Alertas de Ameaças
As suas análises regulares dão-lhe uma imagem, num dado momento, de como o seu tenant está configurado. Os Alertas de Ameaças são diferentes: mostram-lhe o que se está a passar neste preciso momento. Recolhem os sinais de risco de identidade atuais do seu tenant Microsoft 365 e apresentam-nos num único local, para que possa detetar uma conta comprometida e agir sobre ela sem sair do Aether365.
Os Alertas de Ameaças utilizam a sua ligação do AI Pilot. São só de leitura para visualização e acrescentam uma forma de conter um utilizador em risco com um clique, quando precisa de responder depressa.
Requer uma ligação do AI Pilot
Os Alertas de Ameaças leem sinais de risco em tempo real através da ligação do AI Pilot. Se ainda não configurou uma, consulte AI Pilot para saber como a ligar. A sua ligação de análise só de leitura, por si só, não alimenta os Alertas de Ameaças.
O que os Alertas de Ameaças mostram
A página de Alertas de Ameaças está organizada em três fontes. Cada uma responde a uma pergunta diferente sobre o risco de identidade no seu tenant.
Utilizadores em risco
As pessoas do seu tenant cujas contas a Microsoft considera atualmente em risco. Para cada utilizador, vê quem é, o seu nível de risco atual e o motivo de ter sido assinalado. Esta é a forma mais rápida de encontrar uma conta que possa estar comprometida e decidir se a deve conter.
Deteções de risco
Os sinais de risco individuais por detrás desses utilizadores: coisas como inícios de sessão a partir de localizações desconhecidas, endereços IP anónimos, credenciais divulgadas ou padrões de viagem impossível. Quando uma visão ao nível do utilizador lhe diz "esta conta parece estar em risco", as deteções de risco dizem-lhe o que, especificamente, despoletou essa conclusão.
Necessita do Microsoft Entra ID P2
As deteções de risco provêm do Microsoft Entra ID Protection, que requer uma licença Microsoft Entra ID P2. Se o seu tenant não tiver essa licença, esta fonte mostra uma nota de "Ainda não disponível" em vez de dados. Consulte Licenciamento e a nota "Ainda não disponível" mais abaixo.
Alertas de segurança
Alertas de segurança de nível mais elevado, gerados para o seu tenant: atividade suspeita que foi correlacionada num alerta que merece uma análise mais atenta. Estes dão-lhe a imagem de segurança mais ampla, a par dos sinais específicos de identidade.
Necessita do Microsoft Defender
Os alertas de segurança provêm do Microsoft Defender. Se o seu tenant não tiver um plano do Microsoft Defender que produza estes alertas, esta fonte mostra uma nota de "Ainda não disponível" em vez de dados.
Os Alertas de Ameaças são só de leitura para visualização
Visualizar os Alertas de Ameaças nunca altera nada no seu tenant. Lê o estado de risco atual e apresenta-o. A única ação que de facto provoca uma alteração é a resposta a violações descrita abaixo, e só é executada quando a despoleta explicitamente sobre um utilizador específico.
Resposta a violações: conter um utilizador em risco com um clique
Quando encontra uma conta que está comprometida ou a comportar-se de forma suspeita, pode contê-la diretamente a partir da lista de Utilizadores em risco. Conter um utilizador faz duas coisas em simultâneo:
- Revoga as sessões ativas do utilizador, pelo que qualquer atacante com sessão iniciada é forçado a iniciar uma nova sessão.
- Desativa a conta, pelo que nenhum novo início de sessão pode ter êxito até a reativar.
Em conjunto, isto corta rapidamente o acesso de um atacante enquanto investiga.
Para conter um utilizador:
- Abra os Alertas de Ameaças a partir da barra lateral.
- Na lista de Utilizadores em risco, encontre a conta que pretende conter.
- Clique em Conter nesse utilizador e confirme.
- O Aether365 revoga as sessões do utilizador e desativa a conta através da sua ligação do AI Pilot.
Conter é reversível
Desativar uma conta não a elimina. Depois de investigar e de a conta estar segura, pode reativá-la a partir do centro de administração Microsoft Entra. Contenha primeiro, investigue depois: é muito mais fácil reativar uma conta limpa do que recuperar de uma intrusão ativa.
Como a resposta a violações escreve no seu tenant, depende da ligação de escrita do AI Pilot. Se um tenant tiver apenas uma ligação de análise só de leitura, os dados da fonte podem continuar a aparecer, mas conter um utilizador não fica disponível enquanto o AI Pilot não estiver ligado.
Licenciamento e a nota "Ainda não disponível"
Os Alertas de Ameaças mostram quaisquer sinais da Microsoft que o seu tenant esteja licenciado para produzir. As fontes que dependem de uma licença que não tem apresentam uma nota clara de "Ainda não disponível" em vez de dados vazios ou enganadores:
| Fonte | Necessita de | Se não estiver licenciado |
|---|---|---|
| Utilizadores em risco | Sinais de risco de identidade | Mostrado quando disponível |
| Deteções de risco | Microsoft Entra ID P2 | Nota "Ainda não disponível" |
| Alertas de segurança | Microsoft Defender | Nota "Ainda não disponível" |
A nota é informativa, não um erro. Significa que a fonte está pronta a ativar-se no momento em que o tenant obtiver a licença correta, sem qualquer configuração adicional da sua parte. As fontes para as quais está licenciado continuam a funcionar normalmente, independentemente disso.
Relacionado
- AI Pilot - a ligação de escrita que alimenta os Alertas de Ameaças e a resposta a violações
- Gestão de Políticas - rever e reforçar as políticas de segurança do seu tenant
- Ligar um Tenant - configurar as suas ligações
- Modelo de Segurança - predefinição só de leitura e acesso de escrita opcional