Tutorial: Configurar políticas de inteligência de ameaças

A Microsoft define ameaças de alta gravidade como domínios ou URLs associados a ameaças como distribuição ativa de malware, campanhas de phishing e infraestrutura de comando e controlo (C2). Os feeds de inteligência de ameaças da Microsoft e não da Microsoft identificam estas ameaças com elevada confiança. Ao configurar a inteligência de ameaças, pode bloquear automaticamente estes destinos web maliciosos conhecidos.

Neste tutorial, aprenderás como:

Conceitos-chave

O que é inteligência sobre ameaças?

A inteligência de ameaças são dados selecionados sobre domínios maliciosos conhecidos, URLs e endereços IP. Esta lista é continuamente atualizada à medida que a Microsoft agrega inteligência de múltiplas fontes, como nos exemplos da tabela seguinte.

Aqui estão alguns exemplos de ameaças que são bloqueadas. Para a lista completa, consulte Tipos de ameaças de inteligência de acesso Global Seguro.

• MaliciousUrl: URLs que servem malware.
• Phishing: Indicadores relacionados com uma campanha de phishing.
• C2: Nó de comando e controlo de uma botnet.
• Malware: Indicadores que descrevem um ficheiro ou ficheiros maliciosos.
• Criptominagem: Tráfego que envolve mineração de criptomoedas ou abuso de recursos.

Como a inteligência de ameaças difere da filtragem de conteúdos web

• A filtragem de conteúdos web bloqueia por categoria (como jogos de azar ou conteúdos para adultos).
• A inteligência sobre ameaças bloqueia agentes mal-intencionados conhecidos independentemente da categoria.
• Um site de notícias legítimo que foi comprometido é bloqueado por inteligência de ameaças, não por filtragem de conteúdos web.
• Se a inspeção da Segurança da Camada de Transporte (TLS) não estiver ativada, a inteligência de ameaças não pode proteger contra URLs maliciosas. Os restantes tipos de deteção continuam a ser detetados e bloqueados.

Objetivo

Neste tutorial, cria uma política de inteligência de ameaças para bloquear sites maliciosos conhecidos. Opcionalmente, pode configurar uma lista de permissões para falsos positivos ou websites críticos para o negócio. Depois liga a política a um perfil de segurança e verifica a aplicação da política do utilizador.

Vídeos de exemplo de tutoriais

O vídeo seguinte demonstra como configurar uma política de inteligência de ameaças.

O vídeo seguinte demonstra como testar uma política de inteligência de ameaças.

Passo 1: Criar uma política de inteligência de ameaças

1. A partir do centro de administração do Microsoft Entra, navegue para Global Secure Access>Segurança>Políticas de inteligência contra ameaças.

2. Selecione Criar política.

3. Introduza um nome e uma descrição para a apólice, e depois selecione Próximo.

4. Mantém Ação Padrão como Permitir.

   Observação

   A ação padrão para inteligência de ameaças é Permitir. Se o tráfego não corresponder a uma regra da política de inteligência de ameaças (ou seja, não for detetada ameaça), o motor de políticas permite o tráfego. Outro tipo de política pode ainda avaliar e bloquear o tráfego, como o filtro de conteúdos web.

5. Selecione Próximo e reveja a sua nova política de inteligência sobre ameaças.

6. Selecione Criar.

Passo 2: Configure a sua lista de permissões (opcional)

Se tiver conhecimento de sites que possam ser críticos para o negócio ou que estejam rotulados como falsos positivos, pode configurar regras que permitam esses sites.

1. Nas políticas de Acesso Seguro Global>Inteligência de Ameaças>, selecione a política de inteligência de ameaças desejada.

2. Selecione Regras.

3. Selecione Adicionar regra.

4. Insira um nome, uma descrição, uma prioridade e um status para a regra.

5. Edite FQDNs de Destino e selecione a lista de domínios para a sua lista de permissões.

   Pode inserir estes nomes de domínio totalmente qualificados (FQDNs) como domínios separados por vírgulas.

6. Selecione Adicionar.

Passo 3: Vincular a política de inteligência de ameaças ao perfil de segurança

1. Navegue até Acesso Seguro Global>Seguro>Perfis de Segurança.
2. Selecione o perfil de segurança que criou no tutorial de inspeção TLS.
3. Vai ao painel de políticas de Link .
4. Selecione Ligar uma política e depois selecionar Política de inteligência de ameaças existente.
5. Selecione a política de inteligência de ameaças que criou e depois selecione Adicionar.

Verifique se o perfil de segurança está atribuído a uma política Microsoft Entra Conditional Access.

Passo 4: Verificar a aplicação da política

1. Para testar, visite um dos seguintes sites:

   • entratestthreat.com
   • smartscreentestratings2.net

   Os exemplos anteriores são locais de teste para validar se as políticas de segurança funcionam. São benignos e seguros de usar.

2. Verifique se o acesso ao site está bloqueado. Expanda mais informações e verifique se o tipo de ameaça é MaliciousUrl.

   

3. Também pode consultar os registos de tráfego e rever o campo Tipo de Ameaça .

Se o Windows Defender ou SmartScreen o bloquear, ignore e acesse ao site para testar a mensagem de bloqueio do Global Secure Access. Para fazer este passo, em Mais Informações, selecione Continuar para o site inseguro (não recomendado). Realize esta etapa apenas num laboratório ou ambiente de prova de conceito, não em produção.

O que aprendeu

Neste tutorial, realizou as seguintes tarefas:

• Proteção automática contra ameaças ativada: Descobriu que a sua organização está agora protegida contra milhares de sites maliciosos conhecidos sem necessidade de manter manualmente listas de bloqueio. A Microsoft atualiza continuamente esta lista de ameaças com base nos seus sinais de inteligência.
• Compreendia o modelo de "permitir por padrão": Aprendeu que as políticas de inteligência de ameaças só bloqueiam o tráfego que corresponde a uma ameaça conhecida. Outras políticas avaliam todo o tráfego restante que passa.
• Regras de exceção configuradas: Aprendeste a contornar domínios específicos se necessário por razões de negócio, embora devas fazer este passo com moderação.
• Classificação do tipo de ameaça observada: Descobriste que a página de bloqueio mostra o tipo específico de ameaça, como MaliciousUrlphishing e C2. Esta informação ajuda-o a perceber porque é que o tráfego foi bloqueado.

Estratégia de defesa em profundidade

┌─────────────────────────────────────────────────────────┐
│                 Security layers                         │
├─────────────────────────────────────────────────────────┤
│ Layer 1: Web content filtering                          │
│   • Blocks unwanted categories like gambling or adult.  │
├─────────────────────────────────────────────────────────┤
│ Layer 2: Threat intelligence                            │
│   • Blocks known malicious destinations.                │
├─────────────────────────────────────────────────────────┤
│ Layer 3: Content policies                               │
│   • Prevents data exfiltration via file uploads.        │
├─────────────────────────────────────────────────────────┤
│ Layer 4: Microsoft Defender for Endpoint                │
│   • Is the last line of defense on the endpoint.        │
└─────────────────────────────────────────────────────────┘

Porquê múltiplas camadas?

• A inteligência sobre ameaças é reativa. Só sabe das ameaças que foram descobertas.
• Novos sites de malware e phishing são criados constantemente.
• Cada camada apanha ameaças que as outras podem ignorar.

Próximo passo