Investigar comportamentos com pesquisa avançada

O Microsoft Defender for Cloud Apps e o Microsoft Defender para a Cloud usam um tipo de dado chamado comportamentos para ajudar a identificar e investigar atividades anómalas dos utilizadores que não indicam necessariamente um compromisso. Ao contrário das deteções de anomalias que se focam em cenários de segurança problemáticos, os comportamentos fornecem informações contextuais sobre as ações dos utilizadores que podem justificar uma revisão adicional.

Este artigo descreve como investigar comportamentos do Defender for Cloud Apps e Defender para a Cloud com o Microsoft Defender Advanced Hunting.

Tem feedback para partilhar? Preencha o nosso formulário de feedback sobre comportamentos do Defender for Cloud Apps!

O que é um comportamento?

MITRE ATT&CK é um quadro que classifica táticas e métodos adversários. Os comportamentos estão ligados às categorias e técnicas MITRE ATT&CK, e fornecem uma compreensão mais profunda sobre um evento do que a proporcionada pelos dados brutos do evento. Os dados de comportamento residem entre os dados de eventos não processados e os alertas gerados por um evento.

Embora os comportamentos possam estar relacionados com cenários de segurança, não são necessariamente um sinal de atividade maliciosa ou um incidente de segurança. Cada comportamento baseia-se em um ou mais eventos brutos e fornece insights contextuais sobre a atividade do utilizador ou do sistema que ocorreu num momento específico, utilizando informações que o Defender for Cloud Apps aprendeu ou identificou.

Deteções suportadas

Atualmente, os comportamentos suportam deteções de baixa fidelidade, do Defender for Cloud Apps e do Defender para a Cloud, que podem não atingir o padrão exigido para serem consideradas alertas, mas que continuam a ser úteis para fornecer contexto durante uma investigação. As deteções atualmente suportadas incluem:

transição de Defender for Cloud Apps de alertas para comportamentos

Para melhorar a qualidade dos alertas gerados por Defender for Cloud Apps e reduzir o número de falsos positivos, Defender for Cloud Apps está atualmente a transitar conteúdo de segurança de alertas para comportamentos.

A transição do conteúdo de segurança do Defender for Cloud Apps de alertas para comportamentos visa remover políticas de alertas que proporcionam deteções de baixa qualidade, ao mesmo tempo que criam cenários de segurança focados em deteções prontas a usar. Em paralelo, Defender for Cloud Apps envia comportamentos para ajudá-lo nas suas investigações.

O processo de transição de alertas para comportamentos inclui as seguintes fases:

1. (Concluído) Defender for Cloud Apps envia comportamentos em simultâneo com os alertas.

2. (Concluído) As políticas que geram comportamentos estão agora desativadas por predefinição e não enviam alertas.

3. Mude para um modelo de deteção gerido pela cloud, removendo completamente as políticas destinadas ao cliente. A fase do modelo de deteção gerido pela cloud está planeada para fornecer tanto deteções personalizadas como alertas selecionados gerados por políticas internas para cenários de alta fidelidade e focados na segurança.

A transição para comportamentos também inclui melhoramentos para tipos de comportamento suportados e ajustes para alertas gerados por políticas para uma precisão ideal.

Para mais informações, consulte Transformar a forma como investiga usando comportamentos e novas deteções.

Utilizar comportamentos na investigação avançada do Microsoft Defender XDR

Acede aos comportamentos na página avançada de caça do portal Defender e utiliza comportamentos consultando tabelas de comportamento e criando regras de deteção personalizadas que incluam dados de comportamento.

