Guia de Operações de Segurança do Microsoft Defender para Office 365

Este artigo apresenta uma visão geral dos requisitos e das tarefas para operar com êxito o Microsoft Defender para Office 365 na sua organização. Estas tarefas ajudam a garantir que o seu centro de operações de segurança (SOC) fornece uma abordagem fiável e de alta qualidade para proteger, detetar e responder a ameaças de segurança relacionadas com o e-mail e a colaboração.

O resto deste guia descreve as atividades necessárias para o pessoal do SecOps. As atividades são agrupadas em tarefas prescritivas diárias, semanais, mensais e ad hoc.

Um artigo complementar a este guia fornece uma visão geral para gerir incidentes e alertas do Defender para Office 365.

O Guia de Operações de Segurança Microsoft Defender XDR contém informações adicionais que pode utilizar para planeamento e desenvolvimento.

Para um vídeo sobre os requisitos e tarefas do Defender para Office 365 SecOps, veja https://youtu.be/eQanpq9N1Ps.

Atividades diárias

Monitorizar a fila de incidentes do Microsoft Defender XDR

A página Incidentes no portal Microsoft Defender em https://security.microsoft.com/incidents (também conhecida como fila Incidentes) permite-lhe gerir e monitorizar eventos a partir das seguintes origens no Defender para Office 365:

• Políticas de alerta.
• Investigação e resposta automatizadas (AIR).

Para obter mais informações sobre a fila de Incidentes, consulte Priorizar incidentes no Microsoft Defender XDR.

O plano de triagem para monitorizar a fila Incidentes deve utilizar a seguinte ordem de precedência para os incidentes:

1. Foi detetado um clique de URL potencialmente malicioso.
2. Utilizador impedido de enviar e-mails.
3. Foram detetados padrões de envio de e-mail suspeitos.
4. Mensagem de e-mail assinalada pelo utilizador como malware ou phishing e Vários utilizadores assinalaram a mensagem de e-mail como malware ou phishing.
5. Mensagens de e-mail que contêm um ficheiro malicioso removidas após a entrega, Mensagens de e-mail que contêm um URL malicioso removidas após a entrega e Mensagens de e-mail de uma campanha removidas após a entrega.
6. Phish entregue devido a uma substituição de ETR, Phish entregue porque a pasta E-mail de Lixo de um utilizador está desativada e Phish entregue devido a uma política de permissão de IP
7. Malware não removido automaticamente porque o ZAP está desativado e Phishing não removido automaticamente porque o ZAP está desativado.

A gestão da fila de incidentes e as pessoas responsáveis são descritas na tabela seguinte:

Gerir deteções de falsos positivos e falsos negativos

No Defender para Office 365, faz a gestão de falsos positivos (mensagens legítimas assinaladas como maliciosas) e falsos negativos (mensagens maliciosas permitidas) nos seguintes locais:

• A página de Submissões (submissões de administração).
• A Lista de Permissões/Bloqueios do Inquilino
• Explorador de Ameaças

A gestão de falsos positivos e falsos negativos e as pessoas responsáveis são descritas na seguinte tabela:

Rever campanhas de phishing e software maligno que resultaram em e-mails entregues

Revise campanhas de phishing e malware que resultaram em correspondência entregue e tome medidas para remover mensagens maliciosas das caixas de correio dos utilizadores.

Atividades semanais

Rever as tendências de deteção de e-mail nos relatórios do Defender para Office 365

No Defender para Office 365, pode utilizar os seguintes relatórios para rever as tendências de deteção de e-mail na sua organização:

• O relatório de estado do Fluxo de Correio
• O relatório de estado da Proteção Contra Ameaças

Controlar e responder a ameaças emergentes com a Análise de ameaças

Utilize a Análise de ameaças para rever ameaças ativas e populares.

