Orientações de planeamento para operações de segurança unificadas no portal Microsoft Defender

Este artigo descreve como planear a sua implementação para operações de segurança unificadas no portal do Microsoft Defender. Unifique as operações de segurança para o ajudar a reduzir os riscos, evitar ataques, detetar e interromper ciberameaças em tempo real e responder mais rapidamente com capacidades de segurança melhoradas de IA, tudo a partir do portal do Microsoft Defender.

Planeie a sua implantação

O portal do Defender combina serviços como o Microsoft Defender XDR, o Microsoft Sentinel, a Gestão da Exposição à Segurança da Microsoft e o Microsoft Security Copilot para operações de segurança unificadas.

O primeiro passo para planear a implementação é selecionar os serviços que pretende utilizar.

Como pré-requisito básico, precisará de Microsoft Defender XDR e Microsoft Sentinel para monitorizar e proteger os serviços e soluções da Microsoft e não microsoft, incluindo recursos na cloud e no local.

Implemente qualquer um dos seguintes serviços para adicionar segurança aos seus pontos finais, identidades, e-mail e aplicações para fornecer proteção integrada contra ataques sofisticados.

Microsoft Defender XDR serviços incluem:

Outros serviços suportados no portal do Microsoft Defender, mas não licenciados com Microsoft Defender XDR, incluem:

Verificar os pré-requisitos do serviço

Antes de implementar Microsoft Defender serviços para operações de segurança unificadas, reveja os pré-requisitos de cada serviço que planeia utilizar. A tabela seguinte lista os serviços e ligações para obter mais informações:

Rever as práticas de privacidade e segurança de dados

Antes de implementar Microsoft Defender serviços para operações de segurança unificadas, certifique-se de que compreende as práticas de segurança e privacidade de dados para cada serviço que planeia utilizar. A tabela seguinte lista os serviços e ligações para obter mais informações. Tenha em atenção que vários serviços utilizam as práticas de segurança e retenção de dados para Microsoft Defender XDR em vez de terem práticas separadas.

Planear a arquitetura da área de trabalho do Log Analytics

Para começar a utilizar operações de segurança unificadas com Microsoft Sentinel no portal do Defender, primeiro precisa de uma área de trabalho do Log Analytics ativada para Microsoft Sentinel. Uma única área de trabalho do Log Analytics pode ser suficiente para muitos ambientes, mas muitas organizações criam várias áreas de trabalho para otimizar os custos e cumprir melhor os diferentes requisitos empresariais.

Crie a área de trabalho do Log Analytics que pretende ativar para Microsoft Sentinel. Considere parâmetros como quaisquer requisitos de conformidade que tenha para recolha e armazenamento de dados e como controlar o acesso a dados Microsoft Sentinel.

Para mais informações, consulte:

1. Estruturar arquitetura da área de trabalho
2. Ver esquemas de áreas de trabalho de exemplo

Planear os custos do Microsoft Sentinel e as fontes de dados

O portal do Defender pode ingerir nativamente dados de serviços Microsoft originais, como Microsoft Defender for Cloud Apps e Microsoft Defender para a Cloud. Recomendamos que expanda a sua cobertura a outras origens de dados no seu ambiente, adicionando conectores de dados do Microsoft Sentinel.

Determinar as origens de dados

Determine o conjunto completo de origens de dados a partir do qual irá ingerir dados e os requisitos de tamanho de dados para o ajudar a projetar com precisão o orçamento e a linha cronológica da implementação. Pode determinar estas informações durante a revisão do caso de utilização empresarial ou ao avaliar um SIEM atual que já tenha implementado. Se já tiver um SIEM implementado, analise os seus dados para compreender quais as origens de dados que fornecem mais valor e devem ser ingeridas em Microsoft Sentinel.

Por exemplo, poderá querer utilizar qualquer uma das seguintes origens de dados recomendadas:

• Azure serviços: se algum dos seguintes serviços for implementado no Azure, utilize os seguintes conectores para enviar os Registos de Diagnóstico destes recursos para Microsoft Sentinel:

  • Azure Firewall
  • Gateway de Aplicação do Azure
  • Keyvault
  • Serviço Kubernetes do Azure
  • SQL do Azure
  • Grupos de Segurança de Rede
  • Servidores Azure Arc

  Recomendamos que configure Azure Policy para exigir que os respetivos registos sejam reencaminhados para a área de trabalho subjacente do Log Analytics. Para obter mais informações, veja Criar definições de diagnóstico em escala com Azure Policy.

• Máquinas virtuais: para máquinas virtuais alojadas no local ou noutras clouds que exijam a recolha dos registos, utilize os seguintes conectores de dados:

  • Eventos de Segurança do Windows com o AMA
  • Eventos via Defender for Endpoint (para servidor)
  • Syslog

• Aplicações virtuais de rede/origens no local: para aplicações virtuais de rede ou outras origens no local que gerem o Common Event Format (CEF) ou os registos SYSLOG, utilize os seguintes conectores de dados:

  • Syslog via AMA
  • Formato comum de evento (CEF) via AMA

Para obter mais informações, veja Priorizar conectores de dados.

