o webinar de migração: YouTube, MP4 ou apresentação.

Existem três cenários comuns para a implementação lado a lado:

Também pode enviar os alertas do Microsoft Sentinel para o seu SIEM de terceiros ou para o sistema de gestão de pedidos, utilizando a API de Segurança do Graph. Esta abordagem é mais simples, mas não permite o envio de outros dados.

Para MSSPs

Uma vez que elimina o custo de configuração e é agnóstico em termos de localização, Microsoft Sentinel é uma escolha popular para fornecer SIEM como um serviço. Encontre uma lista de fornecedores de serviços de segurança (MSSPs) geridos por membros misa (Associação de Segurança Inteligente da Microsoft) que utilizam Microsoft Sentinel. Muitos outros MSSPs, especialmente os regionais e mais pequenos, utilizam Microsoft Sentinel mas não são membros misa.

Para começar o seu percurso como um MSSP, leia o Microsoft Sentinel Technical Playbooks for MSSPs ( Manuais de Procedimentos Técnicos para MSSPs). Estão incluídas mais informações sobre o suporte do MSSP no próximo módulo, que abrange a arquitetura da cloud e o suporte multi-inquilino.

Parte 2: Arquitetar e implementar

Embora a "Parte 1: Descrição geral" ofereça formas de começar a utilizar Microsoft Sentinel numa questão de minutos, antes de iniciar uma implementação de produção, é importante criar um plano.

Esta secção orienta-o pelas áreas a considerar ao arquitetar a sua solução e fornece diretrizes sobre como implementar a sua estrutura:

  • Arquitetura do espaço de trabalho e do locatário
  • Recolha de dados
  • Gestão de registos
  • Aquisição de informações sobre ameaças

Módulo 3: Espaço de trabalho e arquitetura de tenant

Uma instância Microsoft Sentinel é denominada área de trabalho. A área de trabalho é a mesma que uma área de trabalho do Log Analytics e suporta qualquer capacidade do Log Analytics. Pode considerar Microsoft Sentinel como uma solução que adiciona funcionalidades SIEM a uma área de trabalho do Log Analytics.

Muitas vezes, são necessárias várias áreas de trabalho e podem atuar em conjunto como um único sistema de Microsoft Sentinel. Um caso de utilização especial é fornecer um serviço através de Microsoft Sentinel (por exemplo, por um MSSP (Fornecedor de Serviços de Segurança Gerida) ou por um SOC Global numa organização grande).

Para saber mais sobre como utilizar várias áreas de trabalho como um sistema Microsoft Sentinel, consulte Expandir Microsoft Sentinel entre áreas de trabalho e inquilinos ou ver o webinar: YouTube, MP4 ou apresentação.

Quando estiver a utilizar várias áreas de trabalho, considere o seguinte:

O Microsoft Sentinel Manual de Procedimentos Técnicos para MSSPs fornece diretrizes detalhadas para muitos desses tópicos e é útil para grandes organizações e não apenas para MSSPs.

Módulo 4: Recolha de dados

A base de um SIEM é a recolha de telemetria: eventos, alertas e informações de melhoramento contextual, como informações sobre ameaças, dados de vulnerabilidades e informações de ativos. Eis uma lista de fontes para consultar:

  • Leia conectores de dados do Microsoft Sentinel.
  • Aceda a Localizar o conector de dados do Microsoft Sentinel para ver todos os conectores de dados suportados e pré-configurados. Encontre ligações para procedimentos de implementação genéricos e passos adicionais necessários para conectores específicos.
  • Cenários de recolha de dados: saiba mais sobre os métodos de recolha, como Logstash/CEF/WEF. Outros cenários comuns são a restrição de permissões para tabelas, filtragem de registos, recolha de registos do Amazon Web Services (AWS) ou do Google Cloud Platform (GCP), registos não processados do Microsoft 365, etc. Tudo pode ser encontrado no webinar "Cenários de Recolha de Dados": YouTube, MP4 ou apresentação.

