Latest / M365.FM – Podcast de Microsoft 365, Copilot e IA em português / Microsoft Defender for Identity explicado: detecte ataques de identidade contra o Active Directory (Dublagem IA)

Transcript

Microsoft Defender for Identity explicado: detecte ataques de identidade contra o Active Directory (Dublagem IA) · M365.FM – Podcast de Microsoft 365, Copilot e IA em português

0:00
Pronto para 10 dias de Microsoft 365 Copilot e a Azure e as pessoas que estão moldando o futuro do trabalho.
0:07
Em janeiro, a M13265 Coin está de volta e vamos elevar o nível.
0:12
Junte-se a nós para sessões ao vivo, demonstrações reais e conhecimento prático de MVPs e especialistas do setor em todo o mundo.
0:18
Nada de slide genérico, nada de termos técnicos interminados.
0:21
Estamos enfrentando os desafios reais.
0:23
Copilot Studio, agentes de IA, fábrica, segurança, governança e automação.
0:28
Seja você um profissional de TI, desenvolvedor ou líder de negócios, há sessões criadas para você.
0:35
Com 10 dias completos, você pode explorar várias tecnologias e se conectar a uma comunidade global.
0:40
Assista ao vivo e leve insights práticos de volta para a sua organização.
0:45
Janeiro de 2027. 10 dias. Uma única comunidade de Microsoft.
0:49
As inscrições já estão abertas. Garanta seu lugar hoje mesmo.
0:52
Acesse m365.com.net
0:57
Participe agora em m365.com.net e nos vemos ao vivo em janeiro.
1:05
Envio acontece quando um invasor rouba uma senha legítima ao invés de invadir através de um firewall.
1:10
Eu sou seu anfitrião, Mirko Peters, e hoje falaremos sobre o Microsoft Defender for Identity.
1:14
A maioria das ferramentas de segurança foca no perímetro.
1:16
Elas monitoram malware, arquivos suspeitos e tráfego de rede em comum.
1:20
Mas ataques de identidade ignoram tudo isso completamente.
1:22
Um invasor com uma senha roubada não precisa invadir o sistema.
1:25
Ele simplesmente faz login e por fora tudo parece normal.
1:28
Ao final deste episódio, você entenderá o que é o Microsoft Defender for Identity.
1:32
Por que ele existe.
1:32
E como ele detecta ameaças que ferramentas de segurança tradicionais deixam passar.
1:37
Vamos começar entendendo por que a segurança de identidade se tornou um novo campo de batalha.
1:41
O problema da segurança de identidade.
1:43
Há 20 anos, proteger uma rede significava trancar o prédio.
1:46
Você configurava um firewall, executava antivírus em cada máquina e aconselhava todos a usarem senhas fortes.
1:50
Isso funcionava muito bem na época porque os invasores precisavam romper suas defesas para entrar.
1:55
Eles precisavam encontrar uma vulnerabilidade, explorá-la e depois se movimentar dentro da sua rede.
1:59
Perímetro era muralha e ela era forte, mas o fato é que essa abordagem não funciona mais.
2:03
Os invasores não invadem, eles simplesmente fazem log.
2:05
Eles obtêm uma senha legítima por meio de phishing, vazamento de dados ou um simples palpite e entram pela porta da frente.
2:11
Credenciais comprometidas estão agora por trás de 79% de ataques de arma.
2:15
Isso é um problema isolado.
2:15
Essa é a principal forma de entrar dos invasores e os números são graves.
2:19
70% das organizações sofreram pelo menos uma violação de segurança relacionada à identidade em 2025.
2:24
Custo médio de recuperação, 1,64 milhão.
2:26
Isso não é apenas o pagamento do resgate.
2:28
É tempo de inatividade, investigação forense, com uso legais, multas regulatórias e danos à reputação.
2:32
Para organizações de médio porte, o custo médio ainda é de 750 mil dólares.
2:36
Tanto isso não é um risco teórico, está acontecendo em toda parte.
2:39
Aqui está o problema central.
