Microsoft Defender XDR, Incidentes e Portal Unificado
Correlação entre superfícies, attack story, incidentes multietapa, AIR, Action center, advanced hunting, KQL, custom detections e operações unificadas
Tempo de estudo sugerido: 40 minutos • Nível iniciante • Alinhado ao plano de estudos SC-900 e à documentação oficial do Microsoft Learn
Por João Ricardo Dutra••Material integral
1. Introdução: quando o perímetro se fragmenta, a investigação precisa se unir
Durante muitos anos, a proteção digital foi organizada em ferramentas separadas: antivírus para computadores, filtros para e-mail, sensores para rede e sistemas de auditoria para identidades. Essa abordagem acompanhava um mundo em que usuários, aplicações e dados permaneciam mais próximos do datacenter. Com a nuvem, o trabalho remoto, os aplicativos SaaS e a mobilidade, um único ataque passou a atravessar diversas superfícies em poucos minutos.
As soluções ampliaram a visibilidade dos , registrando processos, arquivos, conexões e comportamentos. Entretanto, uma campanha de phishing pode começar no e-mail, roubar uma identidade, executar código em um dispositivo e acessar dados em um aplicativo de nuvem. Se cada produto mostrar apenas uma parte, o analista recebe vários alertas sem compreender imediatamente que pertencem à mesma história. O conceito de surgiu para correlacionar detecção e resposta entre domínios.
Essa evolução beneficia o leitor ao oferecer um modelo mental mais próximo dos ataques reais. Para a sociedade, representa maior capacidade de proteger serviços essenciais, dados pessoais, instituições financeiras, escolas e serviços públicos. Ao longo do capítulo, você perceberá que o valor do não está simplesmente em gerar mais alertas, mas em transformar sinais dispersos em uma investigação coerente e acionável.
Figura 1 - Evolução da proteção isolada para Extended Detection and .
2. O que é ?
significa Extended Detection and , ou detecção e resposta estendidas. É uma abordagem que coleta e correlaciona sinais de várias superfícies de ataque, apresenta uma visão integrada do incidente e permite executar ações de resposta nos produtos conectados. O termo “estendido” indica que a análise ultrapassa um único ou domínio tecnológico.
2.1 não é apenas um console único
Colocar links para ferramentas diferentes em uma mesma página não cria . A característica essencial é a correlação: reconhecer que um e-mail malicioso, um login incomum, um processo suspeito e uma transferência de dados podem ser etapas da mesma campanha. Também é importante compartilhar entidades, evidências, linha do tempo, vereditos e ações de resposta.
Abordagem
Foco
Limitação ou diferencial
Antivírus
Arquivos e padrões maliciosos no dispositivo.
Proteção preventiva importante, mas contexto limitado do ataque completo.
EDR
Telemetria, detecção, investigação e resposta no endpoint.
Profundidade no dispositivo; não cobre sozinho toda a identidade, e-mail e SaaS.
SIEM
Centralização e análise de dados de muitas fontes.
Visibilidade ampla e flexível; depende de ingestão, regras e operação do SOC.
XDR
Correlação e resposta integradas entre domínios de segurança.
Produz uma história de ataque com contexto nativo e ações coordenadas.
SOAR
Orquestração e automação de processos de resposta.
Executa workflows; pode complementar SIEM e XDR.
Ponto-chave para o SC-900 Microsoft Defender XDR integra sinais e respostas de várias soluções Defender. Microsoft Sentinel é um SIEM com capacidades de SOAR. No portal unificado, os dois podem trabalhar juntos, mas continuam representando conceitos distintos.
3. : proposta e arquitetura conceitual
é a solução da Microsoft para correlacionar sinais, alertas e dados de ameaças em diferentes superfícies. O objetivo é permitir que a equipe de operações de segurança investigue o ataque como um todo, em vez de alternar entre consoles e reconstruir manualmente relações entre identidades, dispositivos, mensagens e aplicativos.
Figura 2 - Fontes de sinais e capacidades de correlação do .
3.1 Capacidades centrais
Coleta de sinais e alertas produzidos por soluções integradas.