A primeira informação que vê para cada conector é o método de ingestão de dados. O método apresentado tem uma ligação para um dos seguintes procedimentos genéricos de implementação, que contêm a maioria das informações necessárias para ligar as origens de dados a Microsoft Sentinel:

Método de ingestão de dados Artigo associado
Integração de serviço para serviço do Azure Ligar a serviços Azure, Windows, Microsoft e Amazon
Formato de Evento Comum (CEF) através do Syslog Ingerir mensagens Syslog e CEF para Microsoft Sentinel com o Agente do Azure Monitor
API do Recoletor de Dados do Microsoft Sentinel Ligar à API de Ingestão de Registos
Funções do Azure e a API REST Utilizar Funções do Azure para ligar Microsoft Sentinel à sua origem de dados
Syslog Ingerir mensagens Syslog e CEF para Microsoft Sentinel com o Agente do Azure Monitor
Registos personalizados Registos Personalizados através do conector de dados AMA – Configurar a ingestão de dados para Microsoft Sentinel a partir de aplicações específicas

Se a sua origem não estiver disponível, pode criar um conector personalizado. Os conectores personalizados utilizam a API de ingestão e, por conseguinte, são semelhantes às origens diretas. Muitas vezes, implementa conectores personalizados com o Azure Logic Apps, que oferece uma opção sem código ou Funções do Azure.

Módulo 5: Gestão de registos

A primeira decisão de arquitetura a considerar ao configurar Microsoft Sentinel, é quantas áreas de trabalho e quais utilizar. Outras decisões de arquitetura de gestão de registos importantes a considerar incluem:

  • Onde e quanto tempo deve reter os dados.
  • Como gerir melhor o acesso aos dados e protegê-lo.

Ingerir, arquivar, procurar e restaurar dados no Microsoft Sentinel

Para começar, veja o webinar "Gerir o ciclo de vida do registo com novos métodos de ingestão, arquivo, pesquisa e restauro ".

Este conjunto de funcionalidades contém:

  • Escalão de ingestão básico: um novo escalão de preço para Azure Monitorizar Registos que lhe permite ingerir registos a um custo mais baixo. Estes dados são mantidos na área de trabalho durante apenas oito dias.
  • Camada de arquivo: o Azure Monitor Logs alargou o período de retenção de dois anos para sete anos. Com este novo escalão, pode reter dados até sete anos num estado arquivado de baixo custo.
  • Trabalhos de pesquisa: tarefas de pesquisa que executam consultas KQL limitadas para localizar e devolver todos os registos relevantes. Estas tarefas pesquisam dados na camada de análise, no escalão básico e nos dados arquivados.
  • Restauro de dados: uma nova funcionalidade que lhe permite escolher uma tabela de dados e um intervalo de tempo para que possa restaurar dados para a área de trabalho através de uma tabela de restauro.

Para obter mais informações sobre estas novas funcionalidades, consulte Ingerir, arquivar, procurar e restaurar dados no Microsoft Sentinel.

Opções de retenção alternativas fora da plataforma Microsoft Sentinel

Se quiser reter dados durante mais de dois anos ou reduzir o custo de retenção, considere utilizar Azure Data Explorer para retenção de longo prazo de registos de Microsoft Sentinel. Veja a apresentação do webinar, a gravação do webinar ou o blogue.

Quer obter informações mais aprofundadas? Veja o webinar "Melhorar a amplitude e a cobertura da investigação de ameaças com suporte do ADX, mais tipos de entidades e integração mitre atualizada ".

Se preferir outra solução de retenção de longo prazo, veja Exportar da área de trabalho do Microsoft Sentinel/Log Analytics para Azure Armazenamento e Hubs de Eventos ou Mover registos para o armazenamento de longo prazo com o Azure Logic Apps. A vantagem de utilizar o Logic Apps é que pode exportar dados históricos.

