Ler em inglês

Compartilhar via


Entenda a cobertura de segurança da estrutura MITRE ATT&CK

MITRE ATT&CK é uma base de dados de conhecimento publicamente acessível de táticas e técnicas comumente usadas por invasores, criada e mantida por meio de observações do mundo real. Muitas organizações usam a base de dados de conhecimento MITRE ATT&CK para desenvolver modelos e metodologias específicos de ameaças que são usados para verificar o status da segurança em seus ambientes.

O Microsoft Sentinel analisa dados ingeridos, não apenas para detectar ameaças e ajudar você investigar, mas também para visualizar a natureza e a cobertura do status de segurança da sua organização.

Este artigo descreve como usar a página MITRE no Microsoft Sentinel para exibir as detecções já ativas em seu espaço de trabalho e aquelas disponíveis para você configurar, para entender a cobertura de segurança da sua organização, com base nas táticas e técnicas da estrutura MITRE ATT&CK®.

Importante

No momento, a página do MITRE no Microsoft Sentinel encontra-se em VERSÃO PRÉVIA. Os termos suplementares de versão prévia do Azure incluem termos legais adicionais que se aplicam aos recursos do Azure que estão em versão beta, versão prévia ou que, de outra forma, ainda não foram lançados em disponibilidade geral.

Pré-requisitos

Antes de poder visualizar a cobertura do MITRE para sua organização no Microsoft Sentinel, certifique-se de ter o seguinte:

Versão da estrutura MITRE ATT&CK

O Microsoft Sentinel está atualmente alinhado ao framework MITRE ATT&CK, versão 13.

Exibir a cobertura atual do MITRE

  1. No Microsoft Sentinel, em Gerenciamento de ameaças, selecione MITRE ATTA&CK (versão prévia). Por padrão, tanto a consulta agendada ativa quanto as regras NRT (quase em tempo real) são indicadas na matriz de cobertura.

    Captura de tela da página de cobertura do MITRE com indicadores ativos e simulados selecionados.

  2. Execute um destes procedimentos:

    • Use a legenda para entender quantas detecções estão ativas no seu espaço de trabalho para uma técnica específica.

    • Use a barra de pesquisa para procurar uma técnica específica na matriz, usando o nome ou ID da técnica, para visualizar o status de segurança da sua organização para a técnica selecionada.

    • Selecione uma técnica específica na matriz para ver mais detalhes no painel de detalhes. Lá, use os links para acessar qualquer um dos seguintes locais:

      • Na área Descrição, selecione Exibir detalhes da técnica... para obter mais informações sobre a técnica selecionada na base de dados de conhecimento da estrutura MITRE ATT&CK.

      • Role para baixo no painel e selecione links para qualquer um dos itens ativos para acessar a área relevante no Microsoft Sentinel.

      Por exemplo, selecione Consultas de busca para ir para a página Busca. Lá, você verá uma lista filtrada das consultas de busca associadas à técnica selecionada e disponíveis para você configurar em seu espaço de trabalho.

Simular a cobertura possível com as detecções disponíveis

Na matriz de cobertura do MITRE, a cobertura simulada refere-se a detecções disponíveis, mas não configuradas no momento, em seu workspace do Microsoft Sentinel. Veja a cobertura simulada para entender o possível status de segurança da sua organização, caso você configure todas as detecções disponíveis para você.

  1. No Microsoft Sentinel, em Gerenciamento de ameaças, selecione MITRE ATTA&CK (Versão prévia) e, em seguida, selecione itens no menu Regras simuladas para simular o possível status de segurança da sua organização.

  2. A partir daí, use os elementos da página como faria de outra forma para exibir a cobertura simulada para uma técnica específica.

Usar a estrutura MITRE ATT&CK em regras de análise e incidentes

Ter uma regra agendada com técnicas MITRE aplicadas em execução regularmente em seu workspace do Microsoft Sentinel aprimora o status de segurança mostrado para sua organização na matriz de cobertura MITRE.

Para saber mais, veja: