Como investigar alertas de deteção de anomalias

Microsoft Defender para Aplicativos de Nuvem fornece alertas e deteções de segurança para atividades maliciosas. O objetivo deste guia é fornecer informações gerais e práticas sobre cada alerta, para ajudar com suas tarefas de investigação e correção. Neste guia estão informações gerais sobre as condições para disparar alertas. No entanto, é importante ter em atenção que, uma vez que as deteções de anomalias não sãondeterministas por natureza, só são acionadas quando existe um comportamento que se desvia da norma. Por fim, alguns alertas podem estar em pré-visualização, por isso, reveja regularmente a documentação oficial para obter status de alertas atualizados.

Cobertura do MITRE ATT&CK para alertas de detecção de anomalias

Para explicar e facilitar o mapeamento da relação entre os alertas do Defender para Aplicativos de Nuvem e a conhecida matriz MITRE ATT&CK, categorizamos os alertas de acordo com a tática correspondente da MITRE ATT&CK. ESTE MITRE ATT& O mapeamento CK facilita a compreensão da técnica suspeita de ataque potencialmente em uso quando um alerta do Defender para Aplicativos de Nuvem é acionado.

Este guia fornece informações sobre como investigar e remediar alertas do Defender para Aplicativos de Nuvem nos seguintes ATT& Categorias de tática CK:

• Acesso inicial
• Persistência
• Elevação de Privilégio
• Acesso a credenciais
• Coleção
• Exfiltração

Classificações de alerta de segurança

Após uma investigação adequada, todos os alertas Defender para Aplicativos de Nuvem podem ser classificados como um dos seguintes tipos de atividade:

• Verdadeiro positivo (TP): alerta sobre uma atividade maliciosa confirmada.
• Verdadeiro positivo benigno (B-TP): um alerta sobre atividade suspeita, mas não maliciosa, como um teste de penetração ou outra ação suspeita autorizada.
• Falso positivo (FP): um alerta sobre uma atividade não maliciosa.

Etapas gerais de investigação

Deve utilizar as seguintes diretrizes gerais ao investigar qualquer tipo de alerta para obter uma compreensão mais clara da ameaça potencial antes de aplicar a ação recomendada.

• Se identificar um TP, reveja todas as atividades do utilizador para compreender o impacto.
• Reveja toda a atividade do utilizador para obter outros indicadores de comprometimento e explore a origem e o âmbito do impacto. Por exemplo, reveja as seguintes informações do dispositivo de utilizador e compare com as informações conhecidas do dispositivo:
  • Sistema operativo e versão
  • Browser e versão
  • Endereço IP e local

Alertas de acesso inicial: Detectar tentativas de estabelecer presença inicial

Os alertas de Acesso Inicial indicam que um ator mal-intencionado pode estar tentando estabelecer um acesso inicial à sua organização.

Atividade de um endereço IP anônimo

Descrição

Atividade de um endereço IP que tenha sido identificado como um endereço IP de proxy anônimo pelas Informações sobre ameaças da Microsoft ou pela sua organização. Estes proxies podem ser utilizados para ocultar o endereço IP de um dispositivo e podem ser utilizados para atividades maliciosas.

TP, B-TP ou FP?

A detecção anônima de proxy utiliza um algoritmo de aprendizado de máquina que reduz incidentes B-TP , como endereços IP incorretamente marcados que são amplamente usados por usuários na organização.

1. TP: se conseguir confirmar que a atividade foi efetuada a partir de um endereço IP anónimo ou TOR.

   Ação recomendada: suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. B-TP: se um utilizador for conhecido por utilizar endereços IP anónimos no âmbito das suas funções. Por exemplo, quando um analista de segurança realiza testes de segurança ou penetração em nome da organização.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

• Reveja todas as atividades e alertas do utilizador para obter outros indicadores de comprometimento. Por exemplo, se o alerta foi seguido por outro alerta suspeito, como uma transferência de ficheiro invulgar (por utilizador) ou um alerta de reencaminhamento de caixa de entrada suspeita , isso indica frequentemente que um atacante está a tentar exfiltrar dados.

Atividade de um país/região pouco frequente

Atividade de um país/região que pode indicar atividade maliciosa. Esta política cria perfis para o seu ambiente e aciona alertas quando a atividade é detetada a partir de uma localização que não foi recentemente ou nunca foi visitada por nenhum utilizador na organização.

A política pode ser confinada a um subconjunto de utilizadores ou pode excluir utilizadores conhecidos por viajar para localizações remotas.

Período de aprendizagem

A detecção de países pouco frequente exige tempo para aprender padrões normais de localização antes de poder alertar com precisão. A detecção de locais anômalos requer um período inicial de aprendizado de sete dias, durante o qual nenhum alerta é acionado para novos locais.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada por um utilizador legítimo.

