Microsoft Sentinel, SIEM, SOAR e Resposta a Incidentes

radio_button_uncheckedshort_text1. Introdução: da centralização de logs à resposta orientada por contexto

A administração de segurança começou com registros produzidos separadamente por servidores, sistemas operacionais, firewalls e aplicações. À medida que as organizações conectaram mais redes e serviços, tornou-se inviável analisar cada log manualmente. Surgiram plataformas de gerenciamento de eventos e, depois, soluções SIEM, capazes de centralizar dados, correlacionar sinais e apoiar investigações. Com o crescimento do volume de alertas, o SOAR acrescentou automação e orquestração para que equipes de segurança respondessem com maior velocidade e consistência.

Essa evolução contribui diretamente para a continuidade de serviços digitais, proteção de dados pessoais e redução do impacto de ataques. Hospitais, escolas, bancos, empresas e órgãos públicos dependem de sistemas que produzem milhões de eventos. Transformar esses registros em contexto investigável permite descobrir ameaças mais cedo, priorizar o que realmente importa e reduzir o tempo entre detecção e contenção.

O Microsoft Sentinel materializa essa abordagem em uma solução nativa de nuvem. Ele coleta dados de fontes Microsoft e não Microsoft, executa análises, produz alertas, organiza incidentes, permite hunting proativo e automatiza respostas. O valor real aparece quando esses componentes formam um ciclo: uma investigação melhora a detecção; a detecção aciona uma automação; a automação libera o analista para investigar casos mais complexos.

Pergunta-guia

Se um único login malsucedido pode ser normal, em que momento centenas de falhas, um IP anônimo e uma alteração privilegiada passam a representar um incidente? O SIEM existe para reunir sinais dispersos e oferecer contexto para essa decisão.

radio_button_uncheckedshort_text2. SIEM, SOAR, XDR e o papel do SOC

2.1 Security Operations Center (SOC)

SOC é a função organizacional responsável por monitorar, detectar, investigar e responder a ameaças. Pode ser uma equipe interna, um serviço terceirizado ou um modelo híbrido. Pessoas, processos e tecnologia precisam atuar juntos: ferramentas sem procedimentos geram inconsistência; processos sem telemetria geram decisões tardias; automação sem supervisão pode ampliar erros.

2.2 Definições essenciais

Armadilha de prova

SIEM não é apenas armazenamento de logs. SOAR não é apenas um script. XDR não substitui automaticamente a visibilidade ampla do SIEM. Cada conceito resolve uma parte diferente das operações de segurança.

radio_button_uncheckedshort_text3. O que é Microsoft Sentinel

Microsoft Sentinel é o SIEM nativo de nuvem da Microsoft e uma plataforma de operações de segurança. Sua proposta é oferecer coleta escalável, análise, detecção, investigação, hunting, visualização e resposta automatizada em ambientes multicloud e multiplataforma. Por ser um serviço em nuvem, reduz a necessidade de manter a infraestrutura tradicional de um SIEM local, mas ainda exige arquitetura de dados, governança, permissões, regras e processos operacionais bem definidos.

3.1 Componentes funcionais

3.2 Nativo de nuvem não significa automático por padrão

O Sentinel disponibiliza conteúdo pronto, mas a organização precisa escolher fontes, retenção, cobertura, permissões, detecções, responsáveis e critérios de resposta. Coletar tudo sem objetivo pode aumentar custo e ruído. Coletar pouco pode criar pontos cegos. Uma implantação madura começa com casos de uso: quais ativos críticos existem, quais ameaças são relevantes, quais dados sustentam a detecção e qual ação será tomada quando o sinal surgir.

Atualização de plataforma

A experiência atual converge para o portal Microsoft Defender, reunindo Sentinel, Defender XDR e recursos de IA. A Microsoft anunciou que, após 31 de março de 2027, o Sentinel deixará de ter suporte no portal do Azure. Para o SC-900, memorize principalmente as capacidades, não a posição exata dos menus.

3.3 Camada de análise e data lake do Microsoft Sentinel

O Microsoft Sentinel organiza os dados de segurança em duas camadas complementares. A camada de análise mantém os dados operacionais usados em alertas quase em tempo real, hunting e investigação de incidentes. O data lake oferece armazenamento de longo prazo, em formato aberto, para reunir grandes volumes de dados e consultá-los com KQL, análise de grafo, Microsoft Modeling Language, notebooks e ferramentas de IA. Os dados podem ser espelhados entre as camadas, e a retenção no data lake pode chegar a 12 anos, conforme configuração e licenciamento.