Reveja os utilizadores principais visados para software maligno e phishing

Utilize o separador Utilizadores principais visados (vista) na área de detalhes das vistas Todos os e-mails, Software Maligno e Phish no Explorador de Ameaças para detetar ou confirmar os utilizadores que são os principais alvos de software maligno e e-mail de phishing.

Reveja as principais campanhas de software maligno e phishing que visam a sua organização

Campaign Views revela ataques de malware e phishing dirigidos à sua organização. Para obter mais informações, consulte Vistas de Campanha no Microsoft Defender para Office 365.

Atividades ad hoc

Investigação manual e remoção de e-mails

Use a seguinte atividade para investigar manualmente e remover emails maliciosos quando necessário.

Proativamente investigar ameaças

Utilize as seguintes atividades para procurar proativamente ameaças nas ferramentas do Defender para Office 365.

Rever as configurações da política do Defender para Office 365

Revise as seguintes atividades de configuração de políticas para ajudar a manter a postura de segurança da sua organização.

Rever deteções de falsificação e personificação

Utilize a atividade seguinte para rever as deteções de falsificação e de representação fraudulenta e ajustar a filtragem conforme necessário.

Rever a associação à conta de prioridade

Revise regularmente a adesão prioritária à conta para manter as proteções alinhadas com as mudanças organizacionais.

Apêndice: Ferramentas, permissões e integração SIEM/SOAR do Defender para Office 365

Saiba mais sobre Microsoft Defender para Office 365 ferramentas e processos

Os membros das equipas de operações de segurança e resposta têm de integrar as ferramentas e funcionalidades do Defender para Office 365 nas investigações e nos processos de resposta existentes. Aprender sobre novas ferramentas e capacidades pode demorar algum tempo, mas é uma parte fundamental do processo de integração. A forma mais simples de os membros do SecOps e da equipa de segurança do e-mail ficarem a saber mais sobre o Defender para Office 365 é utilizarem os conteúdos de formação disponíveis no âmbito dos conteúdos de formação Ninja em https://aka.ms/mdoninja.

O conteúdo de treino Ninja é estruturado para diferentes níveis de conhecimento (Fundamentos, Intermédio e Avançado) com múltiplos módulos por nível.

Também estão disponíveis breves vídeos para tarefas específicas no Microsoft Defender para Office 365 canal do YouTube.

Permissões para atividades e tarefas do Defender para Office 365

As permissões para gerir o Defender para Office 365 no portal do Microsoft Defender e no PowerShell baseiam-se no modelo de permissões de controlo de acesso baseado em funções (RBAC). O RBAC é o mesmo modelo de permissões utilizado pela maioria dos serviços do Microsoft 365. Para obter mais informações, veja Permissões no portal do Microsoft Defender.

As seguintes permissões (funções e grupos de funções) estão disponíveis no Defender para Office 365 e podem ser utilizadas para conceder acesso aos membros da equipa de segurança:

• Controlo de acesso baseado em funções (RBAC) unificado do Microsoft Defender: Uma experiência única de gestão de permissões que fornece um local central para os administradores controlarem as permissões de utilizador em diferentes soluções de segurança. Para obter mais informações, veja Microsoft Defender RBAC unificado. Para permissões específicas do Defender para Office 365, consulte permissões RBAC unificadas para Defender para Office 365. Para configuração passo a passo, veja Como configurar o RBAC Unificado para Defender para Office 365.

  • Acesso de leitura ao correio eletrónico e aos cabeçalhos das mensagens do Teams: Operações de segurança/Dados em bruto (correio eletrónico e colaboração)/Metadados de correio eletrónico e colaboração (leitura).
  • Pré-visualizar e transferir mensagens de e-mail: Operações de segurança/Dados em bruto (e-mail & colaboração)/Conteúdo de e-mail & colaboração (leitura).
  • Corrigir e-mail malicioso: Operações de Segurança/Dados de Segurança/Ações avançadas de E-mail e colaboração (gerir).

