Documentação de orientação de planeamento para operações de segurança unificadas no portal do Microsoft Defender

Este artigo descreve como planear a sua implementação para operações de segurança unificadas no portal do Microsoft Defender. Unifique as operações de segurança para o ajudar a reduzir os riscos, evitar ataques, detetar e interromper ciberameaças em tempo real e responder mais rapidamente com capacidades de segurança melhoradas de IA, tudo a partir do portal do Microsoft Defender.

Planejar sua implantação

O portal do Defender combina serviços como Microsoft Defender XDR, Microsoft Sentinel, Gerenciamento de Exposição da Segurança da Microsoft e Microsoft Security Copilot para operações de segurança unificadas.

O primeiro passo para planear a implementação é selecionar os serviços que pretende utilizar.

Como pré-requisito básico, precisará de Microsoft Defender XDR e Microsoft Sentinel para monitorizar e proteger os serviços e soluções da Microsoft e não microsoft, incluindo recursos na cloud e no local.

Implemente qualquer um dos seguintes serviços para adicionar segurança aos seus pontos finais, identidades, e-mail e aplicações para fornecer proteção integrada contra ataques sofisticados.

Microsoft Defender XDR serviços incluem:

Outros serviços suportados no portal do Microsoft Defender, mas não licenciados com Microsoft Defender XDR, incluem:

Rever os pré-requisitos do serviço

Antes de implementar Microsoft Defender serviços para operações de segurança unificadas, reveja os pré-requisitos de cada serviço que planeia utilizar. A tabela seguinte lista os serviços e ligações para obter mais informações:

Rever as práticas de privacidade e segurança de dados

Antes de implementar Microsoft Defender serviços para operações de segurança unificadas, certifique-se de que compreende as práticas de segurança e privacidade de dados para cada serviço que planeia utilizar. A tabela seguinte lista os serviços e ligações para obter mais informações. Tenha em atenção que vários serviços utilizam as práticas de segurança e retenção de dados para Microsoft Defender XDR em vez de terem práticas separadas.

Planear a arquitetura da área de trabalho do Log Analytics

Para começar a utilizar operações de segurança unificadas com Microsoft Sentinel no portal do Defender, primeiro precisa de uma área de trabalho do Log Analytics ativada para Microsoft Sentinel. Uma única área de trabalho do Log Analytics pode ser suficiente para muitos ambientes, mas muitas organizações criam várias áreas de trabalho para otimizar os custos e cumprir melhor os diferentes requisitos empresariais.

Crie a área de trabalho do Log Analytics que pretende ativar para Microsoft Sentinel. Considere parâmetros como quaisquer requisitos de conformidade que tenha para recolha e armazenamento de dados e como controlar o acesso a dados Microsoft Sentinel.

Para saber mais, confira:

1. Estruturar arquitetura da área de trabalho
2. Rever designs de áreas de trabalho de exemplo

Planear Microsoft Sentinel custos e origens de dados

O portal do Defender pode ingerir nativamente dados de serviços Microsoft originais, como Microsoft Defender para Aplicativos de Nuvem e Microsoft Defender para a Cloud. Recomendamos que expanda a cobertura para outras origens de dados no seu ambiente ao adicionar Microsoft Sentinel conectores de dados.

Determinar as origens de dados

Determine o conjunto completo de origens de dados a partir do qual irá ingerir dados e os requisitos de tamanho de dados para o ajudar a projetar com precisão o orçamento e a linha do tempo da implementação. Pode determinar estas informações durante a revisão do caso de utilização empresarial ou ao avaliar um SIEM atual que já tenha implementado. Se já tiver um SIEM implementado, analise os seus dados para compreender quais as origens de dados que fornecem mais valor e devem ser ingeridas em Microsoft Sentinel.

Por exemplo, poderá querer utilizar qualquer uma das seguintes origens de dados recomendadas:

• Serviços do Azure: se algum dos seguintes serviços estiver implementado no Azure, utilize os seguintes conectores para enviar os Registos de Diagnóstico destes recursos para Microsoft Sentinel:

  • Firewall do Azure
  • Gateway de Aplicativo do Azure
  • Cofre de Chaves
  • Serviço de Kubernetes do Azure
  • SQL do Azure
  • Grupos de segurança de rede
  • Servidores do Azure-Arc

  Recomendamos que configure Azure Policy para exigir que os respetivos registos sejam reencaminhados para a área de trabalho subjacente do Log Analytics. Para obter mais informações, veja Criar definições de diagnóstico em escala com Azure Policy.

