Integrando o EASM à sua pilha de segurança: Sentinel, Copilot e muito mais

By Mirko Peters · 2026-08-13

Bem-vindo de volta a mais um mergulho profundo no mundo em constante evolução da segurança em nuvem e da arquitetura do Microsoft 365. Em nossa série de podcast, insistimos continuamente que as operações de segurança modernas exigem uma visão holística do seu cenário digital…

Automatically translated with AI from the original post. Read the English original

Bem-vindo de volta a mais um mergulho profundo no mundo em constante evolução da segurança em nuvem e da arquitetura do Microsoft 365. Em nossa série de podcast, insistimos continuamente que as operações de segurança modernas exigem uma visão holística do seu cenário digital. Em um episódio recente, detalhamos os fundamentos da descoberta de ativos externos. Se você ainda não o ouviu, não deixe de conferir o episódio relacionado, Microsoft Defender EASM - Simply Explained, em que exploramos como as organizações podem mudar fundamentalmente a forma como enxergam sua presença voltada para o público.

Embora entender o que está exposto na internet pública seja um avanço enorme, ter apenas um inventário de ativos expostos não é suficiente. A verdadeira mágica acontece quando você integra a inteligência de External Attack Surface Management (EASM) à sua pilha de segurança mais ampla. Neste post, vamos aprofundar esses conceitos e explorar como o Microsoft Defender EASM alimenta o Microsoft Sentinel, o Log Analytics, o Azure Data Explorer e o Security Copilot com contexto essencial, elevando drasticamente a sua postura de segurança como um todo.

Introdução ao External Attack Surface Management

Antes de olharmos para a integração, vamos enquadrar brevemente o desafio central. Os modelos tradicionais de segurança são fortemente focados no ambiente interno. Plataformas de gerenciamento de eventos e informações de segurança (SIEM), ferramentas de detecção e resposta de endpoints (EDR) e scanners de vulnerabilidade geralmente dependem de agentes instalados em dispositivos gerenciados ou de varreduras da rede interna. No entanto, os atacantes não iniciam suas campanhas a partir da sua rede interna; eles começam pela internet aberta.

O Defender EASM preenche essa lacuna funcionando como um coletor de inteligência, e não como uma ferramenta tradicional de aplicação em linha, como um firewall ou um antivírus. Ele mapeia continuamente domínios, subdomínios, certificados SSL, endereços IP públicos e portas abertas a partir de uma perspectiva de fora para dentro. Mas descobrir esses ativos é apenas o começo da jornada. Para gerar mudanças operacionais significativas, essa inteligência externa precisa ser canalizada para as ferramentas que os analistas do seu Security Operations Center (SOC) usam todos os dias.

Entendendo a perspectiva externa versus os inventários internos

Quando as equipes de segurança montam seus inventários de ativos, normalmente extraem dados de bancos de dados de gerenciamento de configuração (CMDB), históricos de chamados de TI e portais de assinaturas de nuvem. Infelizmente, esses inventários internos sofrem, notoriamente, com pontos cegos causados por shadow IT, campanhas de marketing esquecidas, ambientes de teste não monitorados e infraestrutura remanescente de aquisições.

Uma perspectiva externa atravessa o ruído dos silos organizacionais internos. Ela não se importa com qual departamento criou uma carga de trabalho na nuvem ou com qual fornecedor implantou um portal voltado para o público. Se um ativo é acessível por um navegador ou por um scanner de IP na web pública, o EASM vai encontrá-lo. Ao transformar esses dados brutos externos em observações estruturadas, as organizações finalmente conseguem comparar o que acreditam estar exposto com o que está realmente acessível para o mundo externo.

Como o Microsoft Defender EASM descobre ativos públicos

Para entender como esses dados se integram ao restante da sua pilha de segurança, vale compreender como o mecanismo de descoberta funciona. A descoberta começa com uma semente simples, como um domínio corporativo principal, um Autonomous System Number (ASN) ou um bloco de IP público conhecido. A partir daí, o sistema executa uma descoberta recursiva.

Ele segue as migalhas digitais: um domínio raiz aponta para um certificado, o certificado referencia subdomínios alternativos, esses subdomínios resolvem para hosts específicos, e esses hosts ficam em endereços IP públicos associados a serviços web específicos. À medida que o Defender EASM mapeia essas relações, ele cria um grafo rico de ativos. Exportar esse mapa orientado a relações para as ferramentas de segurança a jusante oferece aos seus analistas um contexto sem precedentes durante uma investigação.

Integrando os insights do EASM ao Microsoft Sentinel

O Microsoft Sentinel é o sistema nervoso central das operações de segurança modernas, ingerindo logs, alertas e inteligência de ameaças de toda a empresa. Ao integrar os insights do Defender EASM ao Sentinel, você preenche a lacuna entre a exposição externa e a telemetria interna.

Imagine um alerta sendo disparado no Sentinel para tentativas de autenticação anômalas contra uma aplicação web. Se os dados do EASM forem ingeridos no seu workspace do Sentinel, suas regras de análise e consultas de correlação podem determinar instantaneamente se essa aplicação web visada é um sistema de produção oficialmente aprovado ou um servidor de homologação esquecido e sem gerenciamento, descoberto pela varredura da sua superfície de ataque externa. Esse enriquecimento contextual imediato ajuda os analistas a fazer a triagem de incidentes mais rapidamente, separando ameaças de alta prioridade em ativos críticos do ruído gerado por infraestruturas obsoletas de shadow IT.

