Serviços do Microsoft Defender XDR e Operações de Segurança Unificadas
Guia completo do Microsoft Defender XDR, seus serviços especializados, gerenciamento de vulnerabilidades e exposição, inteligência contra ameaças, portal do Microsoft Defender e integração com o Microsoft Security Copilot
Tempo de estudo sugerido: 55 minutos • Nível iniciante • Alinhado ao plano de estudos SC-900 e à documentação oficial do Microsoft Learn
Por João Ricardo Dutra••Material integral
1. Introdução: de ferramentas isoladas a um ecossistema de defesa
A segurança corporativa começou com controles relativamente isolados: filtros de e-mail, antivírus em computadores, auditoria de diretórios e bloqueios de rede. Esse modelo refletia um ambiente em que as fronteiras eram mais estáveis. Com a expansão da nuvem, do trabalho híbrido, dos aplicativos e das identidades distribuídas, ataques passaram a atravessar várias superfícies em uma única cadeia.
A Microsoft desenvolveu produtos especializados para observar essas superfícies com profundidade. O protege e-mail e colaboração; o protege dispositivos; o para Aplicativos de Nuvem protege o uso de e os dados em aplicativos; e o monitora sinais de identidade. A evolução para o conecta esses produtos e transforma alertas separados em uma história de ataque correlacionada.
Para o leitor, compreender esse ecossistema evita o erro de procurar um único produto que resolva todos os problemas. Para a sociedade, a integração reduz o tempo de resposta a ataques que afetam hospitais, escolas, empresas, serviços públicos e dados pessoais. Ao final, você conseguirá olhar para um incidente e identificar qual produto detecta cada etapa e como todos cooperam.
Figura 1 - Um ataque moderno pode atravessar e-mail, , identidade e aplicativos .
2. O ecossistema
O nome representa uma família de soluções de segurança. Cada componente possui telemetria, mecanismos de prevenção, detecções e ações próprias. A integração com o oferece uma camada comum de correlação, incidentes, investigação e resposta no portal .
Figura 2 - Produtos especializados alimentam as capacidades do .
2.1 Especialização e integração
Especialização significa que cada produto entende profundamente sua superfície. Um produto de e-mail conhece remetentes, , anexos e caixas de correio; um produto de conhece processos, memória, arquivos e conexões; um produto de identidade conhece autenticações, grupos e controladores de domínio; um produto de conhece sessões, arquivos, permissões e aplicativos .
Integração significa que essas visões não permanecem isoladas. Alertas relacionados podem ser correlacionados em um incidente, entidades são compartilhadas entre investigações e ações de resposta podem ser coordenadas no portal. O não substitui os produtos: ele utiliza os sinais e capacidades de cada um.
2.2 Capacidades complementares da família
O ecossistema não se limita aos quatro produtos comparados neste capítulo. O descobre vulnerabilidades e configurações incorretas, prioriza riscos e acompanha a remediação nos ativos; o organiza informações sobre agentes de ameaça, campanhas, indicadores e infraestrutura mal-intencionada. Essas capacidades enriquecem a prevenção e a investigação do e são explicadas em profundidade no Capítulo 13. O protege postura e cargas de trabalho em ambientes de nuvem, enquanto o acrescenta capacidades de SIEM e SOAR; eles podem ser integrados ao mesmo fluxo operacional, mas mantêm objetivos próprios.
3. Comparação inicial dos quatro produtos
Produto
Superfície principal
Exemplos de capacidades
E-mail e colaboração
,,, proteção de Teams/SharePoint/OneDrive, investigação de campanhas.
Dispositivos
Redução de superfície, antivírus, , investigação automatizada, resposta e .
Aplicativos e dados em nuvem
,,, políticas, , e governança de apps .
Identidades e infraestrutura de diretório
Sensores, análise comportamental, reconhecimento, abuso de credenciais, e postura de identidade.
3.1 Um mesmo ativo pode aparecer em vários produtos
Um usuário pode receber uma mensagem maliciosa, clicar em um link, autenticar-se em um aplicativo e executar uma atividade em um dispositivo. Por isso, usuário, dispositivo, caixa de correio, aplicativo e endereço podem aparecer como entidades relacionadas no mesmo incidente. A correlação reduz o trabalho manual de reconstrução.
Ponto-chave para o SC-900
Associe cada nome à sua superfície: Office 365 protege e-mail e colaboração; protege dispositivos; Cloud Apps protege , sessões e ; Identity protege identidades e sinais do Active Directory. correlaciona tudo isso.
4.