• Máquinas virtuais: para máquinas virtuais alojadas no local ou noutras clouds que exijam a recolha dos registos, utilize os seguintes conectores de dados:

  • Segurança do Windows Eventos com o AMA
  • Eventos através do Defender para Endpoint (para servidor)
  • Syslog

• Aplicações virtuais de rede/origens no local: para aplicações virtuais de rede ou outras origens no local que gerem o Common Event Format (CEF) ou os registos SYSLOG, utilize os seguintes conectores de dados:

  • Syslog via AMA
  • Common Event Format (CEF) via AMA

Para obter mais informações, veja Priorizar conectores de dados.

Planear o orçamento

Planeie o orçamento Microsoft Sentinel, tendo em conta as implicações de custos para cada cenário planeado. Certifique-se de que o orçamento abrange o custo da ingestão de dados para Microsoft Sentinel e o Azure Log Analytics, quaisquer manuais de procedimentos que serão implementados, etc. Para saber mais, confira:

• Planos de retenção de registos no Microsoft Sentinel
• Planear os custos e compreender Microsoft Sentinel preços e faturação

Compreender os portais de segurança e os centros de administração da Microsoft

Embora o portal Microsoft Defender seja a base para monitorizar e gerir a segurança nas suas identidades, dados, dispositivos e aplicações, tem de aceder a vários portais para determinadas tarefas especializadas.

Os portais de segurança da Microsoft incluem:

A tabela seguinte descreve portais para outras cargas de trabalho que podem afetar a sua segurança. Visite estes portais para gerir identidades, permissões, definições de dispositivos e políticas de processamento de dados.

Planear funções e permissões

O portal Microsoft Defender unifica os seguintes modelos de controlo de acesso baseado em funções (RBAC) para operações de segurança unificadas:

• Microsoft Entra ID RBAC, utilizado para delegar o acesso ao Defender, como grupos de dispositivos
• RBAC do Azure, utilizado pelo Microsoft Sentinel para delegar permissões
• RBAC unificado do Defender, utilizado para delegar permissões em soluções do Defender

Embora as permissões concedidas através do RBAC do Azure para Microsoft Sentinel sejam federadas durante o runtime com o RBAC unificado do Defender, o RBAC do Azure e o RBAC do Defender continuam a ser geridos separadamente.

O RBAC unificado do Defender não é necessário para que a área de trabalho seja integrada no portal do Defender e Microsoft Sentinel permissões continuam a funcionar conforme esperado no portal do Defender, mesmo sem o RBAC unificado. No entanto, a utilização do RBAC unificado simplifica a delegação de permissões em soluções do Defender. Para obter mais informações, veja Ativar Microsoft Defender XDR controlo de acesso baseado em funções (RBAC) unificado.

A permissão mínima necessária para um analista ver Microsoft Sentinel dados é delegar permissões para a função leitor de Sentinel RBAC do Azure. Estas permissões também são aplicadas ao portal unificado. Sem estas permissões, o menu de navegação Microsoft Sentinel não está disponível no portal unificado, apesar de o analista ter acesso ao portal Microsoft Defender.

Uma melhor prática é ter todos os recursos relacionados Microsoft Sentinel no mesmo grupo de recursos do Azure e, em seguida, delegar Microsoft Sentinel permissões de função (como a função leitor Sentinel) ao nível do grupo de recursos que contém a área de trabalho Microsoft Sentinel. Ao fazê-lo, a atribuição de função aplica-se a todos os recursos que suportam Microsoft Sentinel.

Para os seguintes serviços, utilize as diferentes funções disponíveis ou crie funções personalizadas para lhe dar controlo detalhado sobre o que os utilizadores podem ver e fazer. Para saber mais, confira:

Para saber mais, confira:

• Planear funções e permissões para Microsoft Sentinel
• Funções incorporadas do Azure
• funções de Microsoft Sentinel
• Pré-requisitos de inclusão
• Gerir o RBAC unificado no Microsoft Defender (demonstração de vídeo)

Planear atividades de Confiança Zero

As operações de segurança unificadas no portal do Defender fazem parte do modelo de segurança Confiança Zero da Microsoft, que inclui os seguintes princípios:

Confiança Zero segurança foi concebida para proteger ambientes digitais modernos ao tirar partido da segmentação de rede, impedir o movimento lateral, fornecer acesso com menos privilégios e utilizar análises avançadas para detetar e responder a ameaças.

Para obter mais informações sobre a implementação de princípios de Confiança Zero no portal do Defender, veja Confiança Zero conteúdo dos seguintes serviços:

• Microsoft Defender XDR
• Microsoft Sentinel
• Microsoft Defender para Identidade
• Obter o Microsoft Defender para Office 365
• Microsoft Defender para Ponto de Extremidade
• Microsoft Defender for Cloud Apps
• Gerenciamento de Exposição da Segurança da Microsoft
• Microsoft Defender para Nuvem
• Copilot da Segurança da Microsoft
• Microsoft Entra ID Protection
• Microsoft Purview

Para obter mais informações, consulte o Centro de Orientação do Confiança Zero.

Próxima etapa

Implementar para operações de segurança unificadas