Microsoft Defender: regra de redução da superfície de ataque para endpoint

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

Fortaleça os endpoints com regras de Redução da Superfície de Ataque. Audite a eficácia das regras ASR usando consultas KQL avançadas para melhorar a detecção e ajustar as exclusões.

Automatically translated with AI from the original post. Read the English original

Auditar as regras de redução da superfície de ataque desempenha um papel fundamental na manutenção da postura de segurança da sua organização. Você pode agilizar esse processo de forma significativa usando KQL avançado. Essa linguagem de consulta poderosa permite analisar os dados com mais eficácia, economizando tempo e aumentando a precisão. Com o KQL avançado, você consegue identificar rapidamente vulnerabilidades e garantir a conformidade com as políticas de segurança. Essa abordagem não apenas amplia suas capacidades de auditoria, como também permite tomar decisões mais embasadas sobre sua estratégia de segurança.

Principais conclusões

• Entenda a estrutura básica das consultas KQL para aprimorar suas habilidades de auditoria.
• Use técnicas de filtragem para focar em regras ASR específicas e nos dados relevantes.
• Una tabelas de dados para combinar informações e obter uma visão abrangente das auditorias ASR.
• Utilize funções como count() e summarize para analisar tendências e padrões com eficácia.
• Estabeleça um cronograma regular de auditoria para manter a conformidade e a postura de segurança.
• Documente detalhadamente suas descobertas para acompanhar o progresso e identificar tendências ao longo do tempo.
• Melhore continuamente seus processos de auditoria analisando os resultados e solicitando feedback.
• Trate proativamente as lacunas nos dados para garantir a confiabilidade das informações de auditoria.

1. Junções entre workspaces são práticas e rápidas — O KQL avançado oferece suporte a junções entre vários workspaces, permitindo que as auditorias ASR correlacionem eventos de endpoint, sinais de ameaça e dados de configuração sem um ETL pesado.
2. Funções aproximadas aceleram consultas em grande escala — Funções como approx_count_distinct e percentile_approx permitem resumir grandes volumes de telemetria ASR com muito menos processamento e respostas quase em tempo real.
3. Operadores de séries temporais revelam tendências sutis — Operadores como make-series, series_fir e series_decompose ajudam a detectar desvios graduais nas regras ASR e exceções de política recorrentes que filtros simples deixam passar.
4. O enriquecimento de entidades é nativo — O KQL pode enriquecer os dados de auditoria ASR com inteligência de ameaças, inventário de dispositivos e atributos de identidade em tempo real, gerando alertas contextualizados sem pipelines de enriquecimento separados.
5. Renderização e visualização reduzem falsos positivos — Usar render timechart, barchart e heatmap diretamente nas consultas ajuda os auditores a identificar rapidamente os acertos anômalos de regras ASR que merecem investigação, separando-os do ruído.
6. Limites de consulta e controles de custo são precisos — O KQL oferece controles em tempo de consulta (como take, limit e row_count_between) e diagnósticos de consulta, para que os auditores limitem o uso de recursos e ainda extraiam insights ASR acionáveis.
7. Detecção avançada de padrões com regex e sequence — Combinar regex, mv-expand e o operador sequence permite identificar padrões de ataque complexos e em várias etapas nos logs ASR que a simples contagem de eventos deixaria passar.

Configurando o ambiente KQL avançado

Pré-requisitos do KQL

Antes de se aprofundar no KQL avançado, você precisa atender a alguns pré-requisitos. Primeiro, garanta acesso ao Microsoft Defender, pois ele fornece os dados necessários para suas consultas. Familiaridade com conceitos básicos de programação também ajudará a entender melhor o KQL. Veja a seguir os principais pré-requisitos:

• Acesso ao Microsoft Defender: Essa ferramenta é essencial para coletar dados de segurança.
• Noções básicas de consultas de dados: Saber ler e escrever consultas simples tornará seu aprendizado mais fluido.
• Familiaridade com conceitos de segurança: Entender termos como vulnerabilidades e conformidade aprimorará sua capacidade de auditar com eficácia.

