# Microsoft Sentinel > SIEM / SOAR · Vendor: [[_microsoft|Microsoft]] > [!latam] Presença no Brasil e LATAM > O Microsoft Sentinel é a solução SIEM dominante no Brasil, adotada por bancos, órgãos do governo federal e grandes corporações que já operam no ecossistema Microsoft 365. A integração nativa com o **Entra ID** (Azure AD) torna o Sentinel especialmente relevante para detecção de campanhas de **password spray** e **MFA bypass** - ataques recorrentes contra organizações brasileiras documentados pelo **CTIR Gov** e **CERT.br**. Playbooks em português estão disponíveis no repositório da comunidade Azure/Azure-Sentinel. ## Visão Geral **Microsoft Sentinel** é o SIEM+SOAR cloud-native da Microsoft, hospedado integralmente no Azure. Trata-se da plataforma de monitoramento e resposta a incidentes mais relevante para organizações que operam no ecossistema Microsoft - que inclui a grande maioria das empresas brasileiras do [[financial]], [[government]] e [[technology]]. **Principais vantagens competitivas:** - Integração nativa com [[microsoft-defender-endpoint]], Microsoft 365, Azure AD (Entra ID) e Defender for Cloud - sem necessidade de conectores customizados - SOAR nativo via Azure Logic Apps (playbooks) que eliminam tarefas repetitivas de analistas - UEBA (User and Entity Behavior Analytics) integrado para detecção de comportamentos anômalos - Microsoft Threat Intelligence feed que popula automaticamente IoCs (hashes, domínios, IPs) a partir da telemetria global da Microsoft - Modelo de precificação por ingestão de dados - relevante para organizações com grandes volumes de log **Dados do produto:** - Categoria: SIEM + SOAR - Vendor: [[_microsoft|Microsoft]] - Plataforma: Azure (cloud-native - sem instalação on-premises) - Linguagem de consulta: KQL (Kusto Query Language) - Presença no Brasil/LATAM: Dominante - padrão de facto para organizações Microsoft-centric ## KQL - Kusto Query Language O Microsoft Sentinel utiliza **KQL (Kusto Query Language)** como linguagem de consulta para análise de logs, criação de regras de detecção e hunting manual. O KQL é também a linguagem do [[microsoft-defender-endpoint]] Advanced Hunting, tornando o conhecimento transferível entre as duas plataformas. **Principais tabelas do Sentinel:** | Tabela | Dados | |--------|-------| | `SecurityEvent` | Eventos de segurança do Windows (4624, 4625, 4688, etc.) | | `DeviceProcessEvents` | Criação de processos via MDE | | `DeviceNetworkEvents` | Conexões de rede via MDE | | `DeviceFileEvents` | Operações de arquivo via MDE | | `DeviceLogonEvents` | Autenticações via MDE | | `SigninLogs` | Logins no Azure AD / Entra ID | | `AzureActivity` | Atividades no plano de controle do Azure | | `CommonSecurityLog` | Logs via CEF (firewalls, proxies, etc.) | | `Syslog` | Logs via Syslog (Linux, appliances) | | `OfficeActivity` | Atividades no Microsoft 365 | **Operadores essenciais:** `where` (filtragem), `project` (seleção de colunas), `summarize` (agregação), `join` (correlação entre tabelas), `parse` (extração de campos), `extend` (colunas calculadas). Filtros temporais com `ago(1d)`, `ago(7d)`, `startofday()`. **Exemplo - Detectar PowerShell com download de payload** (indicador de [[t1059-001-powershell|T1059.001 - PowerShell]] e múltiplos loaders): ```kql // Detectar PowerShell com download de payload DeviceProcessEvents | where FileName =~ "powershell.exe" | where ProcessCommandLine has_any ("DownloadString", "IEX", "Invoke-Expression", "WebClient") | project Timestamp, DeviceName, AccountName, ProcessCommandLine | order by Timestamp desc ``` **Exemplo - Detecção de login anômalo via Azure AD** (relevante para [[g0016-apt29|APT29 / Cozy Bear]] e ataques de password spray): ```kql // Logins falhados seguidos de sucesso - possível password spray SigninLogs | where ResultType != "0" | summarize FailedAttempts = count() by UserPrincipalName, IPAddress, bin(TimeGenerated, 1h) | where FailedAttempts > 10 | join kind=inner ( SigninLogs | where ResultType == "0" ) on UserPrincipalName | project TimeGenerated, UserPrincipalName, IPAddress, FailedAttempts ``` ## Analytics Rules O Sentinel oferece quatro tipos de regras de detecção: 