Operações de segurança modernas:

Práticas recomendadas
e lições aprendidas
com o Microsoft Cyber
Defense Operations
Center
Operações de segurança modernas 2

Sumário
1. Visão geral das operações de segurança 3

A função das operações de segurança

Relacionamentos de negócios
Funções típicas das operações de segurança

2. Modernização das operações de segurança 13

Seja proativo, não reativo

Aumente a visibilidade
Redução da superfície de ataque
Confiança Zero e as operações de segurança modernas
Proteção contra ameaças internas

3. Práticas recomendadas para operações de segurança 28

4. Recomendações finais 39
Operações de segurança modernas 3

Visão geral das operações

de segurança

Como profissional de segurança, você que já violou um perímetro, e, com um ataque

sabe que as ameaças ao ambiente estão de ransomware e extorsão bem-sucedido,
ambas as partes lucram.
cada vez mais complexas e avançadas.

Os invasores continuam a inovar,

Hoje, os ataques cibernéticos são iniciativas
é fundamental que as equipes de segurança
criminosas organizadas. Os criminosos
trabalhem para modernizar as operações
cibernéticos compartilham informações
continuamente para enfrentar os adversários.
entre eles sobre o que funciona e sobre
vulnerabilidades. Eles trabalham para aprimorar
Isso significa analisar a pilha de tecnologia para
suas técnicas conforme a tecnologia evolui.
garantir que você tenha proteção e visibilidade
de todos os vetores de ataque. Isso também
Os ataques cibernéticos são mais do que
significa avaliar os processos da sua equipe:
apenas uma ameaça tecnológica em evolução.
ela é capaz de proteger, detectar e reagir
Tendências como o RaaS (ransomware como
a ameaças reais com rapidez e precisão ou os
serviço) fazem parte de uma economia cada
membros da equipe estão sobrecarregados
vez mais industrializada e sofisticada, onde os
com muitos sinais e buscando falsos positivos?
invasores que talvez não tenham a habilidade
ou os recursos técnicos para desenvolver suas
Nós criamos este guia para ajudar você
próprias ferramentas agora podem gerenciar
a refinar e concentrar seus esforços para
testes de penetração prontos e ferramentas
modernizar suas operações de segurança
de administrador do sysadmin para executar
e defender a organização em um cenário
ataques. Esses criminosos de nível mais básico
de ameaças crescentes.
também podem simplesmente comprar acesso
de rede de um grupo criminoso mais sofisticado

1. Visão geral das operações de segurança 2 3 4

Operações de segurança modernas 4

Lições aprendidas com

o Microsoft SOC

Os aprendizados e as práticas recomendadas ● Sobrecarga dos analistas – os conjuntos

aqui apresentadas foram obtidos de conversas
com clientes da Microsoft e da nossa experiência
no desenvolvimento e no aperfeiçoamento
das práticas de operações de segurança
da Microsoft.
Embora isso possa parecer surpreendente
para algumas pessoas, o SOC corporativo
de TI da Microsoft protege um ambiente
entre plataformas composto por um número
considerável de dispositivos com Windows
e Linux e de Macs que executam software
Microsoft e não Microsoft. Anteriormente, esse
SOC operava em um modelo de SOC tradicional,
parecido com o que vemos na maioria das
organizações, e enfrentamos os mesmos
desafios naturais desse modelo:
de regras estáticos geravam um excesso
de alertas de falsos positivos, o que levou
a uma fadiga de alertas.
● Fluxo de trabalho de investigação
insatisfatório – a investigação de eventos
usando o SIEM tradicional na infraestrutura
local era ineficiente e exigia consultas
manuais e trocas de ferramentas.
Nossa equipe sabe com o que você está
lidando porque já enfrentamos esse cenário.
Ao longo deste guia, compartilharemos as
práticas recomendadas e as principais lições
que aprendemos trabalhando para modernizar
as operações de segurança na Microsoft para
nós mesmos e os nossos clientes.

● Volume de eventos – alto volume

e crescimento (na escala de 20 bilhões de
eventos por dia) excederam a capacidade do
SIEM na infraestrutura local de lidar com isso.

O SOC corporativo de TI da Microsoft protege um ambiente

entre plataformas composto por um número considerável de
dispositivos com Windows e Linux e de Macs que executam
software Microsoft e não Microsoft.

1. Visão geral das operações de segurança 2 3 4

Operações de segurança modernas 5

A função das operações

de segurança
As operações de segurança mantêm
e restauram as garantias de segurança
do sistema conforme os adversários
promovem ataques. Suas principais funções
são descritas na Estrutura de Segurança
Cibernética do NIST e incluem:

● Detectar

● Responder

● Recuperar

1. Visão geral das operações de segurança 2 3 4

Operações de segurança modernas
● Detectar – as operações de segurança
devem detectar a presença de adversários
no sistema, que na maioria dos casos são
incentivados a permanecerem ocultos
porque isso permite que atinjam seus
objetivos sem impedimentos. Essa detecção
ocorre na forma de uma reação a um alerta
de atividade suspeita ou na forma de uma
busca proativa de eventos anômalos nos logs
de atividades da empresa.
● Responder – depois de detectar uma
possível ação ou campanha do adversário,
as operações de segurança devem fazer
uma rápida investigação para identificar
se é um ataque real (verdadeiro positivo)
ou um alarme falso (falso positivo)
e, então, especificar o escopo e o objetivo
da operação do adversário.
● Recuperar – a meta das operações de
segurança é preservar ou restaurar as
garantias de segurança (confidencialidade,
integridade, disponibilidade) dos serviços
comerciais durante e após um ataque.
1. Visão geral das operações de segurança
6
A efetividade nessas áreas reduz o risco,
limitando o tempo e os acessos que os
invasores têm na organização. Em última
análise, isso aumenta o custo do invasor
e diminui o benefício, o que prejudica o retorno
do investimento (ROI) e a motivação para
atacar a organização. Além disso, as equipes
de operações de segurança impulsionam
a maturidade geral de segurança.
Nas operações de segurança, tudo deve
ser voltado para limitar o tempo e o acesso
dos invasores aos ativos da organização
em um ataque a fim de mitigar o risco para
os negócios.
As operações de segurança também defendem
uma maior maturidade da segurança em toda
a organização, pois qualquer fragilidade na
postura de segurança pode levar a incidentes
que a equipe terá de resolver.
2 3 4
Operações de segurança modernas 7

Relacionamentos
de negócios
Criar e manter relacionamentos com o lado
comercial da organização melhora a eficácia
da equipe de segurança. Isso inclui fazer
um esforço para entender as estratégias
de negócios e envolver os líderes de forma
a ajudá-los a entender o que sua equipe
faz para prevenir e mitigar ataques.

Na Microsoft, focamos em quatro

principais pontos de integração
funcionais com a empresa:

● Contexto empresarial

● Exercícios de prática conjunta

● Atualizações dos principais incidentes

● Business intelligence

1. Visão geral das operações de segurança 2 3 4

Operações de segurança modernas 8

● Contexto de negócios – entender o que ● Principais atualizações de incidentes –

é mais importante para a organização ajuda
a equipe a aplicar esse contexto a situações
de segurança em tempo real e imprevisíveis.
O que teria o impacto mais negativo nos
negócios? O tempo de inatividade de
sistemas críticos? A perda de reputação
e da confiança do cliente? A divulgação
de dados confidenciais? A adulteração de
dados ou sistemas críticos? Aprendemos
que é fundamental que os principais
líderes e funcionários entendam esse
contexto à medida que esquadrinham
a avalanche de informações e incidentes
de triagem e priorizem o tempo, a atenção
e o empenho.
fornecer atualizações aos stakeholders dos
negócios sobre os principais incidentes
à medida que eles acontecem permite que
os líderes de negócios compreendam seu
risco e tomem medidas proativas e reativas
para gerenciar esse risco.
● Business Intelligence –
o compartilhamento de descobertas de
metas inesperadas com líderes de negócios
pode desencadear insights como
a conscientização externa de uma iniciativa
de negócios secreta ou o valor relativo
de um conjunto de dados negligenciado.

