Página entidade de utilizador no Microsoft Defender
A página da entidade de utilizador no portal do Microsoft Defender ajuda-o na investigação de entidades de utilizador. A página contém todas as informações importantes sobre uma determinada entidade de utilizador. Se um alerta ou incidente indicar que um utilizador pode estar comprometido ou ser suspeito, verifique e investigue a entidade do utilizador.
Pode encontrar as informações da entidade do utilizador nas seguintes vistas:
- Página Identidades, em Recursos
- Fila de alertas
- Qualquer alerta/incidente individual
- Página dispositivos
- Qualquer página de entidade de dispositivo individual
- Registo de atividades
- Consultas de investigação avançadas
- Centro de ação
Sempre que as entidades de utilizador aparecerem nestas vistas, selecione a entidade para ver a página Utilizador , que apresenta mais detalhes sobre o utilizador. Por exemplo, pode ver os detalhes das contas de utilizador identificadas nos alertas de um incidente no portal do Microsoft Defender em Incidentes & alertas Incidentes >>incidentes> Utilizadores de Recursos>.
Quando investiga uma entidade de utilizador específica, vê os seguintes separadores na respetiva página de entidade:
- Descrição geral, incluindo detalhes da entidade, vista visual de incidentes e alertas, prioridade de investigação e linha cronológica classificada
- Separador Incidentes e alertas
- Observado no separador organização
- Separador Linha Cronológica
- Sentinel separador eventos
A página do utilizador mostra o Microsoft Entra organização, bem como os grupos, ajudando-o a compreender os grupos e permissões associados a um utilizador.
Importante
Microsoft Sentinel está agora disponível globalmente na plataforma de operações de segurança unificada da Microsoft no portal do Microsoft Defender. Para obter mais informações, veja Microsoft Sentinel no portal do Microsoft Defender.
Descrição geral
Detalhes da entidade
O painel Detalhes da entidade no lado esquerdo da página fornece informações sobre o utilizador, como o nível de risco de identidade Microsoft Entra, o número de dispositivos aos quais o utilizador tem sessão iniciada, quando o utilizador foi visto pela primeira e última vez, as contas do utilizador, grupos aos quais o utilizador pertence, informações de contacto e muito mais. Verá outros detalhes consoante as funcionalidades de integração que ativou.
Vista visual de incidentes e alertas
Este cartão inclui todos os incidentes e alertas associados à entidade de utilizador, agrupados por gravidade.
Prioridade de investigação
Este cartão inclui a discriminação da classificação de prioridade de investigação calculada da entidade do utilizador e uma tendência de duas semanas para essa classificação, incluindo o percentil da classificação em relação ao inquilino.
Controlos de conta do Active Directory
Este cartão apresenta Microsoft Defender para Identidade definições de segurança que podem necessitar da sua atenção. Pode ver sinalizadores importantes sobre as definições da conta do utilizador, como, por exemplo, se o utilizador conseguir premir Enter para ignorar a palavra-passe e se o utilizador tiver uma palavra-passe que nunca expira, etc.
Para obter mais informações, veja Sinalizadores de Controlo de Conta de Utilizador.
Atividades classificadas
Este cartão inclui todas as atividades e alertas que contribuem para a classificação de prioridade de investigação da entidade nos últimos sete dias.
Árvore da organização
Esta secção mostra o lugar da entidade do utilizador na hierarquia organizacional, conforme comunicado por Microsoft Defender para Identidade.
