Defender for Office 365, Defender for Endpoint, Defender for Cloud Apps, Defender for Identity, Safe Links, Safe Attachments, EDR, CASB, Shadow IT, SSPM, Conditional Access App Control e integração XDR
Tempo de estudo sugerido: 33 minutos • Nível iniciante • Alinhado ao plano de estudos SC-900 e à documentação oficial do Microsoft Learn
Por João Ricardo Dutra••Material integral
1. Introdução: de ferramentas isoladas a um ecossistema de defesa
A segurança corporativa começou com controles relativamente isolados: filtros de e-mail, antivírus em computadores, auditoria de diretórios e bloqueios de rede. Esse modelo refletia um ambiente em que as fronteiras eram mais estáveis. Com a expansão da nuvem, do trabalho híbrido, dos aplicativos SaaS e das identidades distribuídas, ataques passaram a atravessar várias superfícies em uma única cadeia.
A Microsoft desenvolveu produtos especializados para observar essas superfícies com profundidade. O for Office 365 protege e-mail e colaboração; o for protege dispositivos; o for Cloud Apps protege o uso de SaaS e os dados em aplicativos; e o for Identity monitora sinais de identidade. A evolução para o conecta esses produtos e transforma alertas separados em uma história de ataque correlacionada.
Para o leitor, compreender esse ecossistema evita o erro de procurar um único produto que resolva todos os problemas. Para a sociedade, a integração reduz o tempo de resposta a ataques que afetam hospitais, escolas, empresas, serviços públicos e dados pessoais. Ao final, você conseguirá olhar para um incidente e identificar qual produto detecta cada etapa e como todos cooperam.
Figura 1 - Um ataque moderno pode atravessar e-mail, , identidade e aplicativos SaaS.
2. O ecossistema
O nome representa uma família de soluções de segurança. Cada componente possui telemetria, mecanismos de prevenção, detecções e ações próprias. A integração com o oferece uma camada comum de correlação, incidentes, investigação e resposta no portal .
Figura 2 - Produtos especializados alimentam as capacidades do .
2.1 Especialização e integração
Especialização significa que cada produto entende profundamente sua superfície. Um produto de e-mail conhece remetentes, , anexos e caixas de correio; um produto de conhece processos, memória, arquivos e conexões; um produto de identidade conhece autenticações, grupos e controladores de domínio; um produto de SaaS conhece sessões, arquivos, permissões e aplicativos .
Integração significa que essas visões não permanecem isoladas. Alertas relacionados podem ser correlacionados em um incidente, entidades são compartilhadas entre investigações e ações de resposta podem ser coordenadas no portal. O não substitui os produtos: ele utiliza os sinais e capacidades de cada um.
3. Comparação inicial dos quatro produtos
Produto
Superfície principal
Exemplos de capacidades
Defender for Office 365
E-mail e colaboração
Anti-phishing, Safe Links, Safe Attachments, proteção de Teams/SharePoint/OneDrive, investigação de campanhas.
Defender for Endpoint
Dispositivos
Redução de superfície, antivírus, EDR, investigação automatizada, resposta e hunting.
Defender for Cloud Apps
Aplicativos SaaS e dados em nuvem
CASB, Shadow IT, SSPM, políticas, DLP, controle de sessão e governança de apps OAuth.
Defender for Identity
Identidades e infraestrutura de diretório
Sensores, análise comportamental, reconhecimento, abuso de credenciais, movimento lateral e postura de identidade.
3.1 Um mesmo ativo pode aparecer em vários produtos
Um usuário pode receber uma mensagem maliciosa, clicar em um link, autenticar-se em um aplicativo SaaS e executar uma atividade em um dispositivo. Por isso, usuário, dispositivo, caixa de correio, aplicativo e endereço podem aparecer como entidades relacionadas no mesmo incidente. A correlação reduz o trabalho manual de reconstrução.
Ponto-chave para o SC-900
Associe cada nome à sua superfície: Office 365 protege e-mail e colaboração; protege dispositivos; Cloud Apps protege SaaS, sessões e ; Identity protege identidades e sinais do Active Directory. Defender correlaciona tudo isso.