● Exercícios de prática conjunta – praticar

a resposta aos principais incidentes em
conjunto forma a memória muscular e os
relacionamentos que são decisivos para
a tomada de decisão rápida e eficiente
na grande pressão dos incidentes reais,
reduzindo os riscos para a organização. Essa
prática também diminui os riscos porque
expõe as lacunas e suposições no processo
que podem ser corrigidas antes de um
incidente real.

1. Visão geral das operações de segurança 2 3 4

Operações de segurança modernas
Como as operações de
segurança trabalham com as
outras equipes da organização,
principalmente da área
comercial?
Sua equipe deve estar ciente das principais
prioridades de negócios para que eles
possam identificar os ativos críticos e definir
prioridades de segurança de acordo. Desse
modo, você pode se concentrar nos ativos
mais críticos e aplicar os sistemas de defesa,
as políticas e as investigações automatizadas
necessárias para se alinhar à equipe de
negócios.
Saber quem são os principais stakeholders
e informá-los imediatamente permite que
toda a empresa responda, incluindo:
● Operações de segurança
● Operações
● Logística
● RP/comunicações
● Liderança de negócios
1. Visão geral das operações de segurança
9
Uma das melhores maneiras de criar
os relacionamentos necessários com a área
comercial é por meio de exercícios de simulação
para praticar a resposta a incidentes. Todos
participam dos exercícios de simulação:
as equipes de liderança e os stakeholders
de resposta a incidentes. Desse modo, os
stakeholders de negócios e segurança podem
criar esses relacionamentos. As duas funções
aprenderão a trabalhar melhor em conjunto
para que todos saibam quem é quem, como
interagir e o que fazer para resolver a situação
de emergência quando ocorrer um incidente.
2 3 4
Operações de segurança modernas 10

Funções típicas das

operações de segurança
O componente mais comum das operações
de segurança é a investigação e a resposta
a incidentes, e é aqui onde a maioria das
equipes de operações de segurança iniciará
o seu desenvolvimento. Entre as funções
típicas estão:

● Investigação e resposta a incidentes –

isso inclui analisar alertas das ferramentas
de segurança (como SIEM, XDR, EDR),
investigar e corrigir. Em organizações
maiores, cada aspecto da resposta a
incidentes provavelmente é tratado
internamente. No entanto, em organizações
menores ou com funções de segurança
menos desenvolvidas, às vezes essas
funções são totalmente terceirizadas para
um provedor de serviços de segurança
gerenciados (MSSP). Em outros casos, será
desenvolvido um modelo híbrido com uma
triagem e rápida correção terceirizadas para
o MSSP, enquanto a investigação avançada
ocorre internamente.

1. Visão geral das operações de segurança 2 3 4

Operações de segurança modernas
● Inteligência tática contra ameaças –
mais comum em organizações maiores,
a inteligência tática contra ameaças
concentra-se em aspectos técnicos, como
indicadores de comprometimento (IOCs),
endereços IP mal-intencionados, nomes DNS
inválidos e hashes de arquivos. Em alguns
casos, a organização usará informações de
um serviço de inteligência contra ameaças
para cobrir essa função, enquanto outras
organizações farão suas próprias pesquisas.
Em grande parte, a inteligência tática contra
ameaças é uma função de apoio da função
de resposta a investigações e lida com alertas
e investigações em andamento.
● Gerenciamento de incidentes/crises –
quando um incidente ou uma crise
importante coloca os negócios em risco,
as organizações podem empregar a função
especializada do gerente de incidentes ou
gerente de crise. Trata-se de um profissional
competente que vai gerenciar a resposta
a crises, avaliar os efeitos regulatórios ou
de conformidade dos incidentes e manter
a comunicação com os líderes de negócios
durante todo o incidente. As organizações
Em grande parte, a inteligência tática contra ameaças é uma
função de apoio da função de resposta a investigações e lida
com alertas e investigações em andamento.
1. Visão geral das operações de segurança
11
de grande porte provavelmente contam
com um gerente de incidentes em tempo
integral, enquanto as menores usam
uma função temporária, de acordo com
a necessidade. Essa função exige um
conjunto de habilidades especializado
que é diferente das habilidades técnicas
investigativas de outros analistas.
● Gerenciamento da infraestrutura de
SIEM dedicada – as organizações que
contam com SIEMs na infraestrutura local
de uso intensivo podem ter uma equipe
interna para manter essa infraestrutura.
A infraestrutura de SIEMs herdados na
infraestrutura local pode se tornar muito
grande e complexa. Nesses casos, o apoio
às equipes de analistas em suas consultas
avançadas e buscas de invasores pode exigir
mais pessoal. Conforme as organizações
migrarem para SIEMs baseados em nuvem,
como o Microsoft Sentinel, essa função
deverá ser eliminada ou redirecionada
para outras necessidades de infraestrutura,
pois o gerenciamento de infraestrutura
não é necessário com um SIEM baseado
em nuvem.
2 3 4
Operações de segurança modernas 12

Para equipes de operações

de segurança mais avançadas:

● Busca proativa – às vezes, adversários Realisticamente falando, no momento atual,

talentosos e determinados podem encontrar
um meio de escapar das detecções. Uma vez
lá dentro, eles se escondem entre os ruídos
para darem a impressão de ser uma prioridade
menor. Eles escapam e podem ser ignorados
pelos processos normais. A indústria está
reconhecendo que existe uma necessidade
de caçadores proativos que busquem os
adversários para encontrar e eliminar os que
conseguiram burlar as defesas primárias.
Falaremos mais sobre a busca proativa na
seção sobre as práticas recomendadas.
existe uma escassez de talentos de analistas
de segurança. Em qualquer empresa que
conta com uma equipe interna de operações
de segurança, o foco principal da equipe deve
ser a investigação e a resposta a incidentes.
À medida que essa necessidade básica
é atendida e a equipe amadurece e aumenta,
as funções da equipe também podem aumentar
e migrar para a busca proativa e a inteligência
estratégica contra ameaças. Mas, se a sua equipe
é pequena, a prioridade deve ser identificar
e responder aos incidentes.

● Inteligência estratégica contra ameaças –

essa função de inteligência contra ameaças
é diferente da função de inteligência tática
contra ameaças que abordamos anteriormente
e que fornece os indicadores técnicos de
comprometimento. A inteligência estratégica
contra ameaças é inovadora e fornece
orientação estratégica, inteligência e pesquisa
sobre os tipos de ameaças e ataques que
a empresa pode enfrentar, além de uma
consideração dos riscos e das consequências
para os negócios se esses ataques ocorrerem.
A equipe de inteligência estratégica contra
ameaças orienta o CISO ou os líderes de
negócios para que eles entendam o cenário
atual de ameaças, como interpretar as notícias
do ponto de vista da segurança cibernética
e incluí-lo no planejamento estratégico.

1. Visão geral das operações de segurança 2 3 4

Operações de segurança modernas 13

Modernização
das operações
de segurança
Para modernizar as operações de
segurança, é preciso amadurecer as
ferramentas e os processos que vão
sustentar a evolução de uma postura
reativa para uma postura proativa
e de um modelo de perímetro de rede
para um modelo de segurança que
usa a identidade como principal plano
de controle da segurança.