   Ação recomendada:

   1. Suspenda o utilizador, reponha a palavra-passe e identifique o momento certo para reativar a conta em segurança.
   2. Opcional: crie um manual de procedimentos com o Power Automate para contactar os utilizadores detetados como estando a ligar a partir de localizações pouco frequentes e os respetivos gestores, para verificar a respetiva atividade.

2. B-TP: Se um usuário for conhecido por estar no país ou região identificado no alerta. Por exemplo, quando um utilizador viaja com frequência e está atualmente na localização especificada.

   Ação recomendada:

   1. Dispense o alerta e modifique a política para excluir o utilizador.
   2. Crie um grupo de utilizadores para viajantes frequentes, importe o grupo para Defender para Aplicativos de Nuvem e exclua os utilizadores deste alerta
   3. Opcional: crie um manual de procedimentos com o Power Automate para contactar os utilizadores detetados como estando a ligar a partir de localizações pouco frequentes e os respetivos gestores, para verificar a respetiva atividade.

Entender o escopo da violação

• Verifique qual recurso pode ter sido comprometido, como possíveis downloads de dados.

Atividade de endereços de IP suspeitos

Atividade de um endereço IP que foi identificado como arriscado pela Microsoft Threat Intelligence ou pela sua organização. Esses endereços IP foram identificados como envolvidos em atividades maliciosas, como password spray e comando e controle de botnet (C&C), e podem indicar uma conta comprometida.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada por um utilizador legítimo.

   Ação recomendada: suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. B-TP: se um utilizador for conhecido por utilizar o endereço IP no âmbito das suas funções. Por exemplo, quando um analista de segurança realiza testes de segurança ou penetração em nome da organização.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Reveja o registo de atividades e procure atividades a partir do mesmo endereço IP.
2. Reveja que recurso pode ter sido comprometido, como potenciais transferências de dados ou modificações administrativas.
3. Crie um grupo para analistas de segurança que acionem voluntariamente estes alertas e os excluam da política.

Viagem Impossível

Atividade do mesmo utilizador em localizações diferentes num período de tempo mais curto do que o tempo de deslocação esperado entre as duas localizações. No entanto, isto pode indicar uma falha de segurança de credenciais. No entanto, também é possível que a localização real do utilizador seja mascarada, por exemplo, através de uma VPN.

Para melhorar a precisão e o alerta apenas quando existe uma forte indicação de uma falha de segurança, o Defender para Aplicativos de Nuvem estabelece uma linha de base em cada utilizador na organização e irá alertar apenas quando for detetado um comportamento invulgar. A política de viagens impossível pode ser ajustada aos seus requisitos.

Período de aprendizagem

A detecção de viagens impossíveis precisa de um período inicial de observação para estabelecer padrões normais de viagem para cada usuário. Estabelecer o padrão de atividade de um novo utilizador requer um período de aprendizagem inicial de sete dias durante o qual os alertas não são acionados para novas localizações.

TP, B-TP ou FP?

A detecção de viagem impossível utiliza um algoritmo de aprendizado de máquina que ignora condições óbvias do B-TP , como quando os endereços IP em ambos os lados da viagem são considerados seguros, a viagem é confiável e está excluída de acionar a detecção de viagem impossível. Por exemplo, ambos os lados são considerados seguros se forem marcados como corporativos. No entanto, se o endereço IP de apenas um dos lados da viagem for considerado seguro, a deteção é acionada normalmente.

1. TP: Se você conseguir confirmar que é improvável que o usuário esteja no local indicado no alerta de viagem impossível.

   Ação recomendada: suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. FP (Viagens de utilizador não detetadas): se conseguir confirmar que o utilizador viajou recentemente para o destino mencionado detalhadamente no alerta. Por exemplo, se o telemóvel de um utilizador que está no modo de avião permanecer ligado a serviços como Exchange Online na sua rede empresarial enquanto viaja para uma localização diferente. Quando o utilizador chega à nova localização, o telefone liga-se a Exchange Online acionando o alerta de viagem impossível.

   Ação recomendada: ignorar o alerta.

3. FP (VPN sem tag): Se você conseguir confirmar que o intervalo de endereços IP pertence a uma VPN autorizada.

   Ação recomendada: dispense o alerta e adicione o intervalo de endereços IP da VPN para Defender para Aplicativos de Nuvem e, em seguida, utilize-o para etiquetar o intervalo de endereços IP da VPN.

Entender o escopo da violação

1. Reveja o registo de atividades para compreender atividades semelhantes na mesma localização e endereço IP.
2. Se você perceber que o usuário realizou outras atividades de risco, como baixar um grande volume de arquivos de um novo local, isso seria um forte indício de um possível comprometimento.
3. Adicione VPNs corporativas e intervalos de endereços IP.
4. Crie um manual de procedimentos com o Power Automate e contacte o gestor do utilizador para ver se o utilizador está legitimamente em viagem.
5. Considere criar um banco de dados de viajantes conhecidos para relatórios de viagens organizacionais atualizados e usá-lo para fazer referência cruzada com as atividades de viagem.