3.4 Grafo e servidor MCP hospedado

O Grafo do Microsoft Sentinel representa usuários, dispositivos, recursos, dados, atividades e ações do invasor como nós e relações conectadas. Assim, analistas e agentes de IA podem avaliar impacto, exposição e possíveis caminhos de ataque sem depender apenas de linhas isoladas. O servidor hospedado do Model Context Protocol (MCP) disponibiliza ferramentas orientadas a cenários para exploração de dados, triagem de incidentes, threat hunting e criação de agentes do Microsoft Security Copilot. Ele usa o Microsoft Entra para identidade, integra-se nativamente aos dados do Sentinel e ao Microsoft Defender e dispensa a implantação de uma infraestrutura MCP separada pelo cliente.

radio_button_uncheckedshort_text4. Conectores de dados e ingestão

Um SIEM depende de telemetria. O Microsoft Sentinel oferece mais de 350 conectores prontos e também aceita conexões personalizadas ou sem código. Esses conectores orientam ou automatizam a entrada de registros de serviços Microsoft, recursos do Azure, sistemas locais, outras nuvens, appliances de rede, produtos de segurança e aplicações SaaS. Algumas fontes enviam dados diretamente; outras usam agentes, Syslog, Common Event Format (CEF), APIs, regras de coleta ou integrações específicas. A normalização ajuda a comparar eventos que chegam em esquemas diferentes.

4.1 O que um conector pode fornecer

• Instruções de implantação, permissões e pré-requisitos.
• Tabelas ou destinos nos quais os registros serão armazenados.
• Parsers e normalização para tornar eventos de fontes diferentes mais consistentes.
• Regras analíticas, hunting queries, workbooks e outros conteúdos relacionados.
• Indicadores de integridade, volume e última recepção de dados.

4.2 Content hub e soluções

O Content hub funciona como catálogo de soluções. Uma solução pode agrupar vários artefatos para um produto ou cenário, evitando que o analista crie tudo do zero. Instalar uma solução não garante que os dados estejam chegando nem que todas as regras devam ser habilitadas sem ajuste. O conteúdo precisa ser configurado, testado e adaptado ao ambiente.

Princípio operacional

Sem dados relevantes e íntegros, a melhor regra analítica não detecta nada. Antes de ajustar alertas, confirme cobertura, latência, esquema, volume, retenção e qualidade da fonte.

radio_button_uncheckedshort_text5. Organização dos dados, Log Analytics e KQL

5.1 Tabelas, colunas e registros

Os dados de segurança são organizados em tabelas. Cada linha representa um registro, e as colunas armazenam atributos como horário, usuário, endereço IP, dispositivo, ação e resultado. Exemplos comuns incluem registros de entrada, atividade do Azure, eventos de segurança e alertas. A tabela correta depende do conector e do tipo de dado ingerido.

5.2 Kusto Query Language (KQL)

KQL é a linguagem de consulta utilizada para pesquisar e transformar dados no Sentinel e em outros serviços baseados no Azure Data Explorer e Azure Monitor. Ela é declarativa: o analista descreve quais dados deseja filtrar, resumir, combinar e projetar. No SC-900, o mais importante é reconhecer que KQL sustenta consultas, hunting e muitas regras analíticas; não é necessário dominar sintaxe avançada.

SigninLogs | where TimeGenerated > ago(1h) | where ResultType != 0 | summarize Falhas=count() by UserPrincipalName, IPAddress | where Falhas >= 10 | order by Falhas desc A consulta acima procura entradas malsucedidas na última hora, agrupa as tentativas por usuário e IP, mantém grupos com pelo menos dez falhas e ordena os resultados. Ela não prova um ataque: pode representar senha antiga, aplicação mal configurada ou password spray. O contexto da investigação decide.

radio_button_uncheckedshort_text6. Regras analíticas e detecção de ameaças

Regras analíticas transformam dados em sinais de segurança. Elas definem o que procurar, com que frequência avaliar, qual período consultar, como mapear entidades e quando criar alertas e incidentes. Uma detecção útil precisa equilibrar sensibilidade e precisão: regras muito abertas geram fadiga de alertas; regras restritas demais deixam ameaças passarem.

6.1 Tipos e abordagens de detecção

6.2 Elementos de uma regra

• Consulta ou fonte que define a lógica de detecção.
• Frequência de execução e janela de observação.
• Limiar que determina quando o resultado se torna alerta.
• Severidade, táticas e técnicas MITRE ATT&CK.
• Mapeamento de entidades, como conta, host, IP, URL, arquivo e processo.
• Agrupamento de alertas e criação de incidentes.
• Supressão e ajustes para reduzir duplicidade ou ruído.

