Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Sugestão
Sabia que pode experimentar as funcionalidades no Microsoft Defender para Office 365 Plano 2 gratuitamente? Utilize a versão de avaliação do Defender para Office 365 de 90 dias no hub de avaliações do portal do Microsoft Defender. Saiba mais sobre quem pode inscrever-se e os termos de avaliação em Experimentar Microsoft Defender para Office 365.
Como os alertas de segurança aparecem numa organização do Microsoft 365 em https://security.microsoft.com/alerts, cabe à equipa de operações de segurança (SecOps) rever, priorizar e responder a esses alertas. Acompanhar o volume de alertas recebidos pode ser avassalador. Automatizar algumas dessas tarefas pode ajudar.
Microsoft Defender para Office 365 Plano 2 (incluído em licenças do Microsoft 365 como o E5 ou como uma subscrição autónoma) inclui capacidades de investigação e resposta automatizadas (AIR) que poupam tempo e esforço para as equipas secOps.
A AIR triagem alertas de alto impacto e de elevado volume ao concluir investigações ao nível da organização. As investigações da AIR aprofundam as deteções ou fornecem análises adicionais para determinar o nível de ameaça para a organização. Quando o AIR identifica ameaças, coloca em fila as ações de remediação de ameaças para que o pessoal do SecOps aprove. A AIR proporciona os seguintes benefícios:
- Investigação automatizada de ameaças conhecidas sem intervenção manual.
- Ações de remediação adequadas a aguardar aprovação, permitindo que a equipa do SecOps responda de forma eficaz às ameaças detetadas.
- As equipas do SecOps podem concentrar-se em tarefas de prioridade mais alta sem perder de vista alertas importantes.
O AIR no Defender para Office 365 Plano 2 requer que o registo de auditoria esteja ativado (está ativado por predefinição).
O fluxo geral de AIR
É acionado um alerta e um manual de procedimentos de segurança inicia uma investigação automatizada, o que resulta em resultados e ações recomendadas. Eis o fluxo geral do AIR, passo a passo:
Uma investigação automatizada é iniciada de uma das seguintes formas:
Alertas específicos concebidos para iniciar o AIR. Estes alertas incluem:
Algo suspeito é identificado no e-mail (por exemplo, a própria mensagem, um anexo, um URL ou uma conta de utilizador comprometida).
Submissões de utilizadores.
O utilizador clica em alertas.
Comportamento suspeito da caixa de correio.
Sugestão
Certifique-se de que revê regularmente os alertas na sua organização. Para obter mais informações sobre políticas de alerta que acionam investigações automatizadas, veja as políticas de alerta predefinidas na categoria Gestão de ameaças. As entradas que contêm o valor Sim para investigação automatizada podem acionar investigações automatizadas. O AIR não é acionado quando:
- Estes alertas estão desativados.
- Estes alertas foram substituídos por alertas personalizados.
Um analista de segurança aciona manualmente a investigação ao selecionar
Tomar medidas no Explorador de Ameaças, Investigação avançada, deteção personalizada, na página da entidade Email ou no painel de resumo Email. Para obter mais informações, consulte Pesquisa de ameaças: Correção de e-mail. Para obter exemplos, veja Exemplos automatizados de investigação e resposta (AIR) no Microsoft Defender para Office 365 Plano 2.
A investigação automatizada avalia e analisa a natureza do alerta, a mensagem envolvida e as provas adicionais em torno da mensagem. O âmbito da investigação pode aumentar com base nas provas descobertas e recolhidas durante a investigação.
Durante e após uma investigação automatizada, estão disponíveis detalhes e resultados . Os resultados podem incluir ações recomendadas para o pessoal do SecOps para remediar as ameaças encontradas.
A equipa do SecOps analisa os resultados da investigação e as recomendações na investigação propriamente dita, no incidente ou no Centro de ação, e aprova ou rejeita as ações de remediação.
Sugestão
As capacidades de remediação automática no AIR automatizam totalmente a remediação de clusters de semelhanças maliciosas, incluindo URL malicioso e clusters de ficheiros. Para estes tipos de cluster, o AIR aprova automaticamente as ações de remediação pendentes que gera, o que elimina a necessidade de intervenção manual e simplifica o processo de resposta para as equipas SOC.
