Tutorial: Configurar políticas de inteligência de ameaças

A Microsoft define ameaças de alta gravidade como domínios ou URLs associados a ameaças como distribuição ativa de malware, campanhas de phishing e infraestrutura de comando e controlo (C2). Os feeds de inteligência de ameaças da Microsoft e não da Microsoft identificam estas ameaças com elevada confiança. Ao configurar a inteligência de ameaças, pode bloquear automaticamente estes destinos web maliciosos conhecidos.

Neste tutorial, aprenderás como:

  • Criar uma política de inteligência de ameaças para bloquear sites maliciosos conhecidos.
  • Configure uma lista de permissão para falsos positivos ou sites críticos para o negócio.
  • Associe uma política de inteligência de ameaças a um perfil de segurança.
  • Verifique a aplicação da política de utilizador.

Conceitos-chave

O que é inteligência sobre ameaças?

A inteligência de ameaças são dados selecionados sobre domínios maliciosos conhecidos, URLs e endereços IP. Esta lista é continuamente atualizada à medida que a Microsoft agrega inteligência de múltiplas fontes, como nos exemplos da tabela seguinte.

Fonte Descrição
Inteligência sobre Ameaças do Microsoft Defender Dados de produtos de segurança da Microsoft que protegem milhares de milhões de endpoints.
Microsoft Security Research Resultados das equipas dedicadas à investigação de ameaças da Microsoft.
Feeds não-Microsoft Inteligência de fornecedores de segurança e CERTs de confiança.
Inteligência comunitária Indicadores partilhados pela comunidade global de segurança.

Aqui estão alguns exemplos de ameaças que são bloqueadas. Para a lista completa, consulte Tipos de ameaças de inteligência de acesso Global Seguro.

  • MaliciousUrl: URLs que servem malware.
  • Phishing: Indicadores relacionados com uma campanha de phishing.
  • C2: Nó de comando e controlo de uma botnet.
  • Malware: Indicadores que descrevem um ficheiro ou ficheiros maliciosos.
  • Criptominagem: Tráfego que envolve mineração de criptomoedas ou abuso de recursos.

Como a inteligência de ameaças difere da filtragem de conteúdos web

  • A filtragem de conteúdos web bloqueia por categoria (como jogos de azar ou conteúdos para adultos).
  • A inteligência sobre ameaças bloqueia agentes mal-intencionados conhecidos independentemente da categoria.
  • Um site de notícias legítimo que foi comprometido é bloqueado por inteligência de ameaças, não por filtragem de conteúdos web.
  • Se a inspeção da Segurança da Camada de Transporte (TLS) não estiver ativada, a inteligência de ameaças não pode proteger contra URLs maliciosas. Os restantes tipos de deteção continuam a ser detetados e bloqueados.

Objetivo

Neste tutorial, cria uma política de inteligência de ameaças para bloquear sites maliciosos conhecidos. Opcionalmente, pode configurar uma lista de permissões para falsos positivos ou websites críticos para o negócio. Depois liga a política a um perfil de segurança e verifica a aplicação da política do utilizador.

Vídeos de exemplo de tutoriais

O vídeo seguinte demonstra como configurar uma política de inteligência de ameaças.

O vídeo seguinte demonstra como testar uma política de inteligência de ameaças.

Passo 1: Criar uma política de inteligência de ameaças

  1. A partir do centro de administração do Microsoft Entra, navegue para Global Secure Access>Segurança>Políticas de inteligência contra ameaças.

  2. Selecione Criar política.

  3. Introduza um nome e uma descrição para a apólice, e depois selecione Próximo.

  4. Mantém Ação Padrão como Permitir.

    Observação

    A ação padrão para inteligência de ameaças é Permitir. Se o tráfego não corresponder a uma regra da política de inteligência de ameaças (ou seja, não for detetada ameaça), o motor de políticas permite o tráfego. Outro tipo de política pode ainda avaliar e bloquear o tráfego, como o filtro de conteúdos web.

  5. Selecione Próximo e reveja a sua nova política de inteligência sobre ameaças.

  6. Selecione Criar.

Passo 2: Configure a sua lista de permissões (opcional)

Se tiver conhecimento de sites que possam ser críticos para o negócio ou que estejam rotulados como falsos positivos, pode configurar regras que permitam esses sites.