6.3 IA, Fusion e correspondência com inteligência contra ameaças

O Sentinel combina três abordagens amplas de detecção. A detecção baseada em regras procura padrões conhecidos e condições definidas. A detecção com IA e aprendizado de máquina estabelece linhas de base comportamentais e usa recursos como Fusion para correlacionar sinais de menor severidade, vindos de várias fontes, em um incidente coerente. A correspondência com inteligência contra ameaças compara endereços IP, domínios, URLs, hashes e outros indicadores observados com infraestrutura mal-intencionada conhecida. A cobertura pode ser mapeada ao MITRE ATT&CK, enquanto soluções do Content hub empacotam conectores, regras, hunting queries, parsers, workbooks e playbooks para cenários comuns.

Qualidade de detecção

Uma regra precisa ser testável e acionável. Antes de habilitá-la amplamente, valide se os dados existem, se o comportamento legítimo foi considerado e se o SOC sabe o que investigar e responder.

radio_button_uncheckedshort_text7. Eventos, alertas, incidentes, entidades e evidências

7.1 Por que correlacionar?

Um invasor pode gerar sinais em momentos e produtos diferentes: e-mail de phishing, login anômalo, criação de processo, acesso a arquivo e comunicação de rede. Correlacionar esses sinais reduz a fragmentação e ajuda a reconstruir a cadeia de ataque. Porém, correlação não significa certeza; o analista ainda precisa validar a linha do tempo, a legitimidade das ações e o escopo afetado.

Armadilha de prova

Alertas são sinais; incidentes são casos organizados para investigação. Um incidente pode conter um ou vários alertas e pode terminar classificado como falso positivo, atividade esperada ou incidente verdadeiro.

radio_button_uncheckedshort_text8. Investigação e resposta a incidentes

A investigação transforma um conjunto de sinais em entendimento operacional. O analista busca responder: o que ocorreu, quando começou, quais entidades participaram, qual foi o vetor inicial, que ações foram executadas, quais ativos foram afetados e qual contenção é necessária. O Sentinel oferece incidentes, linha do tempo, relações entre entidades, consultas, comentários, tarefas e histórico de ações para organizar esse trabalho.

8.1 Ciclo simplificado de resposta

1. Triagem: verificar severidade, contexto, duplicidade, criticidade do ativo e credibilidade do sinal. 2. Investigação: reconstruir linha do tempo, consultar dados adicionais e avaliar entidades e evidências. 3. Contenção: limitar o dano, por exemplo isolando dispositivo, bloqueando indicador ou desabilitando credencial. 4. Erradicação: remover persistência, malware, regras maliciosas, vulnerabilidades ou configurações usadas no ataque. 5. Recuperação: restaurar operações com monitoramento reforçado e validação do estado seguro. 6. Aprendizado: registrar causa, impacto, decisões e melhorias em regras, playbooks e controles preventivos.

8.2 Métricas importantes

radio_button_uncheckedshort_text9. Threat hunting e investigação proativa

Threat hunting é a busca proativa por ameaças que ainda não produziram um alerta confiável. Em vez de esperar uma regra disparar, o analista parte de uma hipótese baseada em inteligência, mudanças no ambiente, comportamento incomum ou técnica adversária. O resultado pode confirmar atividade legítima, revelar um incidente ou originar uma nova detecção automatizada.

9.1 Hunting query, hunt e bookmark

Hunting não deve ser confundido com pesquisa aleatória. Uma hipótese clara define o comportamento esperado, os dados necessários, os critérios de validação e a ação posterior. Sem essa disciplina, consultas podem produzir muitos resultados sem gerar conhecimento ou melhoria operacional.

radio_button_uncheckedshort_text10. Workbooks, visualizações e monitoramento

Workbooks são experiências interativas de visualização e análise baseadas em dados. Eles podem combinar consultas, gráficos, tabelas, métricas, filtros e textos explicativos para acompanhar postura operacional, tendências de incidentes, atividade de identidades, cobertura de fontes ou desempenho de detecções. Soluções instaladas pelo Content hub frequentemente incluem workbooks prontos para fontes específicas.