Nome enganador do aplicativo OAuth

A enganosa detecção de nomes de aplicativos OAuth identifica apps com caracteres, como letras estrangeiras, que se assemelham a letras latinas. Isto pode indicar uma tentativa de disfarçar uma aplicação maliciosa como uma aplicação conhecida e fidedigna para que os atacantes possam enganar os utilizadores para transferirem a sua aplicação maliciosa.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a aplicação tem um nome enganador.

   Ação recomendada: examine o nível de permissão solicitado por este aplicativo e quais usuários concederam acesso. Com base em sua investigação, você pode optar por proibir o acesso a este aplicativo.

Para proibir o acesso à aplicação, nos separadores Google ou Salesforce na página Governação de aplicações, na linha em que é apresentada a aplicação que pretende proibir, selecione o ícone de proibição. - Pode optar por indicar aos utilizadores que a aplicação instalada e autorizada foi proibida. A notificação permite que os utilizadores saibam que a aplicação está desativada e que não terão acesso à aplicação ligada. Se não quiser que saibam, anule a seleção de Notificar os utilizadores que concederam acesso a esta aplicação proibida na caixa de diálogo. - Recomenda-se que informe os utilizadores da aplicação de que a aplicação está prestes a ser proibida de utilizar.

1. FP: se quiser confirmar que a aplicação tem um nome enganador, mas tem uma utilização comercial legítima na organização.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

• Siga o tutorial Investigar aplicativos OAuth arriscados .

Nome enganador do editor de um aplicativo OAuth

A detecção enganosa de nomes de editoras identifica aplicativos com caracteres, como letras estrangeiras, que se assemelham a letras latinas. Isto pode indicar uma tentativa de disfarçar uma aplicação maliciosa como uma aplicação conhecida e fidedigna para que os atacantes possam enganar os utilizadores para transferirem a sua aplicação maliciosa.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a aplicação tem um nome de publicador enganador.

   Ação recomendada: examine o nível de permissão solicitado por este aplicativo e quais usuários concederam acesso. Com base em sua investigação, você pode optar por proibir o acesso a este aplicativo.

2. FP: se for confirmar que o aplicativo tem um nome de fornecedor enganoso, mas é um fornecedor legítimo.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Nas abas Google ou Salesforce da página Governança de aplicativos, selecione o aplicativo para abrir o Painel do aplicativo e, em seguida, selecione Atividade relacionada. Esta ação abre a página Registo de atividades filtrada para atividades executadas pela aplicação. Tenha em atenção que algumas aplicações executam atividades registadas como tendo sido executadas por um utilizador. Estas atividades são automaticamente filtradas dos resultados no registo de atividades. Para uma investigação mais aprofundada com o registo de atividades, veja Registo de atividades.
2. Se suspeitar que uma aplicação é suspeita, recomendamos que investigue o nome e o publicador da aplicação em diferentes lojas de aplicações. Ao verificar as lojas de aplicativos, concentre-se nos seguintes tipos de aplicativos:
   • Aplicativos com poucos downloads.
   • Aplicações com classificação baixa, pontuação ou comentários incorretos.
   • Aplicações com um publicador ou site suspeito.
   • Aplicativos que não foram atualizados recentemente. Isto pode indicar uma aplicação que já não é suportada.
   • Aplicações com permissões irrelevantes. Isto pode indicar que uma aplicação é arriscada.
3. Se ainda suspeitar que uma aplicação é suspeita, pode pesquisar o nome da aplicação, o publicador e o URL online.

Alertas de persistência: detectar tentativas de manter uma base

Os alertas de persistência indicam que um ator mal-intencionado pode estar tentando manter sua posição em sua organização.

Atividade realizada por usuário encerrado

A atividade realizada por um utilizador terminado pode indicar que um funcionário terminado que ainda tem acesso aos recursos da empresa está a tentar realizar uma atividade maliciosa. O Defender para Aplicativos de Nuvem cria perfis de usuários na organização e aciona um alerta quando um usuário desligado realiza uma atividade.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que o utilizador terminado ainda tem acesso a determinados recursos empresariais e está a realizar atividades.

   Ação recomendada: desative o utilizador.

2. B-TP: se conseguir determinar que o utilizador foi temporariamente desativado ou foi eliminado e novamente registado.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Cruze os registros de RH para confirmar que o usuário foi desligado.

2. Valide a existência da conta de utilizador Microsoft Entra.

   Observação

   Se estiver a utilizar o Microsoft Entra Connect, valide o objeto Active Directory local e confirme um ciclo de sincronização com êxito.

