Compartilhar via

Configurar a interrupção automática de ataques no Microsoft Defender XDR

  • Artigo

Microsoft Defender XDR inclui poderosas capacidades de interrupção automatizada de ataques que podem proteger o seu ambiente de ataques sofisticados e de alto impacto.

Este artigo descreve como configurar as capacidades de interrupção automática de ataques no Microsoft Defender XDR. Depois de configurar tudo, pode ver e gerir ações de contenção em Incidentes e no Centro de Ação. Se necessário, pode efetuar alterações às definições.

Pré-requisitos

Seguem-se os pré-requisitos para configurar a interrupção automática de ataques no Microsoft Defender XDR:

Requisito Detalhes
Requisitos de assinatura Uma destas subscrições:
  • Microsoft 365 E5 ou A5
  • Microsoft 365 E3 com o suplemento Microsoft 365 E5 Security
  • Microsoft 365 E3 com o suplemento Enterprise Mobility + Security E5
  • Microsoft 365 A3 com o suplemento segurança do Microsoft 365 A5
  • Windows 10 Enterprise E5 ou A5
  • Windows 11 Enterprise E5 ou A5
  • Enterprise Mobility + Security (EMS) E5 ou A5
  • Office 365 E5 ou A5
  • Microsoft Defender para Ponto de Extremidade (Plano 2)
  • Microsoft Defender para Identidade?
  • Microsoft Defender for Cloud Apps
  • Microsoft Defender para Office 365 (Plano 2)
  • Microsoft Defender para Empresas

Veja Microsoft Defender XDR requisitos de licenciamento.
Requisitos de implementação
  • Implementação em produtos Defender (por exemplo, Defender para Endpoint, Defender para Office 365, Defender para Identidade e Defender para Aplicativos de Nuvem)
    • Quanto maior for a implementação, maior será a cobertura de proteção. Por exemplo, se for utilizado um sinal de Microsoft Defender para Aplicativos de Nuvem numa determinada deteção, este produto é necessário para detetar o cenário de ataque específico relevante.
    • Da mesma forma, o produto relevante deve ser implementado para executar uma ação de resposta automatizada. Por exemplo, Microsoft Defender para Ponto de Extremidade é necessário para conter automaticamente um dispositivo.
  • A deteção de dispositivos do Microsoft Defender para Ponto de Extremidade está definida como "deteção padrão" (pré-requisito para a iniciação automática da ação "Conter Dispositivo")
Permissões Para configurar as capacidades de interrupção automática de ataques, tem de ter uma das seguintes funções atribuídas Microsoft Entra ID (https://portal.azure.com) ou no Centro de administração do Microsoft 365 (https://admin.microsoft.com):
  • Administrador global
  • Administrador de segurança
Para trabalhar com capacidades de investigação e resposta automatizadas, como ao rever, aprovar ou rejeitar ações pendentes, veja Permissões necessárias para tarefas do Centro de ação.

pré-requisitos do Microsoft Defender para Ponto de Extremidade

Versão mínima do Cliente Sense (cliente MDPE)

A versão mínima do Agente de Sensor necessária para que a ação Conter Utilizador funcione é v10.8470. Pode identificar a versão do Agente do Sense num dispositivo ao executar o seguinte comando do PowerShell:

Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Advanced Threat Protection' -Name "InstallLocation"

Definição de automatização para os dispositivos da sua organização

Reveja o nível de automatização configurado para as políticas do grupo de dispositivos, se as investigações automatizadas são executadas e se as ações de remediação são executadas automaticamente ou apenas após a aprovação dos seus dispositivos dependem de determinadas definições. Tem de ser um administrador global ou administrador de segurança para efetuar o seguinte procedimento:

  1. Aceda ao portal Microsoft Defender (https://security.microsoft.com) e inicie sessão.

  2. Aceda aDefiniçõesdo Sistema>Pontos Finais>Grupos de dispositivos> em Permissões.

  3. Reveja as políticas do grupo de dispositivos e veja a coluna Nível de remediação . Recomendamos que utilize As ameaças completas são remediadas automaticamente.

Também pode criar ou editar os grupos de dispositivos para definir o nível de remediação adequado para cada grupo. Selecionar o nível De automatização semi permite acionar a interrupção automática do ataque sem a necessidade de aprovação manual. Para excluir um grupo de dispositivos da contenção automatizada, pode definir o respetivo nível de automatização para nenhuma resposta automatizada. Tenha em atenção que esta definição não é altamente recomendada e só deve ser efetuada para um número limitado de dispositivos.

Configuração da deteção de dispositivos

As definições de deteção de dispositivos têm de ser ativadas para "Standard Deteção" no mínimo. Saiba como configurar a deteção de dispositivos em Configurar a deteção de dispositivos.

Observação

A interrupção do ataque pode atuar em dispositivos independentemente do estado operacional Microsoft Defender Antivírus de um dispositivo. O estado operacional pode estar no Modo de Bloqueio Ativo, Passivo ou EDR.

Pré-requisitos do Microsoft Defender para Identidade

Configurar a auditoria em controladores de domínio

Saiba como configurar a auditoria em controladores de domínio em Configurar políticas de auditoria para registos de eventos do Windows para garantir que os eventos de auditoria necessários são configurados nos controladores de domínio onde o sensor do Defender para Identidade está implementado.

Validar contas de ação

O Defender para Identidade permite-lhe realizar ações de remediação direcionadas Active Directory local contas caso uma identidade seja comprometida. Para efetuar estas ações, o Defender para Identidade tem de ter as permissões necessárias para o fazer. Por predefinição, o sensor do Defender para Identidade representa a conta localSystem do controlador de domínio e executa as ações. Uma vez que a predefinição pode ser alterada, confirme que o Defender para Identidade tem as permissões necessárias ou utiliza a conta localSystem predefinida.

Pode encontrar mais informações sobre as contas de ação em Configurar contas de ação Microsoft Defender para Identidade

O sensor do Defender para Identidade tem de ser implementado no controlador de domínio onde a conta do Active Directory deve ser desativada.

Observação

Se tiver automatização implementada para ativar ou bloquear um utilizador, marcar se a automatização pode interferir com a interrupção. Por exemplo, se existir uma automatização em vigor para marcar regularmente e impor que todos os funcionários ativos tenham ativado contas, isto poderá ativar involuntariamente contas que foram desativadas por interrupção do ataque enquanto um ataque é detetado.

pré-requisitos do Microsoft Defender para Aplicativos de Nuvem

conector Microsoft Office 365

Microsoft Defender para Aplicativos de Nuvem tem de estar ligado a Microsoft Office 365 através do conector. Para ligar Defender para Aplicativos de Nuvem, consulte Ligar o Microsoft 365 ao Microsoft Defender para Aplicativos de Nuvem.

Governação de Aplicações

A Governação de Aplicações tem de estar ativada. Veja a documentação de governação de aplicações para ativá-la.

pré-requisitos do Microsoft Defender para Office 365

Localização das caixas de correio

As caixas de correio têm de ser alojadas no Exchange Online.

Registro em log de auditoria da caixa de correio

Os seguintes eventos de caixa de correio têm de ser auditados no mínimo:

  • MailItemsAccessed
  • UpdateInboxRules
  • MoveToDeletedItems
  • SoftDelete
  • HardDelete

Reveja gerir a auditoria de caixas de correio para saber mais sobre a gestão da auditoria de caixas de correio.

Próximas etapas

Conteúdo relacionado

Dica

Você deseja aprender mais? Participe da comunidade de Segurança da Microsoft em nossa Tech Community: Tech Community do Microsoft Defender XDR.