• Microsoft Entra ID: funções centralizadas que atribuem permissões a todos os serviços do Microsoft 365, incluindo o Defender para Office 365. Pode ver as funções de Microsoft Entra e os utilizadores atribuídos no portal do Microsoft Defender, mas não pode geri-las diretamente aí. Em vez disso, gere as funções e os membros do Microsoft Entra em https://aad.portal.azure.com/#view/Microsoft_AAD_IAM/RolesManagementMenuBlade/~/AllRoles/adminUnitObjectId//resourceScope/%2F. As funções mais frequentes utilizadas pelas equipas de segurança são:

  • Administrador de Segurança
  • Leitor de Segurança

• Exchange Online e Email & colaboração: funções e grupos de funções que concedem permissões específicas do Microsoft Defender para Office 365. As seguintes funções não estão disponíveis no Microsoft Entra ID, mas podem ser importantes para as equipas de segurança:

  • Função de pré-visualização (Email & colaboração): Atribuir esta função a membros da equipa que necessitem de pré-visualizar ou descarregar mensagens de email como parte das atividades de investigação. Permite aos utilizadores pré-visualizar e transferir mensagens de e-mail de caixas de correio alojadas na nuvem através do Explorador de Ameaças (Explorador) ou Deteções em tempo real e da página da entidade de e-mail.

    Por predefinição, a função Pré-visualização é atribuída apenas aos seguintes grupos de funções:

    • Investigador de Dados
    • Gestor de eDiscovery

    Pode adicionar utilizadores a esses grupos de funções ou pode criar um novo grupo de funções com a função pré-visualização atribuída e adicionar os utilizadores ao grupo de funções personalizado.

  • Função de Pesquisa e Purga (Email & colaboração): Aprove a eliminação de mensagens maliciosas conforme recomendado pelo AIR ou tome ações manuais sobre mensagens em experiências de caça como o Explorador de Ameaças.

    Por predefinição, a função Procurar e Remover é atribuída apenas aos seguintes grupos de funções:

    • Investigador de Dados
    • Gestão da Organização

    Pode adicionar utilizadores a esses grupos de funções ou pode criar um novo grupo de funções com a função Procurar e Remover atribuída e adicionar os utilizadores ao grupo de funções personalizado.

  • Tenant AllowBlockList Manager (Exchange Online): Gerir entradas permitidas e bloqueadas na Tenant Allow/Block List. Bloquear URLs, ficheiros (com hash de ficheiro) ou remetentes é uma ação de resposta útil a tomar ao investigar e-mails maliciosos que foram entregues.

    Por predefinição, esta função é atribuída apenas ao grupo de funções Operador de Segurança no Exchange Online, não no Microsoft Entra ID. A associação à função Operador de Segurança no Microsoft Entra IDnão lhe permite gerir entradas da Lista de Permissões/Bloqueios de Inquilinos.

    Os membros das funções de Administrador de Segurança ou gestão da Organização no Microsoft Entra ID ou os grupos de funções correspondentes no Exchange Online conseguem gerir entradas na Lista de Permissões/Bloqueios de Inquilinos.

Integração SIEM/SOAR

O Defender para Office 365 expõe a maioria dos seus dados através de um conjunto de APIs programáticas. Estas APIs ajudam-no a automatizar fluxos de trabalho e a utilizar plenamente as capacidades do Defender para Office 365. Os dados estão disponíveis através das APIs do Microsoft Defender e podem ser usados para integrar o Defender para Office 365 em soluções SIEM/SOAR existentes.

• API de incidentes: Alertas e investigações automáticas do Defender para Office 365 são partes ativas dos incidentes no Microsoft Defender. As equipas de segurança podem concentrar-se no que é crítico ao agrupar o âmbito de ataque completo e todos os recursos afetados em conjunto.

