Microsoft 365 / Investigar alertas de segurança e responder a incidentes

Quando você receber um alerta de segurança do Microsoft 365, não o feche imediatamente apenas ao observar a gravidade. Você deve verificar o horário da ocorrência, a fonte de detecção, os usuários/dispositivos/emails afetados e os alertas relacionados. Múltiplos alertas para o mesmo incidente podem ser agrupados em um único incidente, então revise tanto os alertas individuais quanto o incidente completo juntos.

Diferença entre alertas e incidentes

Um alerta registra uma atividade suspeita detectada. Um incidente reúne alertas e evidências relacionadas para ajudar a compreender a sequência do ataque. O guia da Microsoft para investigar incidentes do Defender explica como analisar alertas, atividades, ativos e evidências em conjunto. As telas e os recursos de investigação automatizada disponíveis dependem dos produtos e das licenças da organização.

Prepare o acesso e escolha a tela de investigação

Abra Incidentes & alertas → Alertas no portal do Microsoft Defender. Mesmo que você possa visualizá-los com permissões de leitor de segurança, isso não significa que você pode executar ações de resposta, como bloqueio de conta ou isolamento de dispositivo. Primeiro, verifique o modelo de permissões do Defender da sua organização, o escopo de responsabilidades e as licenças do produto, e designe o pessoal de investigação e resposta.

A nova experiência de casos de incidentes está em versão prévia; a experiência anterior de incidentes continua disponível. Na interface em inglês, abra Cases → Incident, selecione o caso e analise seus alertas, ativos, evidências e atividades. Uma navegação diferente não significa, por si só, que faltam logs. Compare a tela e as permissões disponíveis com o guia da Microsoft para investigar casos de incidentes. No modelo unificado de controle de acesso baseado em função (RBAC), Security Data Read permite visualizar e investigar; Security Data Manage também permite gerenciar casos. As permissões para ações de resposta dependem da ação e do serviço envolvido.

Lista de verificação de resposta inicial

1. Abra a lista de incidentes ou alertas no portal do Microsoft Defender. Designe os responsáveis dentro da equipe e registre o número do incidente para evitar o manuseio duplicado do mesmo caso.
2. Verifique a gravidade, o tempo de detecção e as contas, e-mails e dispositivos afetados. Não confirme uma violação real apenas com base no título do alerta.

3. Nos detalhes do incidente, analise os alertas relacionados, a sequência de atividades, as evidências e os resultados das ações automatizadas. Consulte o significado dos status e das classificações no guia da Microsoft para investigar alertas.
4. Se houver uma alta probabilidade de uma ameaça real e os danos estiverem em andamento, notifique imediatamente o pessoal responsável de acordo com os procedimentos de resposta a incidentes da organização e determine o escopo do impacto e as medidas aprovadas de isolamento/bloqueio. Preserve as evidências necessárias para a investigação enquanto contém a ameaça; não atrase desnecessariamente a contenção urgente.
5. Registre a causa e as ações tomadas, e verifique se a mesma atividade existe para outros usuários ou dispositivos. Monitore para garantir que os alertas não voltem a ocorrer após as medidas serem tomadas.

Registre as evidências e construa uma linha do tempo da investigação

Registre não apenas o nome do alerta, mas também o ID do alerta/incidente, o produto de detecção, os horários de atividade inicial e mais recente e os fusos horários, além das informações de identificação do usuário, dispositivo ou e-mail alvo. Verifique as entidades reais para evitar confundir arquivos com o mesmo nome ou contas semelhantes. Não abra URLs ou anexos maliciosos diretamente em computadores de trabalho do dia a dia.

Vincule cronologicamente eventos confirmados, como 'e-mail recebido → alerta relacionado ao link → login → acesso a dados'. Não presuma que todos os eventos ocorreram; diferencie entre evidências existentes e fatos desconhecidos. Por exemplo, mesmo que um usuário negue ter clicado, os logs relevantes devem ser verificados, e um vazamento de senha não deve ser confirmado apenas com base nos registros de cliques.

Investigue se há alertas afetando outros usuários relacionados ao mesmo remetente, arquivo ou URL. Isso ocorre porque, mesmo que um alerta afetando uma conta seja fechado, a mesma atividade pode continuar em outra conta. Armazene os materiais em um local aprovado de gerenciamento de incidentes e não publique o e-mail original, informações do usuário ou logs de acesso em canais públicos.

Como avaliar um alerta de phishing

Pode ser necessário realizar ações em vários serviços. Para a entrega de e-mails, verifique rastreio de mensagens, e para login e autenticação, prossiga para logs de login do Microsoft Entra. Apenas alterar a senha do usuário não é suficiente; o pessoal relevante deve definir o escopo da investigação para garantir que métodos de autenticação suspeitos, regras de encaminhamento e permissões de aplicativos não permaneçam intactos.

Mesmo quando ações automáticas aparecerem, diferencie entre os status solicitado, pendente, falhado e concluído. Dependendo do produto, recursos automáticos de investigação ou resposta podem não estar disponíveis, e apenas ver um botão de resposta no portal não significa que a tarefa foi realizada. Preserve as evidências e execute o bloqueio urgente simultaneamente, sem atrasar desnecessariamente a prevenção de danos em andamento.

Podemos ignorá-lo imediatamente se parecer um falso positivo?

Não. Compare as evidências com a explicação da pessoa responsável para determinar se uma alteração de política ou uma tarefa operacional normal causou o alerta. Se você classificar um alerta como falso positivo, registre as evidências de suporte e o escopo. Evite desativar regras de alerta de forma abrangente, pois isso pode impedir a detecção de ataques reais. Quando o mesmo falso positivo ocorrer novamente, considere um ajuste de escopo limitado apoiado pela investigação.

Diferencie um alerta que corretamente detectou e bloqueou uma ameaça real de um alerta que identificou incorretamente atividades normais como maliciosas. A ausência de danos, por si só, não torna um alerta um falso positivo. Para um teste aprovado ou tarefa operacional, compare o pedido de trabalho, tempo de execução, alvo e evidências, e então registre a classificação e determinação apropriadas. Na visualização do alerta, Verdadeiro positivo, Atividade informativa e esperada e Falso positivo representam conclusões diferentes. Se o ajuste ou supressão for justificado, limite os alvos afetados e defina uma data de expiração ou revisão.

Verifique a recuperação antes de encerrar o incidente

• Status atual das contas/dispositivos afetados e presença de alertas adicionais
• Ações automatizadas/manuais realizadas e quaisquer ações que precisem ser revertidas
• Conclusão das notificações aos usuários e registros internos de incidentes
• Pessoas responsáveis por tarefas de prevenção de recorrência, como políticas, treinamento e métodos de autenticação

O registro de fechamento do incidente deve incluir os sintomas iniciais, o escopo do impacto, as evidências de apoio, os resultados reais das ações automatizadas e manuais, e os trabalhos de acompanhamento restantes. Alterar um alerta para Resolvido não remove a ameaça por si só. Feche o incidente após verificar que as contas e dispositivos afetados estão protegidos e que as operações comerciais foram retomadas. Revise separadamente quaisquer bloqueios temporários ou alterações de política; a pessoa responsável só deve reverter uma medida quando a reversão for justificada pelas evidências e estiver dentro do escopo aprovado.