Advertência

Ignorar um domínio da inteligência de ameaças é arriscado. Só o faça se tiver a certeza de que o destino é seguro.

  1. Nas políticas de Acesso Seguro Global>Inteligência de Ameaças>, selecione a política de inteligência de ameaças desejada.

  2. Selecione Regras.

  3. Selecione Adicionar regra.

  4. Insira um nome, uma descrição, uma prioridade e um status para a regra.

  5. Edite FQDNs de Destino e selecione a lista de domínios para a sua lista de permissões.

    Pode inserir estes nomes de domínio totalmente qualificados (FQDNs) como domínios separados por vírgulas.

  6. Selecione Adicionar.

  1. Navegue até Acesso Seguro Global>Seguro>Perfis de Segurança.
  2. Selecione o perfil de segurança que criou no tutorial de inspeção TLS.
  3. Vai ao painel de políticas de Link .
  4. Selecione Ligar uma política e depois selecionar Política de inteligência de ameaças existente.
  5. Selecione a política de inteligência de ameaças que criou e depois selecione Adicionar.

Verifique se o perfil de segurança está atribuído a uma política Microsoft Entra Conditional Access.

Passo 4: Verificar a aplicação da política

Observação

Depois de configurar uma política de inteligência de ameaças, pode ser necessário limpar a cache do navegador para verificar a aplicação da política.

  1. Para testar, visite um dos seguintes sites:

    • entratestthreat.com
    • smartscreentestratings2.net

    Os exemplos anteriores são locais de teste para validar se as políticas de segurança funcionam. São benignos e seguros de usar.

  2. Verifique se o acesso ao site está bloqueado. Expanda mais informações e verifique se o tipo de ameaça é MaliciousUrl.

    Captura de ecrã que mostra a página do bloco de inteligência de ameaças que indica o tipo de ameaça como MaliciousUrl.

  3. Também pode consultar os registos de tráfego e rever o campo Tipo de Ameaça .

Se o Windows Defender ou SmartScreen o bloquear, ignore e acesse ao site para testar a mensagem de bloqueio do Global Secure Access. Para fazer este passo, em Mais Informações, selecione Continuar para o site inseguro (não recomendado). Realize esta etapa apenas num laboratório ou ambiente de prova de conceito, não em produção.

O que aprendeu

Neste tutorial, realizou as seguintes tarefas:

  • Proteção automática contra ameaças ativada: Descobriu que a sua organização está agora protegida contra milhares de sites maliciosos conhecidos sem necessidade de manter manualmente listas de bloqueio. A Microsoft atualiza continuamente esta lista de ameaças com base nos seus sinais de inteligência.
  • Compreendia o modelo de "permitir por padrão": Aprendeu que as políticas de inteligência de ameaças só bloqueiam o tráfego que corresponde a uma ameaça conhecida. Outras políticas avaliam todo o tráfego restante que passa.
  • Regras de exceção configuradas: Aprendeste a contornar domínios específicos se necessário por razões de negócio, embora devas fazer este passo com moderação.
  • Classificação do tipo de ameaça observada: Descobriste que a página de bloqueio mostra o tipo específico de ameaça, como MaliciousUrlphishing e C2. Esta informação ajuda-o a perceber porque é que o tráfego foi bloqueado.

Estratégia de defesa em profundidade

┌─────────────────────────────────────────────────────────┐
│                 Security layers                         │
├─────────────────────────────────────────────────────────┤
│ Layer 1: Web content filtering                          │
│   • Blocks unwanted categories like gambling or adult.  │
├─────────────────────────────────────────────────────────┤
│ Layer 2: Threat intelligence                            │
│   • Blocks known malicious destinations.                │
├─────────────────────────────────────────────────────────┤
│ Layer 3: Content policies                               │
│   • Prevents data exfiltration via file uploads.        │
├─────────────────────────────────────────────────────────┤
│ Layer 4: Microsoft Defender for Endpoint                │
│   • Is the last line of defense on the endpoint.        │
└─────────────────────────────────────────────────────────┘

Porquê múltiplas camadas?

  • A inteligência sobre ameaças é reativa. Só sabe das ameaças que foram descobertas.
  • Novos sites de malware e phishing são criados constantemente.
  • Cada camada apanha ameaças que as outras podem ignorar.

Próximo passo

Configurar descoberta de aplicações

  • Last updated on