Executar ações de resposta num ficheiro

Responda rapidamente aos ataques detetados ao parar e quarantinar ficheiros ou ao bloquear um ficheiro. Depois de efetuar uma ação nos ficheiros, pode verificar os detalhes da atividade no Centro de ação.

As ações de resposta estão disponíveis na página de perfil detalhada de um ficheiro. Quando estiver nesta página, pode alternar entre os layouts de página novo e antigo ativando ou desativando nova página Ficheiro. As secções seguintes descrevem o layout mais recente da página.

As ações de resposta são executadas na parte superior da página do ficheiro e incluem:

• Parar e colocar em quarentena ficheiros
• Gerir indicador
• Transferir ficheiro
• Obter ficheiro
• Pergunte aos Especialistas do Defender
• Ações manuais
• Ir caçar
• Análise profunda

Também pode submeter ficheiros para análise aprofundada, para executar o ficheiro num sandbox de nuvem segura. Quando a análise estiver concluída, receberá um relatório detalhado que fornece informações sobre o comportamento do ficheiro. Pode submeter ficheiros para análise aprofundada e ler relatórios anteriores ao selecionar a ação Análise profunda .

Algumas ações requerem determinadas permissões. A tabela seguinte descreve a ação que determinadas permissões podem tomar em ficheiros executáveis portáteis (PE) e não PE:

Para obter mais informações sobre funções, veja Criar e gerir funções para controlo de acesso baseado em funções.

Interromper e colocar em quarentena ficheiros na sua rede

Pode conter um ataque na sua organização ao parar o processo malicioso e colocar em quarentena o ficheiro onde foi observado.

A ação Parar e Colocar Ficheiro em Quarentena inclui parar processos em execução, colocar em quarentena os ficheiros e eliminar dados persistentes, como chaves de registo.

A ação Stop and Quarantine File entra em vigor em dispositivos com Windows 10, versão 1703 ou posterior, e Windows 11 e Windows Server 2012 R2 ou posteriores, onde o ficheiro foi observado nos últimos 30 dias.

Parar e colocar ficheiros em quarentena

1. Selecione o ficheiro que pretende parar e colocar em quarentena. Pode selecionar um ficheiro a partir de qualquer uma das seguintes vistas ou utilizar a caixa Procurar:

   • Alertas – selecione os links correspondentes na Descrição ou nos Detalhes na cronologia da História do Alerta
   • Caixa de pesquisa – selecione Ficheiro no menu pendente e introduza o nome do ficheiro

   Nota

   A ação de parar e colocar em quarentena o ficheiro está limitada a um máximo de 1000 dispositivos. Para parar um ficheiro num número maior de dispositivos, consulte Adicionar indicador para bloquear ou permitir o ficheiro.
   A ação Parar e colocar em quarentena tem um tempo limite máximo de 3 dias. Se o dispositivo de destino permanecer offline durante mais tempo do que este período após a ação ser iniciada, a ação não será entregue nesse dispositivo.
   Para garantir que o ficheiro permanece bloqueado para além do tempo limite ou após a conclusão da ação, recomenda-se que crie um indicador para bloquear explicitamente o ficheiro.

2. Aceda à barra superior e selecione Interromper e colocar ficheiro em quarentena.

   

3. Especifique um motivo e, em seguida, selecione Confirmar.

   

   O Centro de ação mostra as informações de submissão:

   

   • Tempo de submissão – mostra quando a ação foi submetida.
   • Êxito – mostra o número de dispositivos em que o ficheiro foi parado e colocado em quarentena.
   • Falha – mostra o número de dispositivos em que a ação falhou e detalhes sobre a falha.
   • Pendente – mostra o número de dispositivos a partir dos quais o ficheiro ainda não foi parado e colocado em quarentena. Isto pode demorar algum tempo para casos em que o dispositivo está offline ou não está ligado à rede.

4. Selecione qualquer um dos indicadores de estado para ver mais informações sobre a ação. Por exemplo, selecione Falha ao ver onde a ação falhou.