Por fim, pode definir períodos de retenção granulares utilizando as definições de retenção ao nível da tabela. Para obter mais informações, consulte Configurar políticas de retenção e arquivo de dados no Azure Monitor Logs (Pré-visualização).

Segurança de registo

Cluster dedicado

Utilize um cluster de área de trabalho dedicado se a ingestão de dados prevista for aproximada ou superior a 500 GB por dia. Com um cluster dedicado, pode proteger recursos para os seus dados de Microsoft Sentinel, o que permite um melhor desempenho de consultas para grandes conjuntos de dados.

Módulo 6: Melhoramento: Informações sobre ameaças, listas de observação e muito mais

Uma das funções importantes de um SIEM é aplicar informações contextuais ao steam do evento, que permite a deteção, a atribuição de prioridades de alertas e a investigação de incidentes. As informações contextuais incluem, por exemplo, informações sobre ameaças, informações de IP, informações do anfitrião e do utilizador e listas de observação.

Microsoft Sentinel fornece ferramentas abrangentes para importar, gerir e utilizar informações sobre ameaças. Para outros tipos de informações contextuais, Microsoft Sentinel fornece listas de observação e outras soluções alternativas.

Informações sobre ameaças

As informações sobre ameaças são um bloco modular importante de um SIEM. Veja o webinar "Explorar o Poder das Informações sobre Ameaças no Microsoft Sentinel".

No Microsoft Sentinel, pode integrar inteligência sobre ameaças utilizando os conectores incorporados para servidores TAXII (Trusted Automated eXchange of Indicator Information) ou através da API de Segurança do Microsoft Graph. Para obter mais informações, veja Integração de informações sobre ameaças no Microsoft Sentinel. Para obter mais informações sobre a importação de informações sobre ameaças, veja as secções Módulo 4: Recolha de dados .

Depois de importada, as informações sobre ameaças são utilizadas extensivamente ao longo de Microsoft Sentinel. As seguintes funcionalidades focam-se na utilização de informações sobre ameaças:

Veja o webinar "Automatizar os Seus Esforços de Triagem Microsoft Sentinel com a RiskIQ Threat Intelligence": YouTube ou apresentação.

Falta de tempo? Veja a sessão Ignite (28 minutos).

Quer obter informações mais aprofundadas? Veja o webinar "Descrição aprofundada das informações sobre ameaças": YouTube, MP4 ou apresentação.

Listas de observação e outros mecanismos de pesquisa

Para importar e gerir qualquer tipo de informações contextuais, Microsoft Sentinel fornece listas de observação. Ao utilizar listas de observação, pode carregar tabelas de dados no formato CSV e utilizá-las nas suas consultas KQL. Para obter mais informações, consulte Utilizar listas de observação no Microsoft Sentinel ou veja o webinar "Utilizar listas de observação para gerir alertas, reduzir a fadiga dos alertas e melhorar a eficiência do SOC": YouTube ou apresentação.

Utilize listas de observação para o ajudar nos seguintes cenários:

  • Investigar ameaças e responder a incidentes rapidamente: importe rapidamente endereços IP, hashes de ficheiros e outros dados de ficheiros CSV. Depois de importar os dados, utilize os pares nome-valor da lista de observação para junções e filtros em regras de alerta, pesquisa de ameaças, livros de trabalho, blocos de notas e consultas gerais.

  • Importar dados de negócio como uma lista de observação: por exemplo, importar listas de utilizadores com acesso privilegiado ao sistema ou funcionários terminados. Em seguida, utilize a lista de observação para criar listas de permissões e listas de bloqueio para detetar ou impedir que esses utilizadores iniciem sessão na rede.

  • Reduzir a fadiga dos alertas: crie listas de permissões para suprimir alertas de um grupo de utilizadores, como utilizadores de endereços IP autorizados que executam tarefas que normalmente acionam o alerta. Impedir que eventos benignos se tornem alertas.