2:40
Ferramentas de segurança tradicionais monitoram malwares, arquivos suspeitos e conexões de rede incomuns,
2:45
mas não entendem o comportamento do usuário.
2:47
Elas não sabem se um login é normal ou suspeito.
2:49
Um invasor com uma senha roubada parece exatamente um usuário legítimo.
2:52
O mesmo nome de usuário, a mesma senha e o mesmo processo de autenticação.
2:55
A única diferença é a intenção.
2:57
E, a menos que você monitore padrões de comportamento anormais, não notará até que seja tarde demais.
3:01
Esta é a lacuna que o Defender for Identity foi criado para preencher.
3:04
Ele observa quem observa.
3:05
Ele monitora sua infraestrutura de identidade, aprende o que é normal para cada usuário e dispositivo
3:09
e sinaliza tudo o que não se encaixa.
3:11
Ele não procura por malware, ele procura por comportamentos que não fazem sentido.
3:15
Então, o que exatamente é o Defender for Identity e como ele funciona?
3:18
O que é o Defender for Identity?
3:20
Aqui está a definição mais simples.
3:21
O Microsoft Defender for Identity é uma ferramenta de segurança baseada na nuvem
3:25
que monitora seu Active Directory local contra ataques baseados em identidade.
3:28
Note que não disse entrar em dia, esse é um ponto comum de confusão.
3:31
O Defender for Identity foca na sua infraestrutura de identidade local,
3:34
incluindo controladores de domínio, Active Directory e servidores da DFS.
3:38
São os recursos que residem em seu próprio datacenter ou em seus próprios servidores.
3:41
Não é uma solução exclusiva para nuvem.
3:43
Agora, como ele funciona?
3:44
Ele usa análise comportamental.
3:45
Ele aprende o que é normal para cada usuário e cada dispositivo,
3:48
então sinaliza qualquer coisa em comum.
3:50
Pense nele como um segurança que conhece a rotina de cada funcionário.
3:53
Ele sabe quem chega às 8 horas e quem trabalha até tarde e quem acessa a sala de servidores.
3:57
Quando alguém aparece às 13 horas da manhã tentando abrir a porta da sala de servidores,
4:00
o segurança percebe imediatamente.
4:01
É exatamente isso que o Defender for Identity faz, mas para o seu ambiente digital.
4:05
Vamos esclarecer o que é esta ferramenta.
4:07
Não é antivírus, não é firewall, não é uma solução de gerenciamento de patches.
4:11
Detecção de ameaças de identidade é uma categoria completamente diferente.
4:14
Ele não procura arquivos maliciosos, ele procura comportamentos maliciosos.
4:17
E essa distinção importa, porque os ataques mais perigosos hoje nem usam malware,
4:21
eles usam credenciais legítimas.
4:23
O Defender for Identity reside dentro do Microsoft Defender XDR,
4:26
que é a plataforma de detecção e resposta estendida da Microsoft.
4:28
Na prática, isso significa que ele compartilha sinais com Defender for Endpoint,
4:32
Defender for Office 365 e Microsoft Sentinel.
4:35
Então, quando o Defender for Identity detecta um login suspeito em um controlador de domínio,
4:39
ele pode cruzar essa informação com um e-mail de phishing detectado pelo Defender for Office 365
4:43
ou um processo suspeito no laptop de um usuário detectado pelo Defender for Endpoint.
4:47
O valor real não está em um alerta isolado,
4:49
mas em como essas ferramentas trabalham juntas para contar a história completa de um ataque.
4:53
Um único alerta pode parecer um falso positivo,
4:55
mas quando você vê o cenário completo, incluindo o e-mail de phishing,
4:57
as credenciais comprometidas e o movimento lateral,
4:59
você sabe exatamente o que aconteceu.
5:02
Vamos abrir o capô e ver como ele realmente detecta ameaças.
5:05
Como funcionam os sensores e análise comportamental?
5:08
O Defender for Identity usa sensores leves instalados em seus controladores de domínio.
5:12
Essa é a peça-chave do quebra-cabeça.