Notificação do utilizador do dispositivo

Quando o ficheiro está a ser removido de um dispositivo, é apresentada a seguinte notificação:

Na linha cronológica do dispositivo, é adicionado um novo evento para cada dispositivo onde um ficheiro foi parado e colocado em quarentena.

É apresentado um aviso antes de a ação ser implementada para ficheiros amplamente utilizados em toda a organização. Este aviso ajuda a validar que a operação é intencional.

Restaurar ficheiro a partir da quarentena

Pode reverter e remover um ficheiro da quarentena se tiver determinado que está limpo após uma investigação. Execute o seguinte comando em cada dispositivo onde o ficheiro foi colocado em quarentena.

Numa Linha de Comandos elevada (uma janela da Linha de Comandos que abriu ao selecionar Executar como administrador), execute os seguintes comandos:

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Restore -Name EUS:Win32/CustomEnterpriseBlock -All

Para obter mais informações sobre MpCmdRun, veja Configurar e gerir Microsoft Defender Antivírus com a ferramenta de linha de comandos MpCmdRun.

Transferir ou recolher ficheiro

Selecionar Transferir ficheiro a partir das ações de resposta permite-lhe transferir um arquivo de .zip local protegido por palavra-passe que contém o seu ficheiro. É apresentado um painel onde pode registar um motivo para transferir o ficheiro e definir uma palavra-passe.

Por predefinição, deverá conseguir transferir ficheiros que estão em quarentena.

O botão Transferir ficheiro pode ter os seguintes estados:

• Ativo – pode recolher o ficheiro.

• Desativado – se o botão estiver desativado ou desativado durante uma tentativa de recolha ativa, poderá não ter as permissões RBAC adequadas para recolher ficheiros. São necessárias as seguintes permissões:

  • Microsoft Defender Unified Controlo de Acesso Baseado em Funções (RBAC):
    • Adicionar permissão de recolha de ficheiros no Microsoft Defender Unified (RBAC)
  • Microsoft Defender para o Endpoint: controlo de acesso baseado em funções (RBAC):
    • Ficheiros executáveis portáteis (.exe, .sys, .dll, entre outros):
      • Administrador de Segurança ou Resposta avançada em direto ou Alertas
    • Ficheiro executável não portátil (.txt, .docx e outros):
      • Administrador de Segurança ou Resposta avançada em direto
      • Inquilinos com permissões de acesso baseado em funções (RBAC) ativadas

Transferir ficheiros em quarentena

Os ficheiros que foram colocados em quarentena pelo Antivírus do Microsoft Defender ou pela sua equipa de segurança são guardados em conformidade com as configurações de submissão de amostras. A sua equipa de segurança pode transferir os ficheiros diretamente a partir da página de detalhes do ficheiro através do botão "Transferir ficheiro". A funcionalidade de Download de ficheiros está ativada por defeito.

A localização depende das definições geográficas da sua organização (UE, Reino Unido ou EUA). Um ficheiro em quarentena só é recolhido uma vez por organização. Saiba mais sobre a proteção de dados da Microsoft no Portal de Confiança do Serviço em https://aka.ms/STP.

Ter a opção de Download de ficheiros em quarentena ativada pode ajudar as equipas de segurança a examinar ficheiros potencialmente defeituosos e a investigar incidentes de forma rápida e menos arriscada. No entanto, se precisar de desativar esta definição, aceda a Definições>Pontos finais>Funcionalidades avançadas>Transferir ficheiros em quarentena para ajustar a definição. Para obter mais informações, veja Funcionalidades avançadas.

Criar cópias de segurança de ficheiros em quarentena

Poderá ser solicitado aos utilizadores que forneçam consentimento explícito antes de criarem uma cópia de segurança do ficheiro em quarentena, consoante a sua configuração de submissão de amostras.

A funcionalidade de descarregar ficheiros em quarentena não funciona se a submissão de amostras estiver desativada. Se a submissão automática de exemplo estiver definida para pedir permissão ao utilizador, apenas são recolhidas amostras que o utilizador aceite enviar.

Recolher ficheiros

Se um ficheiro ainda não estiver armazenado por Microsoft Defender para Endpoint, não poderá transferi-lo. Em vez disso, verá um botão Recolher ficheiro na mesma localização.