é a solução de proteção avançada para e-mail e ferramentas de colaboração do . Ela complementa as proteções básicas de caixas de correio em nuvem com controles contra avançado, impersonação, links maliciosos, arquivos desconhecidos e campanhas coordenadas.
4.1 Por que o e-mail continua crítico?
O e-mail combina confiança humana, conteúdo externo, links, arquivos e identidade. Um invasor pode falsificar aparência, urgência e contexto para convencer o usuário a revelar credenciais ou abrir conteúdo. A defesa precisa analisar remetente, infraestrutura, texto, anexos, e comportamento posterior ao recebimento.
4.2 EOP e
Exchange Online Protection, conhecido como EOP, oferece a base de filtragem antispam, antimalware e proteção de fluxo de mensagens para caixas de correio em nuvem. adiciona recursos avançados, como ,, políticas expandidas, investigação, automação e visibilidade de campanhas, conforme o plano licenciado.
Camada
Objetivo
Exemplos
Autenticação de e-mail
Verificar se o domínio e a infraestrutura estão autorizados.
SPF, DKIM e DMARC.
Reputação e filtragem
Analisar remetente, , domínio, volume e conteúdo.
Anti-spam, anti-malware e inteligência de ameaças.
Detectar falsificação e impersonação.
Proteção de usuário/domínio e inteligência de caixa de correio.
Proteção avançada
Analisar e arquivos desconhecidos.
e .
Investigar, conter e aprender.
Explorer, campanhas, quarentena, alertas e AIR.
5. Autenticação de e-mail e proteção contra
5.1 SPF, DKIM e DMARC
SPF publica quais servidores podem enviar em nome de um domínio. DKIM adiciona uma assinatura criptográfica à mensagem para permitir verificação de integridade e origem do domínio. DMARC define como tratar falhas e fornece relatórios, utilizando o alinhamento com SPF e/ou DKIM. Esses mecanismos reduzem de domínio, mas não substituem análise de conteúdo, links e comportamento.
5.2 , impersonação e comprometimento real
Conceito
Descrição
Exemplo conceitual
O remetente aparenta usar um domínio ou endereço que não controla.
Cabeçalho ou domínio semelhante tenta enganar o destinatário.
Impersonação
O atacante imita uma pessoa ou domínio confiável.
Nome visual e estilo de escrita simulam um executivo.
Conta comprometida
A mensagem sai de uma conta legítima controlada pelo atacante.
Autenticação do domínio pode passar, mas o comportamento é malicioso.
Fraude orientada a processo de negócio, pagamento ou dado sensível.
Solicitação urgente de alteração bancária ou envio de documento.
A proteção combina autenticação, reputação, inteligência de caixa de correio, análise de relacionamento, padrões de linguagem e outros sinais. O objetivo não é apenas bloquear um domínio falso, mas reconhecer quando uma mensagem tenta explorar confiança organizacional.
Atenção
SPF, DKIM e DMARC ajudam a validar domínio e fluxo de envio. Eles não garantem que toda mensagem autenticada seja segura, porque contas legítimas também podem ser comprometidas.
6. e
Figura 3 - Proteção em camadas no .
6.1
adiciona uma camada para arquivos que já passaram pela verificação antimalware. O arquivo pode ser aberto em um ambiente virtual isolado para observar seu comportamento, processo chamado detonação. Isso ajuda a detectar malware desconhecido, ransomware e conteúdo de dia zero antes de chegar ao usuário ou ao ser analisado em repositórios de colaboração suportados.
6.2
protege contra maliciosas usadas em e outros ataques. A solução pode analisar e reescrever durante o fluxo da mensagem e verificar o destino no momento do clique. Essa reavaliação é importante porque um site inicialmente benigno pode ser alterado depois da entrega da mensagem.
6.3 Proteção da colaboração
Os controles também se estendem, de acordo com configuração e licenciamento, a links e arquivos em , SharePoint, OneDrive e aplicativos Office suportados. O objetivo é proteger o conteúdo onde os usuários colaboram, e não apenas a caixa de entrada.
7. Investigação e resposta no
7.1 Alertas, Explorer e detecções em tempo real
O portal reúne alertas de e-mail e colaboração. Explorer e experiências de detecção permitem pesquisar mensagens, remetentes, destinatários, , anexos e ações realizadas. O analista pode verificar alcance, identificar quem recebeu ou clicou e avaliar se há uma campanha maior.
7.2 Campanhas e contexto de ameaça
A visão de campanhas agrupa mensagens relacionadas por características e infraestrutura, ajudando a entender volume, alvo, técnica e impacto. Em vez de tratar cada mensagem como evento isolado, a equipe observa o padrão do ataque.