Correlação automática de alertas relacionados em incidentes.
com cronologia e relações entre entidades e ativos.
Fila central para triagem, atribuição, classificação e acompanhamento.
Investigação e resposta automatizadas para entidades suportadas.
Hunting avançado em dados de diferentes domínios.
Ações de contenção e remediação, conforme produto, licença e permissões.
Integração com e Security Copilot no portal .
Contexto, não mágica
A correlação reduz trabalho manual e ruído, mas não garante que todo agrupamento esteja correto. O analista deve validar cronologia, escopo, legitimidade das ações e impacto no negócio.
4. Produtos, sinais e superfícies de ataque
Solução ou fonte
Superfície observada
Exemplos de sinais
Microsoft Defender for Endpoint
Dispositivos e endpoints.
Processos, arquivos, conexões, vulnerabilidades, comportamento e alertas de endpoint.
Microsoft Defender for Identity
Identidades e Active Directory.
Reconhecimento, movimentação lateral, alterações suspeitas e abuso de credenciais.
Microsoft Defender for Office 365
E-mail e colaboração.
Phishing, links, anexos, campanhas, caixas de correio e mensagens.
Microsoft Defender for Cloud Apps
Aplicativos SaaS e atividades em nuvem.
Sessões, OAuth, atividades anômalas, Shadow IT e governança de aplicativos.
Microsoft Entra ID Protection
Risco de identidade e entrada.
Credenciais vazadas, IP anônimo, entrada atípica e risco de usuário.
Microsoft Sentinel
Dados e alertas de fontes Microsoft e não Microsoft.
Incidentes, regras analíticas, hunting e automação no contexto de SIEM/SOAR.
Microsoft Defender for Cloud
Cargas de trabalho e recursos em nuvem.
Alertas de servidores, contêineres, bancos, armazenamento e outros workloads.
4.1 Sinal, telemetria e alerta
Telemetria é o conjunto de registros e observações produzidos pelos serviços. Um sinal é uma informação relevante extraída desse universo. Uma detecção avalia sinais e pode gerar um alerta. O usa alertas, entidades, inteligência e relações temporais para formar incidentes. A quantidade de dados é enorme; por isso, o objetivo não é exibir tudo ao analista, mas destacar o que merece investigação.
Licenças e disponibilidade
Nem toda organização possui todos os produtos, planos ou recursos. A experiência apresentada no portal depende das licenças, da configuração, dos dados conectados e das permissões atribuídas.
5. Eventos, alertas, incidentes, entidades, ativos e evidências
Figura 3 - Relação entre registro, detecção, investigação e resposta.
Termo
Definição prática
Evento
Registro de uma atividade, como login, criação de processo, entrega de e-mail ou acesso a aplicativo.
Alerta
Sinal produzido quando uma detecção identifica atividade suspeita ou maliciosa.
Incidente
Coleção de alertas correlacionados e dados associados que representam a história de um possível ataque.
Entidade
Objeto envolvido na investigação, como usuário, dispositivo, arquivo, processo, IP, URL ou caixa de correio.
Ativo
Recurso organizacional que pode ser afetado ou protegido, como dispositivo, usuário, aplicativo, mailbox ou recurso de nuvem.
Evidência
Informação ou artefato usado para confirmar, refutar ou contextualizar a hipótese de ataque.
Veredito
Avaliação atribuída a evidência ou entidade, como maliciosa, suspeita ou limpa/sem ameaça encontrada.
Remediação
Ação para conter ou corrigir o risco, como quarentena, isolamento, bloqueio ou remoção.
Armadilha comum Um alerta não é sinônimo de incidente confirmado. Um incidente pode conter vários alertas, e a investigação pode classificá-lo como verdadeiro positivo, falso positivo, atividade esperada ou outro resultado adotado pela organização.
6. Correlação, incidentes multietapa e
Ataques modernos usam várias técnicas: acesso inicial, execução, persistência, elevação de privilégio, movimentação lateral, coleta e exfiltração. Cada etapa pode aparecer em uma fonte diferente. O mecanismo de correlação analisa proximidade temporal, entidades compartilhadas, técnicas, inteligência e relações entre sinais para agrupar alertas em um incidente.