Aproveitando o Log Analytics e o Azure Data Explorer para dados do EASM

Organizações de grande porte frequentemente gerenciam pegadas públicas massivas, compostas por milhares de domínios, certificados e intervalos de IP. Analisar esse volume de dados de superfície de ataque exige plataformas de dados robustas. É aqui que entram o Log Analytics e o Azure Data Explorer.

Ao exportar os dados de inventário e observação do EASM para workspaces do Log Analytics, as equipes de engenharia de segurança podem criar workbooks personalizados e painéis de monitoramento. Você pode acompanhar métricas como quantos certificados SSL expiram nos próximos trinta dias, quantos novos endereços IP públicos não classificados apareceram nesta semana ou quais unidades de negócio acumulam o maior volume de exposições externas de alto risco.

Para organizações que operam em escala massiva em várias subsidiárias globais, o Azure Data Explorer oferece o poder de processamento necessário para executar consultas complexas e extremamente rápidas sobre milhões de pontos históricos de dados da superfície de ataque. Arquitetos de segurança podem executar análises de tendências ao longo de meses ou anos, mapeando como a postura externa evolui junto com o crescimento corporativo, fusões e aquisições.

Acelerando investigações com o Security Copilot

À medida que as ferramentas de segurança se tornam mais avançadas, a carga cognitiva sobre os analistas de SOC continua aumentando. Escrever consultas complexas em Kusto Query Language para correlacionar dados de ativos externos com fontes de log internas pode retardar a resposta a incidentes em andamento. É aqui que o Microsoft Security Copilot transforma o fluxo de trabalho.

O Security Copilot atua como uma interface em linguagem natural para todo o seu ecossistema de segurança, incluindo os dados do EASM. Um analista que está tratando um incidente ativo pode fazer ao Copilot perguntas em linguagem conversacional, como: "Mostre todos os endereços IP externos associados à nossa marca principal que têm portas de gerenciamento remoto abertas e alertas recentes de força bruta no Sentinel."

O Copilot sintetiza os dados de postura externa do Defender EASM com a telemetria de ameaças internas, gerando um briefing abrangente do incidente em segundos. Embora os profissionais de segurança humanos continuem no controle—interpretando as descobertas e executando as ações de remediação—o Copilot reduz drasticamente o tempo gasto alternando entre portais administrativos desconexos.

Combinando o EASM com o Microsoft Security Exposure Management

Além das ferramentas tradicionais de SIEM e análise, o Defender EASM desempenha um papel fundamental dentro do Microsoft Security Exposure Management. Enquanto o EASM mostra o que está visível na internet pública, o Security Exposure Management unifica insights de vários workloads—incluindo segurança de nuvem, postura de identidade, conformidade de endpoints e superfícies de ataque externas—em uma única pontuação de segurança unificada e um mecanismo de priorização.

Quando você combina o EASM com ferramentas internas de gerenciamento de postura, suas equipes de segurança podem priorizar a remediação com base no risco real, e não em suposições. Por exemplo, um servidor web exposto descoberto pelo EASM pode ser sinalizado como de alto risco não apenas por estar voltado para o público, mas porque o Defender for Cloud indica que ele tem uma vulnerabilidade crítica sem correção e o Microsoft Entra ID aponta que ele não possui controles adequados de autenticação multifator. Essa visão em múltiplas camadas garante que os esforços de remediação sejam direcionados onde mais importam.

Boas práticas para começar e agir

Integrar o EASM ao restante da sua pilha de segurança é uma estratégia operacional contínua, e não um projeto de implantação pontual. Para garantir o sucesso, siga estas boas práticas acionáveis:

• Comece com sementes confiáveis: Defina o escopo inicial de descoberta usando domínios corporativos principais, marcas oficiais e números ASN verificados. Evite tentar abraçar o mundo logo no primeiro dia.
• Envolva equipes multifuncionais: Ativos externos envolvem marketing, engenharia de nuvem, desenvolvimento e fornecedores externos. Compartilhe os insights do EASM com essas unidades de negócio para atribuir corretamente a propriedade dos ativos.
• Automatize os pipelines de exportação: configure exportações contínuas de dados do Defender EASM para o Log Analytics e o Microsoft Sentinel, para que seus analistas do SOC sempre trabalhem com mapas da superfície de ataque atualizados.
• Estabeleça cadências de revisão: programe revisões operacionais regulares para avaliar novas observações, eliminar falsos positivos ou ativos que não pertencem à organização e transformar as descobertas em tickets de remediação concretos.

Conclusão

A visibilidade é a base de uma defesa eficaz. O Microsoft Defender EASM muda o paradigma de segurança ao permitir que a organização veja sua infraestrutura com os olhos de um atacante externo. No entanto, manter essa inteligência isolada limita seu valor. Ao alimentar os insights do EASM no Microsoft Sentinel, no Log Analytics, no Azure Data Explorer e no Security Copilot, e unificar essas descobertas no Microsoft Security Exposure Management, você cria uma pilha de segurança coesa e inteligente.

Para saber mais sobre os fundamentos da descoberta de ativos externos e como dar seus primeiros passos no mapeamento da sua presença pública, não deixe de ouvir nossa discussão completa no episódio relacionado, Microsoft Defender EASM - Simply Explained. Leve o que você aprendeu hoje, escolha três domínios públicos associados à sua organização e comece a fazer as perguntas difíceis sobre propriedade, finalidade e remediação já hoje.