4. for Office 365
for Office 365 é a solução de proteção avançada para e-mail e ferramentas de colaboração do . Ela complementa as proteções básicas de caixas de correio em nuvem com controles contra phishing avançado, impersonação, links maliciosos, arquivos desconhecidos e campanhas coordenadas.
4.1 Por que o e-mail continua crítico?
O e-mail combina confiança humana, conteúdo externo, links, arquivos e identidade. Um invasor pode falsificar aparência, urgência e contexto para convencer o usuário a revelar credenciais ou abrir conteúdo. A defesa precisa analisar remetente, infraestrutura, texto, anexos, e comportamento posterior ao recebimento.
4.2 EOP e Defender for Office 365
Exchange Online Protection, conhecido como EOP, oferece a base de filtragem antispam, antimalware e proteção de fluxo de mensagens para caixas de correio em nuvem. Defender for Office 365 adiciona recursos avançados, como , , políticas anti-phishing expandidas, investigação, automação e visibilidade de campanhas, conforme o plano licenciado.
Camada
Objetivo
Exemplos
Autenticação de e-mail
Verificar se o domínio e a infraestrutura estão autorizados.
SPF, DKIM e DMARC.
Reputação e filtragem
Analisar remetente, IP, domínio, volume e conteúdo.
Anti-spam, anti-malware e inteligência de ameaças.
Anti-phishing
Detectar falsificação e impersonação.
Proteção de usuário/domínio e inteligência de caixa de correio.
Proteção avançada
Analisar URLs e arquivos desconhecidos.
Safe Links e Safe Attachments.
Operações de segurança
Investigar, conter e aprender.
Explorer, campanhas, quarentena, alertas e AIR.
5. Autenticação de e-mail e proteção contra phishing
5.1 SPF, DKIM e DMARC
SPF publica quais servidores podem enviar em nome de um domínio. DKIM adiciona uma assinatura criptográfica à mensagem para permitir verificação de integridade e origem do domínio. DMARC define como tratar falhas e fornece relatórios, utilizando o alinhamento com SPF e/ou DKIM. Esses mecanismos reduzem spoofing de domínio, mas não substituem análise de conteúdo, links e comportamento.
5.2 Spoofing, impersonação e comprometimento real
Conceito
Descrição
Exemplo conceitual
Spoofing
O remetente aparenta usar um domínio ou endereço que não controla.
Cabeçalho ou domínio semelhante tenta enganar o destinatário.
Impersonação
O atacante imita uma pessoa ou domínio confiável.
Nome visual e estilo de escrita simulam um executivo.
Conta comprometida
A mensagem sai de uma conta legítima controlada pelo atacante.
Autenticação do domínio pode passar, mas o comportamento é malicioso.
Business Email Compromise
Fraude orientada a processo de negócio, pagamento ou dado sensível.
Solicitação urgente de alteração bancária ou envio de documento.
A proteção anti-phishing combina autenticação, reputação, inteligência de caixa de correio, análise de relacionamento, padrões de linguagem e outros sinais. O objetivo não é apenas bloquear um domínio falso, mas reconhecer quando uma mensagem tenta explorar confiança organizacional.
Atenção
SPF, DKIM e DMARC ajudam a validar domínio e fluxo de envio. Eles não garantem que toda mensagem autenticada seja segura, porque contas legítimas também podem ser comprometidas.
6. e
Figura 3 - Proteção em camadas no Defender for Office 365.
6.1
adiciona uma camada para arquivos que já passaram pela verificação antimalware. O arquivo pode ser aberto em um ambiente virtual isolado para observar seu comportamento, processo chamado detonação. Isso ajuda a detectar malware desconhecido, ransomware e conteúdo de dia zero antes de chegar ao usuário ou ao ser analisado em repositórios de colaboração suportados.
6.2
protege contra maliciosas usadas em phishing e outros ataques. A solução pode analisar e reescrever durante o fluxo da mensagem e verificar o destino no momento do clique. Essa reavaliação é importante porque um site inicialmente benigno pode ser alterado depois da entrega da mensagem.
6.3 Proteção da colaboração
Os controles também se estendem, de acordo com configuração e licenciamento, a links e arquivos em Microsoft Teams, SharePoint, OneDrive e aplicativos Office suportados. O objetivo é proteger o conteúdo onde os usuários colaboram, e não apenas a caixa de entrada.
7. Investigação e resposta no Defender for Office 365
7.1 Alertas, Explorer e detecções em tempo real
O portal reúne alertas de e-mail e colaboração. Explorer e experiências de detecção permitem pesquisar mensagens, remetentes, destinatários, , anexos e ações realizadas. O analista pode verificar alcance, identificar quem recebeu ou clicou e avaliar se há uma campanha maior.
7.2 Campanhas e contexto de ameaça
A visão de campanhas agrupa mensagens relacionadas por características e infraestrutura, ajudando a entender volume, alvo, técnica e impacto. Em vez de tratar cada mensagem como evento isolado, a equipe observa o padrão do ataque.
7.3 Resposta e automação
Colocar mensagens ou arquivos em quarentena, quando aplicável.
Remover ou corrigir mensagens após entrega por mecanismos suportados.
Investigar usuários, , remetentes e anexos relacionados.
Usar investigação automatizada para reduzir trabalho repetitivo, conforme plano e configuração.
Utilizar relatos de usuários como sinal adicional, sem assumir que todo relato é malicioso.
Raciocínio de prova
está associado a e verificação no clique. está associado a arquivos e detonação em ambiente virtual. Anti-phishing está associado a spoofing, impersonação e fraude baseada em identidade.
8. for
for é uma plataforma de segurança para dispositivos corporativos. Ela reúne proteção preventiva, redução da superfície de ataque, detecção e resposta de , investigação automatizada, hunting e inteligência. O pode ser um computador, servidor, dispositivo móvel ou outra plataforma suportada.
8.1 não é sinônimo de antivírus
Antivírus é uma camada importante, mas o produto vai além. Um registra atividades e comportamentos para detectar ataques que escapam de controles preventivos, reconstruir o que ocorreu e permitir ações de contenção. Isso é especialmente relevante para ataques sem arquivo, uso indevido de ferramentas legítimas e comprometimento de credenciais.
Figura 4 - Camadas do for .
9. Camadas de proteção do
9.1 Redução da superfície de ataque
A redução da superfície de ataque busca diminuir caminhos disponíveis ao invasor. Regras podem bloquear comportamentos arriscados frequentemente usados por malware, como certos encadeamentos entre documentos, scripts e processos. Outros controles incluem proteção de rede, firewall, controle de dispositivos, controle de aplicativos e proteção contra exploração, conforme plataforma e configuração.
9.2 Proteção de próxima geração
Antivirus utiliza proteção em tempo real, heurística, análise comportamental, inteligência em nuvem, aprendizado de máquina e atualizações de segurança para detectar ameaças conhecidas e emergentes. O objetivo é bloquear o ataque o mais cedo possível.
9.3 Detection and -
coleta sinais comportamentais dos dispositivos, aplica análises e gera alertas quando identifica atividade suspeita. O analista pode examinar a linha do tempo do dispositivo, processos, arquivos, conexões, usuários e outras entidades para compreender alcance e origem.
Capacidade
Pergunta que responde
ASR
Como reduzir oportunidades para o ataque começar ou progredir?
Antivírus e proteção em nuvem
Como bloquear malware e comportamento malicioso conhecido ou emergente?
EDR
O que aconteceu no dispositivo e quais sinais indicam comprometimento?
AIR
Quais evidências podem ser investigadas e quais correções podem ser aplicadas?
Hunting
Existem sinais relacionados que ainda não geraram alertas?
