A nova experiência de segurança do Server Defender

  • Aplica-se a: Microsoft Defender for Endpoint Plan 2

A nova experiência de segurança para servidores Defender reúne Defender for Endpoint e Defender for Servers no portal Microsoft Defender. Use-o para gerenciar a proteção dos servidores e investigar ameaças com informações de nuvem e endpoints em um só lugar.

Esta prévia pública cobre ambientes Azure e servidores locais. Veja as novidades para ver o resumo da versão.

Nesta página: | Investigue um incidente | Ir para caçar ameaças | RBAC e grupos de dispositivos.

Servidores que já rodam Defender for Endpoint

Servidores que já rodam o Defender para Endpoint continuam operando com sua configuração atual. Você não precisa adicionar, reinstalar ou migrar eles para manter a proteção existente deles. Revise os requisitos de cada capacidade unificada antes de mudar sua configuração.

Revise a página do ativo do servidor

A página de ativos do servidor reúne informações disponíveis de recursos em nuvem e dispositivos finais para o mesmo servidor, em vez de exigir páginas de investigação separadas.

  1. No Microsoft Defender, abra um alerta envolvendo o servidor e selecione Abrir página do recurso no menu do servidor. A partir de um grafo de incidente, abra o menu do nó do servidor e selecione Detalhes do Ativo.
  2. Verifique o ID do dispositivo endpoint e, quando disponível, o ID do recurso do Azure. Não identifique um servidor apenas pelo nome.
  3. Revise a identidade do servidor, o status de onboarding e os detalhes disponíveis sobre recursos e sistema operacional.
  4. Selecione Abrir linha do tempo do dispositivo para inspecionar a atividade do endpoint, ou Ir para caça para investigar eventos relacionados.

Se os registros parecerem duplicados ou incorretamente correspondidos, verifique ambos os identificadores antes de agir. O contexto disponível depende das fontes de dados conectadas; o onboarding manual não cria um recurso no Azure.

As ações de resposta dependem das suas permissões, da plataforma e do estado do servidor. Use as orientações de resposta do dispositivo com suporte antes de tomar uma ação que possa afetar a carga de trabalho.

Investigar alertas e incidentes

Para investigar um servidor, você precisa ter acesso aos dados de investigação do servidor, e o servidor deve ter um alerta ou incidente relacionado.

  1. Abra um incidente envolvendo o servidor e revise o gráfico de ataque dele.
  2. Selecione o nó do servidor. Para um servidor com registros correlacionados de nuvem e endpoint, o grafo fornece uma identidade de servidor e um menu de investigação.
  3. Clique com o botão direito no nó ou abra o menu de reticências. Escolha Detalhes do Ativo para contexto, Fixar alertas relacionados para inspecionar detecções relacionadas ou Ir para busca para investigar atividades.
  4. Abra um alerta relacionado e siga o link do servidor dele. Confirme que se trata da mesma identidade do servidor antes de considerar uma ação de resposta.

Alertas de nuvem e endpoint podem se referir ao mesmo servidor sem se tornar um único alerta. Uma identidade compartilhada de ativo não garante que todo alerta seja agrupado em um único incidente.

Use Go hunt

Você precisa de acesso à busca avançada aos dados que estão sendo consultados. Poder abrir uma página de assets não dá acesso a todas as tabelas de caça.

  1. No grafo de incidentes, abra o menu do nó do servidor e selecione Go hunt. Você também pode usar a ação no contexto de alerta ou de ativo do servidor, quando disponível.
  2. Escolha Todas as atividades, Alertas relacionados ou Ver todas as consultas disponíveis, e então selecione a consulta que você precisa.
  3. Inspecione a consulta gerada e seus resultados em busca avançada. O Go Hunt pode executar a consulta gerada automaticamente, em vez de apenas exibi-la para revisão.
  4. Verifique se a consulta tem como alvo o servidor pretendido. Quando ambas as identidades estiverem disponíveis, revise os identificadores do dispositivo de endpoint e dos recursos em nuvem, as tabelas selecionadas e o intervalo de tempo.
  5. Para investigar outra janela de tempo, ajuste o filtro de timestamp da consulta e execute novamente. Use UTC em expressões de consulta.
  6. Abra os resultados relevantes, compare as marcas de tempo com o alerta e retorne ao incidente para continuar a investigação.

Para um evento de dispositivo específico, abra Linha do tempo do dispositivo, selecione o evento e use Hunt para eventos relacionados quando disponível. Isso pesquisa ao redor desse evento em vez de começar pelo servidor inteiro.

Toda a atividade não garante que todas as fontes de dados estejam incluídas. Se os resultados estiverem vazios ou incompletos, verifique os filtros de consulta, tabelas disponíveis, retenção, relatórios de endpoints e suas permissões de dados. Um resultado de consulta vazio não estabelece que o servidor não é afetado. Veja Comportamento da consulta de busca Go para orientações de ajuste de consultas.

Verificar RBAC e acesso ao servidor

Os papéis definem o que uma pessoa pode fazer; os escopos definem quais dados ela pode acessar.

Controle Purpose
Grupo de usuários do Microsoft Entra Identifica as pessoas que recebem acesso, como uma equipe de operações de servidores.
Função RBAC do Defender Concede permissões selecionadas de leitura, investigação, resposta ou administração.
Grupo de dispositivos Agrupa os endpoints e controla o acesso aos seus dados por meio dos grupos de usuários designados do Entra. Também pode definir comportamentos de remediação automatizada.
Escopo de nuvem Grupos de ambientes em nuvem selecionados, como assinaturas do Azure, para acesso aos dados na nuvem. É separado do Azure RBAC.