Seja proativo, não reativo

Aumente a visibilidade

Com ferramentas e automação sólidas,

os analistas têm visibilidade e ganham
tempo para deixar de lado as respostas
puramente reativas e se preparar para
buscar os adversários proativamente. Esse
tipo de ferramentas geralmente é chamado
de detecção e resposta estendidas (XDR)
e tem como foco oferecer detecções de

1 2. Modernização das operações de segurança 3 4

Operações de segurança modernas
alta qualidade e outras funcionalidades
para recursos específicos, como pontos
de extremidade, identidades, contas de
armazenamento em nuvem, entre outros.
Muitas organizações continuam dependendo
de SIEMs na infraestrutura local herdados e de
um processo de análise centrado em logs.
Entretanto, é importante lembrar que "coleta
não é detecção", ou seja, a simples coleta de
logs não terá utilidade se houver muitos dados
para os analistas filtrarem. Você perderá o sinal
no meio dos ruídos e aumentará as chances
de os analistas desperdiçarem um tempo
precioso atrás de falsos positivos enquanto
ameaças reais passam desapercebidas. Na
abordagem de SIEM herdado e centrada
em logs, as organizações devem trabalhar
para adotar um modelo que use o SIEM
baseado em nuvem, como o Microsoft
Sentinel, e ferramentas sólidas, como
detecção e resposta de ponto de extremidade
(EDR) e outras ferramentas de detecção
especializadas. Quando essas ferramentas de
detecção estão integradas a um SIEM baseado
em nuvem capaz de aplicar machine learning,
análise comportamental e a tecnologia
de resposta automatizada de orquestração
de segurança (SOAR) aos alertas recebidos,
acontecem três coisas:
1 2. Modernização das operações de segurança
14
1. Muitos alertas são processados de modo
automatizado, sem exigir o tempo de um
analista.
2. A qualidade de alertas que chegam às
filas dos analistas aumenta drasticamente
à medida que eles têm a visibilidade
precisa para saber o que está realmente
acontecendo, e onde, e assim agir com
sucesso.
3. À medida que a tecnologia automatiza
cada vez mais as funções reativas das
operações de segurança, os analistas podem
se concentrar mais no aspecto da busca
proativa da segurança e começar a procurar
anomalias e adversários no ambiente.
Esse tipo de evolução de uma postura
reativa para proativa, e das ferramentas e do
SIEM na infraestrutura local para a nuvem,
nem sempre é linear. Mas, historicamente,
essa é a trajetória de maturidade que
observamos. Nós antevemos que isso
aumentará no futuro e recomendamos como
modelo para as organizações interessadas
em tomar medidas produtivas para
modernizar suas operações de segurança.
3 4
Operações de segurança modernas
Reduzir a superfície de ataque é outra etapa
proativa que você pode seguir. A maioria
dos ataques contra uma organização segue
a estrutura do que chamamos de cadeia de
ataques cibernéticos. Essa cadeia nos ajuda
a entender como funciona um ataque típico
e quais tecnologias podem ajudar a mitigar
as ameaças em cada seção dela. Entendendo
a cadeia, as organizações podem inserir
"quebras" em cada elo a fim de parar um
ataque ou impedi-lo de se espalhar.
1 2. Modernização das operações de segurança
15
Estas são as etapas de uma
cadeia de ataques típica:
1. Reconhecimento – os criminosos inventam
maneiras de explorar uma organização ou um
usuário dentro de uma organização. Essa
atividade pode incluir pesquisas para descobrir
informações que podem ser usadas em uma
campanha de spear phishing, atividade da
Dark Web em que os criminosos compram
informações sobre vulnerabilidades dentro de
uma organização ou realizam o reconhecimento
para descobrir pontos fracos na infraestrutura
de TI ou na base de usuários.
2. Exploração de uma vulnerabilidade –
os agentes de ameaças lançam um ataque.
Pode ser uma campanha de phishing comum
ou uma técnica mais sofisticada criada para
introduzir código malicioso nos sistemas de uma
organização.
3. Movimento lateral – depois de entrarem,
os criminosos usam seu acesso para percorrer
os sistemas de uma organização a fim de
localizar dados importantes, e muitas vezes
sem ser detectados. Eles podem tomar medidas
para encobrir seus rastros ou adicionar outros
pontos de entrada, caso a violação original seja
descoberta.
4. Exportação de dados – depois de
encontrarem os dados que estão procurando,
sejam pessoais, financeiros, de propriedade
intelectual ou outras informações confidenciais,
os criminosos podem roubá-los ou criptografá-
los em um ataque de ransomware.
3 4
Operações de segurança modernas
A falta de orquestração entre as ferramentas
pode aumentar a pressão sobre os analistas
de  segurança, que terão de decifrar as
ameaças manualmente, o que atrasa as
respostas quando o tempo é essencial.
Uma estratégia tradicional de defesa
de perímetro não é mais suficiente para
mitigar os ataques contra uma organização.
As técnicas de ataque modernas, como
phishing e spray de senha, são projetadas
para derrotar as defesas perimetrais. Além
disso, uma quantidade crescente de dados
existe na nuvem e em dispositivos móveis
fora da rede corporativa. Em resposta,
os líderes de segurança devem abandonar as
proteções baseadas em perímetro, projetadas
simplesmente para afastar os invasores, e partir
para uma abordagem proteger/detectar/
responder idealizada para a realidade de hoje
de "suposição de violação".
Todavia, essa abordagem de várias camadas
costuma ser implementada por meio
de soluções pontuais fragmentadas para
Técnicas de ataque modernas, como phishing e pulverização de
senha, burlam o perímetro, sendo cada vez maior o número de
recursos presentes na nuvem e em dispositivos móveis fora da
rede corporativa.
1 2. Modernização das operações de segurança
16
resolver seções específicas da cadeia de
ataques e deixa as organizações vulneráveis,
pois com frequência as ferramentas
estão isoladas e devem ser gerenciadas
separadamente. Isso deixa lacunas críticas
na visibilidade e na cobertura que podem
ser exploradas por invasores.
Uma abordagem holística de mitigação
de riscos para o atual cenário de ameaças
em evolução requer uma plataforma
que possa proporcionar a CISOs e suas
equipes integração e visibilidade de toda
a organização. Essa abordagem integrada
fecha as lacunas para reduzir a superfície
de ataque. Essa abordagem é habilitada
integrando um sistema SIEM nativo da nuvem,
que fornece amplitude entre plataformas com
soluções de detecção e resposta estendidas
(XDR). Essas soluções, por sua parte, fornecem
proteção contra ameaças detalhada entre
domínios para ajudar os defensores a conectar
alertas aparentemente díspares e ficar à frente
dos invasores.
3 4
Operações de segurança modernas 17

Abordagem da Microsoft

No Microsoft SOC, temos essa visibilidade ampla e detalhada com os recursos integrados de SIEM
e XDR do Microsoft Sentinel, do Microsoft 365 Defender e do Microsoft Defender para Nuvem.