Etiquetas de conta
Microsoft Defender para Identidade extrai etiquetas do Active Directory para lhe fornecer uma única interface para monitorizar os seus utilizadores e entidades do Active Directory. As etiquetas fornecem-lhe detalhes do Active Directory sobre a entidade e incluem:
| Name | Descrição |
|---|---|
| Novo | Indica que a entidade foi criada há menos de 30 dias. |
| Eliminado | Indica que a entidade foi eliminada permanentemente do Active Directory. |
| Desativado | Indica que a entidade está atualmente desativada no Active Directory. O atributo desativado é um sinalizador do Active Directory que está disponível para contas de utilizador, contas de computador e outros objetos para indicar que o objeto não está atualmente a ser utilizado. Quando um objeto é desativado, não pode ser utilizado para iniciar sessão ou efetuar ações no domínio. |
| Ativado | Indica que a entidade está atualmente ativada no Active Directory, indicando que a entidade está atualmente em utilização e pode ser utilizada para iniciar sessão ou realizar ações no domínio. |
| Expirado | Indica que a entidade expirou no Active Directory. Quando uma conta de utilizador expira, o utilizador já não consegue iniciar sessão no domínio ou aceder a quaisquer recursos de rede. A conta expirada é essencialmente tratada como se estivesse desativada, mas com uma data de expiração explícita definida. Quaisquer serviços ou aplicações aos quais o utilizador tenha autorização para aceder também podem ser afetados, dependendo da forma como são configurados. |
| Honeytoken | Indica que a entidade é etiquetada manualmente como um honeytoken. |
| Bloqueado | Indica que a entidade forneceu a palavra-passe errada demasiadas vezes e está agora bloqueada. |
| Parcial | Indica que o utilizador, dispositivo ou grupo não está sincronizado com o domínio e está parcialmente resolvido através de um catálogo global. Neste caso, alguns atributos não estão disponíveis. |
| Não resolvido | Indica que o dispositivo não resolve para uma identidade válida na floresta do Active Directory. Não existem informações de diretório disponíveis. |
| Sensível | Indica que a entidade é considerada confidencial. |
Para obter mais informações, veja Etiquetas de entidade do Defender para Identidade no Microsoft Defender XDR.
Nota
A secção árvore da organização e as etiquetas de conta estão disponíveis quando está disponível uma licença de Microsoft Defender para Identidade.
Incidentes e alertas
Pode ver todos os incidentes ativos e alertas que envolvem o utilizador dos últimos seis meses neste separador. Todas as informações das filas de alertas e incidentes principais são apresentadas aqui. Esta lista é uma versão filtrada da fila de incidentes e mostra uma breve descrição do incidente ou alerta, a sua gravidade (alta, média, baixa, informativa), o respetivo estado na fila (novo, em curso, resolvido), a classificação (não definido, alerta falso, alerta verdadeiro), estado de investigação, categoria, quem está atribuído para o resolver e última atividade observada.
Pode personalizar o número de itens apresentados e que colunas são apresentadas para cada item. O comportamento predefinido é listar 30 itens por página. Também pode filtrar os alertas por gravidade, estado ou qualquer outra coluna no ecrã.
A coluna entidades afetadas refere-se a todas as entidades de dispositivo e utilizador referenciadas no incidente ou alerta.
Quando um incidente ou alerta é selecionado, é apresentada uma lista de opções. A partir deste painel, pode gerir o incidente ou o alerta e ver mais detalhes, como o número de incidente/alerta e dispositivos relacionados. Podem ser selecionados vários alertas de cada vez.
Para ver uma vista de página inteira de um incidente ou alerta, selecione o respetivo título.
Observado na organização
Dispositivos: esta secção mostra todos os dispositivos nos quais a entidade de utilizador iniciou sessão nos 180 dias anteriores, indicando os mais e menos utilizados.
Localizações: esta secção mostra todas as localizações observadas para a entidade de utilizador nos últimos 30 dias.
Grupos: esta secção mostra todos os grupos no local observados para a entidade de utilizador, conforme comunicado pelo Microsoft Defender para Identidade.
Caminhos de movimento lateral: esta secção mostra todos os caminhos de movimento lateral criados no perfil do ambiente no local, conforme detetado pelo Defender para Identidade.
Nota
Grupos e os caminhos de movimento lateral estão disponíveis quando está disponível uma licença de Microsoft Defender para Identidade.