• API de transmissão em fluxo de eventos: permite o envio de eventos e alertas em tempo real para um único fluxo de dados à medida que acontecem. Os tipos de eventos suportados no Defender para Office 365 incluem:

  • EmailAttachmentInfo
  • EmailEvents
  • Eventos de e-mail após a entrega
  • EmailUrlInfo

  Os eventos contêm dados do processamento de todos os e-mails (incluindo mensagens intra-organização) nos últimos 30 dias.

• API de Investigação Avançada: permite a investigação de ameaças entre produtos.

• API de Avaliação de Ameaças: pode ser utilizada para comunicar spam, URLs de phishing ou anexos de software maligno diretamente à Microsoft.

Para ligar os incidentes do Defender para o Office 365 e os dados brutos ao Microsoft Sentinel, pode utilizar o conector Microsoft Defender XDR (M365D)

Pode utilizar o seguinte exemplo de "Hello World" para testar o acesso da API às APIs Microsoft Defender: Hello World para Microsoft Defender XDR API REST.

Para obter mais informações sobre a integração de ferramentas SIEM, veja Integrar as ferramentas SIEM com Microsoft Defender XDR.

Resolver falsos positivos e falsos negativos no Defender para Office 365

As mensagens comunicadas pelo utilizador e as submissões de mensagens de e-mail são sinais de reforço positivo críticos para os nossos sistemas de deteção de machine learning. As submissões ajudam-nos a rever, fazer a triagem, aprender rapidamente e mitigar ataques. Reportar ativamente falsos positivos e falsos negativos é uma atividade importante que fornece feedback ao Defender para Office 365 quando ocorrem erros na deteção.

As organizações têm várias opções para configurar mensagens comunicadas pelo utilizador. Consoante a configuração, as equipas de segurança podem ter um envolvimento mais ativo quando os utilizadores submetem falsos positivos ou falsos negativos à Microsoft:

• As mensagens comunicadas pelo utilizador são enviadas para a Microsoft para análise quando as definições comunicadas pelo utilizador estão configuradas com uma das seguintes definições:

  • Enviar as mensagens denunciadas para: apenas a Microsoft.
  • Enviar as mensagens denunciadas para: Microsoft e a minha caixa de correio de denúncia.

  Os membros das equipas de segurança devem efetuar submissões administrativas pontuais quando a equipa de operações detetar falsos positivos ou falsos negativos que não tenham sido comunicados pelos utilizadores.

• Quando as mensagens comunicadas pelo utilizador são configuradas para enviar mensagens apenas para a caixa de correio da organização, as equipas de segurança devem enviar ativamente falsos positivos comunicados pelo utilizador e falsos negativos para a Microsoft através de submissões de administrador.

Quando um utilizador comunica uma mensagem como phishing, o Defender para Office 365 gera um alerta e o alerta aciona um manual de procedimentos AIR. A lógica do incidente correlaciona estas informações com outros alertas e eventos sempre que possível. Esta consolidação de informações ajuda as equipas de segurança a fazer a triagem, investigar e responder a mensagens comunicadas pelo utilizador.

O fluxo de submissão no serviço segue um processo estreitamente integrado quando são submetidas mensagens de denúncia dos utilizadores e mensagens dos administradores. Este processo inclui:

• Redução de ruído.
• Triagem automatizada.
• Avaliação por analistas de segurança e por soluções baseadas em aprendizagem automática com colaboração humana.

Para obter mais informações, consulte Blogue do Microsoft Defender para Office 365 — Comunicar uma mensagem de correio eletrónico no Defender para Office 365.

Os membros da equipa de segurança podem fazer submissões a partir de várias localizações no portal do Microsoft Defender em https://security.microsoft.com:

• Submissão de administrador: Utilize a página Submissões para submeter à Microsoft suspeitas de spam, phishing, URLs e ficheiros.

• Diretamente a partir do Explorador de Ameaças através de uma das seguintes ações de mensagem:

  • Relatório limpo
  • Denunciar phishing
  • Reportar software maligno
  • Denunciar spam

  Pode selecionar até 10 mensagens para efetuar uma submissão em massa. As submissões de administrador criadas através destes métodos são visíveis nos respetivos separadores na página de Submissões.