Ferramentas para KQL

Para trabalhar com KQL de forma eficiente, você precisa das ferramentas certas. Veja algumas recomendadas que podem ajudar você a começar:

• Kusto Query Explorer: Trata-se de uma ferramenta web que permite escrever e testar suas consultas KQL em tempo real.
• Azure Data Explorer: Essa plataforma oferece um ambiente robusto para executar consultas KQL em grandes conjuntos de dados.
• Portal do Microsoft Defender: Use este portal para acessar dados e insights de segurança, que você pode analisar usando KQL.

Configurando o seu ambiente

Configurar o ambiente corretamente é fundamental para o desempenho ideal do KQL. Siga estas etapas para preparar o seu ambiente de forma eficaz:

1. Instale as ferramentas necessárias: Comece instalando o Kusto Query Explorer e certifique-se de ter acesso ao Microsoft Defender.
2. Configure as fontes de dados: Conecte suas ferramentas às fontes de dados relevantes. Essa conexão permite trazer os dados necessários para suas consultas.
3. Otimize o desempenho das consultas: Use a função materialize para acelerar a consulta, armazenando em cache os resultados intermediários. A ordem dos operadores em uma consulta KQL influencia significativamente tanto a saída quanto o desempenho. Por isso, estruture suas consultas com cuidado para obter os melhores resultados.

Seguindo estas etapas, você criará uma base sólida para usar o KQL avançado nas suas auditorias de ASR. Essa configuração não só vai simplificar seu processo de auditoria, como também melhorar a precisão dos seus achados.

Consultas KQL para auditorias de ASR

Estrutura básica de uma consulta

Ao começar a escrever consultas KQL para auditorias de ASR, entender a estrutura básica é essencial. Uma consulta KQL normalmente é composta por vários componentes que trabalham juntos para recuperar os dados desejados. Estes são os principais componentes de uma consulta KQL:

• Nome da tabela: Especifica a fonte de dados que você quer consultar. Para auditorias de ASR, você pode usar tabelas como DeviceEvents ou AlertEvidence.
• Operadores: São comandos que executam ações sobre os dados. Operadores comuns incluem where, project e summarize.
• Filtros: Você pode aplicar filtros para restringir os resultados. Por exemplo, você pode filtrar por data ou por regras específicas de ASR.
• Funções: Funções permitem manipular dados. Você pode usá-las para contar ocorrências ou calcular médias.

O recurso de Advanced Hunting do Microsoft Defender for Endpoint permite realizar análises detalhadas das regras de ASR por meio de consultas KQL personalizadas. Essas consultas podem fornecer insights sobre as detecções das regras, os dispositivos afetados e os impactos nos aplicativos.

Componentes de uma consulta KQL

Aqui está um exemplo simples da estrutura de uma consulta KQL:

DeviceEvents
| where ActionType == "ASRRuleTriggered"
| project DeviceName, Timestamp, ActionType

Neste exemplo, você consulta a tabela DeviceEvents, filtra os eventos em que o tipo de ação é "ASRRuleTriggered" e projeta apenas o nome do dispositivo, o carimbo de data/hora e o tipo de ação.

Funções comuns no KQL

O KQL inclui várias funções que ampliam suas capacidades de consulta. Estas são algumas funções comuns que você deve conhecer:

• count(): Esta função conta o número de registros que atendem aos seus critérios.
• distinct(): Use esta função para retornar valores exclusivos de uma coluna especificada.
• summarize: Esta função agrega dados com base em critérios especificados, permitindo analisar tendências ao longo do tempo.

Técnicas avançadas de consulta

Depois de dominar o básico, você pode explorar técnicas avançadas de KQL para extrair informações mais detalhadas dos dados de auditoria de ASR. Essas técnicas podem ajudar você a obter insights mais profundos sobre a sua postura de segurança.