O botão Recolher ficheiro pode ter os seguintes estados:

• Ativo – pode recolher o ficheiro.

• Desativado – se o botão estiver desativado ou desativado durante uma tentativa de recolha ativa, poderá não ter as permissões RBAC adequadas para recolher ficheiros.

  São necessárias as seguintes permissões:

  Para ficheiro executável portátil (.exe, .sys, .dll, entre outros)

  • Administrador de Segurança ou Resposta avançada em direto ou Alertas

  Ficheiro executável não portátil (.txt, .docx, entre outros)

  • Administrador de Segurança ou Resposta avançada em direto

Se um ficheiro não tiver sido visto na organização nos últimos 30 dias, a opção Recolher ficheiro está desativada.

Adicionar indicador para bloquear ou permitir um ficheiro

Impeça a propagação adicional de um ataque na sua organização ao proibir ficheiros potencialmente maliciosos ou software maligno suspeito. Se souber um ficheiro executável portátil (PE) potencialmente malicioso, pode bloqueá-lo. Bloquear o ficheiro impede que seja lido, escrito ou executado em dispositivos da sua organização.

Ativar a funcionalidade bloquear ficheiro

Para começar a bloquear ficheiros, primeiro tem de ativar a funcionalidade Bloquear ou permitir nas Definições.

Permitir ou bloquear ficheiro

Quando adiciona um hash de indicador para um ficheiro, pode optar por emitir um alerta e bloquear o ficheiro sempre que um dispositivo na sua organização tentar executá-lo.

Files automaticamente bloqueados por um indicador não aparecem no Centro de ação do ficheiro, mas os alertas ainda estão visíveis na fila Alertas.

Veja Descrição geral dos indicadores para obter mais detalhes sobre como bloquear e levantar alertas em ficheiros.

Para parar de bloquear um ficheiro, remova o indicador. Pode remover o indicador através da ação Editar Indicador na página de perfil do ficheiro. A ação Editar Indicador é visível na mesma posição que a ação Adicionar Indicador , antes de adicionar o indicador.

Também pode editar os indicadores na página Definições, em Regras>Indicadores. Os indicadores estão listados na página Regras>Indicadores pelo hash do ficheiro.

Verificar detalhes de atividade no Centro de ação

O Centro de ação fornece informações sobre as ações efetuadas num dispositivo ou ficheiro. Pode ver os seguintes detalhes:

• Coleção de pacotes de investigação
• Análise de antivírus
• Restrição de aplicações
• Isolamento do dispositivo

Todos os outros detalhes relacionados também são apresentados, como a data/hora de submissão, o utilizador submetido e se a ação teve êxito ou falhou.

Análise profunda

Normalmente, as investigações de cibersegurança são acionadas por um alerta. Os alertas estão relacionados com um ou mais ficheiros observados que são, muitas vezes, novos ou desconhecidos. Selecionar um ficheiro leva-o para a vista de ficheiro onde pode ver os metadados do ficheiro. Para enriquecer os dados relacionados com o ficheiro, pode submeter o ficheiro para análise aprofundada.

A funcionalidade Análise profunda executa um ficheiro num ambiente de cloud seguro e totalmente instrumentado. Os resultados de análise aprofundada mostram as atividades do ficheiro, os comportamentos observados e os artefactos associados, como ficheiros removidos, modificações do registo e comunicação com IPs. A análise profunda permite uma análise aprofundada de ficheiros executáveis portáteis (PE) (incluindo ficheiros .exe e .dll).

A análise aprofundada de um ficheiro demora vários minutos. Assim que a análise de ficheiros estiver concluída, o separador Análise Profunda é atualizado para apresentar um resumo e a data e hora dos resultados disponíveis mais recentes.

O resumo da análise aprofundada inclui uma lista de comportamentos observados, alguns dos quais podem indicar atividade maliciosa, e indicadores observáveis, incluindo IPs contactados e ficheiros criados no disco. Se nada fosse encontrado, as secções de Comportamentos e Observáveis exibiam uma breve mensagem.

Os resultados de análises aprofundadas são comparados com informações sobre ameaças, e quaisquer correspondências geram alertas apropriados.