3. Identifique todas as aplicações às quais o utilizador terminado teve acesso e desativar as contas.

4. Atualizar procedimentos de desativação.

Atividade de eliminação de e-mail suspeita (por utilizador)

Atividades numa única sessão que indicam que um utilizador efetuou eliminações de e-mail suspeitas. O tipo de eliminação era o tipo de "eliminação dura", que elimina o item de e-mail e não está disponível na caixa de correio do utilizador. A eliminação foi efetuada a partir de uma ligação que inclui preferências invulgares, como ISP, país/região e agente de utilizador. Isto pode indicar uma tentativa de violação da sua organização, como atacantes que tentam mascarar as operações ao eliminar e-mails relacionados com atividades de spam.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada por um utilizador legítimo.

   Ação recomendada: suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. FP: Se conseguir confirmar que o utilizador criou legitimamente uma regra para eliminar mensagens.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

• Revise toda a atividade do usuário em busca de outros indicadores de comprometimento, como o alerta de Encaminhamento suspeito da caixa de entrada seguido por um alerta de Viagem impossível. Procurar por:

  1. Novas regras de reencaminhamento SMTP, da seguinte forma:
     • Verifique se há nomes de regras de encaminhamento maliciosas. Os nomes das regras podem variar de nomes simples, como "Encaminhar todos os e-mails" e "Encaminhar automaticamente", a nomes enganosos, como um "." quase invisível. Os nomes das regras de reencaminhamento podem até estar vazios e o destinatário do reencaminhamento pode ser uma única conta de e-mail ou uma lista inteira. As regras maliciosas também podem ser ocultadas da interface de utilizador. Depois de detectado, você pode aprender a excluir regras de caixa de entrada ocultas corrompidas de uma caixa de correio usando MFCMAPI.
     • Se detetar uma regra de reencaminhamento não reconhecida para um endereço de e-mail interno ou externo desconhecido, pode assumir que a conta da caixa de entrada foi comprometida.
  2. Novas regras de caixa de entrada, como "eliminar tudo", "mover mensagens para outra pasta" ou aquelas com convenções de nomenclatura obscuras, por exemplo "...".
  3. Um aumento nos e-mails enviados.

Regra suspeita de manipulação da caixa de entrada

Atividades indicando que um invasor obteve acesso à caixa de entrada de um usuário e criou uma regra suspeita. As regras de manipulação, como eliminar ou mover mensagens ou pastas da caixa de entrada de um utilizador, podem ser uma tentativa de exfiltrar informações da sua organização. Da mesma forma, podem indicar uma tentativa de manipular informações que um utilizador vê ou para utilizar a respetiva caixa de entrada para distribuir spam, e-mails de phishing ou software maligno. Defender para Aplicativos de Nuvem cria perfis no seu ambiente e aciona alertas quando são detetadas regras suspeitas de manipulação de caixa de entrada na caixa de entrada de um utilizador. Detectar regras suspeitas de manipulação da caixa de entrada pode indicar que a conta do usuário está comprometida.

TP, B-TP ou FP?

1. TP: se puder confirmar que uma regra de caixa de entrada maliciosa foi criada e a conta foi comprometida.

   Ação recomendada: suspenda o utilizador, reponha a palavra-passe e remova a regra de reencaminhamento.

2. FP: Se conseguir confirmar que um utilizador criou legitimamente a regra.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Revise toda a atividade do usuário em busca de outros indicadores de comprometimento, como o alerta de Encaminhamento suspeito da caixa de entrada seguido por um alerta de Viagem impossível. Procure por:
   • Novas regras de reencaminhamento SMTP.
   • Novas regras de caixa de entrada, como "eliminar tudo", "mover mensagens para outra pasta" ou aquelas com convenções de nomenclatura obscuras, por exemplo "...".
2. Colete o endereço IP e as informações de localização para a ação.
3. Reveja as atividades executadas a partir do endereço IP utilizado para criar a regra para detetar outros utilizadores comprometidos.

Alertas de escalonamento de privilégios: detectar tentativas de obter permissões de nível superior

Os alertas de Escalonamento de Privilégios indicam que um ator mal-intencionado pode estar tentando obter permissões de nível superior em sua organização.

Atividade administrativa invulgar (por utilizador)

Atividades que indicam que um atacante comprometeu uma conta de utilizador e efetuou ações administrativas que não são comuns a esse utilizador. Por exemplo, um atacante pode tentar alterar uma definição de segurança para um utilizador, uma operação relativamente rara para um utilizador comum. Defender para Aplicativos de Nuvem cria uma linha de base com base no comportamento do utilizador e aciona um alerta quando é detetado um comportamento invulgar.

Período de aprendizagem

A detecção requer um período inicial de aprendizado de sete dias para estabelecer o padrão de atividade de um novo usuário. Durante esse período, alertas não são acionados para novos locais.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada por um administrador legítimo.

