Ver a cobertura da arquitetura MITRE ATT&CK no Microsoft Sentinel

  • Aplica-se a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

A MITRE ATT&CK é uma base de dados de conhecimento acessível publicamente de táticas e técnicas frequentemente utilizadas pelos atacantes. É criado e mantido com base em observações do mundo real. Muitas organizações utilizam a base de conhecimento MITRE ATT&CK para desenvolver modelos de ameaça e metodologias específicos para verificar a postura de segurança nos seus ambientes.

Microsoft Sentinel analisa dados ingeridos, não só para detetar ameaças e ajudá-lo a investigar, mas também para visualizar a natureza e a cobertura do estado de segurança da sua organização.

Este artigo descreve como utilizar a página MITRE no Microsoft Sentinel para ver as regras de análise (deteções) já ativas na área de trabalho e as deteções disponíveis para configurar. Utilize esta página para compreender a cobertura de segurança da sua organização com base nas táticas e técnicas da arquitetura MITRE ATT&CK.

Importante

A página MITRE no Microsoft Sentinel está atualmente em PRÉ-VISUALIZAÇÃO. Os Termos Suplementares de Pré-visualização Azure incluem termos legais que se aplicam a funcionalidades Azure que estão em beta, pré-visualização ou que ainda não foram lançadas para disponibilidade geral.

Pré-requisitos

Antes de ver a cobertura mitre da sua organização no Microsoft Sentinel, certifique-se de que tem os seguintes pré-requisitos:

  • Uma instância de Microsoft Sentinel ativa.
  • Permissões necessárias para ver conteúdo no Microsoft Sentinel. Para obter mais informações, veja Funções e permissões no Microsoft Sentinel.
  • Conectores de dados configurados para ingerir dados de segurança relevantes em Microsoft Sentinel. Para obter mais informações, veja Microsoft Sentinel conectores de dados.
  • Regras de consulta agendadas ativas e regras quase em tempo real (NRT) configuradas no Microsoft Sentinel. Para obter mais informações, veja Deteção de ameaças no Microsoft Sentinel.
  • Estar familiarizado com a arquitetura MITRE ATT&CK e as suas táticas e técnicas.

versão do framework MITRE ATT&CK

Microsoft Sentinel está atualmente alinhada com a arquitetura MITRE ATT&CK, versão 18.

Ver a cobertura atual do MITRE

Por predefinição, tanto as regras de consulta agendada atualmente ativas como as regras quase em tempo real (NRT) estão assinaladas na matriz de cobertura.

Para ver a cobertura do MITRE atual para a sua organização:

  1. Efetue um dos seguintes procedimentos, consoante o portal que estiver a utilizar:

    No portal do Defender, selecione Microsoft Sentinel > Gestão > de ameaças MITRE ATT&CK.

    Captura de ecrã da página MITRE ATT&CK no portal do Defender.

    Para filtrar a página por um cenário de ameaça específico, ative a opção Ver o MITRE por cenário de ameaça e, em seguida, selecione um cenário de ameaça no menu pendente. A página é atualizada em conformidade. Por exemplo:

    Captura de ecrã da página MITRE ATT&CK filtrada por um cenário de ameaça específico.

  2. Utilize qualquer um dos seguintes métodos:

    • Utilize a legenda para compreender quantas deteções estão atualmente ativas na área de trabalho para uma técnica específica.

    • Utilize a barra de pesquisa para procurar uma técnica específica na matriz, utilizando o nome ou ID da técnica, para ver o estado de segurança da sua organização para a técnica selecionada.

    • Selecione uma técnica específica na matriz para ver mais detalhes no painel de detalhes. Aí, utilize as ligações para aceder a qualquer uma das seguintes localizações:

      • Na área Descrição, selecione Ver detalhes da técnica completa... para obter mais informações sobre a técnica selecionada na arquitetura MITRE ATT&CK base de dados de conhecimento.

      • Desloque-se para baixo no painel e selecione ligações para qualquer um dos itens ativos para aceder à área relevante no Microsoft Sentinel.

      Por exemplo, selecione Consultas de investigação para aceder à página Investigação. Lá, verá uma lista filtrada das consultas de pesquisa associadas à técnica selecionada e que pode configurar no seu espaço de trabalho.

    No portal do Defender, o painel de detalhes também mostra os detalhes da cobertura recomendada, incluindo a proporção de deteções ativas e de serviços de segurança (produtos) em relação ao total de deteções e serviços recomendados para a técnica selecionada.

Simular uma possível cobertura com deteções disponíveis

Na matriz de cobertura MITRE, a cobertura simulada refere-se a deteções que estão disponíveis, mas que não estão atualmente configuradas na área de trabalho Microsoft Sentinel. Veja a cobertura simulada para compreender o possível estado de segurança da sua organização se tiver configurado todas as deteções disponíveis.

  1. No Microsoft Sentinel, em Gestão de ameaças, selecione MITRE ATT&CK (Pré-visualização) e, em seguida, selecione itens no menu Regras simuladas para simular o possível estado de segurança da sua organização.

  2. Utilize os elementos da matriz de cobertura tal como faria normalmente para ver a cobertura simulada de uma técnica específica.

Utilizar a arquitetura MITRE ATT&CK em regras de análise e incidentes

As regras agendadas com técnicas MITRE aplicadas que são executadas regularmente na área de trabalho Microsoft Sentinel melhoram o estado de segurança da sua organização na matriz de cobertura MITRE.

Conteúdos relacionados

Para mais informações, consulte:

  • Last updated on