Para a mitigação de curto prazo de falsos negativos, as equipas de segurança podem gerir diretamente entradas de bloqueio para ficheiros, URLs, domínios ou endereços de e-mail na Lista de Permissões/Bloqueios do Locatário.

Para a mitigação de curto prazo de falsos positivos, as equipas de segurança não podem gerir diretamente entradas de autorização para domínios e endereços de e-mail na Lista de Autorizações/Bloqueios do Inquilino. Em vez disso, têm de utilizar submissões de administrador para reportar a mensagem de e-mail como falso positivo. Para obter instruções, consulte Comunicar um bom e-mail à Microsoft.

A quarentena no Defender para Office 365 contém ficheiros e mensagens potencialmente perigosos ou indesejados. As equipas de segurança podem ver, libertar e eliminar todos os tipos de mensagens em quarentena para todos os utilizadores. Esta capacidade permite que as equipas de segurança respondam eficazmente quando uma mensagem ou ficheiro falso positivo é colocado em quarentena.

Integrar ferramentas de comunicação de denúncias não pertencentes à Microsoft com as mensagens comunicadas pelos utilizadores no Defender para Office 365

Se a sua organização utilizar uma ferramenta de relatórios que não seja da Microsoft que permita que os utilizadores comuniquem internamente e-mails suspeitos, pode integrar a ferramenta com as capacidades de mensagens comunicadas pelo utilizador do Defender para Office 365. A integração de uma ferramenta de relatórios não Microsoft com as capacidades de mensagens reportadas pelo utilizador do Defender para Office 365 oferece os seguintes benefícios às equipas de segurança:

• Integração com as capacidades AIR do Defender para Office 365.
• Triagem simplificada.
• Tempo de resposta e investigação reduzidos.

Designe a caixa de correio de relatórios para onde as mensagens comunicadas pelo utilizador são enviadas na página Definições comunicadas pelo utilizador no portal Microsoft Defender em https://security.microsoft.com/securitysettings/userSubmission. Para obter mais informações, veja Definições comunicadas pelo utilizador.

Quando uma mensagem denunciada por um utilizador chega à caixa de correio de denúncias, o Defender para Office 365 gera automaticamente o alerta denominado Email denunciado pelo utilizador como malware ou phishing. O alerta E-mail denunciado pelo utilizador como malware ou phishing aciona um playbook AIR. O manual de procedimentos executa uma série de passos de investigações automatizadas:

• Recolher dados sobre o e-mail especificado.
• Recolha dados sobre as ameaças e entidades relacionadas com esse e-mail (por exemplo, ficheiros, URLs e destinatários).
• Indique as ações recomendadas para a equipa secOps tomar com base nas conclusões da investigação.

Emails reportados pelo utilizador como malware ou alertas de phishing, investigações automatizadas e as suas ações recomendadas estão automaticamente correlacionados com incidentes no Microsoft Defender. Correlacionar alertas, investigações automatizadas e ações recomendadas para incidentes simplifica ainda mais o processo de triagem e resposta para as equipas de segurança. Se vários utilizadores reportarem as mesmas mensagens ou mensagens semelhantes, todos os utilizadores e mensagens estão correlacionados com o mesmo incidente.

Os dados de alertas e investigações no Defender para Office 365 são automaticamente comparados com alertas e investigações nos outros produtos Microsoft Defender:

• Microsoft Defender para Endpoint
• Microsoft Defender para Aplicações na Nuvem
• Microsoft Defender para Identidade

Se for identificada uma relação, o sistema cria um incidente que proporciona visibilidade sobre todo o ataque.

Conteúdo relacionado

• Visão geral do Microsoft Defender para Office 365
• Começar a trabalhar com o Microsoft Defender para Office 365