6.1
A apresenta uma narrativa visual e cronológica do incidente. Ela ajuda a responder onde o ataque começou, quais alertas ocorreram, como as entidades se relacionam, quais ativos foram afetados e até onde o invasor avançou. O grafo pode conectar usuários, dispositivos, caixas de correio, aplicativos, IPs, arquivos e processos.
Linha do tempo: mostra a ordem dos alertas e atividades.
Grafo do incidente: representa relações entre entidades e ativos.
Escopo: resume dispositivos, usuários, mailboxes e outros recursos impactados.
: relaciona alertas a táticas e técnicas adversárias.
Ações recomendadas: orientam investigação e resposta conforme o contexto.
Histórico de atividades: registra mudanças manuais e automáticas no incidente.
Por que a correlação reduz fadiga?
Em vez de cinco filas com cinco alertas desconectados, o analista pode receber um incidente multietapa. Isso reduz duplicidade, mas aumenta a responsabilidade de verificar se o agrupamento e a prioridade refletem o ambiente real.
7. Portal e operações unificadas
O portal é a experiência central para investigar e responder a ameaças nos produtos integrados. Ele reúne incidentes, alertas, ativos, hunting, investigações automatizadas, , relatórios, inteligência e configurações. A integração do amplia essa experiência com capacidades de SIEM e SOAR.
Figura 4 - Áreas conceituais do portal .
7.1 O que significa “portal unificado”?
Unificado significa que dados e workflows de várias soluções podem ser vistos e operados em uma experiência comum. Isso não torna todas as funções idênticas nem elimina os limites de licenciamento e permissão. Um analista pode visualizar um incidente, mas não necessariamente executar todas as ações sobre , e-mail ou identidade.
7.2 Controle de acesso
O acesso deve seguir o princípio do menor privilégio. Funções de leitura, investigação, hunting e remediação precisam ser concedidas de acordo com a responsabilidade. A organização também deve separar quem propõe, aprova e executa ações críticas quando o risco operacional justificar essa segregação.
8. Fila de incidentes: triagem, prioridade e gestão
A fila de incidentes é o ponto de entrada para o trabalho cotidiano do SOC. Ela organiza incidentes criados em diferentes fontes e permite filtrar, ordenar, pesquisar, atribuir e acompanhar casos. Uma boa triagem evita que a equipe trate todos os incidentes como equivalentes.
Campo ou ação
Finalidade operacional
Severidade
Indica o impacto potencial estimado. Alta severidade normalmente exige atenção mais rápida.
Prioridade
Combina contexto, criticidade, raridade e outros fatores para ordenar o trabalho.
Status
Representa o estágio, como novo, em andamento ou resolvido.
Responsável
Define quem conduz a triagem ou investigação.
Classificação
Registra o resultado, como verdadeiro positivo, falso positivo ou atividade esperada.
Tags
Adicionam contexto operacional, campanha, equipe, ambiente ou procedimento.
Fontes de detecção
Mostram quais produtos ou regras contribuíram para o incidente.
Ativos impactados
Ajudam a avaliar escopo e criticidade do negócio.
8.1 Triagem recomendada
1. Confirmar se o incidente é novo, duplicado ou parte de caso já conhecido.
2. Avaliar severidade, prioridade, criticidade dos ativos e possível impacto.
3. Revisar alertas, fontes, táticas e linha do tempo inicial.
4. Atribuir responsável, status e tags apropriadas.
5. Decidir se é necessário investigar, escalar, conter imediatamente ou encerrar com justificativa.
Severidade não é impacto final
A severidade é uma estimativa técnica. Um alerta médio em uma conta administrativa crítica pode merecer prioridade maior do que um alerta alto em um ativo de laboratório isolado.
9. Página do incidente e investigação detalhada
Figura 5 - Componentes conceituais da página de investigação de um incidente.
9.1 Resumo e escopo
O resumo oferece uma leitura rápida da importância relativa do incidente: alertas, categorias, técnicas, ativos impactados, evidências e propriedades. O objetivo é orientar a investigação sem exigir que o analista abra cada artefato imediatamente.
