Use análises de correspondência para detetar ameaças

  • Artigo
  • Aplica-se a:
    Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Aproveite as informações sobre ameaças produzidas pela Microsoft para gerar alertas e incidentes de alta fidelidade com a regra Microsoft Defender Threat Intelligence Analytics . Esta regra incorporada no Microsoft Sentinel corresponde a indicadores com registos CEF (Common Event Format), eventos DNS do Windows com indicadores de ameaça de domínio e IPv4, dados syslog e muito mais.

Importante

A análise de correspondência está atualmente em pré-visualização. Consulte os Termos de Utilização Suplementares das Pré-visualizações do Microsoft Azure para obter os termos legais adicionais que se aplicam às funcionalidades do Azure que estão em versão beta, pré-visualização ou ainda não disponibilizadas para disponibilidade geral.

Pré-requisitos

Para produzir alertas e incidentes de alta fidelidade, um ou mais conectores de dados suportados devem ser instalados, mas uma licença MDTI premium não é necessária. Instale as soluções apropriadas do hub de conteúdo para conectar essas fontes de dados.

  • Common Event Format (CEF)
  • DNS (Pré-visualização)
  • Syslog
  • Registos de atividade do Office
  • Registos de atividade do Azure

Uma captura de tela mostrando as conexões de fonte de dados da regra do Microsoft Defender Threat Intelligence Analytics.

Por exemplo, dependendo da fonte de dados, você pode usar as seguintes soluções e conectores de dados.

Solução Conector de dados
Solução de formato de evento comum para o Sentinel Conector CEF (Common Event Format) para Microsoft Sentinel
Windows Server DNS Conector DNS para Microsoft Sentinel
Solução Syslog para Sentinel Conector Syslog para Microsoft Sentinel
Solução Microsoft 365 para Sentinel Conector do Office 365 para Microsoft Sentinel
Solução Azure Activity para Sentinel Conector de atividade do Azure para Microsoft Sentinel

Configurar a regra de análise de correspondência

A análise de correspondência é configurada quando você habilita a regra Microsoft Defender Threat Intelligence Analytics .

  1. Clique no menu Analytics na seção Configuração .

  2. Selecione a guia do menu Modelos de regras.

  3. Na janela de pesquisa, digite inteligência de ameaças.

  4. Selecione o modelo de regra do Microsoft Defender Threat Intelligence Analytics .

  5. Clique em Criar regra. Os detalhes da regra são somente leitura e o status padrão da regra está habilitado.

  6. Clique em Rever>Criar.

Uma captura de tela mostrando a regra do Microsoft Defender Threat Intelligence Analytics habilitada na guia Regras ativas.

Fontes de dados e indicadores

O Microsoft Defender Threat Intelligence (MDTI) Analytics faz a correspondência entre os seus registos e indicadores de domínio, IP e URL da seguinte forma:

  • Os logs CEF ingeridos na tabela Log Analytics CommonSecurityLog correspondem aos indicadores de URL e domínio, se preenchidos RequestURL no campo, e aos indicadores IPv4 no DestinationIP campo.

  • Os logs DNS do Windows em que o evento SubType == "LookupQuery" ingerido na tabela DnsEvents correspondem aos indicadores de domínio preenchidos no campo e aos Name indicadores IPv4 no IPAddresses campo.

  • Os eventos Syslog quando Facility == "cron" ingeridos na tabela Syslog correspondem ao domínio e aos indicadores IPv4 diretamente do SyslogMessage campo.

  • Os logs de atividade do Office ingeridos na tabela OfficeActivity correspondem aos indicadores IPv4 diretamente do ClientIP campo.

  • Os logs de atividade do Azure ingeridos na tabela AzureActivity correspondem aos indicadores IPv4 diretamente do CallerIpAddress campo.

Triagem de um incidente gerado por análises correspondentes

Se a análise da Microsoft encontrar uma correspondência, todos os alertas gerados serão agrupados em incidentes.

Use as seguintes etapas para fazer a triagem dos incidentes gerados pela regra Microsoft Defender Threat Intelligence Analytics :

  1. No espaço de trabalho Microsoft Sentinel onde você habilitou a regra Microsoft Defender Threat Intelligence Analytics , selecione Incidentes e procure Microsoft Defender Threat Intelligence Analytics.

    Todos os incidentes encontrados são mostrados na grade.

  2. Selecione Exibir detalhes completos para exibir entidades e outros detalhes sobre o incidente, como alertas específicos.

    Por exemplo:

    Captura de ecrã do incidente gerado pela correspondência da análise com o painel de detalhes.

  3. Observe a gravidade atribuída aos alertas e ao incidente. Dependendo de como o indicador é correspondido, uma severidade apropriada é atribuída a um alerta de Informational até High. Por exemplo, se o indicador for correspondido com logs de firewall que permitiram o tráfego, um alerta de alta gravidade será gerado. Se o mesmo indicador fosse correspondido com logs de firewall que bloqueavam o tráfego, o alerta gerado seria baixo ou médio.

    Os alertas são então agrupados numa base observável do indicador. Por exemplo, todos os alertas gerados em um período de 24 horas que correspondem ao contoso.com domínio são agrupados em um único incidente com uma gravidade atribuída com base na maior gravidade do alerta.

  4. Observe os detalhes do indicador. Quando uma correspondência é encontrada, o indicador é publicado na tabela Threat IntelligenceIndicators do Log Analytics e exibido na página Threat Intelligence. Para quaisquer indicadores publicados a partir desta regra, a fonte é definida como Microsoft Defender Threat Intelligence Analytics.

Por exemplo, na tabela ThreatIntelligenceIndicators :

Captura de tela da tabela ThreatIntelligenceIndicator no Log Analytics mostrando o indicador com SourceSystem do Microsoft Threat Intelligence Analytics.

Na página Inteligência de ameaças :

Captura de tela da visão geral do Threat Intelligence com o indicador selecionado mostrando a fonte como Microsoft Threat Intelligence Analytics.

Obtenha mais contexto do Microsoft Defender Threat Intelligence

Juntamente com alertas e incidentes de alta fidelidade, alguns indicadores MDTI incluem um link para um artigo de referência no portal da comunidade MDTI.

Captura de tela de um incidente com um link para o artigo MDTI de referência.

Para obter mais informações, consulte o portal MDTI e O que é o Microsoft Defender Threat Intelligence?

Conteúdos relacionados

Neste artigo, você aprendeu como conectar informações sobre ameaças produzidas pela Microsoft para gerar alertas e incidentes. Para obter mais informações sobre informações sobre ameaças no Microsoft Sentinel, consulte os seguintes artigos: