Share via

Melhores práticas para o Microsoft Sentinel

  • Artigo

Esta coleção de melhores práticas fornece orientações para utilizar ao implementar, gerir e utilizar o Microsoft Sentinel, incluindo ligações para outros artigos para obter mais informações.

Importante

Antes de implementar o Microsoft Sentinel, reveja e conclua as atividades e pré-requisitos de pré-implementação.

Referências de melhores práticas

A documentação do Microsoft Sentinel tem orientações de melhores práticas espalhadas pelos nossos artigos. Para além do conteúdo fornecido neste artigo, consulte o seguinte para obter mais informações:

Para obter mais informações, veja também o nosso vídeo: Architecting SecOps for Success: Best Practices for Deploying Microsoft Sentinel (Arquitetar SecOps para o Sucesso: Melhores Práticas para Implementar o Microsoft Sentinel)

Atividades soc regulares a realizar

Agende regularmente as seguintes atividades do Microsoft Sentinel para garantir melhores práticas de segurança contínuas:

Tarefas diárias

Tarefas semanais

  • Revisão de conteúdo de soluções ou conteúdo autónomo. Obtenha quaisquer atualizações de conteúdo para as suas soluções instaladas ou conteúdo autónomo a partir do Hub de conteúdos. Reveja novas soluções ou conteúdos autónomos que possam ser de valor para o seu ambiente, como regras de análise, livros, consultas de investigação ou manuais de procedimentos.

  • Auditoria do Microsoft Sentinel. Reveja a atividade do Microsoft Sentinel para ver quem atualizou ou eliminou recursos, tais como regras de análise, marcadores, entre outros. Para obter mais informações, veja Auditar consultas e atividades do Microsoft Sentinel.

Tarefas mensais

Integrar nos serviços de segurança da Microsoft

O Microsoft Sentinel é capacitado pelos componentes que enviam dados para a sua área de trabalho e torna-se mais forte através de integrações com outros serviços Microsoft. Quaisquer registos ingeridos em produtos como Microsoft Defender for Cloud Apps, Microsoft Defender para Endpoint e Microsoft Defender para Identidade permitem que estes serviços criem deteções e, por sua vez, fornecem essas deteções para o Microsoft Sentinel. Os registos também podem ser ingeridos diretamente no Microsoft Sentinel para fornecer uma imagem mais completa para eventos e incidentes.

Por exemplo, a imagem seguinte mostra como o Microsoft Sentinel ingere dados de outros serviços Microsoft e plataformas multi cloud e parceiros para fornecer cobertura para o seu ambiente:

Integração do Microsoft Sentinel noutros serviços da Microsoft e parceiros

Mais do que ingerir alertas e registos de outras origens, o Microsoft Sentinel também:

  • Utiliza as informações ingeridas com machine learning que permitem uma melhor correlação de eventos, agregação de alertas, deteção de anomalias e muito mais.
  • Cria e apresenta elementos visuais interativos através de livros, mostrando tendências, informações relacionadas e dados-chave utilizados para tarefas de administrador e investigações.
  • Executa manuais de procedimentos para atuar em alertas, recolher informações, realizar ações em itens e enviar notificações para várias plataformas.
  • Integra-se em plataformas de parceiros, como o ServiceNow e o Jira, para fornecer serviços essenciais para as equipas SOC.
  • Ingere e obtém feeds de melhoramento de plataformas de inteligência sobre ameaças para trazer dados valiosos para investigação.

Gerir e responder a incidentes

A imagem seguinte mostra os passos recomendados num processo de resposta e gestão de incidentes.

Processo de gestão de incidentes: Triagem. Preparação. Remediação. A eliminação. Publicar atividades de incidentes.

As secções seguintes fornecem descrições de alto nível sobre como utilizar as funcionalidades do Microsoft Sentinel para a gestão de incidentes e a resposta ao longo do processo. Para obter mais informações, consulte Tutorial: Investigar incidentes com o Microsoft Sentinel.

Utilizar a página Incidentes e o gráfico Investigação

Inicie qualquer processo de triagem para novos incidentes na página Incidentes do Microsoft Sentinel no Microsoft Sentinel e no Gráfico de Investigação.

Descubra entidades-chave, como contas, URLs, endereço IP, nomes de anfitriões, atividades, linha cronológica e muito mais. Utilize estes dados para compreender se tem um falso positivo à mão, caso em que pode fechar o incidente diretamente.

Todos os incidentes gerados são apresentados na página Incidentes , que serve como a localização central para a triagem e investigação antecipada. A página Incidentes lista o título, a gravidade e os alertas, registos e quaisquer entidades de interesse relacionadas. Os incidentes também fornecem um salto rápido para os registos recolhidos e quaisquer ferramentas relacionadas com o incidente.

A página Incidentes funciona em conjunto com o gráfico Investigação, uma ferramenta interativa que permite aos utilizadores explorar e aprofundar um alerta para mostrar o âmbito completo de um ataque. Em seguida, os utilizadores podem construir uma linha cronológica de eventos e descobrir a extensão de uma cadeia de ameaças.

Se descobrir que o incidente é um verdadeiro positivo, tome medidas diretamente a partir da página Incidentes para investigar registos, entidades e explorar a cadeia de ameaças. Depois de identificar a ameaça e criar um plano de ação, utilize outras ferramentas no Microsoft Sentinel e noutros serviços de segurança da Microsoft para continuar a investigar.

Lidar com incidentes com livros

Além de visualizar e apresentar informações e tendências, os livros do Microsoft Sentinel são ferramentas de investigação valiosas.

Por exemplo, utilize o livro Informações de Investigação para investigar incidentes específicos juntamente com quaisquer entidades e alertas associados. Este livro permite-lhe aprofundar as entidades ao mostrar registos, ações e alertas relacionados.

Lidar com incidentes com a investigação de ameaças

Ao investigar e procurar causas fundamentais, execute consultas de investigação de ameaças incorporadas e verifique os resultados de quaisquer indicadores de compromisso.

Durante uma investigação, ou depois de ter tomado medidas para remediar e erradicar a ameaça, utilize livestream para monitorizar, em tempo real, se existem eventos maliciosos persistentes ou se os eventos maliciosos continuam.

Lidar com incidentes com o comportamento da entidade

O comportamento da entidade no Microsoft Sentinel permite que os utilizadores analisem e investiguem ações e alertas de entidades específicas, como investigar contas e nomes de anfitriões. Para obter mais informações, consulte:

Lidar com incidentes com listas de observação e informações sobre ameaças

Para maximizar as deteções baseadas em informações sobre ameaças, certifique-se de que utiliza conectores de dados de informações sobre ameaças para ingerir indicadores de compromisso:

Utilize indicadores de comprometimento nas regras de análise, ao investigar ameaças, investigar registos ou gerar mais incidentes.

Utilize uma lista de observação que combine dados de dados ingeridos e origens externas, como dados de melhoramento. Por exemplo, crie listas de intervalos de endereços IP utilizados pela sua organização ou funcionários recentemente terminados. Utilize listas de observação com manuais de procedimentos para recolher dados de melhoramento, como adicionar endereços IP maliciosos a listas de observação a utilizar durante a deteção, investigação de ameaças e investigações.

Durante um incidente, utilize listas de observação para conter dados de investigação e, em seguida, elimine-os quando a investigação estiver concluída para garantir que os dados confidenciais não permanecem em vista.

Passos seguintes

Para começar a utilizar o Microsoft Sentinel, consulte: