Please enable JavaScript.

Coggle requires JavaScript to display documents.

SC-200, Organização em qualquer lugar, Relatório de tipos de detecção de…

- - - - Proteção de Informações do Azure Configure e gerencie o scanner e o cliente Proteção de Informações do Azure para classificar e proteger automaticamente os emails e documentos da sua organização. Use relatórios para monitorar o uso de rótulos e identificar informações confidenciais que devam ser protegidas.
    - - Azure AD Identity Protection Detecte possíveis vulnerabilidades que afetam as identidades da sua organização. Investigue incidentes suspeitos relacionados às identidades da sua organização e configure respostas automatizadas para resolvê-las.
        
        RISCOS
        
        RISCO DO USUÀRIO:
        
        Comportamento incomum (Conta mostrou atividade incomum)
        
        Credenciais vazadas: Lista de credenciais vazadas em DW (ex.)
        
        RISCO DE ENTRADA:
        
        Identity protection lembra o histórico do usuário, por exemplo, localização incomum (suspeito)
        
        Viagem atípica: duas ou mais entradas em localizações distantes
        
        IP vinculado a malware: Conhecimento de que o IP de origem está em contato com bot ativo
        
        IP Anônimo: Invasores podem usar ip anonimo para ocultar localização
        
        Fluxo de trabalho:
        
        CORREÇÃO AUTOMÁTICA
        :https://learn.microsoft.com/pt-br/training/modules/protect-identities-with-aad-idp/media/2-identity-protection-flow.svg
        
        CORREÇÂO DO ADMINISTRADOR
        https://learn.microsoft.com/pt-br/training/modules/protect-identities-with-aad-idp/media/2-admin-remediation.svg
        
        QUESTÕES
        
        Como fornecer proteção contra os riscos baseados em identidade usando o Azure AD Identity Protection?
        
        RESPOSTA: Configure uma política, faça uma investigação usando um relatório e faça a correção.
        JUSTIFICATIVA: Use a política de risco para ajudar a investigar e corrigir ameaças.
        
        Convém analisar os riscos que descrevem as solicitações de autenticação para entradas que provavelmente não foram autorizadas pelos usuários. Quais tipos de riscos você analisará?
        
        RESPOSTA: Risco de entrada
        Justificativa: O Azure AD Identity Protection analisa cada solicitação de autenticação para avaliar se ela foi autorizada pelo proprietário da identidade.
        
        Políticas de Riscos
        
        Usuários
        
        Formulário de configuração de política de risco do usuário NO PORTAL DO AZURE.
        
        Condições que precisam ser atendidas
        
        Pode-se preencher o formulário para configurar a política de registro com MFA no portal do AZURE. Selecione usuários e direcione se deve ser habilitada ou desabilitada.
        
        Os usuários precisam concluir o registro no prazo de 14 dias, mas podem optar por ignorar a entrada durante esse período. Após 14 dias, eles precisarão concluir o registro para terem permissão de uma nova conexão.
        
        Como responder aos riscos
        
        Investigar Riscos
        
        Relatório de entradas suspeitas: Detalhes de localização, detalhes de dispositivo, entradas confirmadas como seguras ou riscos ignorados/corrigidos.
        
        Confirma se as entradas são seguras ou se estão comprometidas pelo período dos últimos 30 dias
        
        Usuários Suspeitos: Lista de usuários em risco e usuários com riscos ignorados ou corrigidos. Histórico de entradas suspeitas do usuário
        
        Correção de Riscos
        
        Correção automática
        
        Redefinir senhas manualmente
        
        Ignorar decções de risco de usuário
        
        Fechar detecções individuais
        
        Contas bloqueadas
        
        Devido a risco de entrada
        Devida localização ou dispositivo desconhecido.
        
        Devido ao risco do usuário Devido comportamento suspeito conta é bloqueada por política definida pelo administrador.
        
        Questões
        
        Qual relatório você examinaria para encontrar os dispositivos que foram identificados como parte de um risco detectado?
        RESPOSTA: Relatório de entrada suspeita
        
        JUSTIFICATIVA: Informações como detalhes do dispositivo e da localização estão incluídas nos relatórios de entrada suspeita.
        
        É interessante usar um relatório de entrada suspeitas para encontrar informações sobre as essas entradas nos últimos 29 dias. Como você pode acessar esse relatório?
        RESPOSTA: Você pode acessar e baixar o relatório no portal do Azure.
        
        JUSTIFICATIVA: Os dados do relatório são mantidos por 30 dias.
        
        True or false? Microsoft Defender for Office 365 requires an agent to be deployed to all Windows 10 devices in your organization for the best protection. RESPOSTA: FALSO JUSTIFICATIVA: Correct! Microsoft Defender for Office 365 is a cloud-based email filtering service that helps protect your organization. No agents are deployed.
        
        What describes Safe Attachments from Microsoft Defender for Office 365? RESPOSTA:
        
        Messages and attachments are routed to a special environment where Microsoft Defender for Office 365 uses a variety of machine learning and analysis techniques to detect malicious intent.
        JUSTIFICATIVA: Correct! Microsoft Defender for Office 365 Safe Attachments protect against unknown malware and viruses, and provide zero-day protection to safeguard your messaging system by rerouting messages and using machine learning to detect malicious intent.
        
        Which of the following is not an Attack Simulator scenario? RESPOSTA: Bitcoin mining JUSTIFICATIVA: Correct! Bitcoin mining is not an Attack Simulator scenario.
    - - Durante e após uma investigação automatizada, você pode exibir os detalhes sobre a investigação
        
        • Ações pendentes – se houver alguma ação aguardando aprovação como resultado da investigação, a guia Ações pendentes será exibida. Na guia Ações pendentes, você pode aprovar ou rejeitar cada ação.
        
        • Log – a exibição cronológica e detalhada de todas as ações de investigação executadas no alerta.
        
        • Entidades – detalhes sobre cada entidade analisada, incluindo uma determinação para cada tipo de entidade (Mal-intencionada, Suspeita ou Nenhuma ameaça encontrada).
        
        • Evidência – as entidades consideradas mal-intencionadas durante uma investigação.
        
        • Dispositivos – os dispositivos em que a ameaça foi encontrada.
        
        • Alertas – os alertas que iniciaram a investigação.
        
        Selecione um alerta de gatilho para exibir os detalhes da investigação. A partir daí, você pode ir para o grafo Investigação e as guias Alertas, Dispositivos, Evidência, Entidades e Log.
      - Microsoft Defender para Nuvem Proteja seus data centers e obtenha proteção avançada contra ameaças para suas cargas de trabalho do Azure e não Azure na nuvem e localmente. Proteja seus serviços do Azure rapidamente com proteção autoprovisionada e nativa.
  - - - Etapas para habilitar o Defender para Identidade:
        
        Configurar a integração com o Microsoft 365 Defender (opcional).
        
        Configure a integração com o Microsoft Defender for Cloud Apps.
        
        Configure as permissões necessárias para o sensor fazer chamadas SAM-R.
        
        Excluir as contas confidenciais listadas durante o processo de design.
        
        Integrar a sua solução VPN (opcional).
        
        Instalar o sensor do Microsoft Defender para Identidade em todos os controladores de domínio.
        
        Baixar e instalar o pacote do sensor.
        
        Especificar uma conta de serviço do AD local no portal do Microsoft Defender para Identidade.
        
        Criar uma instância no portal de gerenciamento do Microsoft Defender para Identidade.
      - QUESTOES
        
        O Microsoft Defender para Identidade requer um ambiente Active Directory local
        
        RESPOSTA: VERDADEIRO.
        JUSTIFICATIVA:
        Correto! O Microsoft Defender para Identidade é uma solução de segurança baseada em nuvem que requer um Active Directory local.
        
        Qual das opções a seguir descreve ameaças avançadas detectadas pelo Microsoft Defender para Identidade?
        RESPOSTA: RECONHECMENTO
        
        JUSTIFICATIVA: Correto! O Microsoft Defender para Identidade pode identificar usuários desonestos e tentativas de invasores de obter informações como nomes de usuário, associação de grupos de usuários, endereços IP atribuídos a dispositivos, recursos e muito mais, usando uma variedade de métodos.
        
