Compreender a cobertura de segurança pela estrutura MITRE ATT&CK®
Importante
A página MITRE no Microsoft Sentinel está atualmente em PREVIEW. Os Termos Suplementares do Azure Preview incluem termos legais adicionais que se aplicam a funcionalidades do Azure que estão em versão beta, pré-visualização ou ainda não disponibilizadas para disponibilidade geral.
MITRE ATT&CK é uma base de conhecimento acessível ao público de táticas e técnicas que são comumente usadas por atacantes, e é criada e mantida pela observação de observações do mundo real. Muitas organizações usam a base de conhecimento MITRE ATT&CK para desenvolver modelos e metodologias de ameaças específicas que são usados para verificar o status de segurança em seus ambientes.
O Microsoft Sentinel analisa os dados ingeridos, não apenas para detetar ameaças e ajudá-lo a investigar, mas também para visualizar a natureza e a cobertura do status de segurança da sua organização.
Este artigo descreve como usar a página MITRE no Microsoft Sentinel para exibir as deteções já ativas em seu espaço de trabalho e aquelas disponíveis para você configurar, para entender a cobertura de segurança da sua organização, com base nas táticas e técnicas da estrutura MITRE ATT&CK®.
O Microsoft Sentinel está atualmente alinhado com a estrutura MITRE ATT&CK, versão 13.
Veja a cobertura atual do MITRE
No Microsoft Sentinel, no menu Gerenciamento de ameaças à esquerda, selecione MITRE. Por padrão, as regras de consulta agendada atualmente ativa e de quase tempo real (NRT) são indicadas na matriz de cobertura.
Use a legenda no canto superior direito para entender quantas deteções estão atualmente ativas em seu espaço de trabalho para uma técnica específica.
Use a barra de pesquisa no canto superior esquerdo para procurar uma técnica específica na matriz, usando o nome ou ID da técnica, para exibir o status de segurança da sua organização para a técnica selecionada.
Selecione uma técnica específica na matriz para visualizar mais detalhes à direita. Lá, use os links para ir para qualquer um dos seguintes locais:
Selecione Exibir detalhes da técnica para obter mais informações sobre a técnica selecionada na base de dados de conhecimento da estrutura MITRE ATT&CK.
Selecione links para qualquer um dos itens ativos para ir para a área relevante no Microsoft Sentinel.
Simule possíveis coberturas com deteções disponíveis
Na matriz de cobertura MITRE, a cobertura simulada refere-se a deteções disponíveis, mas não configuradas no momento, em seu espaço de trabalho do Microsoft Sentinel. Veja a sua cobertura simulada para compreender o possível estado de segurança da sua organização, caso configure todas as deteções disponíveis.
No Microsoft Sentinel, no menu Geral à esquerda, selecione MITRE.
Selecione itens no menu Simular para simular o possível status de segurança da sua organização.
Use a legenda no canto superior direito para entender quantas deteções, incluindo modelos de regras de análise ou consultas de caça, estão disponíveis para você configurar.
Use a barra de pesquisa no canto superior esquerdo para procurar uma técnica específica na matriz, usando o nome ou ID da técnica, para exibir o status de segurança simulado da sua organização para a técnica selecionada.
Selecione uma técnica específica na matriz para visualizar mais detalhes à direita. Lá, use os links para ir para qualquer um dos seguintes locais:
Selecione Exibir detalhes da técnica para obter mais informações sobre a técnica selecionada na base de dados de conhecimento da estrutura MITRE ATT&CK.
Selecione links para qualquer um dos itens de simulação para ir para a área relevante no Microsoft Sentinel.
Por exemplo, selecione Consultas de caça para ir para a página Caça. Lá, você verá uma lista filtrada das consultas de caça associadas à técnica selecionada e disponíveis para você configurar em seu espaço de trabalho.
Use a estrutura MITRE ATT&CK em regras de análise e incidentes
Ter uma regra agendada com técnicas MITRE aplicadas em execução regular em seu espaço de trabalho do Microsoft Sentinel melhora o status de segurança mostrado para sua organização na matriz de cobertura MITRE.
Regras do Google Analytics:
- Ao configurar regras de análise, selecione técnicas MITRE específicas para aplicar à sua regra.
- Ao pesquisar regras de análise, filtre as regras exibidas por técnica para encontrar suas regras mais rapidamente.
Para obter mais informações, consulte Detetar ameaças prontas para uso e Criar regras de análise personalizadas para detetar ameaças.
Incidentes:
Quando os incidentes são criados para alertas que são apresentados por regras com técnicas MITRE configuradas, as técnicas também são adicionadas aos incidentes.
Para obter mais informações, consulte Investigar incidentes com o Microsoft Sentinel.
Caça à ameaça:
- Ao criar uma nova consulta de caça, selecione as táticas e técnicas específicas a serem aplicadas à sua consulta.
- Ao pesquisar consultas de caça ativas, filtre as consultas exibidas por táticas selecionando um item da lista acima da grade. Selecione uma consulta para ver detalhes táticos e técnicos à direita.
- Ao criar marcadores, use a técnica de mapeamento herdada da consulta de caça ou crie seu próprio mapeamento.
Para obter mais informações, consulte Procurar ameaças com o Microsoft Sentinel e Controlar os dados durante a caça com o Microsoft Sentinel.
Próximos passos
Para obter mais informações, consulte: