Microsoft Defender para Cloud no portal do Microsoft Defender

Artigo
07/04/2024

Aplica-se a:

O Microsoft Defender para Cloud faz agora parte do Microsoft Defender XDR. As equipas de segurança podem agora aceder a alertas e incidentes do Defender para a Cloud no portal do Microsoft Defender, fornecendo contexto mais avançado para investigações que abrangem recursos, dispositivos e identidades da cloud. Além disso, as equipas de segurança podem obter a imagem completa de um ataque, incluindo eventos suspeitos e maliciosos que ocorrem no seu ambiente na cloud, através de correlações imediatas de alertas e incidentes.

O portal do Microsoft Defender combina as capacidades de proteção, deteção, investigação e resposta para proteger ataques a aplicações de dispositivo, e-mail, colaboração, identidade e cloud. As capacidades de deteção e investigação do portal são agora expandidas para entidades na cloud, oferecendo às equipas de operações de segurança um único painel de vidro para melhorar significativamente a eficiência operacional.

Além disso, os alertas e incidentes do Defender para a Cloud fazem agora parte da API pública do Microsoft Defender XDR. Esta integração permite a exportação de dados de alertas de segurança para qualquer sistema através de uma única API.

Pré-requisito

Para garantir o acesso aos alertas do Defender para a Cloud no portal do Microsoft Defender, tem de subscrever qualquer um dos planos listados em Ligar as suas subscrições do Azure.

Permissões obrigatórias

Tem de ser um administrador global ou um administrador de segurança no Azure Active Directory para ver os alertas e correlações do Defender para a Cloud. Para os utilizadores que não têm estas funções, a integração só está disponível através da aplicação de funções de controlo de acesso baseado em funções (RBAC) unificadas para o Defender para a Cloud.

Observação

A permissão para ver alertas e correlações do Defender para a Cloud é automática para todo o inquilino. A visualização de subscrições específicas não é suportada. Pode utilizar o filtro de ID da subscrição de alerta para ver os alertas do Defender para a Cloud associados a uma subscrição específica do Defender para Cloud nas filas de alertas e incidentes. Saiba mais sobre filtros.

Experiência de investigação no portal do Microsoft Defender

Importante

Algumas informações estão relacionadas a produtos pré-lançados que podem ser substancialmente modificados antes de seu lançamento comercial. A Microsoft não faz garantias, expressas ou implícitas, quanto às informações fornecidas aqui.

A secção seguinte descreve a experiência de deteção e investigação no portal do Microsoft Defender com alertas do Defender para Cloud.

Observação

Os alertas informativos do Defender para a Cloud não estão integrados no portal do Microsoft Defender para permitir o foco nos alertas de gravidade relevantes e de alta gravidade. Esta estratégia simplifica a gestão de incidentes e reduz a fadiga dos alertas.

Área	Descrição
Incidentes	Todos os incidentes do Defender para a Cloud serão integrados no portal do Microsoft Defender. - A pesquisa de recursos da cloud na fila de incidentes é suportada. - O gráfico do bloco de ataque mostrará o recurso da cloud. - O separador recursos numa página de incidente mostrará o recurso da cloud. - Cada máquina virtual tem a sua própria página de dispositivo que contém todos os alertas e atividades relacionados. Não haverá duplicação de incidentes de outras cargas de trabalho do Defender.
Alertas	Todos os alertas do Defender para a Cloud, incluindo alertas de fornecedores externos, internos e multi cloud, serão integrados no portal do Microsoft Defender. Os alertas do Defender para a Cloud serão apresentados na fila de alertas do portal do Microsoft Defender. O recurso de recurso da cloud será apresentado no separador Recurso de um alerta. Os recursos são claramente identificados como um recurso do Azure, Amazon ou Google Cloud. Os alertas do Defender para a Cloud serão automaticamente associados a um inquilino. Não haverá duplicação de alertas de outras cargas de trabalho do Defender.
Correlação de alertas e incidentes	Os alertas e incidentes são automaticamente correlacionados, proporcionando um contexto robusto às equipas de operações de segurança para compreender a história completa do ataque no respetivo ambiente na cloud.
Detecção de ameaças	Correspondência precisa de entidades virtuais com entidades de dispositivos para garantir a precisão e a deteção eficaz de ameaças.
API Unificada	Os alertas e incidentes do Defender para a Cloud estão agora incluídos na API pública do Microsoft Defender XDR, permitindo que os clientes exportem os respetivos dados de alertas de segurança para outros sistemas através de uma API.
Investigação avançada (Pré-visualização)	As informações sobre eventos de auditoria na cloud para várias plataformas na cloud protegidas pelo Defender para a Cloud da organização estão disponíveis através da tabela CloudAuditEvents na investigação avançada.

Impacto para os utilizadores do Microsoft Sentinel

Os clientes do Microsoft Sentinel que integram incidentes XDR do Microsoft Defendere ingerem alertas do Defender para a Cloud são obrigados a fazer as seguintes alterações de configuração para garantir que não são criados alertas e incidentes duplicados:

Ligue o conector do Microsoft Defender for Cloud (Pré-visualização) baseado no inquilino para sincronizar a coleção de alertas de todas as suas subscrições com incidentes do Defender para Cloud baseados no inquilino que estão a ser transmitidos através do conector Incidentes XDR do Microsoft Defender.
Desligue o conector de alertas do Microsoft Defender for Cloud (Legado) baseado na subscrição para evitar duplicados de alertas.
Desative quaisquer regras de análise ( agendadas (tipo de consulta regular) ou regras de segurança da Microsoft (criação de incidentes) — utilizadas para criar incidentes a partir de alertas do Defender para a Cloud. Os Incidentes do Defender para a Cloud são criados automaticamente no portal do Defender e sincronizados com o Microsoft Sentinel.
Se necessário, utilize regras de automatização para fechar incidentes ruidosos ou utilize as capacidades de otimização incorporadas no portal do Defender para suprimir determinados alertas.

A seguinte alteração também deve ser notada:

A ação para relacionar alertas com os incidentes do portal do Microsoft Defender é removida.

Saiba mais em Ingerir incidentes do Microsoft Defender para Cloud com a integração do Microsoft Defender XDR.

Desativar alertas do Defender para a Cloud

Os alertas do Defender para Cloud estão ativados por predefinição. Para manter as definições baseadas na subscrição e evitar a sincronização baseada no inquilino ou optar ativamente por não participar na experiência, execute os seguintes passos:

No portal do Microsoft Defender, aceda a Definições>Microsoft Defender XDR.
Nas definições do Serviço de alertas, procure alertas do Microsoft Defender para Cloud.
Selecione Sem alertas para desativar todos os alertas do Defender para a Cloud. Selecionar esta opção interrompe a ingestão de novos alertas do Defender para a Cloud no portal. Os alertas ingeridos anteriormente permanecem numa página de alerta ou incidente.

Dica

Você deseja aprender mais? Contacte a comunidade de Segurança da Microsoft na nossa Comunidade Tecnológica: Microsoft Defender XDR Tech Community.

Compartilhar via