Otimizar as operações de segurança

As equipas do Centro de Operações de Segurança (SOC) procuram formas de melhorar os processos e os resultados e garantir que tem os dados necessários para lidar com riscos sem custos adicionais de ingestão. As equipes de SOC querem garantir que você tenha todos os dados necessários para agir diante dos riscos, sem pagar por mais dados do que o necessário. Ao mesmo tempo, as equipas do SOC também têm de ajustar os controlos de segurança à medida que as ameaças e as prioridades empresariais mudam, fazendo-o de forma rápida e eficiente para maximizar o seu retorno sobre o investimento.

As otimizações do SOC são recomendações acionáveis que destacam maneiras de otimizar seus controles de segurança, permitindo extrair mais valor dos serviços de segurança da Microsoft com o tempo. As recomendações ajudam-no a reduzir os custos sem afetar as necessidades ou a cobertura do SOC e podem ajudá-lo a adicionar controlos de segurança e dados sempre que necessário. Estas otimizações são adaptadas ao seu ambiente e com base na cobertura atual e no panorama das ameaças.

Use recomendações de otimização do SOC para ajudar a fechar lacunas de cobertura contra ameaças específicas e reduzir as taxas de ingestão de dados que não oferecem valor para a segurança. As otimizações do SOC ajudam-no a otimizar a sua área de trabalho Microsoft Sentinel, sem que as suas equipas soc despendam tempo em análises e pesquisas manuais.

Veja o vídeo seguinte para obter uma descrição geral e demonstração da otimização do SOC no portal do Microsoft Defender. Se quiser apenas uma demonstração, avance para o minuto 8:14.

Pré-requisitos

Antes de usar a otimização SOC, verifique se os seguintes pré-requisitos estão em vigor:

• A otimização do SOC utiliza funções e permissões padrão do Microsoft Sentinel. Para obter mais informações, veja Funções e permissões no Microsoft Sentinel.

• Para utilizar a otimização do SOC no portal do Defender, integre Microsoft Sentinel no portal do Defender. Para obter mais informações, veja Ligar Microsoft Sentinel ao portal do Microsoft Defender.

Aceder à página de otimização do SOC

Escolha as instruções para o portal – portal Microsoft Defender ou portal Azure. Quando a área de trabalho está integrada no portal do Defender, as otimizações do SOC incluem cobertura de todos os serviços de segurança da Microsoft.

Entender as métricas de visão geral da otimização do SOC

As métricas de otimização apresentadas na parte superior do separador Descrição geral dão-lhe uma compreensão detalhada da eficiência com que está a utilizar os seus dados e irão mudar ao longo do tempo à medida que implementa recomendações.

As métricas suportadas na parte superior do separador Descrição geral incluem:

Ver e gerir recomendações de otimização

Use as exibições a seguir para localizar e examinar as recomendações de otimização do SOC em cada portal.

As recomendações de otimização do SOC são calculadas a cada 24 horas. Cada card de otimização inclui o status, o título, a data em que foi criado, uma descrição de alto nível e a área de trabalho a que se aplica.

Otimizações de filtros

Filtre as otimizações com base no tipo de otimização ou procure um título de otimização específico com a caixa de pesquisa na parte lateral. Os tipos de otimização incluem:

• Cobertura : inclui recomendações para ajudar a fechar lacunas de cobertura contra ameaças específicas e a restringir as taxas de ingestão em relação a dados que não fornecem valor de segurança. As recomendações de cobertura incluem:
  • Recomendações baseadas em ameaças para adicionar controlos de segurança para ajudar a colmatar lacunas de cobertura para vários tipos de ataques.
  • Recomendações AI MITRE ATT&CK para adicionar recomendações de marcação e ajudar a fechar lacunas de cobertura contra vários tipos de ataques, com base na estrutura MITRE ATT&CK.
  • Recomendações baseadas em riscos para adicionar controlos de segurança para ajudar a colmatar lacunas de cobertura para vários tipos de riscos empresariais.
• Valor dos dados: inclui recomendações que sugerem formas de melhorar a utilização de dados para maximizar o valor de segurança dos dados ingeridos ou sugerir um plano de dados melhor para a sua organização.