10.1 Workbooks não são regras de detecção

10.2 Visualização útil

• Define público e decisão que o painel deve apoiar.
• Mostra tendência e contexto, não apenas números isolados.
• Permite filtrar por período, severidade, origem, entidade ou ambiente.
• Evita excesso de gráficos e métricas sem ação correspondente.
• Documenta consultas, limites e possíveis lacunas de dados.

Exemplo

Um workbook pode mostrar falhas de autenticação por país e usuário. Ele ajuda a observar tendência, mas não bloqueia acesso nem cria necessariamente um incidente. Uma regra analítica ou política de identidade executa essa outra função.

radio_button_uncheckedshort_text11. SOAR: regras de automação e playbooks

O Sentinel implementa capacidades SOAR principalmente por meio de regras de automação e playbooks. Regras de automação administram o fluxo de tratamento de incidentes e alertas em um ponto central. Elas podem atribuir responsável, alterar severidade ou status, adicionar tags, criar tarefas e executar playbooks em ordem definida.

Playbooks são workflows construídos no Azure Logic Apps. Eles usam gatilhos, condições, conectores e ações para interagir com o Sentinel e sistemas externos. Um playbook pode ser executado automaticamente por uma regra de automação ou manualmente por um analista sobre um incidente, alerta ou entidade.

radio_button_uncheckedshort_text12. Desenhando automações seguras e confiáveis

Automação pode reduzir o tempo de resposta, mas também executa ações em escala. Por isso, deve ser tratada como software de produção: ter proprietário, controle de versão, testes, monitoramento, tratamento de erro, permissões mínimas e procedimento de reversão. A decisão de automatizar depende da confiança na detecção e do impacto da ação.

12.1 Exemplo: possível comprometimento de conta

7. Uma regra analítica identifica várias falhas seguidas de login bem-sucedido a partir de infraestrutura anônima. 8. O Sentinel cria um alerta, mapeia conta e endereço IP e agrupa o sinal em um incidente. 9. Uma regra de automação adiciona a tag “Identidade”, atribui o incidente à fila apropriada e cria tarefas de triagem. 10. Um playbook consulta reputação do IP, dados de risco da identidade e atividade recente da conta. 11. Se os critérios de alta confiança forem atendidos, o playbook revoga sessões e notifica a equipe; a desabilitação da conta pode exigir aprovação humana. 12. O analista valida impacto, conclui contenção e registra o resultado para ajustar a regra e o playbook.

12.2 Níveis de automação

radio_button_uncheckedshort_text13. Integração com Microsoft Defender XDR

Microsoft Defender XDR reúne sinais nativos de endpoints, identidades, e-mail, aplicativos e outros produtos Defender. A integração com Sentinel permite combinar essa profundidade XDR com a amplitude do SIEM, que recebe dados Microsoft e não Microsoft. Incidentes e eventos podem ser sincronizados e investigados no portal Microsoft Defender, reduzindo troca de ferramentas.

13.1 Benefícios da unificação

• Fila de incidentes e investigação mais consolidadas.
• Correlação entre sinais do ecossistema Defender e fontes externas.
• Hunting avançado sobre dados integrados.
• Melhor contexto de entidades e cadeia de ataque.
• Automação e resposta coordenadas.
• Acesso a experiências incorporadas do Security Copilot, quando licenciado e habilitado.

Diferença essencial

Defender XDR oferece detecções e respostas profundas em domínios protegidos. Sentinel amplia a coleta, correlação, hunting e SOAR para um ecossistema mais amplo. A integração combina profundidade e abrangência.

radio_button_uncheckedshort_text14. Microsoft Security Copilot no contexto do Sentinel

O Microsoft Security Copilot utiliza IA generativa e dados de segurança para auxiliar analistas. No contexto do Sentinel e do portal Microsoft Defender, ele pode resumir incidentes, explicar scripts e comandos, avaliar arquivos suspeitos, resumir identidades e dispositivos, gerar relatórios e consultas KQL, consolidar inteligência contra ameaças e orientar a investigação e a resposta. Essa integração apresenta contexto com mais rapidez, mas não substitui o julgamento do analista: os resultados precisam ser comparados às evidências, permissões e aos procedimentos da organização.

14.1 Experiências incorporada e autônoma

Na experiência incorporada, os incidentes do Sentinel são unificados aos incidentes do Microsoft Defender XDR no portal Microsoft Defender, permitindo usar o Copilot durante a investigação sem trocar de ferramenta. No portal autônomo do Microsoft Security Copilot, o Sentinel é conectado como fonte de dados por meio dos plugins Microsoft Sentinel e Natural language to KQL for Microsoft Sentinel. Essa experiência conversacional aceita perguntas sobre incidentes, entidades, reputação e dados armazenados. Licenciamento, capacidade, permissões e integração determinam a disponibilidade nas duas experiências.