7.3 Resposta e automação
Colocar mensagens ou arquivos em quarentena, quando aplicável.
Remover ou corrigir mensagens após entrega por mecanismos suportados.
Investigar usuários, , remetentes e anexos relacionados.
Usar investigação automatizada para reduzir trabalho repetitivo, conforme plano e configuração.
Utilizar relatos de usuários como sinal adicional, sem assumir que todo relato é malicioso.
Raciocínio de prova
está associado a e verificação no clique. está associado a arquivos e detonação em ambiente virtual. está associado a , impersonação e fraude baseada em identidade.
8.
é uma plataforma de segurança para dispositivos corporativos. Ela reúne proteção preventiva, redução da superfície de ataque, detecção e resposta de , investigação automatizada, e inteligência. O pode ser um computador, servidor, dispositivo móvel ou outra plataforma suportada.
8.1 não é sinônimo de antivírus
Antivírus é uma camada importante, mas o produto vai além. Um registra atividades e comportamentos para detectar ataques que escapam de controles preventivos, reconstruir o que ocorreu e permitir ações de contenção. Isso é especialmente relevante para ataques sem arquivo, uso indevido de ferramentas legítimas e comprometimento de credenciais.
Figura 4 - Camadas do .
9. Camadas de proteção do
9.1 Redução da superfície de ataque
A redução da superfície de ataque busca diminuir caminhos disponíveis ao invasor. Regras podem bloquear comportamentos arriscados frequentemente usados por malware, como certos encadeamentos entre documentos, scripts e processos. Outros controles incluem proteção de rede, firewall, controle de dispositivos, controle de aplicativos e proteção contra exploração, conforme plataforma e configuração.
9.2 Proteção de próxima geração
utiliza proteção em tempo real, heurística, análise comportamental, inteligência em nuvem, aprendizado de máquina e atualizações de segurança para detectar ameaças conhecidas e emergentes. O objetivo é bloquear o ataque o mais cedo possível.
9.3 Detection and -
coleta sinais comportamentais dos dispositivos, aplica análises e gera alertas quando identifica atividade suspeita. O analista pode examinar a linha do tempo do dispositivo, processos, arquivos, conexões, usuários e outras entidades para compreender alcance e origem.
Capacidade
Pergunta que responde
Como reduzir oportunidades para o ataque começar ou progredir?
Antivírus e proteção em nuvem
Como bloquear malware e comportamento malicioso conhecido ou emergente?
O que aconteceu no dispositivo e quais sinais indicam comprometimento?
AIR
Quais evidências podem ser investigadas e quais correções podem ser aplicadas?
Existem sinais relacionados que ainda não geraram alertas?
10. Investigação, resposta e operação do
10.1 Investigação e resposta automatizadas
A investigação automatizada examina alertas, processos, arquivos e entidades relacionadas, produz vereditos e pode executar ou recomendar ações de remediação de acordo com o nível de automação e as permissões. A automação reduz tempo operacional, mas não elimina a necessidade de validação humana.
10.2 Ações de resposta
Isolar um dispositivo da rede preservando comunicações necessárias ao serviço, conforme suporte.
Conter indicadores ou bloquear arquivos e maliciosos.
Colocar arquivos em quarentena ou interromper processos suportados.
Executar coleta de pacote de investigação e consultar linha do tempo.
Restringir execução de aplicativos ou aplicar outras ações de contenção.
10.3 e
apresenta informações sobre ameaças, impacto potencial, exposição e orientações. permite consultar telemetria de e outros domínios integrados para investigar hipóteses e procurar atividades que ainda não geraram alertas.
10.4 Onboarding e saúde do sensor
Para produzir telemetria, os dispositivos precisam ser integrados ao serviço e manter componentes de proteção saudáveis. Cobertura incompleta, sensores desatualizados ou configurações inconsistentes reduzem a qualidade da detecção. Por isso, segurança de também envolve implantação, configuração e monitoramento contínuo.
11. para Aplicativos de Nuvem
para Aplicativos de Nuvem protege aplicativos e os dados utilizados neles. O produto combina funções de Cloud Access Security Broker - , gerenciamento de postura de segurança - , proteção avançada contra ameaças e que acessam dados por e .
Figura 5 - Frentes de proteção do para Aplicativos de Nuvem.
11.1 O que é ?
é uma camada de visibilidade e controle entre usuários, dispositivos e serviços em nuvem. Ele ajuda a descobrir aplicativos, avaliar riscos, aplicar políticas, proteger dados e detectar comportamento anômalo. O não substitui o provedor de identidade, o firewall ou o ; ele complementa esses controles com contexto específico de aplicativos em nuvem.
12. e Cloud Discovery
é o uso de aplicativos, serviços ou infraestrutura sem avaliação, aprovação ou governança formal da organização. Um serviço não aprovado pode armazenar dados em local inadequado, usar controles fracos, exigir permissões excessivas ou não atender requisitos regulatórios. Contudo, não significa automaticamente que o aplicativo é malicioso.
Figura 6 - Fluxo conceitual do Cloud Discovery.
12.1 Descobrir, avaliar e governar
Cloud Discovery analisa telemetria de uso, relaciona o tráfego a um catálogo de aplicativos e apresenta usuários, dispositivos, transações e indicadores de risco. A equipe pode classificar aplicativos como sancionados ou não sancionados, criar políticas e orientar usuários para alternativas aprovadas.
12.2 Avaliação de risco
A avaliação considera fatores como segurança, conformidade, privacidade, autenticação, auditoria, proteção de dados e maturidade do fornecedor. A pontuação ajuda a priorizar análise, mas não substitui avaliação jurídica, contratual e de negócio.
13. Políticas, sessões, dados e aplicativos
13.1 Conectores e políticas
Conectores de aplicativos utilizam dos provedores para oferecer visibilidade sobre atividades, usuários, arquivos, configurações e ameaças. Políticas podem identificar atividades anômalas, compartilhamento externo, acesso arriscado, alterações suspeitas e outros comportamentos, gerando alertas ou ações de governança.
13.2 App Control
A integração com do permite direcionar sessões para controles em tempo real. Políticas de acesso podem permitir ou bloquear o acesso; políticas de sessão podem permitir o acesso e limitar ações específicas, como download, upload, copiar, imprimir ou uso de arquivos sensíveis, conforme o aplicativo e a configuração.
13.3 Proteção de dados
O produto pode identificar informações sensíveis, integrar-se ao , aplicar políticas de e executar ações como aplicar rótulo, bloquear download em dispositivo não gerenciado ou remover compartilhamento externo, conforme suporte.
13.4
Aplicativos podem receber permissões para acessar dados em nome de usuários. oferece visibilidade sobre permissões, comportamento e uso desses aplicativos, permitindo identificar apps inativos, excessivamente privilegiados ou suspeitos e aplicar políticas de governança.
Controle
Exemplo de finalidade
Política de atividade
Alertar sobre download em massa ou comportamento anômalo.
Bloquear acesso a aplicativo em determinada condição.
Política de sessão
Permitir acesso, mas bloquear download em dispositivo não gerenciado.
Monitorar e limitar aplicativo com permissões excessivas.
14.
ajuda a detectar, investigar e responder a ataques baseados em identidade em ambientes locais, híbridos e em nuvem. No contexto clássico do SC-900, ele monitora sinais da infraestrutura do por meio de sensores e integra essas detecções ao portal .
Figura 7 - Fases, sinais e fontes de ataque observados pelo .
14.1 Sensores e fontes de sinal
Sensores podem ser implantados em controladores de domínio e, conforme arquitetura e versão, em servidores como , AD CS e . Eles observam autenticação, consultas ao diretório, alterações, tráfego e comportamento. A análise combina sinais, inteligência de ameaças, padrões conhecidos e perfis comportamentais.
15. Ataques de identidade e postura
15.1 Reconhecimento
No reconhecimento, o invasor tenta descobrir usuários, grupos, computadores, serviços e relações de privilégio. Consultas ou enumerações incomuns podem indicar preparação para etapas posteriores.
15.2 Comprometimento de credenciais
Ataques podem explorar senhas fracas, autenticações repetidas, tickets ou . Pass-the- é uma técnica em que material derivado da credencial é reutilizado para autenticação sem que o invasor precise conhecer a senha em texto claro. O foco do exame é reconhecer que o detecta sinais de abuso de credenciais e comportamento anômalo.
15.3 e escalada
Após obter acesso inicial, o invasor tenta alcançar outros dispositivos e identidades, aumentar privilégios e chegar a contas ou ativos sensíveis. analisa relações e comportamentos para detectar , alterações suspeitas, abuso de protocolos e tentativas de domínio do ambiente.
15.4 Postura de identidade
Além de alertas, o produto apresenta avaliações de postura, configurações arriscadas e caminhos que podem permitir progressão até ativos críticos. Corrigir exposição reduz a probabilidade de o ataque ter sucesso, enquanto a detecção ajuda a identificar quando o abuso já começou.
Estágio
Exemplo de sinal
Objetivo defensivo
Reconhecimento
Enumeração incomum de contas, grupos ou recursos.
Identificar preparação do ataque.
Credenciais
Autenticações suspeitas ou abuso de material de credencial.
Detectar tomada de conta.
Acesso anômalo entre sistemas e identidades.
Conter expansão do atacante.
Domínio do AD
Comportamento associado a controle amplo do diretório.
Proteger ativos de maior privilégio.
Postura
Delegações, caminhos ou configurações exploráveis.
Reduzir exposição antes do incidente.
16. Integração no
Cada produto pode gerar alertas próprios, mas a integração correlaciona sinais por tempo, entidade, infraestrutura e comportamento. Um link de , um processo suspeito, uma autenticação anômala e um download em podem ser reunidos em um incidente com , evidências e ativos afetados.
16.1 Entidades compartilhadas
Usuários e contas de serviço.
Dispositivos, servidores e endereços .
Caixas de correio, mensagens, e arquivos.
Aplicativos em nuvem, sessões e apps .
Domínios, processos, e outros indicadores.
16.2 Resposta coordenada
A resposta pode combinar remoção de mensagem, bloqueio de ou arquivo, isolamento de dispositivo, contenção de identidade, revogação de sessão, restrição de aplicativo e outras ações suportadas. O conjunto exato depende de produto, licença, integração, permissões e automação configurada.
Limite importante
Integração não significa que todos os controles são idênticos ou que uma licença habilita automaticamente todos os recursos. O correlaciona e coordena capacidades dos produtos presentes e configurados.
Figura 9 - Serviços especializados fornecem sinais e ações coordenadas ao .
16.3 Proteção entre produtos
Uma fila combinada de incidentes correlaciona alertas e entidades em uma história completa do ataque.
A resposta automática pode remover mensagens mal-intencionadas, isolar dispositivos, conter identidades, bloquear indicadores e recuperar automaticamente ativos comprometidos compatíveis.
A interrupção automática de ataques usa sinais de alta confiança para conter um ataque em andamento e dar mais tempo aos analistas.
A consulta até 30 dias de sinais brutos e dados de alertas entre produtos com Kusto Query Language (KQL).
17.
O descobre ativos continuamente, avalia fraquezas, prioriza riscos, apoia a correção e acompanha o progresso. A cobertura inclui Windows, macOS, Linux, Android, iOS e dispositivos de rede compatíveis; portanto, o trabalho não se limita a uma lista periódica de CVEs.
Figura 10 - Visibilidade contínua, priorização baseada em risco e correção alimentam a visão ampla da exposição.
17.1 Descoberta e avaliação contínuas
Inventários de software, extensões de navegador, certificados digitais, hardware e firmware mostram o que existe e onde é executado.
Verificações autenticadas do Windows e avaliações de dispositivos de rede ampliam a visibilidade além dos pontos de extremidade já integrados.
Linhas de base de segurança comparam configurações com referências como CIS e STIG e identificam dispositivos de rede mal configurados, certificados a expirar e extensões vulneráveis.
Análises de ameaças e linhas do tempo acrescentam contexto sobre exploração ativa e histórico de exposição do ativo.
17.2 Priorização baseada em risco
A prioridade combina , probabilidade de violação, contexto de negócio, criticidade do ativo, quantidade de dispositivos expostos e gravidade técnica, como dados de CVE e CVSS. Assim, a equipe trata primeiro fraquezas exploradas ativamente ou ligadas a ativos valiosos, em vez de considerar todas as descobertas igualmente urgentes.
17.3 Correção e acompanhamento
Recomendações de segurança podem virar solicitações de correção para TI, inclusive por fluxos com o . Quando a correção imediata não existe, a equipe pode bloquear um aplicativo vulnerável ou aplicar uma mitigação alternativa. O portal acompanha o status nas páginas de visão geral, vulnerabilidades, inventários, recomendações, correção e linhas de base. A Pontuação de Segurança para Dispositivos resume a postura dos pontos de extremidade.
O pode resumir uma vulnerabilidade, explicar o impacto na organização, sugerir correções e converter perguntas em linguagem natural em consultas de . O analista ainda precisa validar as evidências e a ação proposta.
18.
A transforma observações externas e internas em contexto sobre agentes, campanhas, infraestrutura mal-intencionada, ferramentas, indicadores de comprometimento, vulnerabilidades e táticas, técnicas e procedimentos. No , esse contexto apoia triagem, resposta a incidentes, busca proativa e priorização de vulnerabilidades.
18.1 Quatro experiências de investigação
destaca ameaças recentes, de alto impacto e de maior exposição e mostra a relevância para a organização.
Perfis de inteligência fornecem pesquisa selecionada sobre agentes de ameaça, ferramentas mal-intencionadas e vulnerabilidades importantes.
O Intel Explorer pesquisa palavras-chave, indicadores e CVEs e retorna reputação, relações de infraestrutura, possibilidade de exploração e prioridade.
Projetos agrupam indicadores e artefatos, preservam o histórico, apoiam colaboração e monitoram a infraestrutura selecionada.
Transição atual do produto
A experiência autônoma do tinha descontinuação programada para 1º de agosto de 2026. Suas capacidades estão sendo consolidadas no e no ; clientes elegíveis acessam a experiência integrada pelo . Para a prova, concentre-se na finalidade da , não no local de um portal legado.
O pode usar plugins de inteligência e promptbooks internos, como Avaliação do Impacto da Vulnerabilidade e Perfil de Agente de Ameaça. O Agente de Briefing de produz resumos personalizados de forma autônoma.
19.
O cria uma visão unificada antes da violação sobre usuários, pontos de extremidade, identidades, cargas de trabalho de nuvem, aplicativos , dados e fontes de terceiros. Ele agrega sinais do ,, para Aplicativos de Nuvem, , e conectores não Microsoft compatíveis.
19.1 Grafo, superfície de ataque e caminhos
O grafo de exposição empresarial modela ativos e as relações que um invasor poderia percorrer.
O mapa da superfície de ataque permite explorar recursos e conexões visualmente.
Caminhos de ataque mostram rotas plausíveis até ativos críticos; pontos de estrangulamento são etapas compartilhadas cuja correção interrompe vários caminhos.
O estima até onde um comprometimento pode se propagar a partir de um recurso exposto.
19.2 Ativos críticos, iniciativas e métricas
A classificação de ativos críticos identifica controladores de domínio, servidores de arquivos, bancos de dados, armazenamentos sensíveis, usuários e grupos privilegiados e recursos importantes no , AWS ou Google Cloud. Regras internas e personalizadas usam o grafo e o construtor de consultas. Iniciativas de segurança organizam metas por carga de trabalho, controle horizontal, ameaça ou objetivo de ; métricas, recomendações, pontuações de domínio e a medem a evolução.
Conectores como ServiceNow CMDB, Tenable, Qualys e Rapid7 enriquecem o grafo. O foca fraquezas e configurações incorretas individuais; o relaciona essas descobertas a ativos críticos e caminhos entre cargas de trabalho. Uma CVE pode, portanto, ser apenas uma etapa de uma rota maior de comprometimento.
20.
Figura 11 - Um único portal reúne postura antes da violação e operações depois da violação.
O é o local unificado para prevenção, postura, detecção, investigação, resposta, e configuração. O que cada usuário vê depende de licenciamento, integração e função. Funções comuns do incluem Leitor ou Administrador Global, Leitor ou Administrador de Segurança e Operador de Segurança; o privilégio mínimo continua sendo o padrão recomendado.
20.1 Investigação e resposta
Incidentes agrupam alertas relacionados, ativos afetados, evidências, investigações e correções na história completa do ataque.
A consulta dados brutos do e do conectado com KQL; o Copilot ajuda a converter uma pergunta em consulta, que deve ser revisada.
O Centro de ações unificado acompanha respostas pendentes e concluídas; Envios trata mensagens, e anexos informados.
Catálogo de parceiros, relatórios, Hub de aprendizagem e configurações do sistema apoiam integrações, operação, capacitação e administração.
20.2 Navegação por serviço
oferece visão geral, superfícies de ataque, insights, Pontuação de Segurança e conectores. oferece análises, perfis e exploração. Ativos inventaria dispositivos, identidades e recursos de nuvem. Áreas dedicadas expõem identidades, pontos de extremidade, email e colaboração, aplicativos de nuvem, segurança da nuvem, ,, otimização do SOC e relatórios. A navegação é personalizável e sensível à função.
21. com o
Figura 12 - O Copilot auxilia o analista no fluxo, enquanto agentes autônomos executam tarefas recorrentes selecionadas.
O está disponível integrado ao e em um autônomo. O plugin do fornece contexto de segurança; o plugin Linguagem Natural para KQL ajuda a criar consultas de . Um promptbook organiza prompts reutilizáveis em sequência para investigar incidentes.