Utilize a funcionalidade de análise aprofundada para investigar os detalhes de qualquer ficheiro, normalmente durante uma investigação de um alerta ou por qualquer outro motivo em que suspeite de comportamento malicioso. A funcionalidade de análise profunda está disponível no topo da página do ficheiro. Selecione os três pontos para aceder à ação Análise profunda .

Saiba mais sobre a análise aprofundada no seguinte vídeo:

Submeter para análise aprofundada é ativado quando o ficheiro está disponível na coleção de exemplos de back-end do Defender para Endpoint ou se foi observado num dispositivo Windows 10 que suporta a submissão para análise aprofundada.

Também pode submeter uma amostra através do portal de submissão do Microsoft Security Intelligence se o ficheiro não tiver sido detetado num dispositivo Windows 10 (ou Windows 11 ou Windows Server 2012 R2+), e esperar que o botão Enviar para que o botão de análise profunda fique disponível.

Submeter ficheiros para análise aprofundada

Para submeter um ficheiro para análise aprofundada, utilize os seguintes passos:

1. Selecione o ficheiro que pretende submeter para análise aprofundada. Pode selecionar ou procurar um ficheiro a partir de qualquer uma das seguintes vistas:

   • Alertas – selecione as ligações de ficheiro na Descrição ou Detalhes na linha cronológica do Alert Story
   • Lista dispositivos – selecione as ligações de ficheiro na secção Descrição ou Detalhes no Dispositivo na organização
   • Caixa de pesquisa – selecione Ficheiro no menu pendente e introduza o nome do ficheiro

2. Na vista do ficheiro, no separador Análise aprofundada, selecione Enviar.

   

   Nota

   Apenas são suportados os ficheiros PE, incluindo ficheiros .exe e .dll. Além disso, os executáveis da Loja de Aplicações do Windows não são suportados.

   É apresentada uma barra de progresso e fornece informações sobre as diferentes fases da análise. Em seguida, pode ver o relatório quando a análise estiver concluída.

Ver relatórios de análise aprofundada

Veja o relatório de análise aprofundada fornecido para ver informações mais aprofundadas sobre o ficheiro que submeteu. O relatório de análise profunda está disponível no contexto da visualização de ficheiros.

Pode ver o relatório abrangente que fornece detalhes sobre as seguintes secções:

• Comportamentos
• Observáveis

Os detalhes fornecidos podem ajudá-lo a investigar se existem indicações de um possível ataque.

1. Selecione o ficheiro que submeteu para análise aprofundada.

2. Selecione o separador Análise aprofundada . Se existirem relatórios anteriores, o resumo do relatório é apresentado neste separador.

   

Resolver problemas de análise aprofundada

Se encontrar um problema ao tentar submeter um ficheiro, experimente cada um dos seguintes passos de resolução de problemas.

1. Certifique-se de que o ficheiro em questão é um ficheiro PE. Normalmente, os ficheiros PE têm extensões de.exe ou .dll (programas ou aplicações executáveis).

2. Certifique-se de que o serviço tem acesso ao ficheiro, de que ainda existe e que não foi danificado ou modificado.

3. Aguarde um pouco e tente submeter o ficheiro novamente. A fila pode estar cheia ou ocorreu um erro temporário de ligação ou comunicação.

4. Se a política de recolha de exemplo não estiver configurada, o comportamento predefinido é permitir a recolha de exemplos. Se estiver configurada, verifique se a definição de política permite a recolha de exemplo antes de submeter o ficheiro novamente. Quando a recolha de exemplo estiver configurada, verifique o seguinte valor de registo:

   Path: HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
   Name: AllowSampleCollection
   Type: DWORD
   Hexadecimal value :
     Value = 0 - block sample collection
     Value = 1 - allow sample collection
   

5. Altere a unidade organizacional através da Política de Grupo. Para obter mais informações, veja Configurar com Política de Grupo.

6. Se estes passos não resolverem o problema, contacte o suporte.

Conteúdo relacionado

• Tomar medidas de resposta num dispositivo
• Analisar ficheiros
• Ações de resposta manual no Plano 1 do Microsoft Defender para Endpoint