A nova experiência de segurança do servidor Defender

A nova experiência de segurança do Defender Server reúne o Defender for Endpoint e o Defender for Servers no portal Microsoft Defender. Utilize-o para gerir a proteção dos servidores e investigar ameaças com a informação da cloud e dos endpoints num só local.

Esta pré-visualização pública cobre ambientes Azure e servidores locais. Consulte Novidades para obter o resumo da versão.

Nesta página: | Investigar um incidente | Ir caçar | RBAC e grupos de dispositivos.

Servidores já a correr o Defender for Endpoint

Os servidores que já executam o Defender para Endpoint continuam a operar com a sua configuração existente. Não precisa de os configurar, reinstalar ou migrar para manter a proteção existente. Revise os requisitos de cada capacidade unificada antes de alterar a sua configuração.

Reveja a página do recurso do servidor

A página de ativos do servidor reúne informações disponíveis sobre recursos na nuvem e dispositivos finais para o mesmo servidor, em vez de exigir páginas de investigação separadas.

1. No Microsoft Defender, abra um alerta envolvendo o servidor e selecione Abrir página do ativo no menu do servidor. A partir de um grafo de incidente, abra o menu do nó servidor e selecione Detalhes do Ativo.
2. Verifique o ID do dispositivo endpoint e, quando disponível, o ID do recurso Azure. Não identifique um servidor apenas pelo nome.
3. Revise a identidade do servidor, o estado de inclusão e os detalhes disponíveis sobre os recursos e o sistema operativo.
4. Selecione Abrir linha temporal do dispositivo para inspecionar a atividade dos endpoints, ou Ir para a caça para investigar eventos relacionados.

Se os registos parecerem duplicados ou incorretamente correspondidos, verifique ambos os identificadores antes de agir. O contexto disponível depende das fontes de dados conectadas; a integração manual não cria um recurso no Azure.

As ações de resposta dependem das tuas permissões, da plataforma e do estado do servidor. Utilize as orientações suportadas sobre resposta do dispositivo antes de tomar uma ação que possa afetar a carga de trabalho.

Investigar alertas e incidentes

Para investigar um servidor, precisa de acesso aos seus dados de investigação, e o servidor deve ter um alerta ou incidente relacionado.

1. Abra um incidente envolvendo o servidor e reveja o seu grafo de ataque.
2. Selecione o nó servidor. Para um servidor com registos correlacionados na cloud e no endpoint, o grafo fornece uma identidade do servidor e um menu de investigação.
3. Clique com o botão direito no nó ou abra o menu de reticências. Escolha Detalhes do recurso para obter contexto, Afixar alertas relacionados para inspecionar deteções relacionadas, ou Investigar para investigar atividades.
4. Abra um alerta relacionado e siga o link do seu servidor. Confirme que corresponde à mesma identidade do servidor antes de considerar uma ação de resposta.

Alertas de cloud e endpoint podem referir-se ao mesmo servidor sem se tornarem um único alerta. Uma identidade partilhada de ativo não garante que todos os alertas estejam agrupados num único incidente.

Utilize Go para procurar

Precisa de acesso à pesquisa avançada aos dados que estão a ser consultados. Poder abrir uma página de assets não dá acesso a todas as tabelas de caça.

1. A partir do grafo de incidentes, abre o menu do nó servidor e seleciona Go hunt. Também pode usar a ação do contexto de alerta ou de ativo do servidor, sempre que disponível.
2. Escolha Toda a atividade, Alertas relacionados, ou Ver todas as consultas disponíveis, depois selecione a consulta que precisa.
3. Inspecionar a consulta gerada e os seus resultados em Advanced hunting. O Go Hunt pode executar a consulta gerada automaticamente em vez de apenas a mostrar para revisão.
4. Verifica se a consulta tem como alvo o servidor pretendido. Quando ambas as identidades estiverem disponíveis, reveja o respetivo dispositivo endpoint e os respetivos identificadores de recursos na cloud, tabelas selecionadas e intervalo temporal.
5. Para investigar outra janela temporal, ajuste o filtro de carimbo temporal da consulta e execute novamente. Utilize UTC nas expressões de consulta.
6. Abra os resultados relevantes, compare os seus carimbos temporais com o alerta e volte ao incidente para continuar a investigação.

Para um evento específico do ponto final, abra Linha cronológica do dispositivo, selecione o evento e use Procurar eventos relacionados sempre que disponível. Isto pesquisa em torno desse evento em vez de começar pelo servidor inteiro.

Toda a atividade não garante que todas as fontes de dados estejam incluídas. Se os resultados estiverem vazios ou incompletos, verifique os filtros de consulta, tabelas disponíveis, retenção, reporting de endpoint e permissões de dados. Um resultado de consulta vazio não estabelece que o servidor não tenha sido afetado. Consulte Go hunt query behavior para orientações de ajuste de query.

Verificar o RBAC e o acesso ao servidor

As funções definem o que uma pessoa pode fazer; os âmbitos definem a que dados pode aceder.