10. Investigação, resposta e operação do
10.1 Investigação e resposta automatizadas
A investigação automatizada examina alertas, processos, arquivos e entidades relacionadas, produz vereditos e pode executar ou recomendar ações de remediação de acordo com o nível de automação e as permissões. A automação reduz tempo operacional, mas não elimina a necessidade de validação humana.
10.2 Ações de resposta
Isolar um dispositivo da rede preservando comunicações necessárias ao serviço, conforme suporte.
Conter indicadores ou bloquear arquivos e maliciosos.
Colocar arquivos em quarentena ou interromper processos suportados.
Executar coleta de pacote de investigação e consultar linha do tempo.
Restringir execução de aplicativos ou aplicar outras ações de contenção.
10.3 Threat analytics e hunting
Threat analytics apresenta informações sobre ameaças, impacto potencial, exposição e orientações. Advanced hunting permite consultar telemetria de e outros domínios integrados para investigar hipóteses e procurar atividades que ainda não geraram alertas.
10.4 Onboarding e saúde do sensor
Para produzir telemetria, os dispositivos precisam ser integrados ao serviço e manter componentes de proteção saudáveis. Cobertura incompleta, sensores desatualizados ou configurações inconsistentes reduzem a qualidade da detecção. Por isso, segurança de também envolve implantação, configuração e monitoramento contínuo.
11. for Cloud Apps
for Cloud Apps protege aplicativos SaaS e os dados utilizados neles. O produto combina funções de Cloud Access Security Broker - , gerenciamento de postura de segurança SaaS - , proteção avançada contra ameaças e governança de aplicativos que acessam dados por e .
Figura 5 - Frentes de proteção do for Cloud Apps.
11.1 O que é ?
é uma camada de visibilidade e controle entre usuários, dispositivos e serviços em nuvem. Ele ajuda a descobrir aplicativos, avaliar riscos, aplicar políticas, proteger dados e detectar comportamento anômalo. O não substitui o provedor de identidade, o firewall ou o DLP; ele complementa esses controles com contexto específico de aplicativos em nuvem.
12. e Cloud Discovery
é o uso de aplicativos, serviços ou infraestrutura sem avaliação, aprovação ou governança formal da organização. Um serviço não aprovado pode armazenar dados em local inadequado, usar controles fracos, exigir permissões excessivas ou não atender requisitos regulatórios. Contudo, não significa automaticamente que o aplicativo é malicioso.
Figura 6 - Fluxo conceitual do Cloud Discovery.
12.1 Descobrir, avaliar e governar
Cloud Discovery analisa telemetria de uso, relaciona o tráfego a um catálogo de aplicativos e apresenta usuários, dispositivos, transações e indicadores de risco. A equipe pode classificar aplicativos como sancionados ou não sancionados, criar políticas e orientar usuários para alternativas aprovadas.
12.2 Avaliação de risco
A avaliação considera fatores como segurança, conformidade, privacidade, autenticação, auditoria, proteção de dados e maturidade do fornecedor. A pontuação ajuda a priorizar análise, mas não substitui avaliação jurídica, contratual e de negócio.
13. Políticas, sessões, dados e aplicativos
13.1 Conectores e políticas
Conectores de aplicativos utilizam dos provedores para oferecer visibilidade sobre atividades, usuários, arquivos, configurações e ameaças. Políticas podem identificar atividades anômalas, compartilhamento externo, acesso arriscado, alterações suspeitas e outros comportamentos, gerando alertas ou ações de governança.
13.2 App Control
A integração com permite direcionar sessões para controles em tempo real. Políticas de acesso podem permitir ou bloquear o acesso; políticas de sessão podem permitir o acesso e limitar ações específicas, como download, upload, copiar, imprimir ou uso de arquivos sensíveis, conforme o aplicativo e a configuração.
13.3 Proteção de dados
O produto pode identificar informações sensíveis, integrar-se ao , aplicar políticas de DLP e executar ações como aplicar rótulo, bloquear download em dispositivo não gerenciado ou remover compartilhamento externo, conforme suporte.