        Qual das opções a seguir não é uma integração com suporte para o Microsoft Defender para Identidade?
        RESPOSTA: INTUNE
        
        JUSTIFICATIVA:
        Correto! Atualmente, não existe integração com suporte com o Microsoft Defender para Identidade e o Microsoft Intune.
- - - - Ações com Suporte
        
        Isolar dispositivo
        
        Restringir execução de código
        
        Colocar um arquivo em quarentena
        
        Remover chave de registro
        
        Parar serviço
        
        Desabilitar um driver
        
        Remover uma tarefa agendada
      - Fonte
        -Investigação automatizada
        -Defender Antivírus
        Ação resposta manual
  - - - Painel Cloud discovery
        
        Visão geral: principais usuários e IP de origem.
        
        Verificar quais apps a organização mais usa
        
        Revisar pontuação de risco para apps em visão geral do app
        
        Visualizar onde estão hospedados apps pelo mapa de sede do app
        
        Marcar apps com risco pelo painel de apps descobertos como apps "não sancionados"
        
        Proteger apps com o Controle de aplicativo de acesso CONDICIONAL (se integrado com o AAD) SERÃO INTEGRADOS DIRETAMENTE TAMBÉM AO DEFENDER FOR CLOUD APPS
        
        Politicas de acesso no portal do Defender para Aplicativos na nivem:
        
        Impedir exfiltração de dados
        
        Proteger download
        
        Impedir upload de arquivos não rotulados
        
        Monitorar sessões de usuário para conformidade
        
        Bloquear acesso
        
        Bloquear atividades personalizadas
    - - Como você pode ter uma visão geral rápida dos tipos de aplicativos que estão sendo usados em sua organização?
        
        RESPOSTA:
        Use o Painel do Cloud Discovery
        JUSTIFICATIVA:
        Você pode ver quais tipos de aplicativos estão sendo usados, abrir alertas e os níveis de risco dos aplicativos em sua organização.
      - A estrutura do Defender para Aplicativos na Nuvem inclui qual das seguintes opções? RESPOSTA:
        Descobrir e controlar o uso de TI Sombra
        
        JUSTIFICATIVA:
        Está correto. A estrutura inclui: descobrir e controlar o uso do Shadow IT, proteger suas informações confidenciais onde quer que estejam na nuvem, proteger contra ameaças e anomalias cibernéticas e avaliar a conformidade dos seus aplicativos na nuvem constituem todas as partes da estrutura do Defender for Cloud Apps.
      - Qual destes é um recurso das políticas de controle de Acesso Condicional de Aplicativos?
        
        RESPOSTA:
        Proteger no download
        JUSTIFICATIVA:
        Está correto! Impedir a exfiltração de dados, proteger no download, impedir o upload de arquivos não rotulados, monitorar as sessões de usuário para conformidade, bloquear o acesso e bloquear as atividades personalizadas que são todas recursos das políticas de Controle de Acesso Condicional de Aplicativos.
      - Como você pode garantir que um arquivo seja enviado para a quarentena para revisão por um administrador?
        RESPOSTA:
        Ao criar uma política de arquivos, selecione Colocar em quarentena de administrador
        JUSTIFICATIVA:
        Está correto! Você precisa selecionar Colocar em quarentena de administrador para permitir que os administradores revisem os arquivos.
      - Qual política de detecção de anomalias aciona um alerta se as mesmas credenciais do usuário forem originadas de dois locais geograficamente distantes em um curto período de tempo?
        