   Ação recomendada: suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. FP: Se conseguir confirmar que um administrador executou legitimamente o volume invulgar de atividades administrativas.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Reveja toda a atividade do utilizador para obter outros indicadores de comprometimento, como Reencaminhamento de caixa de entrada suspeito ou Viagem Impossível.
2. Reveja outras alterações de configuração, como criar uma conta de utilizador que possa ser utilizada para persistência.

Alertas de acesso à credencial: detectar tentativas de roubar credenciais de conta

Os alertas do Acesso à Credencial indicam que um ator mal-intencionado pode estar tentando roubar nomes de conta e senhas de sua organização.

Múltiplas tentativas de login malsucedidas

Tentativas de login malsucedidas podem indicar uma tentativa de invadir uma conta. No entanto, tentativas de login com falha também podem ser normais. Por exemplo, quando um utilizador introduziu uma palavra-passe errada por engano. Para obter precisão e alerta apenas quando houver uma forte indicação de uma tentativa de falha de segurança, Defender para Aplicativos de Nuvem estabelece uma linha de base de hábitos de início de sessão para cada utilizador na organização e apenas alertará quando for detetado um comportamento invulgar.

Período de aprendizagem

A detecção de múltiplas tentativas de login falhadas precisa de tempo para aprender o comportamento normal de login de cada usuário antes de poder alertar com precisão. Estabelecer o padrão de atividade de um novo utilizador requer um período de aprendizagem inicial de sete dias durante o qual os alertas não são acionados para novas localizações.

TP, B-TP ou FP?

A política de múltiplas tentativas de login falhadas é baseada em aprender o comportamento normal de login de um usuário. Quando é detetado um desvio da norma, é acionado um alerta. Se a deteção começar a ver que o mesmo comportamento continua, o alerta só é gerado uma vez.

1. TP (Falha na MFA): se conseguir confirmar que a MFA está a funcionar corretamente, pode ser um sinal de uma tentativa de ataque de força bruta.

   Ações recomendadas:

   1. Suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.
   2. Localize a aplicação que efetuou as autenticações falhadas e reconfigure-a.
   3. Verifique se há outros usuários conectados por volta do horário da atividade, pois eles também podem ter sido comprometidos. Suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. B-TP (falha de MFA): se puder confirmar que o alerta é causado por um problema com o MFA.

   Ação recomendada: crie um manual usando o Power Automate para entrar em contato com o usuário e verificar se ele está tendo problemas com a MFA.

3. B-TP (aplicação configurada incorretamente): se conseguir confirmar que uma aplicação configurada incorretamente está a tentar ligar-se a um serviço várias vezes com credenciais expiradas.

   Ação recomendada: ignorar o alerta.

4. B-TP (Senha alterada): Se você conseguir confirmar que um usuário alterou recentemente a senha, mas isso não afetou as credenciais nos compartilhamentos de rede.

   Ação recomendada: ignorar o alerta.

5. B-TP (Teste de segurança): se conseguir confirmar que um teste de segurança ou penetração está a ser realizado por analistas de segurança em nome da organização.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Reveja toda a atividade do utilizador para obter outros indicadores de comprometimento, como o alerta, seguido de um dos seguintes alertas: Viagem Impossível, Atividade a partir de endereço IP anónimo ou Atividade de país pouco frequente.
2. Reveja as seguintes informações do dispositivo do utilizador e compare com as informações conhecidas do dispositivo:
   • Sistema operativo e versão
   • Browser e versão
   • Endereço IP e local
3. Identifique o endereço IP de origem ou a localização onde ocorreu a tentativa de autenticação.
4. Identifique se o utilizador alterou recentemente a palavra-passe e certifique-se de que todas as aplicações e dispositivos têm a palavra-passe atualizada.

Adição incomum de credenciais a um aplicativo OAuth

A adição incomum da detecção de credenciais identifica a adição suspeita de credenciais privilegiadas em um aplicativo OAuth. Isto pode indicar que um atacante comprometeu a aplicação e está a utilizá-la para atividades maliciosas.

Período de aprendizagem

Aprender o ambiente da sua organização requer um período de sete dias durante o qual poderá esperar um elevado volume de alertas.

ISP invulgar para uma aplicação OAuth

A deteção identifica uma aplicação OAuth que se liga à sua aplicação na cloud a partir de um ISP incomum para a aplicação. Um app OAuth conectado a um provedor incomum pode indicar que um atacante tentou usar um app comprometido legítimo para realizar atividades maliciosas em seus aplicativos em nuvem.

Período de aprendizagem

O período de aprendizagem para esta deteção é de 30 dias.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não era uma atividade legítima da aplicação OAuth ou que este ISP não é utilizado pela aplicação OAuth legítima.