13.4
Aplicativos podem receber permissões para acessar dados em nome de usuários. oferece visibilidade sobre permissões, comportamento e uso desses aplicativos, permitindo identificar apps inativos, excessivamente privilegiados ou suspeitos e aplicar políticas de governança.
Controle
Exemplo de finalidade
Política de atividade
Alertar sobre download em massa ou comportamento anômalo.
Bloquear acesso a aplicativo em determinada condição.
Política de sessão
Permitir acesso, mas bloquear download em dispositivo não gerenciado.
App governance
Monitorar e limitar aplicativo OAuth com permissões excessivas.
14. for Identity
for Identity ajuda a detectar, investigar e responder a ataques baseados em identidade em ambientes locais, híbridos e em nuvem. No contexto clássico do SC-900, ele monitora sinais da infraestrutura do por meio de sensores e integra essas detecções ao portal .
Figura 7 - Fases, sinais e fontes de ataque observados pelo Defender for Identity.
14.1 Sensores e fontes de sinal
Sensores podem ser implantados em controladores de domínio e, conforme arquitetura e versão, em servidores como , AD CS e . Eles observam autenticação, consultas ao diretório, alterações, tráfego e comportamento. A análise combina sinais, inteligência de ameaças, padrões conhecidos e perfis comportamentais.
15. Ataques de identidade e postura
15.1 Reconhecimento
No reconhecimento, o invasor tenta descobrir usuários, grupos, computadores, serviços e relações de privilégio. Consultas ou enumerações incomuns podem indicar preparação para etapas posteriores.
15.2 Comprometimento de credenciais
Ataques podem explorar senhas fracas, autenticações repetidas, tickets ou . Pass-the- é uma técnica em que material derivado da credencial é reutilizado para autenticação sem que o invasor precise conhecer a senha em texto claro. O foco do exame é reconhecer que o Defender for Identity detecta sinais de abuso de credenciais e comportamento anômalo.
15.3 e escalada
Após obter acesso inicial, o invasor tenta alcançar outros dispositivos e identidades, aumentar privilégios e chegar a contas ou ativos sensíveis. Defender for Identity analisa relações e comportamentos para detectar , alterações suspeitas, abuso de protocolos e tentativas de domínio do ambiente.
15.4 Postura de identidade
Além de alertas, o produto apresenta avaliações de postura, configurações arriscadas e caminhos que podem permitir progressão até ativos críticos. Corrigir exposição reduz a probabilidade de o ataque ter sucesso, enquanto a detecção ajuda a identificar quando o abuso já começou.
Estágio
Exemplo de sinal
Objetivo defensivo
Reconhecimento
Enumeração incomum de contas, grupos ou recursos.
Identificar preparação do ataque.
Credenciais
Autenticações suspeitas ou abuso de material de credencial.
Detectar tomada de conta.
Movimento lateral
Acesso anômalo entre sistemas e identidades.
Conter expansão do atacante.
Domínio do AD
Comportamento associado a controle amplo do diretório.
Proteger ativos de maior privilégio.
Postura
Delegações, caminhos ou configurações exploráveis.
Reduzir exposição antes do incidente.
16. Integração no
Cada produto pode gerar alertas próprios, mas a integração correlaciona sinais por tempo, entidade, infraestrutura e comportamento. Um link de phishing, um processo suspeito, uma autenticação anômala e um download em SaaS podem ser reunidos em um incidente com attack story, evidências e ativos afetados.
16.1 Entidades compartilhadas
Usuários e contas de serviço.
Dispositivos, servidores e endereços .
Caixas de correio, mensagens, e arquivos.
Aplicativos em nuvem, sessões e apps .
Domínios, processos, e outros indicadores.
16.2 Resposta coordenada
A resposta pode combinar remoção de mensagem, bloqueio de ou arquivo, isolamento de dispositivo, contenção de identidade, revogação de sessão, restrição de aplicativo e outras ações suportadas. O conjunto exato depende de produto, licença, integração, permissões e automação configurada.
Limite importante
Integração não significa que todos os controles são idênticos ou que uma licença habilita automaticamente todos os recursos. O correlaciona e coordena capacidades dos produtos presentes e configurados.