Microsoft Sentinel
SIEM nativo de nuvem, fornecendo análises de segurança inteligentes em toda a empresa

Ingerir dados Detectar Investigar Buscar Aplicativos

de todo o seu com correlação em todas as com todos os fluxos de trabalho
ambiente entre sinais suas soluções seus dados com todas as suas
de segurança ferramentas

Incidentes compartilhados
com sincronização
bi-direcional

XDR Sinais adicionais

Microsoft 365 Defender Microsoft Defender para Nuvem
Proteja seus usuários finais Proteja seus workloads em
com proteção para: nuvem híbrida e multinuvem com
proteção para:
• P
 ontos de • Aplicativos
extremidade • Dados • Servidores • Contêineres
• Email • IoT • B
 ancos de • Aplicativos
• Identidades dados de nuvem
• Armazenamento

1 2. Modernização das operações de segurança 3 4

Operações de segurança modernas 18

● O Microsoft Sentinel, nosso SIEM nativo Operações de segurança

de nuvem e líder da indústria, faz coletas
de qualquer fonte, de quaisquer dados
e de qualquer entidade. O Sentinel
Arquitetura de referência da Microsoft
oferece análise de segurança inteligente
Nossa visão técnica para as operações
e inteligência contra ameaças na empresa
de segurança coloca as pessoas (analistas
inteira por meio de detecção de alertas,
e caçadores) no centro. Nossas tecnologias
visibilidade de ameaças, busca proativa
de segurança integradas de SIEM e XDR são
e uma resposta orquestrada a ameaças com
aplicadas para ajudar os analistas e caçadores
a tecnologia SOAR integrada.
a serem bem-sucedidos, fornecendo a eles
insights detalhados para gerar alertas de alta
● O Microsoft 365 Defender fornece
qualidade que incorporam a profundidade de
detecção e resposta estendidas (XDR)
sinal via XDR e a amplitude de sinal por meio
em identidades, pontos de extremidade,
do nosso SIEM nativo de nuvem, o Microsoft
aplicativos e emails.
Sentinel. Nossa proteção XDR se estende dos
produtos e serviços da Microsoft a tudo o
● O Microsoft Defender fornece mais no ambiente, e a detecção e a resposta
proteção multinuvem abrangente para coordenadas podem encontrar e remover
IoT, infraestrutura, recursos de nuvem até mesmo cadeias de ataques sofisticadas
e workloads. para impedir que os adversários percorram
o ambiente caso consigam entrar.

Saiba mais sobre a proteção integrada

da Microsoft contra ameaças com SIEM
e XDR.

Nossas tecnologias de segurança integradas SIEM e XDR

são aplicadas para ajudar os analistas e caçadores a serem
bem-sucedidos, fornecendo insights detalhados para gerar
alertas de alta qualidade.

1 2. Modernização das operações de segurança 3 4

Operações de segurança modernas 19

Confiança Zero e as
operações de segurança
modernas
Hoje, a maioria das organizações têm
boas defesas para se proteger de ataques
baseados em rede. Reconhecendo isso,
os invasores mudaram a tática usada nos
ataques baseados em identidade e aplicativos
em que as defesas são mais fracas. Além
disso, dispositivos e aplicativos agora estão
saindo da rede, eliminando o perímetro
como ponto de controle.

Modernizar significa aprimorar as táticas

de defesa para que elas se adequem às táticas
dos adversários. Por isso recomendamos
enfaticamente a adoção de um modelo
de segurança de Confiança Zero, que coloca
a identidade em primeiro lugar. Não estamos
dizendo que agora você deve ignorar as
redes, mas é necessário priorizar as técnicas
de ataque baseadas em identidade
e desenvolver habilidades e funcionalidades
de segurança de identidade.

Em vez de criar defesas fortes na rede

e achar que tudo o que fica atrás do
firewall corporativo está seguro, o modelo
de Confiança Zero pressupõe a violação
e verifica cada solicitação como se fosse
proveniente de uma rede sem controle. No
modelo de Confiança Zero, não existe rede
confiável — toda rede é hostil.

1 2. Modernização das operações de segurança 3 4

Operações de segurança modernas 20

1. Verificar explicitamente – sempre Uma abordagem de Confiança Zero deve

autentique e autorize com base em todos cobrir toda a propriedade digital e servir como
os pontos de dados disponíveis, incluindo filosofia de segurança integrada e estratégia
identidade do usuário, local, integridade do completa. Isso é feito com a implementação
dispositivo, serviço ou workload, classificação de controles e tecnologias de Confiança Zero
de dados e anomalias. em todos os seis elementos fundamentais:
identidades, pontos de extremidade,
2. Usar acesso com privilégios mínimos aplicativos, dados, infraestrutura e redes.
– limite o acesso do usuário com acesso Cada um desses seis elementos fundamentais
Just-In-Time e Just-Enough Access (JIT/ é uma fonte de sinal, um plano de controle
JEA), políticas adaptáveis baseadas em risco a ser executado e um recurso crítico a ser
e proteção de dados para proteger os dados defendido. Isso torna cada um deles uma área
e a produtividade. importante para concentrar os investimentos,
a começar pela identidade.
3. Presumir violações – Minimize o raio
de destruição das violações e impeça
o movimento lateral segmentando o
acesso por rede, usuário, dispositivos e
reconhecimento de aplicativos. Verifique se
todas as sessões são criptografadas de ponta
a ponta. Use a análise para obter visibilidade,
impulsionar a detecção de ameaças e
melhorar as defesas.

Cada um desses seis elementos fundamentais é uma

fonte de sinal, um plano de controle a ser executado
e um recurso crítico a ser defendido.

1 2. Modernização das operações de segurança 3 4

Operações de segurança modernas 21

Identidades Pontos de
Humanos Não
extremidade
Corporativos
humanos
Pessoais

Autenticação forte Conformidade do

dispositivo

Aprimoramento das Avaliação de

solicitações risco

Otimização Proteção contra

de políticas Política de ameaças
Governança confiança zero Avaliação contínua In-
Conformidade teligência contra ameaças
Avaliação da postura de Aplicação de Análises forenses
segurança avaliação Automação de resposta
Otimização da produtividade

Filtragem e segmentação de tráfego

Rede
Pública Privada

Classificar, rotular, criptografar Acesso adaptável Controle de tempo de execução

Aplica-
Dados tivos Infraestrutura
IaaS -PaaS - Contêineres de
Emails e documentos Aplicativos SaaS
sites internos - Sem servidor
Dados estruturados Aplicativos na
infraestrutura local JIT e controle de versão

Telemetria/análise/avaliação

1 2. Modernização das operações de segurança 3 4

Operações de segurança modernas 22

A função da orquestração
na Confiança Zero
Orquestração é o processo de integração
de aplicativos e automação de um fluxo de
trabalho. Como já mencionado, a Confiança
Zero é mais eficaz quando totalmente
integrada a uma estratégia de ponta a ponta.
Mas alcançar essa integração de uma forma
que apoie a conformidade e a eficiência
operacional requer uma orquestração
cuidadosa.

Isso significa impor políticas claras de

Confiança Zero e avaliar continuamente
a eficácia dessas políticas para que
os ajustes possam ser feitos conforme
necessário. A avaliação contínua é vital para
otimizar a governança, a conformidade
e a produtividade, mantendo uma postura de
segurança forte. A incorporação de um feed
de inteligência contra ameaças torna mais fácil
ajustar as políticas de acordo com as ameaças
mais recentes, e a automação de resposta
permite responder a ataques em tempo real
e impulsionar a eficiência.

Para ajudar você a planejar e implementar

uma mudança para a Confiança Zero, este
é o nosso roteiro que recomendamos na
busca por uma estratégia de modernização
da Confiança Zero.