Filtrando dados de ASR

A filtragem é fundamental quando você quer focar em aspectos específicos dos seus dados de ASR. Você pode usar várias condições na cláusula where para refinar os resultados. Por exemplo:

DeviceEvents
| where ActionType == "ASRRuleTriggered" and Timestamp > ago(30d)
| summarize Count = count() by DeviceName

Esta consulta filtra as ativações de regras de ASR dos últimos 30 dias e resume a contagem de ativações por nome de dispositivo.

Unindo tabelas de dados

Unir tabelas de dados permite combinar informações de diferentes fontes, oferecendo uma visão mais abrangente das suas auditorias de ASR. Você pode usar o operador join para mesclar tabelas com base em um campo comum. Aqui está um exemplo:

DeviceEvents
| join kind=inner (Alerts) on DeviceId
| where ActionType == "ASRRuleTriggered"
| project DeviceName, AlertSeverity, Timestamp

Nesta consulta, você une a tabela DeviceEvents com a tabela Alerts pelo campo DeviceId. Isso permite ver quais alertas correspondem às ativações de regras de ASR.

Ao dominar essas técnicas básicas e avançadas de KQL, você poderá aprimorar significativamente suas capacidades de auditoria de ASR. Você será capaz de extrair insights relevantes e tomar decisões embasadas sobre as medidas de segurança da sua organização.

Interpretando os resultados da auditoria de ASR

Entendendo os formatos de saída

Ao executar consultas KQL, os formatos de saída podem variar de acordo com os dados consultados. Entender esses formatos ajuda você a extrair insights acionáveis das suas auditorias de ASR. Aqui estão alguns aspectos principais a considerar:

• O portal do Microsoft Defender fornece relatórios detalhados sobre as atividades detectadas. Você pode acompanhar a eficácia das regras de redução da superfície de ataque por meio desses relatórios.
• Alertas são gerados quando as regras são acionadas, dando a você visibilidade imediata de possíveis ameaças.
• Você pode consultar o Log de Eventos do Windows. Especificamente, filtre pelo ID de Evento 1121 no log Microsoft-Windows-Windows Defender/Operational para identificar aplicativos que teriam sido bloqueados pelas regras de ASR.

Analisando os resultados de ASR

Analisar os resultados da sua auditoria de ASR é fundamental para medir a eficácia das suas medidas de segurança. Veja como você pode conduzir uma análise completa:

1. Use o modo de auditoria para obter insights sobre as políticas de ASR.
2. Acesse o portal do Microsoft Defender e navegue até 'Relatórios'.
3. Em 'Endpoints', selecione 'Regras de redução da superfície de ataque'.
4. Filtre as regras para visualizar as métricas, escolhendo 'Todas' para obter dados abrangentes.
5. Analise as 'Detecções auditadas' para avaliar a necessidade das ações que teriam sido bloqueadas.
6. Revise periodicamente as tendências e as configurações para garantir que os dispositivos estejam configurados corretamente.
7. Use a página 'Adicionar exclusões' para gerenciar ocorrências específicas das regras de ASR.

Seguindo esses passos, você poderá analisar de forma eficaz os resultados da auditoria e refinar suas estratégias de segurança.

Identificando lacunas de segurança

Identificar lacunas de segurança é uma parte crítica do seu processo de auditoria de ASR. Você pode usar os insights obtidos com suas consultas KQL para localizar vulnerabilidades na sua postura de segurança. Veja algumas estratégias para ajudar a identificar essas lacunas:

• Procure padrões nos dados. Por exemplo, se determinados dispositivos acionam as regras de ASR com frequência, eles podem exigir medidas de segurança adicionais.
• Compare os resultados das suas auditorias de ASR ao longo do tempo. Essa comparação pode revelar se a sua postura de segurança está melhorando ou piorando.
• Use consultas KQL avançadas para aprofundar a análise de incidentes específicos. Por exemplo, você pode executar uma consulta como DeviceEvents | where ActionType startswith 'Asr' para obter insights para o refinamento de políticas.