5:13
Sem o sensor nada acontece.
5:15
O sensor captura os dados e foi projetado para ser o mais discreto possível,
5:18
rodando silenciosamente em segundo plano,
5:20
lendo o tráfego de rede e eventos do Windows sem deixar seu controlador de domínio lento.
5:24
Pense nesses sensores como os olhos e ouvidos do sistema.
5:28
Eles capturam três tipos principais de informação.
5:30
Tráfego de rede para ver solicitações de autenticação entre máquinas e eventos do Windows
5:33
para ver o que ocorre no nível do sistema operacional
5:35
e atividade de autenticação para ver quem está fazendo o login, de onde e quando.
5:39
Todos esses dados são enviados para o serviço em nuvem do Defender for Identity para análise.
5:43
O sensor não faz o trabalho pesado sozinho, ele apenas coleta e encaminha.
5:46
Assim que os dados chegam à nuvem, o trabalho real começa.
5:49
O serviço em nuvem cria um perfil de linha de base para cada usuário em seu ambiente.
5:54
Ele aprende seus horários típicos de login, quais estações de trabalho costumam usar
5:57
e quais recursos acessam normalmente.
5:59
Essa é a parte comportamental.
6:01
O sistema não vem com regras pré-configuradas sobre o que é normal.
6:04
Ele aprende com seu ambiente real,
6:05
e isso é importante porque o normal parece diferente para cada organização.
6:09
Quando algo se desvia dessa linha de base, um alerta é disparado.
6:11
Por exemplo, um usuário que sempre faz login das 9 horas e 17 horas,
6:15
de repente se autentica às 3 horas da manhã de uma estação de trabalho que nunca usou antes.
6:18
Isso é um desvio, e o sistema sinaliza.
6:20
Ele não assume imediatamente que é malicioso,
6:22
mas levanta o alerta para que sua equipe de segurança possa investigar.
6:25
Que tipo de ataques ele realmente detecta?
6:27
A lista é longa, mas aqui estão os principais.
6:29
Ataques past the hash, onde um invasor rouba um hash de senha e o usa para se autenticar.
6:33
Cabra hosting, onde um invasor solicita tickets de serviço para contas privilegiadas e os cabra offline.
6:37
Uso de Golden Ticket, onde um invasor falsifica um ticket de cabra para obter acesso a todo o domínio.
6:43
Ataques DC-Sync, onde um invasor finge ser um controlador de domínio e solicita hashes de senha.
6:48
Movimento lateral, onde um invasor usa uma conta comprometida para saltar de máquina em máquina.
6:53
Cada detecção é mapeada por framework Mitry ATTN-CQR,
6:56
que é o padrão da indústria para descrever técnicas de ataque.
6:58
Portanto, quando o Defender for Identity sinaliza algo, ele não diz apenas a atividade suspeita.
7:03
Ele diz, este é um ataque de pés da hash mapeado para a técnica.
7:05
Isso dá à sua equipe de segurança um contexto imediato sobre o que estão enfrentando e como responder.
7:12
Aqui está a verdade diferente.
7:14
Ele não apenas informa que algo aconteceu, ele mostra a linha do tempo do ataque.
7:17
Ele rastreia como o invasor se moveu do ponto A para o ponto B.
7:20
Assim, em vez de um único alerta dizendo, login suspeito, você recebe a história completa.
7:24
O comprometimento inicial, o movimento lateral, a escalação de privilégios e o domínio do ambiente,
7:28
tudo conectado em uma única linha do tempo.
7:31
Essa é a diferença entre uma ferramenta que alerta você e uma ferramenta que ajuda você a entender.
7:34
Vamos percorrer os estágios de um ataque e ver onde o Defender for Identity detecta cada um deles.
7:39
O ciclo de vida do ataque.
7:41
Então, os invasores seguem um padrão previsível.
7:43
Não é nada aleatório.
7:44
Eles passam por estágios e cada estágio tem um objetivo específico.
7:47
Os estágios são reconhecimento, credenciais comprometidas, movimento lateral e domínio do ambiente.
7:52
Ao entender esses estágios, você verá exatamente onde o Defender for Identity se encaixa.
7:56
Mas como isso se parece na prática, vamos começar com o conhecimento.
7:59
O invasor ainda não tem acesso.
8:00
Eles estão apenas observando, verificando sua rede, procurando por contas, grupos e relações de confiança.
8:06
Eles tentam descobrir quem são os administradores, quais contas têm privilégios elevados e como o domínio está estruturado.
8:11
Eles geralmente usam ferramentas como o Bloodhound para mapear o ambiente.
8:14
O Defender for Identity detecta isso monitorando consultas LIDAPs suspeitas ou tentativas de enumeração.
8:19
Um alerta é disparado quando alguém começa a pesquisar todas as contas de administrador do domínio
8:23
a partir de administração de trabalho que nunca fez isso antes.
8:24
O invasor ainda não fez nada prejudicial, mas você sabe o que ele está procurando.
8:27
O próximo passo é credenciais comprometidas.
8:29
O invasor encontrou uma maneira de obter uma senha por meio de ficha e um vazamento de dados ou comprando na Dark Web.
8:34
Agora eles têm o nome de usuário e senha legítimos.
8:37
O Defender for Identity sinaliza logins incomuns neste estado.
8:40
Logins incomuns incluem um usuário se conectando de um novo local às 3 da manhã
8:44
ou acessando subitamente centenas de arquivos em vez dos 5 habituais.
8:48
Esses são desvios comportamentais que não exigem detecção de malware.
8:52
Eles apenas exigem entender como é o comportamento do nome.
8:54
Então vem o movimento lateral.
8:55
O invasor tem uma base, mas provavelmente ainda não é uma conta privilegiada.
8:59
Eles precisam se mover pela sua rede para alcançar alvos de alto valor.
9:02
Eles usam técnicas como Pass the Hash, Pass the Ticket e Overpass Pass the Hash para saltar de máquina em máquina.
9:07
Cada salto parece uma autenticação legítima, mas o padrão é suspeito.
9:10
O Defender for Identity detecta isso observando anomalias de autenticação.
9:13
Se uma conta de usuário se autentica a partir de 3 estações de trabalho diferentes em 5 minutos,
9:18
isso não é um comportamento normal.
9:19
E se um invasor se movendo lateralmente.
9:21
Finalmente o domínio do nome.
9:22
O que você vê? Alertas, incidentes e comogia.
9:25
Abra o portal do Microsoft Defender em security.microsoft.com e navega até Identidades.
9:29
Esse é o seu centro comando.
9:30
A primeira coisa que você verá é o painel que oferece uma visão geral rápida de tudo o que acontece no seu ambiente de identidade.
9:37
Usuários sendo monitorados.
9:38
Quantos alertas ativos estão abertos.
9:40
E o status de integridade dos seus sensores.
9:42
Ele foi projetado para lhe dar um panorama em segundos, não em minutos.
9:45
Há também uma pontuação nesse painel chamada pontuação de segurança e identidade.
9:49
É um número de 0 a 100 que mostra quão bem você está protegendo sua infraestrutura de identidade.
9:53
Esta não é uma métrica teórica baseada em configurações e recomendações reais.
9:56
Se você tiver controladores de domínio sem sensores, sua pontuação cai.
9:59
Se você tiver usuário sem autenticação multifator, sua pontuação cai.
10:03
Corrige esses problemas e sua pontuação aumenta.
10:04
É uma maneira concreta de rastrear sua postura de segurança ao longo do tempo.
10:08
Agora vamos falar sobre alertas.
10:10
Os alertas são gerados por regras de detecção.
10:12
Condições pré-configuradas que definem como é um comportamento suspeito.
10:15
Com base em anos de pesquisa de ameaças, a Microsoft criou centenas dessas regras.
10:19
Quando um usuário faz login de um local em comum, isso é uma regra de detecção.
10:22
Quando alguém tenta um ataque de sincronização de DC, isso é uma regra de detecção.