  • Enriquecer dados de eventos: utilize listas de observação para enriquecer os seus dados de eventos com combinações de nome-valor derivadas de origens de dados externas.

Além das listas de observação, pode utilizar o operador KQL external-data, registos personalizados e funções KQL para gerir e consultar informações de contexto. Cada um dos quatro métodos tem os seus prós e contras e pode ler mais sobre as comparações entre eles na publicação de blogue "Implementar pesquisas no Microsoft Sentinel". Embora cada método seja diferente, utilizar as informações resultantes nas suas consultas é semelhante e permite alternar facilmente entre as mesmas.

Para obter ideias sobre como utilizar listas de observação fora das regras analíticas, veja Utilizar listas de observação para impulsionar a eficiência durante as investigações Microsoft Sentinel.

Veja o webinar "Utilizar listas de observação para gerir alertas, reduzir a fadiga dos alertas e melhorar a eficiência do SOC": YouTube ou apresentação.

Módulo 7: Transformação de registos

Microsoft Sentinel suporta duas novas funcionalidades para ingestão e transformação de dados. Estas funcionalidades, fornecidas pelo Log Analytics, atuam nos seus dados mesmo antes de serem armazenadas na área de trabalho. As funcionalidades são:

Para mais informações, consulte:

Módulo 8: Migração

Em muitos casos (se não a maioria), já tem um SIEM e precisa de migrar para Microsoft Sentinel. Embora possa ser uma boa altura para recomeçar e repensar a implementação do SIEM, faz sentido utilizar alguns dos recursos que já criou na implementação atual. Veja o webinar "Melhores práticas para converter regras de deteção" (de Splunk, QRadar e ArcSight para Azure Microsoft Sentinel): YouTube, MP4, apresentação ou blogue.

Também poderá estar interessado nos seguintes recursos:

Módulo 9: modelo de informações e normalização avançadas do SIEM

Trabalhar com vários tipos de dados e tabelas em conjunto pode representar um desafio. Tem de se familiarizar com esses tipos de dados e esquemas ao escrever e utilizar um conjunto específico de regras analíticas, livros de trabalho e consultas de pesquisa. Correlacionar os tipos de dados que são necessários para investigação e caça a ameaças também pode ser complicado.

O Modelo de Informações SIEM Avançado (ASIM) proporciona uma experiência fluida para lidar com várias origens de dados em visualizações uniformes e normalizadas. O ASIM alinha-se com o modelo comum de informação Open-Source Security Events Metadata (OSSEM), promovendo uma normalização transversal ao setor e independente de fornecedores. Veja o webinar "Advanced SIEM information model (ASIM): Now built into Microsoft Sentinel": YouTube or presentation (Modelo avançado de informações SIEM (ASIM): agora incorporado no Microsoft Sentinel: YouTube ou apresentação.

A implementação atual baseia-se na normalização do tempo de consulta, que utiliza funções KQL:

  • Os esquemas normalizados abrangem conjuntos padrão de tipos de evento previsíveis que são fáceis de trabalhar e criam capacidades unificadas. O esquema define os campos que devem representar um evento, uma convenção de nomenclatura de colunas normalizada e um formato padrão para os valores de campo.
    • Veja o webinar "Compreender a normalização no Microsoft Sentinel": YouTube ou apresentação.
    • Veja o webinar "Deep Dive into Microsoft Sentinel normalizing parsers and normalized content": YouTube, MP3 ou a apresentação.

  • Os analisadores mapeiam os dados existentes para os esquemas normalizados. Pode implementar analisadores com funções KQL. Veja o webinar "Expandir e gerir ASIM: Desenvolver, testar e implementar analisadores": YouTube ou apresentação.

  • Conteúdo para cada esquema normalizado inclui regras de análise, livros de trabalho e consultas de investigação. Este conteúdo funciona em quaisquer dados normalizados sem a necessidade de criar conteúdo específico da origem.

A utilização do ASIM proporciona as seguintes vantagens:

  • Deteção entre fontes: as regras analíticas normalizadas funcionam entre fontes no local e na cloud. As regras detetam ataques, como força bruta ou viagens impossíveis entre sistemas, incluindo Okta, AWS e Azure.

  • Permite conteúdo agnóstico de origem: a cobertura de conteúdo incorporado e personalizado através do ASIM expande-se automaticamente para qualquer origem que suporte ASIM, mesmo que a origem tenha sido adicionada após a criação do conteúdo. Por exemplo, a análise de eventos de processos suporta qualquer origem que um cliente possa utilizar para introduzir os dados, incluindo Microsoft Defender para Endpoint, Eventos do Windows e Sysmon. Estamos prontos para adicionar o Sysmon para Linux e WEF quando tiver sido lançado.

  • Suporte para as suas fontes personalizadas nas análises integradas

  • Facilidade de utilização: os analistas que aprendem ASIM consideram muito mais simples escrever consultas porque os nomes dos campos são sempre os mesmos.

Saiba mais sobre o ASIM

Tire partido destes recursos:

Implementar o ASIM

  • Implemente os analisadores a partir das pastas, começando com "ASIM*" na pasta parsers no GitHub.

  • Ativar regras analíticas que utilizam o ASIM. Procure normal na galeria de modelos para encontrar alguns deles. Para obter a lista completa, utilize esta pesquisa do GitHub.

Use o ASIM

Parte 3: Criar conteúdo

O que é o conteúdo do Microsoft Sentinel?

O valor da segurança Microsoft Sentinel é uma combinação das suas capacidades incorporadas e da sua capacidade de criar capacidades personalizadas e personalizar as incorporadas. Entre as capacidades incorporadas, existem regras de Análise de Comportamento de Utilizadores e Entidades (UEBA), machine learning ou regras de análise integradas. As capacidades personalizadas são frequentemente referidas como "conteúdo" e incluem regras analíticas, consultas de investigação, livros, manuais de procedimentos, etc.

Nesta secção, agrupámos os módulos que o ajudam a aprender a criar esses conteúdos ou a modificar conteúdos incorporados de acordo com as suas necessidades. Começamos com o KQL, a língua franca do Microsoft Sentinel. Os módulos seguintes abordam um dos blocos modulares de conteúdos, como regras, manuais de procedimentos e livros. Terminam ao discutir casos de utilização, que abrangem elementos de diferentes tipos que abordam objetivos de segurança específicos, como deteção de ameaças, investigação ou governação.

Módulo 10: Linguagem de Pesquisa Kusto

A maioria das capacidades do Microsoft Sentinel utiliza Linguagem de Consulta Kusto (KQL). Quando pesquisa nos seus registos, escreve regras, cria consultas de investigação ou estrutura livros, utiliza o KQL.

A secção seguinte sobre como escrever regras explica como utilizar o KQL no contexto específico das regras SIEM.

À medida que aprende KQL, também poderá considerar úteis as seguintes referências:

Módulo 11: Análise

Criar regras de análise agendadas

Com Microsoft Sentinel, pode utilizar modelos de regras incorporados, personalizar os modelos para o seu ambiente ou criar regras personalizadas. O núcleo das regras é uma consulta KQL; no entanto, há muito mais do que isso para configurar numa regra.

Para saber o procedimento para criar regras, veja Criar regras de análise personalizadas para detetar ameaças. Para saber como escrever regras (ou seja, o que deve entrar numa regra, focar-se no KQL para regras), veja o webinar: YouTube, MP4 ou apresentação.

As regras de análise SIEM têm padrões específicos. Saiba como implementar regras e escrever KQL para esses padrões:

A mensagem de blogue "Investigações de armazenamento de blobs e ficheiros" fornece um exemplo passo a passo para escrever uma regra de análise útil.