   Ação recomendada: revogue todos os tokens de acesso da aplicação OAuth e investigue se um atacante tem acesso para gerar tokens de acesso OAuth.

2. FP: Se puder confirmar que a atividade foi efetuada legitimamente pela aplicação OAuth genuína.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Reveja as atividades realizadas pela aplicação OAuth.

2. Investigue se um atacante tem acesso para gerar tokens de acesso OAuth.

Alertas de coleta: detectar tentativas de coletar dados de sua organização

Os alertas de coleta indicam que um agente mal-intencionado pode estar tentando coletar dados relevantes para seus objetivos da sua organização.

Várias atividades de partilha de relatórios do Power BI

Atividades numa única sessão que indicam que um utilizador efetuou um número invulgar de atividades de relatórios de partilha no Power BI em comparação com a linha de base aprendida. Isto pode indicar uma tentativa de violação da sua organização.

Período de aprendizagem

Estabelecer o padrão de atividade de um novo utilizador requer um período de aprendizagem inicial de sete dias durante o qual os alertas não são acionados para novas localizações.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada por um utilizador legítimo.

   Ação recomendada: remova o acesso de partilha do Power BI. Se conseguir confirmar que a conta está comprometida, suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. FP: Se conseguir confirmar que o utilizador tinha uma justificação comercial para partilhar estes relatórios.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Reveja o registo de atividades para obter uma melhor compreensão das outras atividades realizadas pelo utilizador. Observe o endereço IP de onde eles estão conectados e os detalhes do dispositivo.
2. Entre em contato com sua equipe do Power BI ou com a equipe de Proteção de Informações para entender as diretrizes para compartilhar relatórios internamente e externamente.

Partilha suspeita de relatórios do Power BI

Atividades que indicam que um usuário compartilhou um relatório do Power BI que pode conter informações sensíveis identificadas usando processamento de linguagem natural (PLN) para analisar os metadados do relatório. O relatório foi partilhado com um endereço de e-mail externo, publicado na Web ou um snapshot foi entregue num endereço de e-mail subscrito externamente. Isto pode indicar uma tentativa de violação da sua organização.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada por um utilizador legítimo.

   Ação recomendada: remova o acesso de partilha do Power BI. Se conseguir confirmar que a conta está comprometida, suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. FP: Se conseguir confirmar que o utilizador tinha uma justificação comercial para partilhar estes relatórios.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Reveja o registo de atividades para obter uma melhor compreensão das outras atividades realizadas pelo utilizador. Observe o endereço IP de onde eles estão conectados e os detalhes do dispositivo.
2. Entre em contato com sua equipe do Power BI ou com a equipe de Proteção de Informações para entender as diretrizes para compartilhar relatórios internamente e externamente.

Atividade de usurpação de identidade incomum (pelo usuário)

Em alguns softwares, existem opções para permitir que outros utilizadores representem outros utilizadores. Por exemplo, os serviços de e-mail permitem que os utilizadores autorizem outros utilizadores a enviar e-mails em seu nome. Esta atividade é frequentemente utilizada pelos atacantes para criar e-mails de phishing numa tentativa de extrair informações sobre a sua organização. O Defender para Aplicativos de Nuvem estabelece uma linha de base com base no comportamento do usuário e gera uma atividade quando uma atividade incomum de personificação é detectada.

Período de aprendizagem

Estabelecer o padrão de atividade de um novo utilizador requer um período de aprendizagem inicial de sete dias durante o qual os alertas não são acionados para novas localizações.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada por um utilizador legítimo.

   Ação recomendada: suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. FP (Comportamento invulgar): se conseguir confirmar que o utilizador executou legitimamente as atividades invulgares ou mais atividades do que a linha de base estabelecida.

   Ação recomendada: ignorar o alerta.

3. FP: Se você conseguir confirmar que aplicativos, como o Teams, se passaram legitimamente pelo usuário.

   Ação recomendada: reveja as ações e dispense o alerta, se necessário.

Entender o escopo da violação

1. Reveja todas as atividades e alertas do utilizador para obter indicadores adicionais de comprometimento.
2. Reveja as atividades de representação para identificar potenciais atividades maliciosas.
3. Reveja a configuração de acesso delegado.

Alertas de exfiltração: detectar tentativas de roubar dados de sua organização

Os alertas de Exfiltração indicam que um ator mal-intencionado pode estar tentando roubar dados de sua organização.

Encaminhamento suspeito da caixa de entrada

Atividades indicando que um invasor obteve acesso à caixa de entrada de um usuário e criou uma regra suspeita. As regras de manipulação, como reencaminhar todos ou e-mails específicos para outra conta de e-mail, podem ser uma tentativa de exfiltrar informações da sua organização. Defender para Aplicativos de Nuvem cria perfis no seu ambiente e aciona alertas quando são detetadas regras suspeitas de manipulação de caixa de entrada na caixa de entrada de um utilizador. Isto pode indicar que a conta do utilizador está comprometida.

