Microsoft Cloud Solution Architect - MVP Alumni Security + CDM, MCT, Cybersecurity Expert, Security+, (isc)2 Cybersecurity Certified, Azure Solution Expert
MVP Logo

Últimos posts

Categorias

Tags

Detectando Atividades Suspeitas com o IRM - Inside Risk Management

Detectar atividades suspeitas trabalha com o comportamento dos usuários.
Esse comportamento não se limita ao DLP, mas abrange:
  • Regras de Proteção de Dados do MPIP (antigo Microsoft Information Protection)
  • Regras do MDE (Microsoft Defender Endpoint)
  • Regras do MDfC (Microsot Defender for Cloud Apps, antigo CASB)
  • Log de atividades do Office 365 e do Windows
Uma vez que eu capturo estes dados posso criar uma linha de tempo (baseline) para detectar:
  1. Comportamentos inesperados de uma pessoa em relação a sua própria atividade nos ultimos 30 a 90 dias
  2. Comportamento inesperado de uma entidade comparada ao baseline da empresa como um todo
Para isso são criados gatilhos que podem ser atividades como uma regra DLP, copia de arquivos em um pendrive, exfiltração via web, etc.
Apresentei todos estes recursos no webcast com a Thais Mafra. Assista e entenda melhor este recurso!

Entregando Alertas do Sentinel no Teams

Uma funcionalidade simples e muito funcional do Sentinel na integração com playbooks é a entrega como uma mensagem de chat no Teams.

O exemplo abaixo demonstra como os alertas são entregues ao Teams com os detalhes do alerta que foi disparado.

image

Criando o Logic Apps e Regra de Automação

Quando são instalados os conectores do Sentinel automaticamente é criado um Logic Apps para automação, sem ter tasks configurados exceto a primeira que é o gatilho de incidente.

Esse será o playbook que a todos os alertas habilitados é configurado como forma de resposta padrão.

image

Ao editar o playbook entre no objeto For each que é o loop para possibilitar que vários incidentes sejam disparados e não só o primeiro. Isso pode acontecer em ambientes onde uma situação criou mais de um incidentes e a falta deste loop não dispararia para todos os que ocorressem.

Note que o loop do For each lê os dados do incidente e os envia para o email com as propriedades abaixo para titulo, destinatario e texto enviado.

No caso abaixo deletei o objeto padrão que era email e troquei pelo objeto Post message in a chat or channel que permite enviar a mensagem tanto para um usuário unico como para um grupo ou canal do Teams:

image

O passo seguinte é criar no Sentinel a regra de disparo para o playbook de notificação.

Veja que o nome é parecido por minha opção mas poderá usar qualquer outro nome, que poderá facilitar no momento de relacionar os alertas com a chamada de automação.

image

Habilitando as Regras Analíticas para Envio no Teams

Entre nas opções de Analytics do Sentinel, habilite as regras que deseja ser alertado e as edite.

image

Nas opções da regra poderá editar a resposta automática de automação que criamos no passo anterior para que o playbook seja executado.

image

Ao editar as regras pode-se criar novas respostas de automação sem ter que criar antes em Automation como fiz anteriormente, apesar de achar que isso pode gerar multiplos objetos orfãos posteriormente.

Mas se desejar criar uma nova resposta, poderá clicar no botão Add new e nomear a automação e indicar qual dos playbooks será executado:

image

Pronto, agora você irá receber os detalhes de incidentes diretamente pelo canal ou chat do Teams!

Usando o Comportamento de Entidade (Entity behavior) do Microsoft Sentinel

O conceito de comportamento de entidade é muito importante em uma investigação ou suspeita de uso indevido de direitos ou ações que indiquem uma falha ou invasão.

Com o Entity Behavior podemos usar um IP, nome de maquina, nome do recurso no Azure o a conta de um usuário para verificar o histórico do que ele fez ao longo de um periodo e identificar um comportamento prejudicial.

Configurando o Entity Behavior

Ao clicar no Sentinel no menu “Threat management –> Entity behavior” você verá a opção “Entity behavior settings” onde irá configurar o que você quer incluir na pesquisa. Veja que no meu exemplo selecionei as diferentes fontes de auditoria que eu tenho habilitadas.

image

Note que você poderá usar o UEBA (User and Entity Behavior Analytics) que não trataremos aqui neste post, mas é uma feature do Sentinel para analise de comportamento analitico de entidades de forma autonoma.

Executando a consulta

O passo seguinte é escolher a entidade, ou objeto que você irá gerar os dados. Usarei como exemplo o meu usuário de teste:

Oash&ard Microsoft Sentinel ) 
Microsoft Sentinel I Entity behavior 
'K Last 24 v Emity Etti ng s 
%ffkbæks 
Hunting 
Notebwks 
%tity 
ATTACK 
Co ntent manag 
(Preview' 
Co nfig 
Gui&s & 
Si«ic

Uma vez selecionado o que você irá analisar, o Sentinel trará a tela de resumo com os dados do objeto, um gráfico de ações, anomalias ou atividades potencialmente perigosas e um quadro com análises do lado direito (Top Insights) como grupos e usuários similares, ações administrativas executadas como bloqueio de conta, privilégios cedidos, ações de SAP, anomalias, UEBA, therat indicators e watchlist.