Planear o orçamento

Planeie o orçamento Microsoft Sentinel, tendo em conta as implicações de custos para cada cenário planeado. Certifique-se de que o orçamento abrange o custo da ingestão de dados para Microsoft Sentinel e Azure Log Analytics, quaisquer manuais de procedimentos que serão implementados, etc. Para mais informações, consulte:

• Planos de retenção de registos no Microsoft Sentinel
• Planear os custos e compreender os preços e a faturação do Microsoft Sentinel

Compreender os portais de segurança e os centros de administração da Microsoft

Embora o portal Microsoft Defender seja a base para monitorizar e gerir a segurança nas suas identidades, dados, dispositivos e aplicações, tem de aceder a vários portais para determinadas tarefas especializadas.

Os portais de segurança da Microsoft incluem:

A tabela seguinte descreve portais para outras cargas de trabalho que podem afetar a sua segurança. Visite estes portais para gerir identidades, permissões, definições de dispositivos e políticas de processamento de dados.

Planear funções e permissões

O portal Microsoft Defender unifica os seguintes modelos de controlo de acesso baseado em funções (RBAC) para operações de segurança unificadas:

• Microsoft Entra ID RBAC, utilizado para delegar permissões de acesso no Defender, como grupos de dispositivos
• Azure RBAC, utilizado pelo Microsoft Sentinel para delegar permissões
• RBAC unificado do Defender, utilizado para delegar permissões em soluções do Defender

Embora as permissões concedidas através do Azure RBAC para o Microsoft Sentinel sejam federadas, em tempo de execução, com o RBAC unificado do Defender, o Azure RBAC e o RBAC do Defender continuam a ser geridos separadamente.

O RBAC unificado do Defender não é necessário para que o seu espaço de trabalho seja integrado no portal do Defender, e as permissões do Microsoft Sentinel continuam a funcionar como esperado no portal do Defender, mesmo sem o RBAC unificado. No entanto, a utilização do RBAC unificado simplifica a delegação de permissões em soluções do Defender. Para obter mais informações, veja Ativar Microsoft Defender controlo de acesso baseado em funções (RBAC) unificado.

A permissão mínima necessária para um analista poder ver os dados do Microsoft Sentinel é delegar permissões para a função de Leitor do Microsoft Sentinel no Azure RBAC. Estas permissões também são aplicadas ao portal unificado. Sem estas permissões, o menu de navegação Microsoft Sentinel não está disponível no portal unificado, apesar de o analista ter acesso ao portal Microsoft Defender.

Uma melhor prática é ter todos os recursos relacionados Microsoft Sentinel no mesmo grupo de recursos Azure e, em seguida, delegar permissões de função Microsoft Sentinel (como a função leitor Sentinel) ao nível do grupo de recursos que contém a área de trabalho Microsoft Sentinel. Ao fazê-lo, a atribuição de função aplica-se a todos os recursos que suportam Microsoft Sentinel.

Para os seguintes serviços, utilize as diferentes funções disponíveis ou crie funções personalizadas para lhe dar controlo detalhado sobre o que os utilizadores podem ver e fazer. Para mais informações, consulte:

Para mais informações, consulte:

• Planear funções e permissões para Microsoft Sentinel
• Funções incorporadas do Azure
• funções de Microsoft Sentinel
• Pré-requisitos de inclusão
• Gerir o RBAC unificado no Microsoft Defender (demonstração de vídeo)

Planear atividades de Confiança Zero

As operações de segurança unificadas no portal do Defender fazem parte do modelo de segurança Confiança Zero da Microsoft, que inclui os seguintes princípios:

A segurança Confiança Zero foi concebida para proteger ambientes digitais modernos através da segmentação da rede, impedindo o movimento lateral, fornecendo acesso com o menor nível de privilégios e recorrendo a análise avançada para detetar e responder a ameaças.

Para obter mais informações sobre como implementar os princípios de Confiança Zero no portal do Defender, consulte o conteúdo sobre Confiança Zero relativo aos seguintes serviços:

• Microsoft Defender XDR
• Sentinela da Microsoft
• Microsoft Defender para Identidade
• Microsoft Defender para Office 365
• Microsoft Defender para Endpoint
• Microsoft Defender para Aplicações na Cloud
• Gestão da exposição de segurança da Microsoft
• Microsoft Defender para a Cloud
• Copiloto de Segurança da Microsoft
• Proteção do Microsoft Entra ID
• Microsoft Purview

Para obter mais informações, consulte o Centro de Orientação do Confiança Zero.

Passo seguinte

Implemente para operações de segurança unificadas