TP, B-TP ou FP?

1. TP: se puder confirmar que uma regra de encaminhamento de caixa de entrada maliciosa foi criada e a conta foi comprometida.

   Ação recomendada: suspenda o utilizador, reponha a palavra-passe e remova a regra de reencaminhamento.

2. FP: Se conseguir confirmar que o utilizador criou uma regra de reencaminhamento para uma conta de e-mail externa nova ou pessoal por motivos legítimos.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Revise toda a atividade do usuário em busca de indicadores adicionais de comprometimento, por exemplo, se o alerta for seguido por um alerta de Impossible Travel. Procurar por:

   1. Novas regras de reencaminhamento SMTP, da seguinte forma:
      • Verifique se há nomes de regras de encaminhamento maliciosas. Os nomes das regras podem variar de nomes simples, como "Encaminhar todos os e-mails" e "Encaminhar automaticamente", a nomes enganosos, como um "." quase invisível. Os nomes das regras de reencaminhamento podem até estar vazios e o destinatário do reencaminhamento pode ser uma única conta de e-mail ou uma lista inteira. As regras maliciosas também podem ser ocultadas da interface de utilizador. Depois de detectado, você pode aprender a excluir regras de caixa de entrada ocultas corrompidas de uma caixa de correio usando MFCMAPI.
      • Se detetar uma regra de reencaminhamento não reconhecida para um endereço de e-mail interno ou externo desconhecido, pode assumir que a conta da caixa de entrada foi comprometida.
   2. Novas regras de caixa de entrada, como "eliminar tudo", "mover mensagens para outra pasta" ou aquelas com convenções de nomenclatura obscuras, por exemplo "...".

2. Reveja as atividades executadas a partir do endereço IP utilizado para criar a regra para detetar outros utilizadores comprometidos.

3. Revise a lista de mensagens encaminhadas usando o rastreamento de mensagens do Exchange Online.

Transferência de ficheiros invulgar (por utilizador)

Atividades que indicam que um utilizador efetuou um número invulgar de transferências de ficheiros a partir de uma plataforma de armazenamento na cloud em comparação com a linha de base aprendida. Isto pode indicar uma tentativa de obter informações sobre a organização. Defender para Aplicativos de Nuvem cria uma linha de base com base no comportamento do utilizador e aciona um alerta quando é detetado um comportamento invulgar.

Período de aprendizagem

Estabelecer o padrão de atividade de um novo utilizador requer um período de aprendizagem inicial de sete dias durante o qual os alertas não são acionados para novas localizações.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada por um utilizador legítimo.

   Ação recomendada: suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. FP (Comportamento invulgar): se puder confirmar que o utilizador executou legitimamente mais atividades de transferência de ficheiros do que a linha de base estabelecida.

   Ação recomendada: ignorar o alerta.

3. FP (Sincronização de software): se conseguir confirmar que o software, como o OneDrive, foi sincronizado com uma cópia de segurança externa que causou o alerta.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Reveja as atividades de transferência e crie uma lista de ficheiros transferidos.
2. Reveja a sensibilidade dos ficheiros transferidos com o proprietário do recurso e valide o nível de acesso.

Acesso invulgar a ficheiros (por utilizador)

Atividades que indicam que um utilizador efetuou um número invulgar de acessos a ficheiros no SharePoint ou no OneDrive a ficheiros que contêm dados financeiros ou dados de rede em comparação com a linha de base aprendida. Isto pode indicar uma tentativa de obter informações sobre a organização, seja para fins financeiros ou para acesso a credenciais e movimento lateral. Defender para Aplicativos de Nuvem cria uma linha de base com base no comportamento do utilizador e aciona um alerta quando é detetado um comportamento invulgar.

Período de aprendizagem

O período de aprendizagem depende da atividade do utilizador. Geralmente, o período de aprendizagem é entre 21 e 45 dias para a maioria dos utilizadores.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada por um utilizador legítimo.

   Ação recomendada: suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. FP (Comportamento invulgar): se conseguir confirmar que o utilizador executou legitimamente mais atividades de acesso a ficheiros do que a linha de base estabelecida.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Reveja as atividades de acesso e crie uma lista de ficheiros acedidos.
2. Reveja a sensibilidade dos ficheiros acedidos com o proprietário do recurso e valide o nível de acesso.

Atividade de partilha de ficheiros invulgar (por utilizador)

Atividades que indicam que um utilizador efetuou um número invulgar de ações de partilha de ficheiros a partir de uma plataforma de armazenamento na cloud em comparação com a linha de base aprendida. Isto pode indicar uma tentativa de obter informações sobre a organização. Defender para Aplicativos de Nuvem cria uma linha de base com base no comportamento do utilizador e aciona um alerta quando é detetado um comportamento invulgar.