No meu exemplo veja que no Top Insights uma regra de DLP foi alertada como atividade que pode ser indicativo de um comportamento perigoso.

image

Alem disso, no quadro Overview poderá notar que foi executada uma operação de pesquisa detectada por uma das regras analiticas do Sentinel. Essa regra detecta operações de listagem de objetos ativos, categorizado no MITRE como Initial Access.

image

Usando agora o botão Investigate você verá um interessante painel com o resumo das ações realizadas por esse usuário que está sendo analisado.

Note que tenho um detalhamento por objetos que foram acessados ou ações que geraram determinado comportamento.

image

Ao clicar na maioria deles não verá um resumo já analisado como abaixo, pois estarão com eventos agregados e será necessário abrir o Log Analytics, como a tela abaixo. Nesse caso abri um dos objetos e pedi seu detalhamento.

Apenas como observação, usei a consulta de UEBA para detectar ações onde eu tive anteriormente um alto numero de ações de deleção de arquivos.

Quer/ ed 。 「

P , , 囗

Conclusão

Ao ocorrer uma tentativa ou suspeita de uso indevido de privilégios ou comportamento errático, o Entity behavior é a ferrramenta que permitirá obter insights rápidos a partir da agregação de todas as features do Sentinel.

Com certeza é uma ferramenta excelente para o dia a dia de analises e detecções de ameaças que podem ainda não ter gerado um incidente mais grave ou que precisamos encontrar um ponto de ruptura de comportamento.

Login
Marcelo Sincic | 2o SQL Server Day - SQL Server Saturday Nigth - Integrando dados do SQL no Sharepoint 2007
Microsoft Cloud Solution Architect - MVP Alumni Security + CDM, MCT, Cybersecurity Expert, Security+, (isc)2 Cybersecurity Certified, Azure Solution Expert
MVP Logo

Últimos posts

Categorias

Tags

2o SQL Server Day - SQL Server Saturday Nigth - Integrando dados do SQL no Sharepoint 2007

Para começar bem o ano de 2010, vou apresentar a primeira parte do webcast de SQL Server 2008 com o titulo "Integrando dados do SQL Server 2008 no Sharepoint 2007" no sábado dia 16 as 18:00. Vou abordar o BDC (Business Data Catalog) integrado ao search e as listas do Sharepoint.

Segue a página e o link da inscrição e no final a agenda completa, vale muito a pena, assistam !!!!

Para se registrar clique aqui.

Language(s): Portuguese.
Product(s): Other.
Audience(s): IT Generalist.
   
   
Duration: 300 Minutes
Start Date:
Saturday, January 16, 2010 6:00 PM Brasilia
 
 

Event Overview

SQL Server 2008 R2 - Dia a Dia do DBA, Developer e Analista BI

O SQL Server Saturday Night, em sua segunda edição, irá abordar temas variados: Filestream, SQL Server 2008 & Sharepoint Server 2007, LINQ, Data Minning & Office 2007, Powershell Extensions, etc... Sempre com bastante demonstrações e temas muito interessantes.

Palestrantes: Marcelo Sincic, Alexandre Lopes, Vitor Fava, Laerte Jr, Thiago Zavaschi, Agnaldo Diogo e Roberto FonsecaA equipe do SQL Server Saturday Night possui grande experiência na plataforma SQL Server nas áreas de projetos, consultorias e treinamentos.

Este é um evento realizado pela COMUNIDADE TÉCNICA com o apoio da MICROSOFT.

17:55 - 18:00 >> Abertura do Evento
18:00 - 18:50 >> "Integrando dados do SQL Server 2008 no Sharepoint 2007" - Marcelo Sincic
18:50 - 19:40 >> "O que voce queria saber sobre Filestream mas não sabia aonde encontrar" - Vitor Fava/Alexandre Lopes
19:40 - 20:30 >> “Preveja o Futuro com os Add-ins de Data Mining do Office 2007” - Thiago Zavaschi
20:30 - 21:20 >> “SQL Server Powershell Extensions”  - Laerte Jr
21:20 - 22:10 >> “Usando o SSIS como ferramenta de integração de aplicações” – Roberto Fonseca
22:10 - 23:00 >> “Acesso a dados com LINQ”  - Agnaldo Diogo dos Santos
23:00 – 23:10 >> Encerramento do Evento  

Posted: jan 09 2010, 13:17 by msincic | Comentários (0) RSS comment feed |
  • Currently 0/5 Stars.
  • 1
  • 2
  • 3
  • 4
  • 5
Filed under: Sharepoint | SQL Server
Os comentários estão fechados
Login