14.2 Capacidades orientadas pelo analista

14.3 Linguagem natural, plugins e promptbook

No portal autônomo, o recurso Natural language to KQL for Microsoft Sentinel converte uma intenção em uma consulta inicial sobre dados do Sentinel e do Advanced Hunting. Plugins conectam o Copilot às fontes autorizadas, enquanto um promptbook encadeia uma sequência reutilizável de prompts. O promptbook de investigação de incidentes do Sentinel, por exemplo, reúne incidente, alertas, entidades e contexto para acelerar a triagem sem tornar a saída uma decisão automática.

14.4 Agentes autônomos de IA

14.5 Controle humano e salvaguardas

• Respostas podem conter inferências incorretas ou informações incompletas.
• O acesso respeita permissões, mas o usuário deve evitar expor dados além do necessário.
• Consultas geradas precisam ser executadas e interpretadas por alguém que entenda o ambiente.
• Ações de contenção continuam exigindo responsabilidade e supervisão humana.
• Prompts claros devem indicar objetivo, contexto, fonte e formato esperado.
• Agentes e respostas automatizadas devem operar com escopo, auditoria, permissões mínimas e pontos de aprovação definidos.

Princípio de responsabilidade

O Microsoft Security Copilot acelera a análise; ele não transfere a responsabilidade da decisão. Em incidentes de alto impacto, as evidências e o processo aprovado prevalecem sobre a fluência da resposta gerada.

radio_button_uncheckedshort_text15. Cenário prático integrado: ataque a uma conta privilegiada

Considere uma empresa que conecta ao Sentinel registros do Microsoft Entra ID, Defender XDR, firewall, servidores Linux e uma aplicação financeira. Uma conta administrativa recebe várias falhas de autenticação, seguida de login bem-sucedido em localização incomum. Minutos depois, há alteração de privilégio e acesso atípico à aplicação.

15.1 O que poderia dar errado

• O conector de auditoria não estava ativo, ocultando a alteração de privilégio.
• A regra gerava tantos falsos positivos que o alerta foi ignorado.
• O playbook possuía permissões excessivas ou falhou silenciosamente.
• Logs tinham retenção insuficiente para reconstruir a linha do tempo.
• O incidente foi fechado sem registrar classificação e lições aprendidas.

Visão sistêmica

Sentinel não compensa sozinho uma identidade sem MFA, um dispositivo vulnerável ou permissões excessivas. Ele integra sinais e resposta, mas a redução de risco depende de controles preventivos, detecção, pessoas e processos.

radio_button_uncheckedshort_text16. Conclusão e revisão para o SC-900

O Microsoft Sentinel representa a evolução do SIEM para uma plataforma nativa de nuvem de operações de segurança. Ele coleta e normaliza dados de diversas fontes, distribui análises entre a camada operacional e o data lake, aplica regras, IA, Fusion e inteligência contra ameaças, correlaciona sinais em incidentes, oferece investigação e hunting com KQL e o Grafo do Sentinel e automatiza respostas com regras de automação e playbooks do Azure Logic Apps.

Na minha avaliação, o principal valor do Sentinel não está em uma funcionalidade isolada, mas na capacidade de transformar telemetria dispersa em um processo operacional repetível. Uma organização madura não mede sucesso pelo número de logs ou alertas, e sim pela cobertura de riscos relevantes, qualidade das detecções, velocidade de investigação, consistência da resposta e aprendizado contínuo.

A integração com o Microsoft Defender XDR amplia o contexto entre identidades, endpoints, e-mail e aplicações. O Microsoft Security Copilot acelera resumos, análises, consultas, relatórios e respostas guiadas, enquanto agentes autônomos ajudam a triar alertas e identificar lacunas de detecção. Mesmo assim, a tecnologia não elimina a necessidade de analistas, governança, dados confiáveis e validação humana.

16.1 Revisão rápida

radio_button_uncheckedshort_text17. Questões de revisão

1. Qual recurso do Microsoft Sentinel é usado principalmente para conectar fontes de logs e alertas?

A) Workbook B) Conector de dados C) Playbook D) Incidente

Comentário

Resposta correta: B. Conectores de dados integram fontes ao Sentinel e orientam a ingestão. Workbooks visualizam dados; playbooks automatizam respostas; incidentes organizam investigação.

