Compartilhar via

Cenário do Microsoft Entra ID Protection: telemetria relacionada ao risco de identidade em investigações de segurança

As diretrizes de PoC (prova de conceito) nesta série de artigos ajudam você a aprender, implantar e testar o Microsoft Entra ID Protection para detectar, investigar e remediar riscos baseados em identidade.

Uma visão geral das diretrizes começa com a introdução às diretrizes de prova de conceito do Microsoft Entra ID Protection.

As diretrizes detalhadas continuam com estes cenários:

Este artigo ajuda os administradores do SOC (Security Operations Center) a trazer telemetria relacionada ao risco de identidade para investigações de segurança.

Configure os seguintes recursos para telemetria relacionada ao risco de identidade com o Microsoft Entra ID Protection:

Investigar incidentes baseados em identidade

Detectar e investigar ameaças à identidade no Centro de administração do Microsoft Entra ou com as APIs do Microsoft Graph.

  1. Entradas arriscadas , como viagens impossíveis, IPs anônimos e IPs vinculados a malware.
  2. Usuários arriscados , como contas com credenciais vazadas e comportamento suspeito.
  3. Detecções de risco, como reprodução de token e propriedades de login desconhecidas.

Investigar com o Microsoft Security Copilot no Microsoft Entra

A Segurança da Microsoft no Microsoft Entra reúne o poder da IA (inteligência artificial) e da experiência humana para ajudar administradores e equipes de segurança a responder a ameaças e ataques mais rapidamente. Por meio da experiência inserida, você pode investigar e resolver riscos de identidade, avaliar identidades e acessar rapidamente tarefas complexas completas.

Use prompts de linguagem natural no Microsoft Security Copilot:

  • Resumir por que um usuário é arriscado.
  • Recupere logs de login, trilhas de auditoria e membros de grupo.
  • Obtenha recomendações de correção e links para a documentação.

Saiba mais sobre os cenários do Microsoft Security Copilot no Microsoft Entra.

Corrigir e responder

Depois de confirmar uma ameaça:

  1. Acompanhe se o Acesso Condicional baseado em risco foi disparado para bloquear ou desafiar o acesso.
  2. Dispensar ou confirmar manualmente o comprometimento para remediar riscos e desbloquear usuários.
  3. Inicie redefinições de senha seguras ou o re-registro de MFA.
  4. Use guias estratégicos de resposta para orientar as próximas etapas.

Examinar a auditoria e a conformidade

Registre e audite todas as ações do SOC no Microsoft Entra para executar as seguintes etapas:

  1. Examine os logs no Centro de administração do Microsoft Entra.
  2. Para correlação e armazenamento, exporte logs para o Log Analytics do Azure Monitor, o Microsoft Sentinel ou seu sistema de SIEM (gerenciamento de eventos e informações de segurança) dedicado.
  3. Gere alertas para ações específicas, como alterações de política, desbloqueio de usuário.

Configurar o acesso em ambientes multilocatários

Para ambientes multilocatários:

  1. Configurar políticas de acesso entre locatários.
  2. Para limitar o escopo, use o controle de acesso baseado em função (como Leitor de Segurança, Operador de Segurança).
  3. Automatizar a implantação com APIs do PowerShell ou do Microsoft Graph.

Próximas etapas

  • Last updated on