Ao identificar ativamente as lacunas de segurança, você pode tomar medidas proativas para fortalecer a segurança da sua organização e reduzir o risco de possíveis ameaças.

Melhores práticas para auditorias de ASR

Cronogramas regulares de auditoria

Estabelecer um cronograma regular de auditoria é fundamental para manter a eficácia das regras de redução da superfície de ataque. Você deve realizar auditorias pelo menos trimestralmente. Essa frequência permite que você se mantenha atualizado sobre quaisquer mudanças no seu cenário de segurança. Veja algumas dicas para configurar seu cronograma de auditoria:

• Defina datas específicas: Escolha dias específicos em cada trimestre para realizar suas auditorias. Essa consistência ajuda você a lembrar e priorizar a tarefa.
• Envolva sua equipe: Inclua sua equipe de segurança no processo de agendamento. A opinião deles pode ajudar a identificar os melhores momentos para as auditorias, considerando a carga de trabalho e outros compromissos.
• Use lembretes automáticos: Aproveite as ferramentas de calendário para configurar lembretes para as próximas auditorias. A automação reduz as chances de você perder uma auditoria.

Documentando os achados

Documentar os achados durante as auditorias é essencial para acompanhar o progresso e identificar tendências. Você deve criar um formato estruturado para a documentação. Considere incluir os seguintes elementos:

• Data da auditoria: Registre quando a auditoria foi realizada.
• Resumo dos achados: Resuma os principais achados, incluindo quaisquer regras de redução da superfície de ataque acionadas.
• Recomendações: Forneça recomendações acionáveis com base nos seus achados. Essa etapa garante que você trate prontamente quaisquer problemas identificados.
• Ações de acompanhamento: Liste as ações de acompanhamento necessárias e atribua responsabilidades aos membros da equipe.

Ao manter uma documentação completa, você cria um recurso valioso para auditorias futuras. Esse recurso pode ajudar a comparar resultados ao longo do tempo e a refinar suas estratégias de segurança.

Estratégias de melhoria contínua

A melhoria contínua é fundamental para auditorias eficazes. Você deve revisar regularmente seus processos de auditoria e fazer ajustes sempre que necessário. Veja algumas estratégias para aprimorar suas auditorias de ASR:

1. Analise tendências: Procure padrões nos resultados das auditorias. Identificar problemas recorrentes pode ajudar você a concentrar esforços nas áreas que precisam de melhorias.
2. Solicite feedback: Incentive sua equipe a dar feedback sobre o processo de auditoria. As percepções dela podem levar a melhorias valiosas.
3. Mantenha-se informado: Acompanhe os desenvolvimentos mais recentes em práticas de segurança e auditoria. Participe de webinars, leia artigos e participe de fóruns para aprender com outros profissionais da área.
4. Teste novas abordagens: Não hesite em experimentar novas técnicas ou ferramentas de auditoria. Testar métodos diferentes pode revelar formas mais eficientes de conduzir auditorias.

Ao implementar essas melhores práticas, você pode aprimorar suas auditorias de ASR e fortalecer sua postura de segurança como um todo. Auditorias regulares, documentação completa e um compromisso com a melhoria contínua vão ajudar você a se manter à frente de possíveis ameaças.

Desafios comuns em auditorias com KQL

Solução de problemas em consultas KQL

Ao trabalhar com KQL, você pode encontrar problemas que atrapalham seu andamento. Solucionar esses problemas nas consultas é essencial para auditorias eficazes. Veja alguns problemas comuns e suas soluções:

• Erros de sintaxe: Verifique se há erros de digitação ou sintaxe incorreta. O KQL é sensível à formatação. Garanta o uso dos operadores e funções corretos.
• Incompatibilidade de tipos de dados: Certifique-se de que os tipos de dados nas suas consultas correspondam aos tipos esperados no banco de dados. Por exemplo, comparar uma string com um número causará erros.
• Problemas de desempenho: Se suas consultas estiverem lentas, considere otimizá-las. Use a função summarize para reduzir a quantidade de dados processados. Além disso, filtre os dados o mais cedo possível na consulta.