1 2. Modernização das operações de segurança 3 4

Operações de segurança modernas
Alinhe a estratégia de
segmentação e as equipes
● Unifique identidade, dispositivos,
aplicativos, dados, infraestrutura e redes
em uma só estratégia de segmentação
empresarial. Todos devem estar em sintonia,
buscando a mesma estratégia, com as
mesmas prioridades e falando a mesma
língua.
Crie um perímetro moderno
com base em identidade
● Estabeleça seu caminho crítico usando
garantias de usuário e dispositivo.
Usuário – Exija autenticação sem senha ou
MFA para o acesso a aplicativos modernos.
Dispositivo – Exija integridade
do dispositivo para acesso.
Recomendamos implantar o caminho crítico
para os administradores de TI primeiro.
Os administradores de TI podem fornecer
comentários técnicos para ajudar você a fazer
melhorias antes de uma ampla implantação.
Como eles mesmos são alvos dos invasores,
uma violação dessas contas pode causar
grande impacto. Proteja os administradores
de TI primeiro e, depois, os usuários comuns.
1 2. Modernização das operações de segurança
23
Finalize a estratégia
● Modernize aplicativos e ajuste garantias
fortes para ativos na infraestrutura local
herdados via proxy de aplicativos.
● Aumente os níveis de proteção de dados
confidenciais (CASB, controle de acesso
de CA, AIP).
● Desative protocolos de autenticação
herdados.
Refine a segmentação
e o perímetro de rede
● Segmente ativos com impacto crítico nos
negócios, no operacional/físico, na vida/
segurança.
● Adicione microssegmentação para reduzir
ainda mais o risco.
● Desative e isole plataformas de
computação herdadas, como aquelas com
aplicativos e sistemas operacionais sem
suporte.
3 4
Operações de segurança modernas
Introdução à
Confiança Zero
Confiança Zero é um modelo de segurança,
não uma tecnologia específica, e para
concretizá-la você deve empreender uma
jornada. Nos ambientes de trabalho móveis,
remotos e híbridos de hoje, você não pode
mais depender de um perímetro de rede para
a segurança: o perímetro de rede desapareceu.
As operações de segurança devem se alinhar
em torno da proteção baseada na identidade
para estabelecer a base de um modelo de
Confiança Zero. Os usuários podem ter
vários dispositivos e podem acessar recursos
corporativos de várias redes e aplicativos.
Quase todos esses recursos exigem
autenticação, tornando a identidade um
denominador comum de todas as solicitações
de acesso, seja de um dispositivo pessoal em
uma rede Wi-Fi pública ou de um dispositivo
corporativo no perímetro da rede. O uso da
identidade como plano de controle permite
tratar todas as solicitações de acesso como não
confiáveis até que o usuário, o dispositivo e os
outros fatores sejam verificados por completo.
1 2. Modernização das operações de segurança
24
A primeira etapa da implementação do
modelo de segurança de Confiança Zero
é conectar todos os aplicativos a uma
única solução de identidade na nuvem,
como o Microsoft Azure Active Directory.
Isso permite criar a segurança baseada em
identidade e aplicar políticas personalizadas
em todo o ambiente para controlar o acesso
a cada aplicativo. Com essa etapa concluída,
você pode implementar a autenticação
multifatorial (MFA) para todos os aplicativos.
A MFA é uma política de segurança
consistente e forte, capaz de bloquear até
99,9% dos ataques de comprometimento
de conta.
Para avaliar a postura de segurança
de Confiança Zero de sua organização,
faça a avaliação de maturidade da
Confiança Zero.
A solução de identidade recomendada
pela Microsoft para Confiança Zero
é o Azure Active Directory, parte do
Microsoft Entra. Para saber como você
pode iniciar sua jornada de Confiança Zero
com o Gerenciamento de Identidades
e Acesso, leia Proteção da identidade com
a Confiança Zero.
3 4
Operações de segurança modernas 25

Proteção contra ameaças

internas
Com um modelo de segurança de Confiança
Zero e um pacote de segurança integrado
em vigor, as operações de segurança podem
proteger melhor a organização contra
ameaças externas. No entanto, você também
deve proteger contra ameaças internas
usando ferramentas e processos que protejam
informações, usuários e dispositivos.

Agora, os dados se estendem muito além

da infraestrutura local em ambientes
multinuvem e de nuvem híbrida, estendendo
suas responsabilidades por todo o ciclo de
vida dos dados – da criação dos dados até sua
desativação ou exclusão.

Saber quais dados você tem, quem os está

acessando e o que as pessoas estão fazendo
com eles é essencial para a segurança da
organização. No entanto, da mesma forma que
na otimização da segurança de identidade,
uma peça-chave desses esforços é a redução
do risco sem comprometer a produtividade do
usuário nesse cenário expandido de TI.

1 2. Modernização das operações de segurança 3 4

Operações de segurança modernas 26

As organizações têm uma variedade de Recomendamos que você concentre

tecnologias e ferramentas à disposição para
gerenciar e proteger os dados em diferentes
estágios do ciclo de vida. Embora essas
ferramentas forneçam flexibilidade, elas
também adicionam complexidade significativa.
Um estudo recente do IDG descobriu que
as organizações usam uma média de quase
cinco sistemas de gerenciamento de dados
diferentes para atividades como classificação,
descoberta eletrônica e gerenciamento de
registros. As soluções de segurança integradas
também podem proteger contra ameaças
internas fechando lacunas críticas que levam
ao vazamento de dados e dando visibilidade
completa ao longo do ciclo de vida dos dados.
os esforços de proteção completa contra
ameaças internas em três etapas principais:
● Identificar os dados
● Classificar os dados
● Implementar ferramentas
e políticas para proteger os dados
O objetivo deve ser ajudar a garantir que todas
as informações sejam protegidas, da forma
como são usadas e onde são usadas.

Saber quais dados você tem, quem os está acessando

e o que as pessoas estão fazendo com eles é essencial
para a segurança da organização.

1 2. Modernização das operações de segurança 3 4

Operações de segurança modernas
Diferenciar risco intencional
de risco não intencional
Ameaças internas são algo inevitável para
todas as empresas e, às vezes, os dados são
colocados em risco mesmo no curso normal
do trabalho legítimo. Pense no número de
pessoas que acessam recursos, o ciclo natural
de pessoas que entram e saem de uma
empresa. Com os processos, funcionalidades
e controles certos em vigor, você pode manter
a supervisão de dados e a confiança dos
usuários sem prejudicar a produtividade.
Uma funcionalidade importante é diferenciar
um risco intencional de um risco não
intencional por parte de seus usuários. Um
usuário verdadeiramente mal-intencionado
pode tentar fazer coisas que vão contra
as políticas corporativas, como desativar
controles de segurança, por exemplo, ou
instalar software malicioso.
Muitas vezes, o intuito é vazar ou roubar dados
em benefício próprio ou por má intenção.
As operações de segurança devem estar
preparadas para esses eventos e precisam ter
maneiras de prevenir, detectar e conter esses
tipos de ameaças.
1 2. Modernização das operações de segurança
27
Mas existem outras classes de ameaças em que
o usuário talvez nem saiba que está violando
a política corporativa. O usuário pode estar
entusiasmado com um projeto e compartilhar
informações sobre ele fora de seu grupo, por
exemplo, e no processo, ele acaba vazando
dados sem perceber que está enviando
informações confidenciais. As ferramentas que
param esse vazamento de dados involuntário
antes que ele possa acontecer e/ou investigar
e observá-lo em tempo real, no contexto,
permitem que você determine a intenção
e o impacto e decidir se foi um ato único
de descuido ou parte de um padrão maior
e potencialmente malicioso.
À medida que você revela o risco, precisa
garantir que o foco permaneça na atividade
genuinamente suspeita para não causar
problemas com os usuários nem sobrecarregar
os analistas com alertas que são falsos
positivos.
Saiba mais sobre o Gerenciamento de Risco
Interno no Microsoft Purview.
3 4
Operações de segurança modernas 28

Práticas recomendadas
para operações de
segurança

Como dissemos anteriormente, Seus objetivos devem ser capacitar os

no centro das operações de segurança
estão pessoas, especificamente
os analistas de segurança.
À medida que seus analistas fazem o trabalho
deles, vão progredir formal ou informalmente
no que é conhecido como um loop OODA:
● Observar
funcionários para avançar no loop OODA
o mais rápido possível, com as melhores
informações possíveis, para que eles possam
tomar as melhores decisões e as medidas mais
eficazes possíveis.
Para tomar decisões melhores com mais
rapidez, concentre-se em maximizar
a visibilidade, reduzir etapas manuais
e maximizar o impacto humano.