Ver detalhes de otimização e tomar medidas

Escolha as instruções para o portal – portal Microsoft Defender ou portal Azure:

Se instalar um modelo de regra de análise a partir do Hub de conteúdos sem a solução instalada, apenas o modelo instalado é apresentado na solução.

Instale a solução completa para ver todos os itens de conteúdo disponíveis a partir da solução selecionada. Para obter mais informações, consulte Descobrir e gerenciar o conteúdo pronto para uso do Microsoft Sentinel.

Gerir otimizações

Por predefinição, os estados de otimização estão Ativos. Altere os respetivos estados à medida que as suas equipas progridem através da triagem e implementação de recomendações.

Selecione o menu de opções ou selecione Ver detalhes para efetuar uma das seguintes ações:

Ver otimizações concluídas e dispensadas

Se tiver marcado uma otimização específica como Concluída ou Dispensada ou se uma otimização for concluída automaticamente, esta será listada nos separadores Concluído e Dispensado , respetivamente.

Na guia Concluído ou Ignorado , selecione o menu de opções ou selecione Exibir detalhes completos para executar uma das seguintes ações:

• Reative a otimização, enviando-a novamente para o separador Descrição geral . As otimizações reativadas são recalculadas para fornecer o valor e a ação mais atualizados. Recálculo destes detalhes pode demorar até uma hora, por isso aguarde antes de verificar os detalhes e as ações recomendadas novamente.

  As otimizações reativadas também podem ser movidas diretamente para o separador Concluído se, após recálculo dos detalhes, estes já não forem relevantes.

• Forneça mais comentários à equipa da Microsoft. Ao partilhar os seus comentários, tenha cuidado para não partilhar quaisquer dados confidenciais. Para obter mais informações, consulte Declaração de Privacidade da Microsoft.

Fluxo de uso da otimização do SOC

O fluxo de exemplo a seguir mostra como usar otimizações do SOC no portal do Defender ou no portal do Azure:

1. Na página otimização do SOC, comece por compreender o dashboard:

   • Observe as principais métricas do status geral da otimização.
   • Reveja as recomendações de otimização do valor de dados e da cobertura baseada em ameaças.

2. Utilize as recomendações de otimização para identificar tabelas com baixa utilização, indicando que não estão a ser utilizadas para deteções. Selecione Ver detalhes completos para ver o tamanho e o custo dos dados não utilizados. Considere uma das seguintes ações:

   • Adicione regras de análise para utilizar a tabela para proteção melhorada. Para utilizar esta opção, selecione Ir para o Hub de Conteúdos para ver e configurar modelos de regras analíticas fora da caixa específicos que utilizam a tabela selecionada. No Hub de conteúdos, não precisa de procurar a regra relevante, uma vez que é direcionado diretamente para a regra relevante.

     Se novas regras analíticas exigirem fontes de log adicionais, considere ingeri-las para melhorar a cobertura contra ameaças.

     Para obter mais informações, consulte Descobrir e gerenciar o conteúdo pronto para uso do Microsoft Sentinel e Detectar ameaças prontas para uso.

   • Altere seu nível de compromisso para economizar. Para obter mais informações, veja Reduzir os custos de Microsoft Sentinel.

3. Utilize as recomendações de otimização para melhorar a cobertura contra ameaças específicas. Por exemplo, para uma operação de otimização de ransomware operado por humanos:

   1. Selecione Ver detalhes completos para ver a cobertura atual e as melhorias sugeridas.

   2. Selecione Exibir toda a melhoria de técnica do MITRE ATT&CK para fazer drill down e analisar as táticas e técnicas relevantes, ajudando você a entender a lacuna de cobertura.

   3. Selecione Ir para o Hub de conteúdos para ver todo o conteúdo de segurança recomendado, filtrado especificamente para esta otimização.

4. Depois de configurar novas regras ou efetuar alterações, marque a recomendação como concluída ou permita que o sistema atualize automaticamente.

Conteúdo relacionado

• Referência de recomendações para otimização de SOC
• Utilizar otimizações SOC através de programação
• Blogue: Otimização do SOC: desbloquear a potência da gestão de segurança condicionada por precisão