21.1 Fluxos integrados para o analista
Resumir incidentes com até 100 alertas e destacar a linha do tempo essencial e os ativos afetados.
Gerar respostas orientadas para triagem, contenção, investigação e correção e localizar incidentes semelhantes.
Analisar PowerShell e outros scripts, explicar comportamentos suspeitos e resumir dispositivos ou identidades.
Gerar KQL, inserir a consulta no editor de e ajudar o analista a refiná-la antes da execução.
Criar relatórios de incidentes, analisar arquivos do incidente ou perfil do arquivo e transferir a conversa para a experiência autônoma quando a investigação precisar ser ampliada.
21.2 Agentes autônomos de segurança
Os agentes disponíveis evoluem, mas o módulo destaca Agente de Triagem de , Agente de Briefing de , Agente de e Agente de Detecção Dinâmica de Ameaças. Eles preservam o controle humano mostrando evidências, raciocínio, veredictos e caminhos de feedback. O agente de exige os direitos aplicáveis do Plano 2 e do .
A Detecção Dinâmica de Ameaças é um recurso adaptável e sempre ativo que correlaciona alertas, eventos, anomalias e inteligência para revelar lacunas e falsos negativos sem exigir uma consulta fixa inicial. Ao detectar comportamento suspeito, gera um alerta com explicação em linguagem natural, KQL relevante, técnicas MITRE ATT&CK, contexto e correções personalizadas. A IA acelera a análise; a responsabilidade e a decisão final continuam humanas.
22. Cenário prático integrado
Figura 8 - Cenário integrado entre produtos e correlação pelo .
22.1 Etapa 1 - Entrada por e-mail
Um colaborador recebe uma mensagem que imita um fornecedor. identifica uma de e relaciona a mensagem a outras tentativas semelhantes. Mesmo que o clique ocorra antes da classificação final, a verificação no clique e a investigação ajudam a medir alcance.
22.2 Etapa 2 - Atividade no
No dispositivo, registra processo incomum, conexão externa e tentativa de persistência. produz um alerta e a equipe pode isolar o dispositivo e investigar a linha do tempo.
22.3 Etapa 3 - Abuso de identidade
observa reconhecimento do diretório e acesso lateral incompatível com o comportamento normal do usuário. A identidade passa a ser tratada como entidade central do incidente.
22.4 Etapa 4 - Acesso ao
detecta download em massa em um aplicativo conectado e uma sessão de risco. Controles podem restringir a atividade, revogar sessão ou impedir download conforme política.
22.5 Correlação e resposta
reúne os alertas em uma história. A equipe remove mensagens, bloqueia indicadores, isola o , protege a conta e investiga os dados acessados. O incidente deixa de ser quatro alertas separados e se torna uma resposta coordenada.
23. Boas práticas, comparações e armadilhas do exame
23.1 Boas práticas operacionais
Implantar os produtos com cobertura adequada e acompanhar a saúde dos sensores e conectores.
Aplicar menor privilégio e autenticação forte aos administradores do portal.
Usar políticas recomendadas como ponto de partida, testar impacto e ajustar exceções.
Tratar relatos de usuários, alertas e automações como sinais que exigem contexto.
Revisar falsos positivos, melhorar regras e documentar lições aprendidas.
Conectar prevenção, investigação e postura: corrigir exposição antes que se torne incidente.
23.2 Armadilhas recorrentes
Afirmação equivocada
Correção
analisa anexos.
protege ; analisa arquivos e pode detoná-los em ambiente virtual.
é apenas antivírus.
Ele inclui redução de superfície, , investigação, resposta, e outras capacidades.
é sempre malware.
É tecnologia usada sem governança ou aprovação formal; o risco deve ser avaliado.
substitui o Entra .
Os produtos se integram; decide condições de acesso e Cloud Apps pode aplicar controle de acesso/sessão.
protege somente logins na nuvem.
Ele monitora sinais de identidade, com destaque para Active Directory e ambientes híbridos.
Um produto único observa toda a cadeia com a mesma profundidade.
Cada produto é especializado; correlaciona seus sinais.
23.3 Revisão rápida
Office 365: e-mail, links, anexos e colaboração.
: prevenção, , investigação e resposta em dispositivos.
Cloud Apps: ,, sessões, dados e apps .
Identity: sinais de diretório, credenciais e .
: descoberta, priorização e remediação de vulnerabilidades e configurações incorretas.
: contexto sobre agentes, campanhas, indicadores e infraestrutura de ameaça.
: correlação, incidentes e resposta coordenada.