● Orientar

● Decidir

● Agir

1 2 3. Práticas recomendadas para operações de segurança 4

Operações de segurança modernas 29

Maximize a visibilidade Acreditamos firmemente no poder da

automação e da tecnologia para diminuir
● Interno– minimize os pontos cegos
o trabalho humano. Mas, em última análise,
internos garantindo uma boa cobertura
os invasores com os quais você está lidando
(o mais próximo possível de 100%), além
são pessoas, por isso o bom senso humano
da cobertura dos tipos de ativos (incluindo
é crucial no processo de defesa contra
identidades, pontos de extremidade, email,
ameaças.
aplicativos de nuvem, datacenters na
infraestrutura local, datacenters na nuvem
A automação não se resume a usar
e dados em aplicativos de SaaS e PaaS
a eficiência para tirar as pessoas do processo
na nuvem).
— ela requer a capacitação dessas pessoas.
Pense em como você pode automatizar
● Externo – garanta uma diversidade de
tarefas repetitivas do trabalho dos analistas
feeds de ameaças de fontes externas que
para que eles se concentrem nos problemas
tragam insights e contexto do ambiente
complexos que somente as pessoas são
externo de malware, ataques por email,
capazes de resolver.
sites de ataques, senhas/identidades
comprometidas etc. Maximize a renovação
A automação capacita os seres humanos
e a fidelidade (detalhes relevantes) das
a fazer mais aumentando a velocidade
fontes de ameaças externas utilizadas.
de resposta e capturando as competências
humanas. Isso reduz a carga e o tédio
de tarefas repetitivas, permitindo
Reduza as etapas manuais (e os erros)
que os analistas concentrem o tempo
Automatize e integre o maior número e a criatividade em novos desafios
possível de processos manuais para eliminar e ameaças.
ações humanas desnecessárias que levem
a atrasos e possíveis erros humanos.

Para separar rapidamente o sinal (detecções

reais) do ruído (falsos positivos), é preciso
investir em seres humanos e na automação.

1 2 3. Práticas recomendadas para operações de segurança 4

Operações de segurança modernas 30

Maximize o impacto humano

Para os lugares no processo onde faz sentido
haver interação humana (escolhas difíceis,
novas decisões etc.), você deve garantir
que os analistas tenham acesso a profundo
conhecimento e inteligência para facilitar essas
decisões.
Além disso, você deve garantir que
o aprendizado seja integrado ao longo
do processo, incluindo a consideração
de quando observar um ataque para saber
o objetivo dele (valor de longo prazo)
ou bloqueá-lo (valor de curto prazo).

Tomando decisões melhores com mais rapidez

Interna – Abrangência e diversidade da cobertura

Maximize
por sensor
a visibilidade
Externa – Diversidade e fidelidade do feed de ameaças

Reduza as etapas Automatizar – Tarefas de detecção e resposta

manuais (e os erros) Integrar – Ferramentas de investigação

Maximize o impacto Dar aos analistas acesso a conhecimento profundo

humano e inteligência de aprendizado contínuo – observar
ataques e integrar aprendizados em defesas

Detectar Responder Recuperar

Observar Orientar Decidir Agir

1 2 3. Práticas recomendadas para operações de segurança 4

Operações de segurança modernas
Cultura de operações de segurança
A cultura orienta inúmeras decisões por dia,
estabelecendo como seria a resposta certa
em situações ambíguas, que são muitas nas
operações de segurança.
Concentrar elementos culturais em pessoas,
trabalho em equipe e aprendizado contínuo
ajuda a garantir que a equipe se desenvolva
constantemente para acompanhar o ritmo
das ameaças contra as quais ela protege:
● Use o talento humano com sabedoria –
nosso pessoal é o ativo mais valioso,
e não podemos nos dar ao luxo de
desperdiçar o tempo deles em tarefas
repetitivas que podem ser automatizadas.
Para combater as ameaças humanas que
enfrentamos, precisamos de pessoas
experientes e bem preparadas que
possam aplicar conhecimentos, bom
senso e pensamento criativo. Esse fator
humano afeta quase todos os aspectos das
operações de segurança, inclusive o papel
das ferramentas e da automação para
capacitar as pessoas a fazer mais (em vez
de substituí-las) e diminuir o trabalho dos
nossos analistas.
1 2 3. Práticas recomendadas para operações de segurança
31
● Trabalho em equipe – recomendamos não
tolerar a mentalidade do "herói solitário" na
equipe. Ninguém sozinho é tão inteligente
quanto toda a equipe. O trabalho em
equipe torna um ambiente onde existe
uma grande pressão muito mais divertido,
agradável e produtivo quando todos
sabem que estão no mesmo time e têm
uns aos outros. No Centro de Operações de
Segurança da Microsoft, projetamos nossos
processos e ferramentas para dividir tarefas
em especialidades e incentivar as pessoas a
compartilhar insights, coordenar e verificar
o trabalho uns dos outros e aprender
constantemente uns com os outros.
● Mude a mentalidade – avançar e ficar
à frente dos criminosos cibernéticos
e hackers, que sempre aperfeiçoam suas
técnicas, exige melhorar continuamente
e mudar o rumo das suas atividades
"deixadas" na linha do tempo de ataques.
Priorizar a velocidade e a eficiência ajuda
a equipe a "ser mais rápida do que o ataque"
porque ela vai considerar maneiras pelas
quais poderia ter detectado os ataques com
antecedência e reagido com mais agilidade.
Esse princípio é a aplicação de uma
mentalidade de crescimento e aprendizado
contínuos que mantém a equipe totalmente
focada em diminuir os riscos para
a organização e os clientes.
4
Operações de segurança modernas 32

Segregue contas com

privilégios elevados

Nem todos os ataques são iguais do ponto de invasores etc.). Consideramos os desvios
vista dos danos que eles poderiam causar aos uma oportunidade de aprendizado para
negócios se fossem bem-sucedidos. As contas melhorar processos ou ferramentas, e não
de alto perfil (por exemplo, contas de uma dificuldade por parte do SOC de atingir
membros do Conselho, do CEO e do CFO) e de uma meta.
administrador são as que correm mais risco se
comprometidas. Por isso você deve dar uma
atenção especial à proteção proativa dessas
contas, segregando-as primeiro em ambientes
de computação dedicados usando estações
de trabalho com acesso privilegiado (PAWs),
que protegem essas contas importantes
contra ataques da Internet e outros vetores
de ameaças.