9.2 Alertas e atividades
A área de alertas apresenta as detecções relacionadas e sua ordem cronológica. A área de atividades registra ações humanas e automatizadas, como mudanças de severidade, atribuição, comentários, fusões, automações e remediações. Esse histórico é essencial para auditoria e passagem de turno.
9.3 Investigações e evidência
Investigações automatizadas examinam entidades suportadas e registram resultados. A seção de evidência e resposta consolida arquivos, processos, e-mails, IPs e outros objetos analisados, seus vereditos e o status de remediação. A partir dela, ações pendentes podem ser aprovadas ou rejeitadas, conforme permissões.
Perguntas que guiam a investigação
Qual foi o vetor inicial? Quais contas e dispositivos foram afetados? Houve persistência, movimento lateral ou exfiltração? O invasor ainda possui acesso? Que evidência sustenta cada conclusão?
10. Ativos, entidades e acompanhamento de risco
O portal oferece visões centradas em ativos para que o analista não dependa apenas da perspectiva do incidente. Um usuário pode aparecer em vários incidentes; um dispositivo pode acumular alertas e vulnerabilidades; uma caixa de correio pode participar de uma campanha. A visão agregada ajuda a identificar recorrência, criticidade e relações.
Tipo de ativo
O que pode ser analisado
Dispositivo
Alertas, usuários conectados, processos, arquivos, vulnerabilidades, isolamento e linha do tempo.
Usuário ou identidade
Alertas, entradas, risco, dispositivos usados, privilégios, movimentação e incidentes associados.
Caixa de correio
Mensagens, campanhas, regras suspeitas, entregas e ações de remediação.
Aplicativo em nuvem
Atividades, sessões, permissões OAuth, anomalias e usuários.
Arquivo, URL, IP ou domínio
Reputação, ocorrências, dispositivos, alertas e inteligência relacionada.
Recurso de nuvem
Alertas, contexto de workload e relações com outros ativos, quando integrado.
10.1 Risco de usuário e dispositivo
Risco é um indicador contextual, não uma condenação. Um usuário pode ter sinais de credenciais comprometidas; um dispositivo pode apresentar comportamento malicioso ou exposição elevada. O analista deve combinar o indicador com criticidade, histórico, autenticação, evidências e resultado das investigações.
Entidade versus ativo
Uma entidade é um objeto usado para relacionar e investigar sinais. Um ativo é um recurso organizacional com valor e impacto. Em muitos casos, como usuário ou dispositivo, o mesmo objeto pode ser tratado sob as duas perspectivas.
11. Investigação e resposta automatizadas ( )
, de Automated Investigation and , ajuda a lidar com grandes volumes de alertas. Quando um alerta cria ou alimenta um incidente, uma investigação automatizada pode examinar eventos e entidades relacionadas, produzir vereditos e identificar ações de remediação. O objetivo é reduzir tarefas repetitivas e acelerar a contenção, sem remover a governança humana.
Figura 6 - Fluxo simplificado de investigação e resposta automatizadas.
Veredito
Significado operacional
Malicioso
A evidência apresenta comportamento ou característica associada a ameaça confirmada.
Suspeito
Há indícios relevantes, mas o contexto pode exigir validação adicional.
Nenhuma ameaça encontrada / limpo
A análise automatizada não identificou ameaça no artefato avaliado.
Pendente ou não suportado
A análise não terminou, requer ação ou o tipo de evidência não é coberto naquele fluxo.
11.1 Exemplos de remediação
Enviar arquivo para quarentena.
Interromper processo malicioso.
Isolar dispositivo da rede.
Bloquear , ou outro indicador.
Remover mensagem ou conteúdo malicioso.
Desabilitar ou proteger identidade, conforme integração e procedimento.
Automação responsável
Ações podem ser automáticas ou depender de aprovação. Antes de elevar o nível de automação, teste cenários, defina , proteja contas de serviço e avalie o impacto de falso positivo.
12. : governança das ações de resposta
O centraliza ações de remediação pendentes e concluídas em produtos integrados. Ele funciona como um registro operacional e de auditoria: mostra o que foi proposto, executado, aprovado, rejeitado ou revertido, quando aplicável. Isso permite que a equipe acompanhe o resultado da automação e das intervenções manuais.
