Gerenciar e responder a alertas de segurança

Para obter os pré-requisitos e requisitos, consulte Matrizes de suporte para o Defender for Cloud.

Siga estes passos:

1. Inicie sessão no portal do Azure.

2. Navegue até Alertas do Microsoft Defender for Cloud>Security.

   

3. (Opcional) Filtre a lista de alertas com qualquer um dos filtros relevantes. Você pode adicionar filtros extras com a opção Adicionar filtro .

   

   A lista é atualizada de acordo com os filtros selecionados. Por exemplo, talvez você queira abordar alertas de segurança que ocorreram nas últimas 24 horas porque está investigando uma possível violação no sistema.

Cada alerta contém informações sobre o alerta que o auxilia na sua investigação.

Para investigar um alerta de segurança:

1. Selecione um alerta. Um painel lateral é aberto e mostra uma descrição do alerta e de todos os recursos afetados.

   

2. Revise as informações de alto nível sobre o alerta de segurança.

   • Gravidade, status e tempo de atividade do alerta
   • Descrição que explica a atividade precisa que foi detetada
   • Recursos afetados
   • Intenção da cadeia de abate da atividade na matriz MITRE ATT&CK (se aplicável)

3. Selecione Ver detalhes completos.

   O painel direito inclui a guia Detalhes do alerta, que contém mais detalhes do alerta para ajudá-lo a investigar o problema: endereços IP, arquivos, processos e muito mais.

   

   Também no painel direito está a guia Executar ação . Use esta guia para tomar outras ações em relação ao alerta de segurança. Ações como:

   • Inspecionar o contexto do recurso - envia você para os logs de atividade do recurso que suportam o alerta de segurança
   • Mitigar a ameaça - fornece etapas manuais de correção para este alerta de segurança
   • Prevenir ataques futuros - fornece recomendações de segurança para ajudar a reduzir a superfície de ataque, aumentar a postura de segurança e, assim, prevenir ataques futuros
   • Trigger automated response - fornece a opção de acionar um aplicativo lógico como resposta a este alerta de segurança
   • Suprimir alertas semelhantes - fornece a opção de suprimir alertas futuros com características semelhantes se o alerta não for relevante para a sua organização

   

   Para obter mais detalhes, entre em contato com o proprietário do recurso para verificar se a atividade detetada é um falso positivo. Você também pode investigar os logs brutos gerados pelo recurso atacado.

A lista de alertas inclui caixas de seleção para que você possa lidar com vários alertas de uma só vez. Por exemplo, para fins de triagem, você pode decidir descartar todos os alertas informativos para um recurso específico.

1. Filtre de acordo com os alertas que deseja manipular em massa.

   Neste exemplo, os alertas com severidade de Informational para o recurso ASC-AKS-CLOUD-TALK são selecionados.

   

2. Use as caixas de seleção para selecionar os alertas a serem processados.

   Neste exemplo, todos os alertas são selecionados. O botão Alterar status já está disponível.

   

3. Use as opções Alterar status para definir o status desejado.

   

   Os alertas mostrados na página atual têm seu status alterado para o valor selecionado.

Depois de investigar um alerta de segurança, você pode responder ao alerta de dentro do Microsoft Defender for Cloud.

Para responder a um alerta de segurança:

1. Abra a guia Executar ação para ver as respostas recomendadas.

   

2. Analise a seção Mitigar a ameaça para obter as etapas manuais de investigação necessárias para mitigar o problema.

3. Para proteger seus recursos e evitar ataques futuros desse tipo, corrija as recomendações de segurança na seção Prevenir ataques futuros .

4. Para acionar um aplicativo lógico com etapas de resposta automatizadas, use a seção Acionar resposta automatizada e selecione Aplicativo lógico de gatilho.

5. Se a atividade detetada não for maliciosa, você poderá suprimir alertas futuros desse tipo usando a seção Suprimir alertas semelhantes e selecionar Criar regra de supressão.

6. Selecione Configurar definições de notificação por e-mail para ver quem recebe e-mails relativos a alertas de segurança nesta subscrição. Entre em contato com o proprietário da assinatura para definir as configurações de e-mails.

7. Quando concluir a investigação do alerta e responder da forma adequada, altere o status para Dispensado.

   

   O alerta é removido da lista de alertas principais. Você pode usar o filtro da página de listagem de alertas para exibir todos os alertas com status Descartado .

8. Recomendamos que você forneça comentários sobre o alerta à Microsoft:

   1. Marcar o alerta como Útil ou Não útil.
   2. Selecione um motivo e adicione um comentário.

   

   Gorjeta

   Analisamos os seus comentários para melhorar os nossos algoritmos e fornecer melhores alertas de segurança.

   Para saber mais sobre os diferentes tipos de alertas, consulte Alertas de segurança - um guia de referência.

   Para obter uma visão geral de como o Defender for Cloud gera alertas, consulte Como o Microsoft Defender for Cloud deteta e responde a ameaças.

   Revise os resultados da verificação sem agente

   Os resultados do mecanismo de varredura baseado em agente e sem agente aparecem na página Alertas de segurança.

   

   Nota

   A correção de um desses alertas não corrigirá o outro alerta até que a próxima verificação seja concluída.