        RESPOSTA:
        Viagem impossível
        JUSTIFICATIVA:
        Está correto! A política de viagens impossíveis é acionada quando duas atividades do usuário se originam de locais geograficamente distantes em um período de tempo menor do que o tempo que o usuário levaria para viajar do primeiro local para o segundo.
  - - - Endereço IP Arriscado
      - Falhas de Login
      - Atividade administrativa
      - Contas inativas
      - Localização
      - Viagem impossível
      - Dispositivo e agente de usuário
      - Taxa de atividade
- - - - Impedir que aplicativos do Office criem conteúdo executável
        
        Impedir que aplicativos do Office injetem código em outros processos
        
        Impedir que o JavaScript ou o VBScript inicie conteúdo executável baixado
        
        Impedir a execução de scripts potencialmente ofuscados
        
        Impedir chamadas de API Win32 de macro do Office
        
        Usar a proteção avançada contra ransomware
        
        Bloquear o roubo de credenciais do subsistema da autoridade de segurança local do Windows (lsass.exe)
        
        Bloquear criações de processo provenientes de comandos PSExec e WMI
        
        Bloquear processos não confiáveis e não assinados que sejam executados de USB
        
        Bloquear a execução de arquivos executáveis, a menos que eles atendam a uma prevalência, idade ou critérios de lista confiável
        
        Impedir que aplicativos de comunicação do Office criem processos filhos
        
        Impedir que o Adobe Reader crie processos filhos
        
        Bloquear persistência por meio de assinatura de evento WMI
        
        Bloquear o conteúdo executável do cliente de email e webmail
        
        Impedir todos os aplicativos do Office de criar processos filhos
        
        questoes
        
        Qual solução é usada para controlar os aplicativos que devem ganhar confiança para serem executados?
        
        RESPOSTA:
        Controle do aplicativo
        JUSTIFICATIVA:
        Correto. O controle do aplicativo é usado para confiança.
        
        Qual opção abaixo é uma regra de redução da superfície de ataque que pode ser configurada?
        
        RESPOSTA:
        
        Bloquear criações de processo provenientes de comandos PSExec e WMI
        JUSTIFICATIVA:
        Correto. O bloqueio de criação de processo do PSExec é uma regra de redução da superfície de ataque que pode ser configurada.
        
        Qual dos itens a seguir é uma opção de implantação?
        
        RESPOSTA:
        Powershell
        JUSTIFICATIVA:
        Correto. O PowerShell é uma opção de implantação válid
        
        O analista de operações de segurança encontrou um evento interessante, o que deve ser feito para marcá-lo para análise adicional?
        
        RESPOSTA:
        SINALIZADOR
        JUSTIFICATIVA:
        CORRETO. Você pode sinalizar eventos
        
        Qual bloqueio comportamental pode ser usado com antivírus de terceiros? RESPOSTA:EDR no modo de bloqueio
        
        JUSTIFICATIVA:
        Correto. O EDR no modo de Bloqueio permite o bloqueio mesmo quando um AV de terceiros é usado.
        
        Um dispositivo Windows 10 não aparece na lista de dispositivos, qual pode ser o problema?
        
        RESPOSTA:
        O dispositivo não teve alertas nos últimos 30 dias.
        JUSTIFICATIVA:
        Correto. Você pode ajustar a configuração de hora para localizar o dispositivo.
  - - - Qual dos seguintes tipos de artefatos têm uma página de investigação?
        RESPOSTA:
        domínio
        JUSTIFICATIVA:
        Correto. Há uma página de investigação para Domínio.
      - Qual informação é fornecida por uma análise de arquivo profunda?
        RESPOSTA:
        Modificações no registro
        JUSTIFICATIVA:
        Correto. As modificações no Registro são relatadas.
      - Quais informações são fornecidas na página de conta de usuário?
        RESPOSTA:
        
        Alertas associados
        JUSTIFICATIVA:
        Correto. Isso é fornecido.
      - Que nível de correção é considerado válido?
        RESPOSTA:
        Semi – requer aprovação para qualquer correção
        JUSTIFICATIVA:
        Correto. Esse nível de correção é considerado válido.
      - Um analista de operações de segurança precisa excluir um arquivo executável personalizado c:\myapp\myapp.exe. Qual tipo de exclusão ele deve usar?
        
        RESPOSTA:
        Arquivo
        JUSTIFICATIVA:
        Correto. O arquivo excluirá este arquivo específico da automação
      - Em recursos avançados, qual configuração deve ser ativada para bloquear arquivos mesmo se um antivírus de terceiros for usado?
        
        RESPOSTA:
        Habilitar o EDR no modo de bloqueio.
        Justificativa:
        Correto. O EDR no modo de bloqueio é usado com antivírus de terceiros