Selecionar o separador Movimentos laterais permite-lhe ver um mapa totalmente dinâmico e clicável, onde pode ver os caminhos de movimento lateral de e para um utilizador. Um atacante pode utilizar as informações do caminho para se infiltrar na sua rede.
O mapa fornece uma lista de outros dispositivos ou utilizadores dos quais um atacante pode tirar partido para comprometer uma conta confidencial. Se o utilizador tiver uma conta confidencial, pode ver quantos recursos e contas estão diretamente ligados.
O relatório do caminho de movimento lateral, que pode ser visualizado por data, está sempre disponível para fornecer informações sobre os potenciais caminhos de movimento lateral detetados e pode ser personalizado por tempo. Selecione uma data diferente utilizando Ver uma data diferente para ver os caminhos de movimento lateral anteriores encontrados para uma entidade. O gráfico só é apresentado se tiver sido encontrado um potencial caminho de movimento lateral para uma entidade nos últimos dois dias.
Linha cronológica
A linha cronológica apresenta as atividades do utilizador e os alertas observados a partir da identidade de um utilizador nos últimos 180 dias. Unifica as entradas de identidade do utilizador nas cargas de trabalho Microsoft Defender para Identidade, Microsoft Defender for Cloud Apps e Microsoft Defender para Endpoint. Ao utilizar a linha cronológica, pode focar-se nas atividades que um utilizador realizou ou que lhes foram executadas em intervalos de tempo específicos.
Para que os utilizadores da plataforma SOC unificada vejam alertas de Microsoft Sentinel com base em origens de dados diferentes das do parágrafo anterior, podem encontrar estes alertas e outras informações no separador Sentinel eventos, descrito abaixo.
Seletor de intervalo de tempo personalizado: Pode escolher um período de tempo para focar a sua investigação nas últimas 24 horas, nos últimos 3 dias e assim sucessivamente. Em alternativa, pode escolher um período de tempo específico ao clicar em Intervalo personalizado. Os dados filtrados com mais de 30 dias são apresentados em intervalos de sete dias.
Por exemplo:
Filtros de linha cronológica: Para melhorar a sua experiência de investigação, pode utilizar os filtros de linha cronológica: Tipo (Alertas e/ou atividades relacionadas do utilizador), Gravidade do alerta, Tipo de atividade, Aplicação, Localização, Protocolo. Cada filtro depende dos outros e as opções em cada filtro (menu pendente) contêm apenas os dados relevantes para o utilizador específico.
Botão Exportar: Pode exportar a linha cronológica para um ficheiro CSV. A exportação está limitada aos primeiros 5000 registos e contém os dados apresentados na IU (os mesmos filtros e colunas).
Colunas personalizadas: Pode escolher as colunas a expor na linha cronológica ao selecionar o botão Personalizar colunas . Por exemplo:
Que tipos de dados estão disponíveis?
Os seguintes tipos de dados estão disponíveis na linha cronológica:
- Alertas afetados por um utilizador
- Atividades do Active Directory e Microsoft Entra
- Eventos de aplicações na cloud
- Eventos de início de sessão do dispositivo
- Alterações nos serviços de diretório
Que informações são apresentadas?
As seguintes informações são apresentadas na linha cronológica:
- Data e hora da atividade
- Descrição da atividade/alerta
- Aplicação que realizou a atividade
- Endereço IP/dispositivo de origem
- MITRE ATT& técnicas CK
- Estado e gravidade do alerta
- País/região onde o endereço IP do cliente é geolocalizado
- Protocolo utilizado durante a comunicação
- Dispositivo de destino (opcional, visível ao personalizar colunas)
- Número de vezes que a atividade ocorreu (opcional, visível ao personalizar colunas)
Por exemplo:
Nota
Microsoft Defender XDR pode apresentar informações de data e hora com o fuso horário local ou UTC. O fuso horário selecionado será aplicado a todas as informações de data e hora apresentadas na linha cronológica da Identidade.
Para definir o fuso horário destas funcionalidades, aceda aFuso horário do Centro> de Segurança de Definições>.