Utilizar a analítica integrada

Antes de começar a escrever as suas próprias regras, considere tirar partido das capacidades de análise incorporadas. Não exigem muito de si, mas vale a pena aprender mais sobre eles:

Módulo 12: Implementar o SOAR

Nos SIEMs modernos, como Microsoft Sentinel, o SOAR compõe todo o processo desde o momento em que um incidente é acionado até ser resolvido. Este processo começa com uma investigação de incidente e continua com uma resposta automatizada. A publicação de blogue "How to use Microsoft Sentinel for Incident Response, Orchestration and Automation" (Como utilizar Microsoft Sentinel para Resposta a Incidentes, Orquestração e Automatização) fornece uma descrição geral dos casos de utilização comuns do SOAR.

As regras de automatização são o ponto de partida para a automatização Microsoft Sentinel. Fornecem um método simples de processamento centralizado e automatizado de incidentes, incluindo supressão, processamento falso positivo e atribuição automática.

Para fornecer capacidades de automatização robustas baseadas em fluxos de trabalho, as regras de automatização utilizam manuais de procedimentos do Logic Apps. Para saber mais:

Encontre dezenas de playbooks úteis na pasta Playbooks no site GitHub do Microsoft Sentinel, ou leia Um playbook que utiliza uma watchlist para informar o proprietário de uma subscrição sobre um alerta para uma explicação passo a passo.

Módulo 13: Livros, relatórios e visualização

Livros

Como centro nervoso do SOC, Microsoft Sentinel é necessário para visualizar as informações que recolhe e produz. Use livros de trabalho para visualizar os dados no Microsoft Sentinel.

As pastas de trabalho podem ser interativas e permitir muito mais do que apenas a criação de gráficos. Com os books de trabalho, pode criar aplicações ou módulos de extensão para o Microsoft Sentinel, de modo a complementar as suas funcionalidades incorporadas. Também pode utilizar livros de trabalho para alargar as funcionalidades do Microsoft Sentinel. Eis alguns exemplos destas aplicações:

Encontrará dezenas de livros na pasta Livros no Microsoft Sentinel GitHub. Alguns deles também estão disponíveis na galeria de livros de trabalho do Microsoft Sentinel.

Relatórios e outras opções de visualização

Os livros de cálculo podem ser utilizados para relatórios. Para capacidades de relatórios mais avançadas, como o agendamento e distribuição de relatórios ou tabelas dinâmicas, poderá querer utilizar:

Módulo 14: Blocos de Notas

Os blocos de notas do Jupyter estão totalmente integrados com Microsoft Sentinel. Embora sejam consideradas uma ferramenta importante no arsenal de ferramentas do caçador e sejam abordadas nos webinars da secção de caça, o seu valor é muito mais amplo. Os blocos de notas podem servir para visualização avançada, como guia de investigação e automatização sofisticada.

Para compreender melhor os blocos de notas, veja o vídeo Introdução aos blocos de notas. Comece a utilizar o webinar de blocos de notas (YouTube, MP4 ou apresentação) ou leia a documentação. A Microsoft Sentinel Notebooks Ninja series é uma série de formação contínua para o ajudar a desenvolver competências em notebooks.

Uma parte importante da integração é implementada pelo MSTICPy, que é uma biblioteca Python desenvolvida pela nossa equipa de investigação para ser utilizada com blocos de notas do Jupyter. Adiciona interfaces do Microsoft Sentinel e capacidades de segurança sofisticadas aos seus notebooks.

Módulo 15: Casos de utilização e soluções

Com conectores, regras, manuais de procedimentos e livros de trabalho, pode implementar casos de utilização, que é o termo utilizado em SIEM para um pacote de conteúdo destinado a detetar e responder a uma ameaça. Pode implementar os casos de utilização integrados do Microsoft Sentinel ativando as regras sugeridas ao ligar cada conector. Uma solução é um grupo de casos de utilização que abordam um domínio de ameaça específico.

O webinar "Tackling Identity" (YouTube, MP4 ou apresentação) explica o que é um caso de utilização e como abordar o seu design, e apresenta vários casos de utilização que abordam coletivamente ameaças de identidade.

Outra área de solução relevante é proteger o trabalho remoto. Veja a nossa sessão do Ignite sobre como proteger o trabalho remoto e leia mais sobre os seguintes casos de utilização específicos:

Por fim, focando-se em ataques recentes, saiba como monitorizar a cadeia de fornecimento de software com Microsoft Sentinel.

As soluções do Microsoft Sentinel proporcionam capacidade de descoberta no produto, implementação numa única etapa e ativação de cenários de produto, domínio e/ou verticais de ponta a ponta no Microsoft Sentinel. Para obter mais informações, consulte Sobre Microsoft Sentinel conteúdos e soluções e veja o webinar "Criar as suas próprias soluções Microsoft Sentinel": YouTube ou apresentação.

Parte 4: Funcionamento

Módulo 16: Gestão de incidentes

Depois de criar o SOC, tem de começar a utilizá-lo. O webinar "um dia na vida de um analista de SOC" (YouTube) mostra-lhe como utilizar o Microsoft Sentinel no SOC para fazer a triagem, investigar e responder a incidentes.

Para ajudar a permitir que as suas equipas colaborem de forma totalmente integrada na organização e com intervenientes externos, consulte Integrar com o Microsoft Teams diretamente a partir de Microsoft Sentinel. Veja também o webinar "Diminuir o MTTR do SOC (Tempo Médio para Responder) ao integrar Microsoft Sentinel com o Microsoft Teams".

Também poderá querer ler o artigo da documentação sobre a investigação de incidentes. Como parte da investigação, também irá utilizar as páginas de entidade para obter mais informações sobre entidades relacionadas com o seu incidente ou identificadas no decurso da investigação.

A investigação de incidentes no Microsoft Sentinel vai além da funcionalidade principal de investigação de incidentes. Pode criar mais ferramentas de investigação com livros e blocos de notas, os Blocos de Notas são abordados na secção seguinte, Módulo 17: Investigação. Também pode criar mais ferramentas de investigação ou modificar as existentes de acordo com as suas necessidades específicas. Os exemplos incluem:

Módulo 17: Investigação

Embora a maior parte da discussão até agora se tenha centrado na deteção e na gestão de incidentes, a investigação é outro caso de utilização importante para Microsoft Sentinel. A investigação é uma pesquisa proativa de ameaças em vez de uma resposta reativa aos alertas.

O painel de caça é constantemente atualizado. Mostra todas as consultas que foram escritas pela equipa de analistas de segurança da Microsoft e quaisquer consultas adicionais que criou ou modificou. Cada consulta fornece uma descrição do que procura e do tipo de dados em que é executada. Estes modelos são agrupados pelas suas várias táticas. Os ícones à direita categorizam o tipo de ameaça, como acesso inicial, persistência e exfiltração. Para obter mais informações, veja Investigar ameaças com Microsoft Sentinel.

Para saber mais sobre o que é a investigação e como Microsoft Sentinel a suporta, veja o webinar introdutório "Investigação de ameaças": YouTube, MP4 ou apresentação. O webinar começa com uma atualização das novas funcionalidades. Para saber mais sobre a caça, comece no diapositivo 12. O vídeo do YouTube já está pronto para começar aí.

Embora o webinar introdutório se concentre nas ferramentas, a investigação tem tudo a ver com segurança. O nosso webinar da equipa de investigação de segurança (YouTube, MP4 ou apresentação) foca-se em como realmente investigar.

O webinar de acompanhamento, "Deteção proativa de ameaças na AWS com o Microsoft Sentinel" (YouTube, MP4 ou apresentação), reforça esta ideia ao mostrar um cenário completo de deteção proativa num ambiente de alvo de elevado valor.