17. Cenário prático integrado
Figura 8 - Cenário integrado entre produtos e correlação pelo .
17.1 Etapa 1 - Entrada por e-mail
Um colaborador recebe uma mensagem que imita um fornecedor. Defender for Office 365 identifica uma de phishing e relaciona a mensagem a outras tentativas semelhantes. Mesmo que o clique ocorra antes da classificação final, a verificação no clique e a investigação ajudam a medir alcance.
17.2 Etapa 2 - Atividade no
No dispositivo, Defender for registra processo incomum, conexão externa e tentativa de persistência. produz um alerta e a equipe pode isolar o dispositivo e investigar a linha do tempo.
17.3 Etapa 3 - Abuso de identidade
Defender for Identity observa reconhecimento do diretório e acesso lateral incompatível com o comportamento normal do usuário. A identidade passa a ser tratada como entidade central do incidente.
17.4 Etapa 4 - Acesso ao SaaS
Defender for Cloud Apps detecta download em massa em um aplicativo conectado e uma sessão de risco. Controles podem restringir a atividade, revogar sessão ou impedir download conforme política.
17.5 Correlação e resposta
reúne os alertas em uma história. A equipe remove mensagens, bloqueia indicadores, isola o , protege a conta e investiga os dados acessados. O incidente deixa de ser quatro alertas separados e se torna uma resposta coordenada.
18. Boas práticas, comparações e armadilhas do exame
18.1 Boas práticas operacionais
Implantar os produtos com cobertura adequada e acompanhar a saúde dos sensores e conectores.
Aplicar menor privilégio e autenticação forte aos administradores do portal.
Usar políticas recomendadas como ponto de partida, testar impacto e ajustar exceções.
Tratar relatos de usuários, alertas e automações como sinais que exigem contexto.
Revisar falsos positivos, melhorar regras e documentar lições aprendidas.
Conectar prevenção, investigação e postura: corrigir exposição antes que se torne incidente.
18.2 Armadilhas recorrentes
Afirmação equivocada
Correção
Safe Links analisa anexos.
Safe Links protege URLs; Safe Attachments analisa arquivos e pode detoná-los em ambiente virtual.
Defender for Endpoint é apenas antivírus.
Ele inclui redução de superfície, EDR, investigação, resposta, hunting e outras capacidades.
Shadow IT é sempre malware.
É tecnologia usada sem governança ou aprovação formal; o risco deve ser avaliado.
Defender for Cloud Apps substitui o Entra Conditional Access.
Os produtos se integram; Conditional Access decide condições de acesso e Cloud Apps pode aplicar controle de acesso/sessão.
Defender for Identity protege somente logins na nuvem.
Ele monitora sinais de identidade, com destaque para Active Directory e ambientes híbridos.
Um produto único observa toda a cadeia com a mesma profundidade.
Cada produto é especializado; Defender XDR correlaciona seus sinais.
18.3 Revisão rápida
Office 365: e-mail, links, anexos e colaboração.
: prevenção, , investigação e resposta em dispositivos.
Cloud Apps: SaaS, , sessões, dados e apps .
Identity: sinais de diretório, credenciais e .
Defender : correlação, incidentes e resposta coordenada.
19. Conclusão
O ecossistema representa uma arquitetura de defesa baseada em produtos especializados e integração operacional. Defender for Office 365 protege o canal de e-mail e colaboração; Defender for protege dispositivos; Defender for Cloud Apps amplia visibilidade e controle sobre SaaS; Defender for Identity observa o ciclo de ataques contra identidades e diretórios.
Quando conectados ao , esses produtos deixam de produzir apenas alertas isolados. Sinais são correlacionados em incidentes, entidades são compartilhadas e a equipe pode investigar e responder com uma visão mais próxima da cadeia real do ataque. Essa integração melhora tempo de detecção, priorização e coordenação, mas depende de implantação, licenciamento, configuração e governança adequados.