Tipo de item
Exemplo
Decisão do analista
Ação pendente
Quarentenar arquivo ou remover mensagem.
Aprovar ou rejeitar após avaliar evidência e impacto.
Ação concluída
Dispositivo isolado ou processo interrompido.
Confirmar eficácia e verificar efeitos colaterais.
Ação manual
Resposta iniciada durante hunting ou investigação.
Documentar motivo, escopo e responsável.
Ação com falha
Remediação não executada por permissão, conectividade ou estado do ativo.
Investigar a causa e adotar alternativa.
Histórico auditável
Registro de ações realizadas pelos produtos e operadores.
Usar em revisão, conformidade e lições aprendidas.
12.1 Aprovação e menor privilégio
A capacidade de visualizar um incidente não implica permissão para isolar um dispositivo, remover e-mails ou alterar uma identidade. Cada ação depende de funções e permissões nos produtos correspondentes. O modelo recomendado concede somente o necessário e registra claramente quem iniciou ou aprovou a remediação.
Ponto de prova
investiga e recomenda ou executa ações. O é o local unificado para revisar ações pendentes e concluídas. Não confunda o com a fila de incidentes.
13. Hunting avançado e Kusto Query Language
Hunting avançado é a ferramenta de consulta para explorar dados brutos e procurar ameaças de maneira proativa. Ela permite relacionar atividades de diferentes superfícies, testar hipóteses e investigar indicadores sem depender de um alerta já existente. O portal oferece modo guiado para construir consultas com menor conhecimento de sintaxe e modo avançado para escrever .
Figura 7 - Ciclo de hunting, resposta e criação de detecções.
DeviceProcessEvents | where Timestamp > ago(1d) | where FileName in~ ('powershell.exe', 'pwsh.exe') | where ProcessCommandLine has_any ('EncodedCommand', 'FromBase64String') | project Timestamp, DeviceName, AccountName, FileName, ProcessCommandLine | order by Timestamp desc A consulta exemplifica a busca por PowerShell com argumentos associados a conteúdo codificado. O resultado não prova malícia: ferramentas administrativas legítimas também podem usar codificação. O analista deve correlacionar assinatura, origem, usuário, dispositivo, árvore de processos e demais sinais.
13.1 Do hunting à detecção personalizada
Uma consulta que identifica comportamento relevante de forma consistente pode originar uma detecção personalizada. Essa detecção executa periodicamente e gera alertas quando os critérios são atendidos. Assim, uma hipótese investigativa torna-se uma capacidade operacional repetível.
14. Relatórios, inteligência e visibilidade executiva
Relatórios transformam atividades e resultados em tendências compreensíveis. Eles ajudam a avaliar volume de alertas, incidentes, tempos de resposta, fontes de detecção, ameaças observadas, ativos afetados e eficácia das ações. A disponibilidade exata dos relatórios depende dos produtos e licenças presentes no portal.
Recurso
Pergunta que ajuda a responder
Relatórios operacionais
Quantos incidentes foram recebidos, investigados, encerrados e remediados?
Threat analytics
Quais campanhas, vulnerabilidades ou agentes de ameaça exigem atenção?
Microsoft Secure Score
Quais ações de configuração podem melhorar a postura de segurança do Microsoft 365?
Dashboards de produto
Como endpoints, e-mail, identidade ou aplicativos estão se comportando?
Hunting e consultas salvas
Que padrões, entidades ou indicadores aparecem nos dados?
Exportação e resumo de incidente
Como documentar a investigação, evidências, ações e conclusão?
14.1 Métricas e interpretação
MTTD: tempo médio para detectar.
MTTA: tempo médio para reconhecer ou assumir o caso.
MTTR: tempo médio para responder ou remediar, conforme definição adotada.
Taxa de falso positivo e incidentes reabertos.
Percentual de remediações automatizadas e pendentes.
Cobertura de ativos e fontes de telemetria.