Para um servidor representado tanto em dados de nuvem quanto de endpoints, configure o escopo de nuvem e o grupo de dispositivos relevantes. Vincular um grupo de dispositivos a um escopo de nuvem alinha a associação ao servidor; não substitui atribuições de funções nem concede acesso aos usuários por si só. Implantações existentes apenas em endpoints não precisam de conexão na nuvem apenas para continuar operando.

Atribuir as permissões da equipe

Use o modelo de permissões ativo no seu locatário. Não ative outro modelo apenas para seguir este guia.

Para inquilinos que utilizam o RBAC unificado do Microsoft Defender, um Administrador de Segurança ou um administrador com as permissões delegadas de Autorização necessárias pode:

  1. Abra Permissões>Microsoft Defender XDR>Funções e crie ou edite a função apropriada.
  2. Selecione as permissões que a equipe precisa. Mantenha o acesso à investigação separado das permissões de resposta e administração.
  3. Adicione uma atribuição para o grupo de segurança Microsoft Entra da equipe e as fontes de dados necessárias. O acesso aos dados do Defender for Endpoint sozinho não concede acesso aos dados do Defender para Nuvem.
  4. Para dados de nuvem, selecione os escopos de nuvem pretendidos. Revise e envie a tarefa.

Acesse Criar papéis personalizados para o assistente completo. Tenants que ainda usam o modelo de endpoint anterior devem usar Defender for Endpoint RBAC; os papéis existentes não são substituídos por essa experiência.

Defina um grupo de dispositivos servidor

Crie um grupo de dispositivos para gerenciar o acesso a servidores usando condições de dispositivo ou escopos de nuvem existentes. Antes de começar, certifique-se de que os grupos de usuários da Microsoft Entra aos quais você deseja atribuir possuem as funções adequadas de controle de acesso baseado em funções (RBAC).

  1. No portal do Microsoft Defender, vá para Configurações>Endpoints>Permissões>Grupos de dispositivos.

  2. Selecione Adicionar grupo de dispositivos ou editar um grupo existente. Insira um nome descritivo e revise o nível de remediação automatizada.

  3. Na página de Dispositivos , escolha como preencher o grupo:

    Option Description
    Defina usando condições Combinar servidores usando atributos de dispositivo suportados, como nome do dispositivo, domínio, tags ou plataforma do sistema operacional.
    Selecione escopos de nuvem para preencher esse grupo Selecione um ou mais escopos de nuvem existentes. Dispositivos de todos os escopos selecionados estão incluídos. (pré-visualização)

  4. Selecione Próximo e revise os dispositivos correspondentes na página de Pré-visualização de dispositivos antes de continuar.

  5. Na página User access, selecione os grupos de usuários do Microsoft Entra que devem ter acesso e então selecione Enviar.

  6. Revise a participação do grupo e as atribuições de acesso. Para grupos baseados em condições, revise o ranking de grupo: um dispositivo que corresponde a múltiplos grupos baseados em condição pertence ao grupo de classificação mais alta.

Observação

A associação ao Cloud-scope inclui todos os dispositivos dos escopos selecionados. Revise os scopes selecionados para garantir que o grupo inclua apenas os dispositivos pretendidos.

Alinhar um escopo de nuvem e um grupo de dispositivos

  1. Se necessário, crie o escopo do Azure em Sistema>Permissões>Microsoft Defender XDR>Escopos>Adicionar escopo de nuvem. Selecione as assinaturas do Azure conectadas desejadas.
  2. Atribua as permissões de dados em nuvem da equipe a esse escopo, depois selecione-o na etapa Dispositivos do grupo de dispositivos.
  3. Mantenha o papel de endpoint da equipe e a atribuição de acesso do usuário ao grupo de dispositivos mantidos. Verifique o acesso às duas fontes de dados.

Consulte Gerenciar escopos de nuvem se for necessária ativação de escopo. A ativação é uma mudança de configuração irreversível: revise as atribuições existentes e o assistente de ativação antes de prosseguir.

O link cloud-scope atualiza a associação do dispositivo conforme o conteúdo do escopo selecionado muda. Ambientes recém-conectados não são automaticamente adicionados ao escopo da nuvem. Revise a associação do escopo ao adicionar um ambiente Azure.

Verifique o acesso efetivo

Teste com contas comuns de analistas, não apenas uma conta de Administrador de Segurança; o acesso amplo de administrador pode ocultar erros de escopo. Um filtro de exibição restringe uma visualização, mas não substitui permissões.

Verificação Resultado necessário
Abra um servidor dentro das permissões de acesso atribuídas ao usuário O servidor de destino e os dados permitidos estão disponíveis.
Navegue de um alerta ou incidente para o ativo e a busca avançada A identidade do servidor permanece correta e o acesso permanece apropriado.
Tentar abrir um servidor fora do escopo Dados e ações restritas permanecem inacessíveis.
Verifique uma resposta ou ação de configuração A ação está disponível apenas para um usuário autorizado; não execute ações disruptivas apenas para testar o acesso.

Se o acesso esperado estiver ausente, verifique permissões de função, atribuições de fontes de dados, pertencimento ao grupo Entra, grupo efetivo do dispositivo e seu escopo na nuvem. Se um analista vir dados de servidor não pretendidos, revise outras atribuições de funções e amplo acesso antes de expandir a implantação.

Remover a proteção do servidor

Veja Dispositivos desintegrados para offboarding automático do Azure e outros métodos de offboarding com suporte.

Conteúdo relacionado

  • Última atualização em