Os dados de comportamento estão disponíveis em duas tabelas: BehaviorInfo e BehaviorEntities. O esquema deles é semelhante ao esquema da tabela AlertInfo. A tabela seguinte descreve cada tabela de comportamento:

Para obter informações completas sobre um comportamento e as respetivas entidades, utilize BehaviorId como chave primária para a associação. A consulta seguinte procura um comportamento específico por ID e liga-o a entidades relacionadas para que possas inspecionar todos os artefactos associados:

BehaviorInfo
| where BehaviorId == "INSERT VALUE"
| join BehaviorEntities on BehaviorId

Cenários de exemplo

Esta secção apresenta cenários de exemplo para utilizar dados de comportamento na página Caça avançada do portal Defender e os exemplos de código relevantes.

Obter alertas para transferências em massa

Cenário: quer ser alertado quando uma transferência em massa é efetuada por um utilizador específico ou por uma lista de utilizadores propensos a serem comprometidos ou a riscos internos.

Para isso, crie uma regra de deteção personalizada baseada na consulta seguinte. Os filtros de consulta para MassDownload entidades comportamentais associadas a contas de utilizador específicas, ajudando-o a investigar a potencial atividade de exfiltração de dados:

BehaviorEntities
| where ActionType == "MassDownload" 
| where EntityType == “User” and AccountName in (“username1”, “username2”…  ) 

Para mais informações, consulte Criar e gerir regras de deteção personalizadas no Microsoft Defender.

Consultar 100 comportamentos recentes

Cenário: quer consultar 100 comportamentos recentes relacionados com a técnica de ataque MITRE Contas Válidas (T1078).

Para rever os comportamentos mais recentes associados à técnica de Contas Válidas (T1078), execute a seguinte consulta. Devolve os 100 comportamentos de correspondência mais recentes, ajudando-o a identificar potenciais ameaças baseadas em credenciais:

BehaviorInfo
| where AttackTechniques has "Valid Accounts (T1078)"
| order by Timestamp desc 
| take 100

Investigar comportamentos de um utilizador específico

Cenário: Se suspeitar que um utilizador possa ter sido comprometido, investigue todos os comportamentos relacionados com esse utilizador.

Use a seguinte consulta para encontrar comportamentos reportados pela Microsoft Cloud App Security para uma conta de utilizador específica. A consulta filtra por UPN da fonte do serviço e da conta, depois junta entidades relacionadas para fornecer uma visão completa dos registos de comportamento do utilizador. Substitua o nome de utilizador pelo nome do utilizador que pretende investigar:

BehaviorInfo
| where ServiceSource == "Microsoft Cloud App Security"
| where AccountUpn == "*username*"
| join BehaviorEntities on BehaviorId
| project Timestamp, BehaviorId, ActionType, Description, Categories, AttackTechniques, ServiceSource, AccountUpn, AccountObjectId, EntityType, EntityRole, RemoteIP, AccountName, AccountDomain, Application

Investigar comportamentos de um endereço IP específico

Cenário: Investigue todos os comportamentos em que uma das entidades é um endereço IP suspeito.

Para rastrear a atividade associada a um endereço IP suspeito, utilize a seguinte consulta para pesquisar entidades de comportamento correspondentes a valores de IP remotos. A consulta encontra todos os comportamentos associados ao endereço IP especificado, permitindo-lhe identificar ações e entidades dos utilizadores relacionadas. Substitua o IP suspeito pelo endereço IP que pretende investigar.

BehaviorEntities
| where EntityType == "Ip"
| where RemoteIP == "*suspicious IP*"
| where ServiceSource == "Microsoft Cloud App Security"
| project Timestamp, BehaviorId, ActionType, Categories, ServiceSource, AccountUpn, AccountObjectId, EntityType, EntityRole, RemoteIP, AccountName, AccountDomain

Passos seguintes

Para mais informações sobre comportamentos e investigações relacionadas, consulte os seguintes recursos:

• Transforme a forma como investiga usando comportamentos e novas deteções
• Tutorial: Detetar atividades suspeitas de utilizadores com análise comportamental

Se tiver algum problema, estamos aqui para ajudar. Para obter assistência ou suporte para o problema do produto, abra um pedido de suporte.