24. Conclusão
O ecossistema representa uma arquitetura de defesa baseada em produtos especializados e integração operacional. protege o canal de e-mail e colaboração; protege dispositivos; amplia visibilidade e controle sobre ; observa o ciclo de ataques contra identidades e diretórios.
Quando conectados ao , esses produtos deixam de produzir apenas alertas isolados. Sinais são correlacionados em incidentes, entidades são compartilhadas e a equipe pode investigar e responder com uma visão mais próxima da cadeia real do ataque. Essa integração melhora tempo de detecção, priorização e coordenação, mas depende de implantação, licenciamento, configuração e governança adequados.
Na minha avaliação, a lição mais importante é que segurança moderna não pode ser organizada apenas por ferramentas. Ela precisa acompanhar a jornada do atacante e relacionar pessoas, dispositivos, mensagens, aplicações e dados. Conhecer a função de cada produto é o primeiro passo; compreender como eles cooperam é o conhecimento que transforma uma lista de serviços em uma estratégia de proteção.
Resumo em uma frase Os produtos protegem superfícies diferentes e alimentam o , que correlaciona sinais e coordena investigação e resposta.
Para continuar estudando O próximo capítulo aprofunda vulnerabilidades, inteligência de ameaças e , complementando a visão de detecção com a priorização preventiva de riscos.
25. Questões de revisão
Questão 1
Uma organização quer proteger maliciosas em mensagens e reavaliar o destino quando o usuário clicar. Qual recurso é o mais adequado?
A)
B)
C) Cloud Discovery
D) Regras
Resposta comentada
Resposta correta: B. protege e pode verificar o destino no momento do clique. está associado a arquivos e detonação em ambiente virtual.
Questão 2
Qual produto é mais diretamente associado a , linha do tempo do dispositivo e isolamento de ?
A)
B)
C) para Aplicativos de Nuvem
D)
Resposta comentada
Resposta correta: A. oferece prevenção, , investigação e ações de resposta em dispositivos.
Questão 3
Qual capacidade ajuda a descobrir aplicativos usados sem avaliação formal e atribuir indicadores de risco?
A)
B) Cloud Discovery no
C)
D)
Resposta comentada
Resposta correta: B. Cloud Discovery oferece visibilidade sobre , usuários, transações e risco dos aplicativos em nuvem.
Questão 4
Qual solução monitora sinais de identidade e pode detectar reconhecimento, abuso de credenciais e no Active Directory?
A)
B)
C)
D)
Resposta comentada
Resposta correta: C. analisa sinais da infraestrutura de identidade e detecta etapas do ciclo de ataque contra contas e diretórios.
Questões 5 a 9 - Avaliação do módulo
Qual serviço protege email, links mal-intencionados, anexos e cargas de colaboração? Resposta: , que protege superfícies do Exchange Online, SharePoint, Teams e OneDrive.
No para Aplicativos de Nuvem, qual responsabilidade protege informações sensíveis em serviços ? Resposta: segurança de dados, por meio de rótulos, controles de download e compartilhamento e proteção de conteúdo.
Qual serviço investiga identidades comprometidas, insiders mal-intencionados, reconhecimento e ? Resposta: .
Qual métrica oferece uma visão rápida e orientada a ações da postura? Resposta: . Ela resume a postura e ações de melhoria, mas não garante que uma violação não possa ocorrer.
Qual produto prioriza vulnerabilidades críticas e configurações incorretas com contexto de ativo, ameaça e negócio? Resposta: .
26. Glossário e referências oficiais
26.1 Glossário essencial
Termo
Significado
Proteção contra maliciosas, incluindo verificação no clique.
Proteção que analisa arquivos e pode detoná-los em ambiente virtual.
Detecção e resposta baseada em telemetria e comportamento de .
Controles para reduzir caminhos e comportamentos exploráveis no dispositivo.
Camada de visibilidade e controle sobre uso de serviços em nuvem.
Uso de tecnologia sem avaliação, aprovação ou governança formal.
Gerenciamento da postura de segurança de aplicativos .
e acesso app-a-app.
Progressão do invasor entre identidades, sistemas e recursos.
Correlação de detecção e resposta entre múltiplas superfícies de segurança.
26.2 Referências Microsoft Learn
Study guide for Exam SC-900 - learn.microsoft.com/credentials/certifications/resources/study-guides/sc-900
in - learn.microsoft.com/defender-/defender-threat-intelligence
Observação editorial
Conteúdo validado em julho de 2026. A Microsoft atualiza continuamente recursos, licenciamento, integrações e experiências do portal; para decisões de implantação, confirme sempre a documentação e os termos atuais.