A AIR também poupa tempo ao avaliar e resolver automaticamente alertas e incidentes em que não são encontradas ameaças. Este resultado é comum em cenários de submissão de utilizadores. A AIR fecha a investigação se não forem encontradas ameaças ou se as ameaças estiverem em mensagens que já foram remediadas.
Depois de as ações de remediação pendentes serem aprovadas ou rejeitadas, a investigação automatizada é concluída.
A investigação automatizada é fechada automaticamente se não forem identificadas ações recomendadas. Os detalhes da investigação ainda estão disponíveis na página Investigações em https://security.microsoft.com/airinvestigation.
Durante e após cada investigação automatizada, a equipa do SecOps pode realizar as seguintes tarefas:
- Ver detalhes sobre um alerta relacionado com uma investigação
- Ver os detalhes dos resultados de uma investigação
- Rever e aprovar ações como resultado de uma investigação
Regras de otimização de alertas incorporadas
O Microsoft Defender inclui regras incorporadas de ajuste de alertas que ajudam a reduzir o ruído nas notificações proveniente de atividade benigna comum. Estas regras integradas suprimem os alertas sem afetar outras funcionalidades, como as investigações AIR e as notificações por e-mail. Se a investigação do AIR detetar atividade maliciosa ou suspeita, o novo alerta será reativado.
Para ver as regras de otimização de alertas integradas no portal Microsoft Defender, aceda a Sistema>Definições>Microsoft Defender XDR>Regras secção >Otimização de alertas ou diretamente na página Otimização de alertas em https://security.microsoft.com/securitysettings/defender/alert_suppression.
Certifique-se de que revê estas regras para compreender como podem afetar os alertas apresentados no portal do Microsoft Defender.
Importante
As regras de ajuste de alertas incorporadas não se aplicam a alertas provenientes de regras de deteção personalizadas e do Ti personalizado.
Nota
O Agente de Triagem de Phishing do Microsoft Security Copilot não classifica os alertas suprimidos por ajuste de alertas. Certifique-se de que desativa a regra incorporada de ajuste de alertas Resolução automática - Email denunciado pelo utilizador como malware ou phishing e quaisquer regras de ajuste personalizadas que suprimam este alerta.
Permissões e licenciamento necessários para a AIR
Tem de lhe ser atribuídas permissões para utilizar o AIR. Tem as seguintes opções:
-
Microsoft Defender XDR controlo de acesso baseado em funções (RBAC) unificado (Se as permissões de Email e colaboração>do Defender para Office 365 estiverem
Ativas. Afeta apenas o portal do Defender, não o PowerShell): - Iniciar uma investigação automatizada ou Aprovar ou rejeitar ações recomendadas: Operações de segurança/Dados de segurança/Email & ações avançadas de colaboração (gerir).
-
Permissões de correio eletrónico e colaboração no portal do Microsoft Defender:
- Configurar funcionalidades AIR: associação nos grupos de funções Gestão da Organização ou Administrador de Segurança .
-
Inicie uma investigação automatizada ou Aprove ou rejeite as ações recomendadas:
- Associação nos grupos de funções Gestão da Organização, Administrador de Segurança, Operador de Segurança, Leitor de Segurança ou Leitor Global .
- A função Procurar e Remover , atribuída apenas aos grupos de funções Investigador de Dados ou Gestão da Organização por predefinição. Em alternativa, pode criar um novo grupo de funções com a função Procurar e Remover atribuída e adicionar os utilizadores ao grupo de funções personalizado.
-
Permissões do Microsoft Entra: dê aos utilizadores as permissões necessárias e as permissões para outras funcionalidades do Microsoft 365:
- Configurar funcionalidades AIR: associação nas funções Administrador Global ou Administrador de Segurança .
-
Inicie uma investigação automatizada ou Aprove ou rejeite as ações recomendadas:
- Pertença às funções de Administrador Global, Administrador de Segurança, Operador de Segurança, Leitor de Segurança ou Leitor Global. e
- Participação num grupo de funções de Email e colaboração com a função Pesquisar e Eliminar atribuída, conforme anteriormente descrito.
Para utilizar a Investigação e Resposta Automatizadas (AIR), tem de ter Microsoft Defender para licenças Office 365 Plano 2 (incluídas em subscrições elegíveis ou disponíveis como um suplemento).