Por fim, pode aprender a fazer investigação pós-comprometimento do SolarWinds com Microsoft Sentinel e investigação do WebShell, motivada pelas mais recentes vulnerabilidades nos servidores do Microsoft Exchange no local.

Módulo 18: Análise de Comportamento do Utilizador e da Entidade (UEBA)

O módulo de Microsoft Sentinel Análise de Comportamento de Utilizadores e Entidades (UEBA) recentemente introduzido permite-lhe identificar e investigar ameaças dentro da sua organização e o seu potencial impacto, quer sejam provenientes de uma entidade comprometida ou de um utilizador interno malicioso.

À medida que Microsoft Sentinel recolhe registos e alertas de todas as respetivas origens de dados ligadas, analisa-os e cria perfis comportamentais de linha de base das entidades da sua organização (como utilizadores, anfitriões, endereços IP e aplicações) ao longo do tempo e do horizonte de grupo ponto a ponto. Recorrendo a várias técnicas e capacidades de aprendizagem automática, o Microsoft Sentinel pode então identificar atividades anómalas e ajudá-lo a determinar se um ativo está comprometido. Não só isso, mas também pode descobrir a sensibilidade relativa de recursos específicos, identificar grupos de elementos de pares e avaliar o impacto potencial de qualquer recurso comprometido especificado (o seu "raio de explosão"). Munido destas informações, pode efetivamente priorizar a investigação e o processamento de incidentes.

Saiba mais sobre o UEBA ao ver o webinar (YouTube, MP4 ou apresentação) e leia sobre como utilizar o UEBA para investigações no seu SOC.

Para saber mais sobre as atualizações mais recentes, veja o webinar "Future of Users Entity Behavioral Analytics in Microsoft Sentinel".

Módulo 19: Monitorizar o estado de funcionamento do Microsoft Sentinel

Parte de operar um SIEM é garantir que funciona sem problemas e que é uma área em evolução no Microsoft Sentinel. Utilize o seguinte para monitorizar o estado de funcionamento do Microsoft Sentinel:

Parte 5: Avançadas

Módulo 20: Expandir e integrar com as APIs Microsoft Sentinel

Como SIEM nativo da cloud, Microsoft Sentinel é um sistema baseado em API. Todas as funcionalidades podem ser configuradas e utilizadas através de uma API, permitindo uma integração fácil com outros sistemas e expandindo Microsoft Sentinel com o seu próprio código. Se a API lhe parecer intimidante, não se preocupe. O que estiver disponível através da API também está disponível com o PowerShell.

Para saber mais sobre as APIs Microsoft Sentinel, veja o breve vídeo introdutório e leia a mensagem de blogue. Para obter uma descrição mais aprofundada, veja o webinar "Expandir e integrar Sentinel (APIs)" (YouTube, MP4 ou apresentação) e leia a publicação de blogue Extending Microsoft Sentinel: APIs, integration, and management automation (Expandir Microsoft Sentinel: APIs, integração e automatização de gestão).

Módulo 21: Criar a sua própria aprendizagem automática

Microsoft Sentinel fornece uma excelente plataforma para implementar os seus próprios algoritmos de machine learning. Chamamos-lhe o modelo de aprendizagem automática criado por si, ou BYO ML. O BYO ML destina-se a utilizadores avançados. Se estiver à procura de análise comportamental integrada, utilize as nossas regras de análise de aprendizagem automática ou o nosso módulo UEBA, ou escreva as suas próprias regras de análise comportamental baseadas em KQL.

Para começar a utilizar os seus próprios modelos de aprendizagem automática no Microsoft Sentinel, veja o vídeo "Build-your-own machine learning model" e leia a publicação no blogue Build-your-own machine learning model detections in the AI-immersed Azure Sentinel SIEM. Também poderá querer consultar a documentação do BYO ML.

Passos seguintes

Conteúdo recomendado

  • Last updated on