10:25
Quando um invasor usa um golden ticket, isso é uma regra de detecção.
10:28
O sistema compara constantemente o que está acontecendo em seu ambiente com essas regras.
10:31
Mas, aqui está o ponto, múltiplos alertas podem se combinar em um único incidente.
10:36
Isso é importante porque os invasores não fazem apenas uma coisa suspeita.
10:39
Eles fazem muitas coisas em sequência.
10:40
Um alerta único pode parecer um falso positivo, mas quando você vê um incidente completo,
10:44
o reconhecimento, o comprometimento de credenciais, o movimento lateral, o domínio do domínio,
10:48
você sabe exatamente o que aconteceu.
10:49
O incidente é a história.
10:51
Os alertas são apenas frases individuais.
10:52
Cada incidente inclui um grafo de ataque.
10:54
Este é um mapa visual de como o invasor se moveu pelo seu ambiente.
10:58
Ele mostra o ponto de partida, cada salto ao longo do caminho e o destino final.
11:01
Você pode ver quais contas foram comprometidas, quais máquinas foram acessadas e quais técnicas foram usadas.
11:06
É como assistir a reprodução de uma câmera de segurança de todo o ataque, mas em forma de diagrama.
11:10
E você pode agir diretamente a partir do portal.
11:12
Se identificar uma conta de usuário comprometida, não precisa entrar no seu controlador de domínio para desativá-la.
11:17
Você pode fazer isso diretamente no portal do Defend.
11:19
Desative a conta, force a redefinição de senha, solicite uma tentativa de login.
11:23
O sensor se comunica com o seu Active Directory local e faz a alteração instantaneamente.
11:28
Esse é o poder de ter o sensor no seu controlador de domínio.
11:30
Ele não apenas monitora e pode agir.
11:32
Você também pode configurar notificações por e-mail.
11:34
Quando um alerta crítico é disparado, sua equipe de segurança recebe-o instantaneamente.
11:38
Eles não precisam monitorar o painel 24 por dia, 7 dias por semana.
11:40
O sistema usa alerta.
11:41
E como os alertas são mapeados para a estrutura Mitra e ATTN-CQ,
11:44
eles sabem exatamente com que tipo de ataque estão lidando antes mesmo de abrir um portal.
11:48
Além do básico, existem alguns recursos avançados que vale a pena conhecer.
11:52
Honeypots, marcação, tag e exclusão.
11:54
Vamos falar sobre contas Honeypot.
11:56
Elas também são chamadas de Honey Tokens e são exatamente o que o nome sugere.
11:59
Contas de usuário falsos que você cria especificamente para atrair invasores.
12:03
Se eles dão um nome tentador como administrador de exchange ou serviço de backup de domínio,
12:07
eles colocam em grupos com nomes que indicam privados levados.
12:09
Aqui está o detalhe.
12:10
Essas contas não têm utilidade real.
12:12
Ninguém deveria entrar nelas.
12:13
Elas não são usadas para nenhum propósito legítimo.
12:15
Elas apenas ficam lá esperando.
12:16
Se alguém entrar em uma conta Honeypot, você saberá imediatamente.
12:20
Não porque você configurou um monitoramento personalizado ou uma regra de detecção complexa,
12:24
mas porque o Defender for Identity sabe que aquela conta nunca deveria ser usada.
12:27
No momento em que alguém se autentica com ela, um alerta é disparado.
12:30
Você sabe exatamente o que aconteceu.
12:31
O invasor encontrou sua conta ISC e tentou usá-la.
12:34
Isso não é um falso positivo, é uma tentativa de intrusão confirmada.
12:37
Você pode configurá-las no portal do Defender em configurações, identidades e tokens.
12:41
Leva cerca de 3 segundos.
12:42
A marcação de entidades é outro recurso.
12:44
Você pode marcar usuários, dispositivos ou grupos específicos como sensíveis para um monitoramento extra.
12:49
Pense no que significa.
12:50
Se você marcar uma conta de administrador de domínio, como sensível,
12:53
o Defender for Identity observa cada ação que essa conta realiza mais de perto.