Métricas – medindo o sucesso

As métricas convertem a cultura em objetivos

claros e mensuráveis e exercem uma forte
influência na formação do comportamento
das pessoas. É fundamental considerar o que
você mede e como você prioriza e aplica
essas métricas. Na Microsoft, medimos
vários indicadores de sucesso no Centro
de Operações de Segurança (SOC), mas
sempre reconhecemos que o trabalho do
SOC é gerenciar variáveis significativas que
estão fora do nosso controle direto (ataques,

1 2 3. Práticas recomendadas para operações de segurança 4

Operações de segurança modernas
Estas são as métricas que rastreamos,
analisamos tendências e das quais geramos
relatórios:
● Tempo médio até o reconhecimento
(MTTA) – a capacidade de resposta
é um dos poucos elementos sobre o qual
o SOC tem controle direto. Medimos
o tempo entre um alerta que está
sendo gerado e o momento em que um
analista reconhece esse alerta e começa
a investigação. Para melhorar essa
capacidade de resposta, os analistas não
podem perder tempo investigando falsos
positivos enquanto outro alerta verdadeiro
positivo fica aguardando. Fazemos isso
graças a uma priorização implacável.
Todo alerta que exigir resposta do analista
deverá ter um registro histórico de 90% de
verdadeiros positivos.
● Tempo médio até a correção (MTTR) –
assim como muitos SOCs, rastreamos o
tempo até a correção de um incidente
para ter certeza de que estamos limitando
o tempo durante o qual os invasores têm
acesso ao nosso ambiente, conferindo
eficácia e eficiência aos processos
e ferramentas do SOC.
1 2 3. Práticas recomendadas para operações de segurança
33
● Incidentes corrigidos (manualmente
versus com automação) – medimos
quantos incidentes são corrigidos
manualmente e quantos são resolvidos
com automação. Isso assegura que os
nossos níveis de pessoal sejam apropriados
e mede a eficácia da nossa tecnologia
de automação.
● Escalonamentos entre cada camada –
rastreamos quantos incidentes são
escalonados entre as camadas de analistas
para garantir que capturemos o workload
de cada camada com precisão. Por exemplo,
precisamos garantir que o trabalho da
camada 1 em um incidente escalonado não
seja totalmente atribuído à camada 2.
4
Operações de segurança modernas 34

Mantenha a higiene crítica

Métodos, defesas e efeitos podem variar
mas, simplificando, os invasores exploram
as vulnerabilidades. O que, por sua vez, torna
o seu trabalho como profissional de segurança
simples: elimine vulnerabilidades.
Toda equipe tem um trabalho a fazer para
atualizar seu ambiente. Chamamos isso de
carregar uma "dívida técnica". Você precisa
fazer backups ou atualizar as permissões de
arquivo. Ou precisa aplicar patches ou desativar
protocolos antigos. Todas essas práticas
recomendadas são bem conhecidas.
À medida que os invasores descobrem novas
formas de criar um modelo de negócios ou
inventam uma nova técnica de ataque, muitas
vezes eles só estão explorando as mesmas
vulnerabilidades antigas, mas de novas
maneiras. Em alguns casos, pode ser que eles
explorem vulnerabilidades que você ainda não
conhecia. Por isso, ainda que as técnicas dos
invasores sejam aprimoradas, a necessidade
de uma boa e velha higiene técnica é a mesma.
Manter o ambiente atualizado da forma que
você conhece há muito tempo e aprender
o que mais precisa ser feito com base no
comportamento do invasor é fundamental para
proteger a organização contra ataques, até
mesmo contra os mais novos tipos de ataques.

À medida que os invasores descobrem novas formas de criar

um modelo de negócios ou inventam uma nova técnica de
ataque, muitas vezes eles só estão explorando as mesmas
vulnerabilidades antigas, mas de novas maneiras.

1 2 3. Práticas recomendadas para operações de segurança 4

Operações de segurança modernas 35

Higiene crítica = dívida técnica a ser paga

A nuvem pode acelerar isso, mas é preciso um pouco de trabalho árduo

Aumentar Aumentar
"Novo" elemento Aumentar a prioridade a prioridade
a prioridade
• Roubo de • Aplicar patches • Segurança de
credenciais • Backups • Desativar aplicativos Web
• Permissões de protocolos antigos • Monitoramento
arquivo da performance

Auditores Roubo Ransomware Destruição Mineradores

(e phishing, de dados (ataques de
spam, botnet) direcionado cibernéticos criptomoedas
rápidos)

Os novos modelos de monetização simplesmente reorganizam

as prioridades da mesma dívida antiga de higiene:

1. Verifique periodicamente as 3. Releia a lista de práticas

necessidades de higiene crítica. recomendadas e prioridades
periodicamente para se certificar de
2. Priorize de acordo com o que que ela se aplica às condições atuais.
está acontecendo agora.
4. Continue trabalhando para liquidar
sua "dívida técnica".