Cuidado com métricas isoladas
Reduzir o tempo de encerramento não significa melhorar a segurança se incidentes forem fechados sem investigação adequada. Métricas precisam ser combinadas com qualidade, impacto e aprendizagem.
15. Cenário prático integrado: do phishing à exfiltração
Figura 8 - Exemplo de ataque multietapa correlacionado pelo .
1. O Defender for Office 365 detecta uma mensagem de phishing com link malicioso entregue a um usuário.
2. O usuário acessa o link e a identidade apresenta uma entrada incomum, acompanhada de risco elevado.
3. No , um processo suspeito executa comandos e estabelece persistência.
4. O Defender for Identity identifica uso anômalo da conta e tentativa de movimentação lateral.
5. O Defender for Cloud Apps observa download incomum de grande volume em um aplicativo SaaS.
6. O Defender correlaciona os alertas em um incidente multietapa e constrói a .
7. analisa evidências, recomenda quarentena, isolamento e outras ações; itens pendentes aparecem no .
8. O analista valida o escopo, contém a conta e o dispositivo, remove mensagens, verifica persistência e registra a classificação.
9. Uma consulta de hunting procura os mesmos indicadores em outros usuários e dispositivos; a equipe cria detecção personalizada para recorrência.
Resultado do modelo integrado
O valor não é apenas fechar um alerta, mas entender o ataque inteiro, conter cada superfície afetada, verificar propagação e transformar a investigação em melhoria permanente.
16. Boas práticas, limitações e armadilhas conceituais
16.1 Boas práticas operacionais
Conectar e manter saudáveis as fontes de telemetria relevantes.
Definir papéis, escalonamento, tempos de resposta e critérios de classificação.
Priorizar ativos críticos e contas privilegiadas.
Usar tags, comentários e atividades para preservar contexto entre turnos.
Testar automações e exigir aprovação para ações de alto impacto quando necessário.
Revisar falsos positivos e transformar lições em ajustes de detecção.
Usar hunting para verificar alcance e procurar sinais não alertados.
Proteger o portal com , menor privilégio e monitoramento de atividades administrativas.
16.2 Armadilhas recorrentes no SC-900
Afirmação equivocada
Correção
XDR é apenas outro nome para SIEM.
XDR correlaciona sinais e respostas entre domínios; SIEM centraliza e analisa telemetria ampla.
Todo evento suspeito já é um incidente confirmado.
Evento é registro; alerta é detecção; incidente é caso correlacionado que ainda precisa ser investigado.
AIR elimina a necessidade do analista.
AIR reduz tarefas e acelera resposta, mas decisões, aprovações e validação continuam necessárias.
Action center e fila de incidentes são a mesma coisa.
A fila organiza incidentes; o Action center organiza ações de remediação.
Hunting serve apenas para consultar alertas existentes.
Hunting explora dados brutos para procurar ameaças conhecidas ou ainda não detectadas.
A visibilidade garante permissão de remediação.
Ações dependem de funções, licenças e permissões específicas.
16.3 Revisão rápida
correlaciona sinais de várias superfícies.
Defender cria uma história de ataque em incidentes.
O portal unifica investigação, ativos, hunting, ações e relatórios.
produz vereditos e ações; controla o acompanhamento.
Hunting avançado usa modo guiado ou .
17. Conclusão
responde a um problema central da segurança moderna: ataques atravessam produtos, identidades, dispositivos, mensagens e aplicações, mas equipes não podem investigar cada sinal como se fosse independente. Ao correlacionar alertas, entidades, ativos e evidências, a solução oferece uma história mais completa e reduz o esforço necessário para reconstruir o ataque.
O portal organiza essa operação em filas, páginas de incidente, , ativos, investigações automatizadas, , hunting e relatórios. Cada recurso ocupa um papel específico: a fila prioriza casos; a investigação explica o que ocorreu; analisa e propõe correções; o governa ações; o hunting procura o que as detecções ainda não encontraram.
Na minha avaliação, a maior contribuição do não é substituir o analista, mas multiplicar sua capacidade de raciocínio. Automação e correlação eliminam parte do trabalho mecânico, enquanto pessoas continuam responsáveis por interpretar contexto, avaliar impacto e decidir respostas proporcionais. Esse equilíbrio entre tecnologia, processo e julgamento humano é o ponto mais importante a levar para o SC-900 e para a prática profissional.