Período de aprendizagem

Estabelecer o padrão de atividade de um novo utilizador requer um período de aprendizagem inicial de sete dias durante o qual os alertas não são acionados para novas localizações.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada por um utilizador legítimo.

   Ação recomendada: suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. FP (Comportamento invulgar): se conseguir confirmar que o utilizador executou legitimamente mais atividades de partilha de ficheiros do que a linha de base estabelecida.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Reveja as atividades de partilha e crie uma lista de ficheiros partilhados.
2. Reveja a confidencialidade dos ficheiros partilhados com o proprietário do recurso e valide o nível de acesso.
3. Crie uma política de DLP Microsoft Purview para documentos semelhantes para detectar o compartilhamento futuro de arquivos confidenciais.

Atividade de ransomware

O ransomware é um ciberataque em que um atacante bloqueia as vítimas dos seus dispositivos ou impede-as de aceder aos seus ficheiros até que a vítima pague um resgate. O ransomware pode ser propagado por um ficheiro partilhado malicioso ou rede comprometida. Defender para Aplicativos de Nuvem utiliza conhecimentos de investigação de segurança, informações sobre ameaças e padrões comportamentais aprendidos para identificar a atividade de ransomware. Por exemplo, uma taxa elevada de carregamentos de ficheiros ou eliminações de ficheiros pode representar um processo de encriptação comum entre operações de ransomware.

Esta deteção estabelece uma linha de base dos padrões de trabalho normais de cada utilizador na sua organização, como quando o utilizador acede à cloud e o que normalmente faz na cloud.

As políticas automatizadas de detecção de ameaças do Defender para Aplicativos de Nuvem começam a ser executadas em segundo plano a partir do momento em que você se conecta. Ao utilizar os nossos conhecimentos de investigação de segurança para identificar padrões comportamentais que refletem a atividade de ransomware na nossa organização, Defender para Aplicativos de Nuvem fornece uma cobertura abrangente contra ataques de ransomware sofisticados.

Período de aprendizagem

Estabelecer o padrão de atividade de um novo utilizador requer um período de aprendizagem inicial de sete dias durante o qual os alertas não são acionados para novas localizações.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada pelo utilizador.

   Ação recomendada: suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. FP (Comportamento invulgar): o utilizador executou legitimamente várias atividades de eliminação e carregamento de ficheiros semelhantes num curto espaço de tempo.

   Ação recomendada: depois de rever o registo de atividades e confirmar que as extensões de ficheiro não são suspeitas, dispense o alerta.

3. FP (extensão de ficheiro de ransomware comum): se conseguir confirmar que as extensões dos ficheiros afetados correspondem a uma extensão de ransomware conhecida.

   Ação recomendada: contacte o utilizador e confirme se os ficheiros estão seguros e, em seguida, dispense o alerta.

Entender o escopo da violação

1. Reveja o registo de atividades para obter outros indicadores de comprometimento, como transferência em massa ou eliminação em massa, de ficheiros.
2. Se você estiver usando o Microsoft Defender para Endpoint, analise os alertas do computador do usuário para verificar se arquivos mal-intencionados foram detectados.
3. Pesquise no registo de atividades atividades de carregamento e partilha de ficheiros maliciosos.

Atividade de eliminação de ficheiros invulgar (por utilizador)

Atividades que indicam que um utilizador efetuou uma atividade de eliminação de ficheiros invulgar em comparação com a linha de base aprendida. Isto pode indicar um ataque de ransomware. Por exemplo, um atacante pode encriptar os ficheiros de um utilizador e eliminar todos os originais, deixando apenas as versões encriptadas que podem ser utilizadas para coagir a vítima a pagar um resgate. Defender para Aplicativos de Nuvem cria uma linha de base com base no comportamento normal do utilizador e aciona um alerta quando é detetado um comportamento invulgar.

Período de aprendizagem

Estabelecer o padrão de atividade de um novo utilizador requer um período de aprendizagem inicial de sete dias durante o qual os alertas não são acionados para novas localizações.

TP, B-TP ou FP?

1. TP: se conseguir confirmar que a atividade não foi efetuada por um utilizador legítimo.

   Ação recomendada: suspenda o utilizador, marque o utilizador como comprometido e reponha a palavra-passe.

2. FP: Se conseguir confirmar que o utilizador executou legitimamente mais atividades de eliminação de ficheiros do que a linha de base estabelecida.

   Ação recomendada: ignorar o alerta.

Entender o escopo da violação

1. Reveja as atividades de eliminação e crie uma lista de ficheiros eliminados. Se necessário, recupere os ficheiros eliminados.
2. Opcionalmente, crie um manual de procedimentos com o Power Automate para contactar os utilizadores e os respetivos gestores para verificar a atividade.

Confira também