1. **Scheduled** - consultas KQL executadas em intervalos regulares (padrão para a maioria das detecções) 2. **NRT (Near Real-Time)** - latência de ~1 minuto; para detecções críticas como bloqueio de conta ou execução de mimikatz 3. **ML-based anomaly** - modelos de machine learning para detecção de anomalias sem regras explícitas (UEBA) 4. **Fusion** - correlação multi-estágio que combina alertas de baixa fidelidade para identificar kill chains completas (útil para [[g0016-apt29|APT29 / Cozy Bear]] e [[g0007-apt28|APT28 / Fancy Bear]]) **Repositório da comunidade:** O [Azure/Azure-Sentinel](https://github.com/Azure/Azure-Sentinel) no GitHub contém centenas de regras prontas para uso, organizadas por categoria. Inclui detecções para: - [[cve-2024-47575|CVE-2024-47575]] (FortiManager - lateral movement pós-exploração) - [[cve-2021-44228|CVE-2021-44228]] (Log4j - execução remota via JNDI) - [[cve-2023-23397|CVE-2023-23397]] (Outlook - roubo de NTLM via [[g0007-apt28|APT28 / Fancy Bear]]) - [[cve-2024-21887|CVE-2024-21887]] (Ivanti Connect Secure - RCE) As regras do repositório são expressas em KQL e podem ser importadas diretamente para o workspace Sentinel ou convertidas de formato **Sigma** via sigma2sentinel. ## SOAR via Logic Apps O componente SOAR do Sentinel é implementado via **Azure Logic Apps** - fluxos de automação low-code que respondem a alertas ou incidentes automaticamente. **Fluxo de resposta automatizada típico:** ``` Sentinel alert (threshold atingido) → Logic App acionado → Verificar IoC no Microsoft Threat Intelligence → Se confirmado malicioso: → Bloquear IP no Azure Firewall → Isolar endpoint no [[microsoft-defender-endpoint]] via API → Criar ticket no ServiceNow / JIRA → Notificar time no Microsoft Teams → Marcar incidente como "Em resposta" ``` **Casos de uso comuns de playbooks:** - Auto-bloqueio de IP em Azure Firewall ou NSG após alerta de [[t1090-proxy|T1090 - Proxy]] ou C2 ([[s0154-cobalt-strike]]) - Isolamento de endpoint no MDE após detecção de [[lockbit]] (VSS deletion, cifração em massa) - Revogação de sessão Azure AD após indicador de comprometimento de conta (relevante para [[g0016-apt29|APT29 / Cozy Bear]]) - Criação automática de ticket com contexto enriquecido (hash, IP, usuário, técnica MITRE) ## Integração com Ameaças O Microsoft Sentinel é particularmente eficaz na detecção de TTPs de atores que abusam do ecossistema Microsoft: | Ator / Ferramenta | Detecção no Sentinel | |-------------------|---------------------| | [[g0016-apt29\|APT29 / Cozy Bear]] | Anomalias em Azure AD (MFA bypass, OAuth app abuse), exfiltração via OneDrive ([[t1567-002-exfiltration-cloud-storage\|T1567.002]]) | | [[g0007-apt28\|APT28 / Fancy Bear]] | Exploração de [[cve-2023-23397\|CVE-2023-23397]] detectável via `OfficeActivity` + `SecurityEvent` para roubo NTLM | | [[g0032-lazarus-group\|Lazarus Group]] | Exfiltração cloud via [[t1567-002-exfiltration-cloud-storage\|T1567.002]] detectável em `AzureActivity` e `OfficeActivity` | | [[s0154-cobalt-strike]] | Beaconing via `DeviceNetworkEvents` (intervalos regulares, domínios gerados por DGA) | | [[lockbit]] | Deleção de VSS (`vssadmin.exe delete shadows`), cifração em massa via `DeviceFileEvents` | **Técnicas MITRE correlacionadas:** [[t1090-proxy|T1090 - Proxy]] · [[t1021-002-smb-windows-admin-shares|T1021.002 - SMB/Windows Admin Shares]] · [[t1059-001-powershell|T1059.001 - PowerShell]] · [[t1078-valid-accounts|T1078 - Valid Accounts]] ## Notas Relacionadas **Produtos:** [[microsoft-defender-endpoint]] · [[_microsoft|Microsoft]] **CVEs:** [[cve-2023-23397|CVE-2023-23397]] · [[cve-2021-44228|CVE-2021-44228]] · [[cve-2024-47575|CVE-2024-47575]] · [[cve-2024-21887|CVE-2024-21887]] **Atores:** [[g0016-apt29|APT29 / Cozy Bear]] · [[g0007-apt28|APT28 / Fancy Bear]] · [[g0032-lazarus-group|Lazarus Group]] **Malware:** [[s0154-cobalt-strike]] · [[lockbit]] **TTPs:** [[t1059-001-powershell|T1059.001 - PowerShell]] · [[t1090-proxy|T1090 - Proxy]] · [[t1021-002-smb-windows-admin-shares|T1021.002 - SMB/Windows Admin Shares]] · [[t1078-valid-accounts|T1078 - Valid Accounts]] **Setores:** [[financial]] · [[government]] · [[technology]]