Para um servidor representado tanto em dados de cloud como de endpoint, configure o âmbito da cloud relevante e o grupo de dispositivos relevante. Ligar um grupo de dispositivos a um âmbito de cloud alinha a pertença ao servidor; não substitui atribuições de funções nem concede acesso aos utilizadores por si só. As implementações existentes apenas no endpoint não precisam de uma ligação à cloud apenas para continuarem a funcionar.

Atribuir as permissões da equipa

Utilize o modelo de permissões ativo no seu tenant. Não ative outro modelo apenas para seguir este guia.

Para inquilinos que utilizam o Microsoft Defender unified RBAC, um Administrador de Segurança ou um administrador com as permissões de Autorização delegadas necessárias pode:

1. Abra Permissões>Microsoft Defender XDR>Funções e crie ou edite a função adequada.
2. Selecione as permissões de que a equipa precisa. Mantenha o acesso à investigação separado das permissões de resposta e administração.
3. Adicione uma atribuição para o grupo de segurança Microsoft Entra da equipa e as fontes de dados necessárias. O acesso apenas aos dados do Defender for Endpoint não concede acesso aos dados do Defender para a Cloud.
4. Para dados de cloud, selecione os escopos de cloud pretendidos. Reveja e submeta a atribuição.

Siga Criar funções personalizadas para aceder ao assistente completo. Os inquilinos que ainda usam o modelo endpoint anterior devem usar Defender for Endpoint RBAC; os papéis existentes não são substituídos por esta experiência.

Defina um grupo de dispositivos servidor

Crie um grupo de dispositivos para gerir o acesso a servidores usando condições do dispositivo ou escopos de cloud existentes. Antes de começar, certifique-se de que os grupos de utilizadores da Microsoft Entra que pretende atribuir têm as funções adequadas de controlo de acesso baseado em funções (RBAC).

1. No portal Microsoft Defender, vá a Configurações>Endpoints>Permissões>Grupos de dispositivos.

2. Selecionar Adicionar grupo de dispositivos ou editar um grupo existente. Introduza um nome descritivo e reveja o nível de remediação automatizada.

3. Na página de Dispositivos , escolha como preencher o grupo:

   Option	Description
   Defina usando condições	Combinar servidores usando atributos de dispositivo suportados, como nome do dispositivo, domínio, etiquetas ou plataforma do SO.
   Selecione escopos de nuvem para preencher este grupo	Selecione um ou mais escopos de nuvem existentes. Dispositivos de todos os âmbitos selecionados estão incluídos. (pré-visualização)

4. Selecione Próximo e reveja os dispositivos correspondentes na página de Pré-visualização dos dispositivos antes de continuar.

5. Na página de acesso do utilizador, selecione os grupos de utilizadores da Microsoft Entra que devem ter acesso e depois selecione Enviar.

6. Revise os membros do grupo e aceda às atribuições de acesso. Para grupos baseados em condições, reveja a classificação dos grupos: um dispositivo que corresponde a múltiplos grupos baseados em condição pertence ao grupo com classificação mais alta.

Alinhar um âmbito da cloud e um grupo de dispositivos

1. Se necessário, crie o escopo do Azure em Sistema>Permissões>Microsoft Defender XDR>Scopes>Adicionar escopo de nuvem. Selecione as subscrições do Azure ligadas pretendidas.
2. Atribui as permissões de dados na cloud da equipa a esse âmbito e depois seleciona-o na etapa Dispositivos do grupo de dispositivos.
3. Mantenha a função de endpoint da equipa e a atribuição Acesso do utilizador ao grupo de dispositivos tal como está. Verifique o acesso a ambas as fontes de dados.

Siga Gerir âmbitos da cloud se for necessária a ativação de âmbitos. A ativação é uma alteração de configuração irreversível: revê as atribuições existentes e o assistente de ativação antes de prosseguir.

O link cloud-scope atualiza a associação do dispositivo à medida que o conteúdo do scope selecionado muda. Os environments recentemente conectados não são automaticamente adicionados ao âmbito da nuvem. Reveja a associação ao âmbito ao adicionar um ambiente Azure.

Verifique o acesso efetivo

Teste com contas de analistas comuns, não apenas com uma conta de Administrador de Segurança; o acesso amplo de administrador pode ocultar erros de escopo. Um filtro de visualização restringe a visualização, mas não substitui as permissões.

Se o acesso esperado estiver em falta, verifique permissões de funções, atribuições de fontes de dados, pertença ao grupo Entra, o grupo efetivo do dispositivo e o seu âmbito cloud. Se um analista detetar dados do servidor acedidos por engano, reveja outras atribuições de funções e o acesso alargado antes de expandir a implementação.

Remova a proteção do servidor

Veja Offboard devices para offboarding automático do Azure e outros métodos de offboarding suportados.

Conteúdo relacionado

• Perguntas de segurança do servidor
• Novidades: hub de pré-visualização pública