Na minha avaliação, a lição mais importante é que segurança moderna não pode ser organizada apenas por ferramentas. Ela precisa acompanhar a jornada do atacante e relacionar pessoas, dispositivos, mensagens, aplicações e dados. Conhecer a função de cada produto é o primeiro passo; compreender como eles cooperam é o conhecimento que transforma uma lista de serviços em uma estratégia de proteção.
Resumo em uma frase Os produtos Microsoft Defender protegem superfícies diferentes e alimentam o Microsoft Defender XDR, que correlaciona sinais e coordena investigação e resposta.
Para continuar estudando O próximo capítulo aprofunda vulnerabilidades, inteligência de ameaças e gerenciamento de exposição, complementando a visão de detecção com a priorização preventiva de riscos.
20. Questões de revisão
Questão 1
Uma organização quer proteger maliciosas em mensagens e reavaliar o destino quando o usuário clicar. Qual recurso é o mais adequado?
A)
B)
C) Cloud Discovery
D) Regras
Resposta comentada
Resposta correta: B. protege e pode verificar o destino no momento do clique. está associado a arquivos e detonação em ambiente virtual.
Questão 2
Qual produto é mais diretamente associado a , linha do tempo do dispositivo e isolamento de ?
A) for
B) for Identity
C) for Cloud Apps
D)
Resposta comentada
Resposta correta: A. Defender for oferece prevenção, , investigação e ações de resposta em dispositivos.
Questão 3
Qual capacidade ajuda a descobrir aplicativos SaaS usados sem avaliação formal e atribuir indicadores de risco?
A)
B) Cloud Discovery no Defender for Cloud Apps
C)
D) Bastion
Resposta comentada
Resposta correta: B. Cloud Discovery oferece visibilidade sobre , usuários, transações e risco dos aplicativos em nuvem.
Questão 4
Qual solução monitora sinais de identidade e pode detectar reconhecimento, abuso de credenciais e no Active Directory?
A) Defender for Office 365
B) Defender for
C) Defender for Identity
D) Service Trust Portal
Resposta comentada
Resposta correta: C. Defender for Identity analisa sinais da infraestrutura de identidade e detecta etapas do ciclo de ataque contra contas e diretórios.
21. Glossário e referências oficiais
21.1 Glossário essencial
Termo
Significado
Safe Links
Proteção contra URLs maliciosas, incluindo verificação no clique.
Safe Attachments
Proteção que analisa arquivos e pode detoná-los em ambiente virtual.
EDR
Detecção e resposta baseada em telemetria e comportamento de endpoints.
ASR
Controles para reduzir caminhos e comportamentos exploráveis no dispositivo.
CASB
Camada de visibilidade e controle sobre uso de serviços em nuvem.
Shadow IT
Uso de tecnologia sem avaliação, aprovação ou governança formal.
SSPM
Gerenciamento da postura de segurança de aplicativos SaaS.
App governance
Governança de aplicativos OAuth e acesso app-a-app.
Movimento lateral
Progressão do invasor entre identidades, sistemas e recursos.
XDR
Correlação de detecção e resposta entre múltiplas superfícies de segurança.
21.2 Referências Microsoft Learn
Study guide for Exam SC-900 - learn.microsoft.com/credentials/certifications/resources/study-guides/sc-900
for Office 365 overview - learn.microsoft.com/defender-office-365/mdo-about
in for Office 365 - learn.microsoft.com/defender-office-365/safe-links-about
in for Office 365 - learn.microsoft.com/defender-office-365/safe-attachments-about
for documentation - learn.microsoft.com/defender- /
App Control - learn.microsoft.com/defender-cloud-apps/conditional-access-app-control-how-to-overview
for Identity overview - learn.microsoft.com/defender-for-identity/what-is
for Identity overview - learn.microsoft.com/defender-for-identity/ / -defender-identity
Observação editorial
Conteúdo validado em julho de 2026. A Microsoft atualiza continuamente recursos, licenciamento, integrações e experiências do portal; para decisões de implantação, confirme sempre a documentação e os termos atuais.