Para continuar estudando
No próximo capítulo, o foco se desloca do portal e da correlação para os produtos que alimentam esse ecossistema: Defender for Office 365, , Cloud Apps e Identity. Compreender cada componente tornará a visão ainda mais concreta.
Resumo em uma frase
correlaciona sinais de segurança em múltiplas superfícies, organiza alertas relacionados em incidentes e oferece investigação, hunting e resposta no portal .
18. Questões de revisão
Questão 1
Uma organização recebe alertas separados de phishing, login anômalo e execução suspeita no dispositivo. Qual capacidade do ajuda a entender que eles fazem parte do mesmo ataque?
A) Secure Score
B) Correlação de alertas em um incidente e
C) Somente o
D) Apenas um relatório mensal
Resposta comentada
Resposta correta: B. O correlaciona alertas e entidades de diferentes superfícies em um incidente, oferecendo uma história do ataque. O acompanha ações de remediação, não realiza sozinho toda a correlação.
Questão 2
Qual alternativa diferencia corretamente alerta e incidente?
A) Alerta é sempre um ataque confirmado; incidente é apenas um .
B) Alerta é um sinal de possível ameaça; incidente reúne alertas e contexto para investigação.
C) Alerta e incidente são termos idênticos.
D) Incidente existe apenas após a remediação.
Resposta comentada
Resposta correta: B. Um alerta é produzido por uma detecção. Um incidente organiza alertas relacionados e dados associados, mas ainda precisa ser investigado e classificado.
Questão 3
Onde o analista revisa ações de remediação pendentes e concluídas produzidas por investigações automatizadas?
A)
B) Inventário do
C) Service Trust Portal
D) Compliance Manager
Resposta comentada
Resposta correta: A. O centraliza ações pendentes, concluídas e o histórico de remediação nos produtos integrados.
Questão 4
Qual recurso permite explorar dados de várias superfícies, usar e transformar uma hipótese útil em detecção personalizada?
A) Hunting avançado
B) Somente a fila de incidentes
C) Bastion
D) Data Map
Resposta comentada
Resposta correta: A. O hunting avançado permite consultar dados com modo guiado ou , investigar ameaças e criar detecções personalizadas a partir de consultas.
19. Glossário e referências oficiais
19.1 Glossário essencial
Termo
Significado
XDR
Detecção e resposta estendidas entre múltiplas superfícies de segurança.
EDR
Detecção e resposta centradas em endpoints.
Attack story
Representação cronológica e relacional das etapas de um ataque.
AIR
Investigação e resposta automatizadas.
Action center
Área para acompanhar e aprovar ações de remediação.
Advanced hunting
Ferramenta de pesquisa proativa em dados brutos usando modo guiado ou KQL.
KQL
Kusto Query Language, linguagem de consulta usada no ecossistema de segurança Microsoft.
MITRE ATT&CK
Base de conhecimento de táticas e técnicas usadas por adversários.
True positive
Detecção corretamente associada a atividade maliciosa.
False positive
Detecção que parece suspeita, mas não representa ameaça real.
19.2 Referências Microsoft Learn
Study guide for Exam SC-900: Microsoft Security, Compliance, and Identity Fundamentals - learn.microsoft.com/credentials/certifications/resources/study-guides/sc-900
What is ? - learn.microsoft.com/defender- /microsoft-365-defender
in the portal - learn.microsoft.com/defender- /microsoft-365-defender-portal
Investigate incidents in the portal - learn.microsoft.com/defender- /investigate-incidents
Prioritize incidents in the portal - learn.microsoft.com/defender- /incident-queue
Automated investigation and in - learn.microsoft.com/defender- /m365d-autoir
The - learn.microsoft.com/defender- /m365d-action-center
overview in - learn.microsoft.com/defender- /advanced-hunting-overview
Observação editorial
Conteúdo validado em julho de 2026. A Microsoft atualiza continuamente o portal, a documentação, os modelos de licenciamento e algumas experiências de investigação.