1 2 3. Práticas recomendadas para operações de segurança 4

Operações de segurança modernas
Busca proativa
A busca de ameaças é uma forma poderosa
de reduzir o risco organizacional. No entanto,
geralmente ela é mostrada como uma forma
de arte complexa e misteriosa exclusiva
dos profundos conhecedores, o que pode
ser contraproducente. O termo "busca de
ameaças" simplesmente refere-se ao processo
no qual analistas experientes procuram
no ambiente, de maneira proativa e iterativa,
operações de invasores que escaparam de
outras detecções.
A busca é um complemento de processos
reativos, alertas e detecções e permite que
você esteja um passo à frente dos invasores.
O que diferencia a busca das atividades
reativas é sua natureza proativa, pela
qual os buscadores gastam mais tempo
concentrados analisando os problemas,
identificando tendências e padrões e obtendo
uma perspectiva maior da situação. No
entanto, um programa de busca bem-
sucedido não é puramente proativo, uma
vez que exige equilibrar a atenção entre os
esforços reativos e proativos.
Os caçadores de ameaças ainda precisarão
manter uma conexão com o lado reativo para
manter suas habilidades afiadas e continuar
atentos às tendências na fila de alertas.
1 2 3. Práticas recomendadas para operações de segurança
36
Na Microsoft, o SOC aborda a busca de
ameaças colocando os analistas para realizar
diferentes tipos de tarefas:
1. Pesquisa proativa de adversários
e busca de ameaças. É isso o que a maioria
dos nossos caçadores de ameaças fazem na
maior parte do tempo. A equipe procura
em várias fontes, como alertas, indicadores
externos de comprometimento, entre outras.
A equipe trabalha principalmente para
elaborar e refinar hipóteses estruturadas do
que os invasores podem fazer com base em
inteligência contra ameaças (TI), observações
incomuns no ambiente e a própria experiência
dela. Na prática, esse tipo de busca de
ameaças inclui:
● Pesquisa proativa dos dados (consultas
ou revisão manual).
● Desenvolvimento proativo de hipóteses
com base em TI e outras fontes. (Consulte
Operacionalizar a base de dados de
conhecimento da MITRE ATT&CK).
4
Operações de segurança modernas
2. Red team e purple teaming. Alguns dos
nossos caçadores de ameaças, que trabalham
como blue teams protegendo o ambiente,
coordenam com red teams que simulam ataques
e com outras que realizam testes de penetração
autorizados no ambiente. Essa é uma tarefa
de revezamento para os nossos caçadores
de ameaças e normalmente envolve o purple
teaming, no qual tanto a red team quanto a blue
team fazem seu trabalho e aprendem umas com
as outras. Cada atividade é acompanhada por
revisões totalmente transparentes que capturam
as lições aprendidas, as quais são compartilhadas
em todo o SOC com as equipes de engenharia
de produto e outras equipes de segurança da
empresa.
3. Incidentes e escalonamentos. Os
caçadores proativos não ficam restritos ao
seu posto de observação. Eles trabalham
junto com os analistas reativos e costumam
conversar, compartilhar o que têm feito, dividir
descobertas ou observações interessantes e se
informar das operações atuais. Essa tarefa não
necessariamente é atribuída aos caçadores de
ameaças em tempo integral; eles podem manter
a flexibilidade e ajudar quando for necessário.
Essas funções não são isoladas: os membros
dessas equipes trabalham nas mesmas
instalações e mantêm contato frequente.
1 2 3. Práticas recomendadas para operações de segurança
37
Operacionalizar a Base de
dados de conhecimento
da MITRE ATT&CK
A base de dados de conhecimento da MITRE
ATT&CK é uma valiosa coletânea de informações,
mas a quantidade de dados pode ser intimidante.
A boa notícia é que produtos de tecnologia
podem ajudar você a diminuir o trabalho de
derivar valor da MITRE ATT&CK. Hoje, muitas
ferramentas, inclusive soluções de segurança da
Microsoft, já fizeram muitos mapeamentos da
base de dados de conhecimento. Na verdade, o
projeto de pesquisa Mapeamentos de Pilha de
Segurança para o Azure introduziu recentemente
uma biblioteca de mapeamentos que vinculam
controles de segurança internos do Azure às
técnicas de Mitre ATT & CK que atenuam ameaças
potenciais. Tenha em mente, no entanto, que os
mapeamentos geralmente não são abrangentes.
A organização deve avaliar quais são as áreas de
cobertura das ferramentas por padrão e onde
ainda existem lacunas.
Nas áreas com lacunas, você pode personalizar
o mapeamento de ferramentas e tecnologia
existentes para as áreas da Base de dados de
conhecimento da MITRE ATT&CK que melhor
se aplicam à sua organização a fim de garantir
a cobertura. Além disso, é provável que você
não precise de tudo o que está na Base de
conhecimento da MITRE ATT&CK. Olhe para
a base de dados de conhecimento da perspectiva
de um adversário: nem todos os adversários do
mundo escolheram a sua organização ou o seu
negócio. Reduza o volume de informações da
base de dados de conhecimento que você precisa
4
Operações de segurança modernas
rastrear considerando os adversários que
escolhem empresas como a sua e entendendo
as técnicas que eles aplicam nos ataques.
Você pode criar detecções com base em quais
adversários e técnicas são mais propensos a
escolher a sua organização.
Desse modo, a Base de dados de
conhecimento da MITRE ATT&CK passa
a ser uma ferramenta que você pode usar
para formar um conceito sobre o que os
invasores provavelmente farão se tentarem
explorar sua organização e criar detecções
proativamente considerando esses possíveis
padrões de ataque.
Crie afinidade com a TI
Em muitas organizações, as operações de
segurança não controlam o ambiente de
tecnologia. Muitas vezes, é a TI que define
como o ambiente é equipado. As opções de
resposta e correção disponíveis das quais
você depende com frequência dependem
das opções de tecnologia que a TI escolheu
de maneira independente. Pode ser útil criar
relacionamentos e gerar uma conscientização
das várias funções com a TI. Quando cada
grupo sabe no que o outro está trabalhando
e conhece os desafios e limitações enfrentados
para cumprir sua parte na missão de
proteger a organização, eles podem acelerar
a modernização e aumentar a segurança.
Além disso, haverá muitas ocasiões em que
uma correção bem-sucedida exigirá uma
1 2 3. Práticas recomendadas para operações de segurança
38
ação por parte da equipe de TI. Ter bons
relacionamentos e conhecer as funções,
as responsabilidades e os conjuntos de
habilidades dos membros da equipe de TI
pode ajudar você a chegar à pessoa certa mais
rapidamente quando ocorre um incidente.
Melhoria contínua
Depois que um ataque for remediado, você
deve presumir que os adversários tentarão
aprender com o que aconteceu e agir com
novas ideias e ferramentas. Os analistas
também devem se concentrar em aprender
com cada incidente para melhorar habilidades,
processos e ferramentas. Essa melhoria
contínua pode ocorrer por meio de muitos
processos informais e formais, que abrangem
desde revisões formais de casos a conversas
casuais, em que os analistas contam as histórias
de incidentes e compartilham observações
interessantes.
Conforme permitido pelo volume de
trabalho, a equipe de investigação também
pode buscar os adversários proativamente,
o que pode ajudá-la a permanecer atenta
e desenvolver habilidades. Por fim, os exercícios
de purple teaming devem ser elaborados
tendo a melhoria contínua como um dos
objetivos. Conforme as red teams conseguirem
escapar da detecção pelos defensores nos
exercícios, adote esses momentos como
oportunidades importantes de aprendizado
e aperfeiçoamento para todos.
4
Operações de segurança modernas
Recomendações
finais
Modernizar as operações de
segurança é uma grande empreitada.
Você precisará envolver stakeholders
da organização inteira, e não pense
que conseguirá fazer tudo de uma
só vez. Mas há algumas medidas
que você pode tomar agora para
reduzir vulnerabilidades, aumentar
a visibilidade das operações de
segurança e melhorar a eficiência e a
eficácia para se defender de invasores
avançados:
1 2 3 4. Recomendações finais
39
1. Adote a Confiança Zero – o modelo
de Confiança Zero envolve a verificação
explícita, o uso do conceito de acesso com
privilégios mínimos e a mentalidade de
"suposição de violação". Inicie a jornada
da Confiança Zero mudando o plano de
controle de segurança dos perímetros de
rede para a identidade.
2. Segregue as contas com privilégios
elevados – Identifique as contas da
organização que seriam as mais desejadas
dos invasores, separe-as usando estações
de trabalho com acesso privilegiado (PAWs)
e proteja as contas de administrador. Essas
contas podem causar mais dano se forem
comprometidas, por isso você deve começar
os trabalhos de proteção por elas.
Operações de segurança modernas
3. Reforce a cadeia de suprimento – Isso
se encaixa na mentalidade de "mudança"
que abordamos na seção sobre práticas
recomendadas deste guia. Infiltrar códigos
ou componentes maliciosos nos produtos
de software que você recebe, e confia, de
fornecedores é uma maneira cada vez mais
comum que os invasores usam para escapar
das suas defesas. Aumente a conscientização
a respeito da cadeia de ataques informando-
se sobre o que os fornecedores estão fazendo
para se manterem seguros, sabendo o que
você usa e onde e continuando a investir para
melhorar o gerenciamento de ativos.
1 2 3 4. Recomendações finais
40
4. Invista em testes de penetração – Se
antecipe aos vilões. Use testes de penetração
para encontrar pontos de falha antes de ser
atacado. Use os resultados dos testes de
penetração não como um boletim, mas como
informação para um processo de melhoria
contínua.
5. Tenha recursos de investigação
abrangente – Certifique-se de que você
tem condições de investigar o ambiente
inteiro. Trabalhe para obter uma visibilidade
abrangente de diferentes perspectivas – do
ponto de extremidade à identidade, dos dados
à IoT e entre nuvens. Desse modo, você poderá
fazer uma investigação rápida e a detecção
antecipada, que são essenciais para manter a
segurança.
6. Integre as ferramentas de operações
de segurança – Elimine silos e lacunas
na cobertura adotando uma abordagem
integrada. Equipe os analistas com amplitude e
profundidade de cobertura usando SIEM e XDR
integrados e nativos de nuvem.
 41

Saiba mais sobre como as soluções de

segurança Integrada da Microsoft podem
ajudar você a modernizar as operações de
segurança e trazer a visibilidade de que você
precisa para manter a organização protegida.

SIEM e XDR: seus aliados Uma abordagem integrada para

contra o ransomware > o aumento da eficiência do SOC >

©2022 Microsoft Corporation. Todos os direitos reservados. Este documento é fornecido "no estado em que
se encontra". As informações e opiniões expressas aqui, incluindo URLs e outras referências a sites, podem
ser alteradas sem aviso prévio. Você assume o risco de utilização. Este documento não oferece a você direitos
legais sobre a propriedade intelectual de produtos da Microsoft. Você pode copiar e usar este documento
para referência interna.