2. Qual alternativa descreve corretamente a relação entre alerta e incidente?

A) Todo evento é um incidente. B) Incidentes são usados apenas para armazenar dashboards. C) Um alerta é um sinal de possível ameaça, e um incidente organiza um ou mais alertas e contexto para investigação. D) Alertas são criados somente por playbooks.

Comentário

Resposta correta: C. Alertas representam sinais. Incidentes agrupam alertas, entidades, evidências e ações para triagem, investigação e resposta.

3. Qual afirmação diferencia corretamente regra de automação e playbook?

A) Ambos são apenas consultas KQL. B) A regra de automação coordena quando e em que ordem ações ocorrem; o playbook executa um workflow baseado em Azure Logic Apps. C) Playbooks criam apenas gráficos. D) Regras de automação servem apenas para ingestão.

Comentário

Resposta correta: B. A regra administra o fluxo de tratamento e pode chamar um playbook, enquanto o playbook implementa integrações e lógica de resposta.

4. Qual é o principal objetivo do threat hunting?

A) Substituir todos os controles preventivos. B) Procurar proativamente ameaças ainda não detectadas, com base em hipóteses e consultas. C) Criar assinaturas digitais. D) Configurar redes virtuais.

Comentário

Resposta correta: B. Hunting é investigação proativa sobre dados existentes e pode resultar em incidente, nova regra ou melhoria de resposta.

5. Quais são as quatro áreas operacionais centrais do Microsoft Sentinel?

A) Comprar, vender, faturar e arquivar B) Coletar, detectar, investigar e responder C) Criar, compilar, testar e implantar D) Identificar, autenticar, licenciar e excluir

Comentário

Resposta correta: B. O Sentinel reúne dados, encontra ameaças, fornece contexto de investigação e permite respostas manuais ou automatizadas.

6. Para que serve um promptbook no Microsoft Security Copilot?

A) Substituir o data lake B) Encadear uma sequência reutilizável de prompts C) Criar uma sub-rede D) Armazenar chaves de criptografia

Comentário

Resposta correta: B. Um promptbook coordena prompts para reunir, analisar e apresentar contexto ao analista de forma repetível.

7. Qual abordagem reduz melhor a fadiga de alertas?

A) Tratar todos os eventos como críticos B) Agrupar sinais relacionados, priorizar por severidade e enriquecer a triagem C) Desabilitar logs D) Criar um playbook para cada linha de log

Comentário

Resposta correta: B. Correlação em incidentes, priorização e enriquecimento automatizado reduzem ruído sem remover a visibilidade necessária.

8. Qual afirmação descreve melhor o Microsoft Security Copilot?

A) Decide e contém todo incidente sem supervisão B) Auxilia investigação e resposta com IA generativa, mantendo a validação humana C) É um firewall de rede D) Substitui conectores e regras analíticas

Comentário

Resposta correta: B. O Copilot acelera o trabalho com contexto e IA generativa, mas o analista continua responsável pela validação e pelas decisões finais.

radio_button_uncheckedshort_text18. Glossário e referências

Glossário essencial

radio_button_uncheckedshort_textReferências oficiais consultadas

• Microsoft Learn. Study guide for Exam SC-900: Microsoft Security, Compliance, and Identity Fundamentals. Atualizado em 26 jun. 2026.
• Microsoft Learn. What is Microsoft Sentinel? / What is Microsoft Sentinel SIEM? Atualizado em maio de 2026.
• Microsoft Learn. Connect data sources to Microsoft Sentinel by using data connectors. Atualizado em 2026.
• Microsoft Learn. Threat hunting in Microsoft Sentinel. Atualizado em 15 jun. 2026.
• Microsoft Learn. Automation in Microsoft Sentinel; Azure Logic Apps for Microsoft Sentinel playbooks; Create and manage Microsoft Sentinel playbooks. Atualizados em 2026.
• Microsoft Learn. Microsoft Defender XDR integration with Microsoft Sentinel. Atualizado em 2026.
• Microsoft Learn. Data lake, Grafo do Microsoft Sentinel e servidor MCP hospedado. Atualizado em 2026.
• Microsoft Learn. Integração do Microsoft Security Copilot com o Microsoft Sentinel, resumo de incidentes, agentes autônomos e linguagem natural para KQL. Atualizado em 2026. Observação editorial: o conteúdo foi escrito para estudo conceitual do SC-900. Nomes de menus, disponibilidade, licenciamento e recursos em versão preliminar podem mudar; consulte a documentação oficial antes de decisões de implantação.