12:57
Qualquer desvio do comportamento normal é sinalizado com prioridade mais alta.
13:00
Qualquer movimento lateral envolvendo essa conta é escalado.
13:03
É como colocar um rastreador GPS em seus ativos mais validos.
13:05
Então existem as regras de exclusão.
13:07
Às vezes, ferramentas de segurança ou processos administrativos legítimos disparam alarmes falsos.
13:11
Seu escane de vulnerabilidades pode se autenticar em todas as máquinas da rede.
13:15
Isso parece suspeito.
13:16
Seu software de backup pode acessar controladores de domínio em horários incomuns.
13:19
Isso também parece suspeito.
13:20
Você pode excluir interesses IP dispositivos ou usuários específicos de certas regras de detecção
13:24
para que esses falsos positivos não voltem em sua fila de alertas.
13:28
As exclusões globais se aplicam a todas as regras de detecção.
13:31
As exclusões por regra são mais direcionadas.
13:32
O objetivo é o mesmo. Reduzir o ruído para que sua equipe de segurança foque em ameaças reais.
13:37
O Defender for Identity não trabalha sozinho.
13:39
Vamos ver como ele se encaixa no cenário geral.
13:41
Como ele se encaixa no ecossistema de segurança da Microsoft.
13:44
Então, como o Defender for Identity se encaixa no panorama geral de segurança da Microsoft,
13:48
pense nele como uma peça do quebra-cabeça do Defender GDR.
13:51
Sozinha, cada ferramenta é útil, mas o verdadeiro poder surge quando elas trabalham juntas.
13:55
O Defender for Endpoint protege seus dispositivos.
13:57
Ele verifica cada laptop servidor em busca de malware e atividade de rede suspeita.
14:01
O Defender for Office 13665 protege seu e-mail e ferramentas de colaboração,
14:05
detectando tentativas de phishing anexos municiosas.
14:07
E o Defender for Identity monitora suas contas de usuário em busca de credenciais roubadas,
14:11
movimento lateral e domínio do controlador.
14:13
Sozinha, cada ferramenta é útil, mas o ponto é.
14:16
Juntas, elas compartilham os sinais e conectam os pontos.
14:19
Imagine um login suspeito em um controlador de domínio.
14:22
Esse mesmo login pode estar vinculado a um e-mail de phishing que o Defender for Office 13665 já detectou.
14:26
O invasor comprometeu a caixa de entrada e agora está tentando se mover lateralmente.
14:30
O Defender for Identity vê o login, o Defender for Office 13665 e o e-mail
14:34
e a plataforma Microsoft Defender XDR e cria um incidente único.
14:38
Essa é a diferença entre alertas isolados e uma história completa do ataque.
14:41
Ele também se integra ao Microsoft Sentinel, que é o CN nativo da nuvem da Microsoft.
14:45
É lá que você realiza caça avançada e detecções personalizadas.
14:48
Você pode escrever consultas, custo e pesquisam em todos os seus dados do Defender,
14:51
Identidade, Endpoint, e-mail, aplicativos em nuvem.
14:54
E encontram padrões que regras automatizadas nem sempre detectam.
14:57
E ele funciona em conjunto com o Microsoft Entity Protection.
14:59
Aqui está a distinção.
15:01
O Entity Protection lida com riscos de login baseados em nuvem, com riscos de...
15:04
Essa é a distinção.
15:05
L rehabilitationchap達 em nuvem.
15:08
Ou seja, por você que assiste o negócio aqui e todo o encontro bem.
15:11
E isso vai ter feito feito feito feito feito feito feito feito feito feito feito feito feito feito feito feito feito feito feito feito feito feito feito feito feitouela.
15:16
Mas PV...
15:17
O 가운데 estão equipamentos precisas de contacted ELF dezununjectão melhor deucação fechou feito feito llamado asterdata para rodá presses mexericionprisantes.
15:20
そうですね, o Opíателей do Mondial está previsto feito feito feito feito feito feito feito feito feito feito feito feito sobre 64 chaque водidade