Sentinel eventos
Se a sua organização tiver integrado Microsoft Sentinel no portal do Defender, este separador adicional encontra-se na página da entidade de utilizador. Este separador importa a página entidade Conta de Microsoft Sentinel.
linha cronológica do Sentinel
Esta linha cronológica mostra os alertas associados à entidade do utilizador. Estes alertas incluem os visualizados no separador Incidentes e alertas e os criados por Microsoft Sentinel de origens de dados de terceiros e não da Microsoft.
Esta linha cronológica também mostra as caçadas com marcadores de outras investigações que referenciam esta entidade de utilizador, eventos de atividade do utilizador de origens de dados externas e comportamentos invulgares detetados pelas regras de anomalias de Microsoft Sentinel.
Informações
As informações de entidades são consultas definidas pelos investigadores de segurança da Microsoft para o ajudar a investigar de forma mais eficiente e eficaz. Estas informações colocam automaticamente as grandes questões sobre a sua entidade de utilizador, fornecendo informações de segurança valiosas sob a forma de dados e gráficos tabulares. As informações incluem dados sobre inícios de sessão, adições de grupo, eventos anómalos e muito mais, e incluem algoritmos de machine learning avançados para detetar comportamentos anómalos.
Seguem-se algumas das informações apresentadas:
- Elementos de utilizador com base na associação a grupos de segurança.
- Ações por conta.
- Ações na conta.
- Registos de eventos limpos pelo utilizador.
- Adições de grupo.
- Contagem anómalo de operações de escritório elevada.
- Acesso a recursos.
- Contagem de resultados de início de sessão do Azure anómalomente elevada.
- Informações da UEBA.
- Permissões de acesso de utilizador para subscrições do Azure.
- Indicadores de ameaças relacionados com o utilizador.
- Informações da lista de observação (Pré-visualização).
- Atividade de início de sessão do Windows.
As informações baseiam-se nas seguintes origens de dados:
- Syslog (Linux)
- SecurityEvent (Windows)
- AuditLogs (Microsoft Entra ID)
- SigninLogs (Microsoft Entra ID)
- OfficeActivity (Office 365)
- BehaviorAnalytics (Microsoft Sentinel UEBA)
- Heartbeat (Agente do Azure Monitor)
- CommonSecurityLog (Microsoft Sentinel)
Se quiser explorar mais aprofundadamente qualquer uma das informações neste painel, selecione a ligação que acompanha as informações. A ligação direciona-o para a página Investigação avançada , onde apresenta a consulta subjacente às informações, juntamente com os respetivos resultados não processados. Pode modificar a consulta ou desagregar os resultados para expandir a investigação ou apenas satisfazer a sua curiosidade.
Ações de remediação
Na página Descrição geral, pode efetuar estas ações adicionais:
- Ativar, desativar ou suspender o utilizador no Microsoft Entra ID
- Direcionar o utilizador para efetuar determinadas ações, tais como exigir que o utilizador inicie sessão novamente ou forçar a reposição de palavra-passe
- Repor a classificação de prioridade da investigação para o utilizador
- Ver Microsoft Entra definições de conta, governação relacionada, ficheiros pertencentes ao utilizador ou ficheiros partilhados do utilizador
Para obter mais informações, veja Remediação de ações no Microsoft Defender para Identidade.
Passos seguintes
Conforme necessário para incidentes em processo, continue a investigação.
Consulte também
- Descrição geral dos incidentes
- Priorizar incidentes
- Gerir incidentes
- descrição geral do Microsoft Defender XDR
- Ativar Microsoft Defender XDR
- Página entidade do dispositivo no Microsoft Defender
- Página de entidade de endereço IP no Microsoft Defender
- Microsoft Defender XDR integração com Microsoft Sentinel
- Ligar o Microsoft Sentinel ao Microsoft Defender XDR
Sugestão
Quer saber mais? Interaja com a comunidade do Microsoft Security na nossa Tech Community: Microsoft Defender XDR Tech Community.