Dica: Sempre teste suas consultas em partes menores. Essa abordagem ajuda a isolar problemas com mais eficácia.

Lidando com lacunas nos dados

Lacunas nos dados podem representar desafios significativos durante as auditorias. Dados ausentes ou incompletos podem levar a conclusões imprecisas. Veja algumas estratégias para lidar com essas lacunas:

1. Verificações regulares dos dados: Agende verificações regulares nas suas fontes de dados. Garanta que todos os feeds de dados relevantes estejam funcionando corretamente.
2. Uso de alertas: Configure alertas para pontos de dados críticos. Isso permite responder rapidamente caso os dados fiquem indisponíveis.
3. Verificação cruzada: Compare os dados da sua auditoria com outras fontes. Essa prática ajuda a identificar divergências e a preencher informações ausentes.

Ao tratar proativamente as lacunas nos dados, você aumenta a confiabilidade dos dados da auditoria. Essa confiabilidade é crucial para tomar decisões de segurança bem fundamentadas.

Garantindo a conformidade com as regras de ASR

Garantir a conformidade com as regras de ASR é fundamental para manter a postura de segurança da sua organização. Veja as etapas que você pode seguir para garantir a conformidade:

• Auditorias regulares: Realize auditorias com frequência para verificar se as regras de ASR estão sendo aplicadas corretamente. Verificações regulares ajudam a identificar qualquer desvio de conformidade.
• Documentação: Mantenha registros detalhados das suas auditorias. Documentar os achados e as ações tomadas garante responsabilização e serve de referência para auditorias futuras.
• Treinamento: Forneça treinamento para sua equipe sobre as regras de ASR e o uso de KQL. Uma equipe bem informada está mais preparada para manter a conformidade e responder a ameaças de segurança.

Ao focar nessas áreas, você fortalece seus esforços de conformidade e aprimora sua estratégia de segurança como um todo.

Em resumo, usar o KQL avançado nas auditorias de ASR aumenta significativamente a eficácia do seu processo de auditoria de segurança. Você consegue simplificar a análise e identificar vulnerabilidades com mais precisão. Veja a seguir as principais conclusões:

Aplique essas técnicas para melhorar continuamente seus processos de auditoria. Mantenha-se proativo no aprimoramento das suas medidas de segurança. A segurança da sua organização depende disso! 🔒

Perguntas frequentes

O que é Advanced KQL?

Advanced KQL (Kusto Query Language) é uma linguagem de consulta poderosa usada para analisar grandes volumes de dados no Microsoft Defender. Ela ajuda você a extrair insights dos dados de segurança de forma eficiente.

Como começo a usar o KQL?

Comece acessando o Microsoft Defender e se familiarizando com o Kusto Query Explorer. Pratique a escrita de consultas simples para desenvolver seu entendimento da linguagem.

Posso automatizar consultas KQL?

Sim, você pode automatizar consultas KQL usando o Azure Logic Apps ou o Power Automate. Essas ferramentas permitem agendar consultas e receber alertas com base em condições específicas.

Quais são os erros comuns no KQL?

Os erros comuns incluem erros de sintaxe, incompatibilidades de tipos de dados e problemas de desempenho. Sempre verifique a estrutura da sua consulta e certifique-se de que os tipos de dados correspondam ao que você espera.

Com que frequência devo auditar as regras de ASR?

Você deve realizar auditorias de ASR pelo menos trimestralmente. Auditorias regulares ajudam você a manter-se informado sobre a sua postura de segurança e a garantir a conformidade com as regras de ASR.

Quais ferramentas oferecem suporte ao KQL?

As principais ferramentas para KQL são o Kusto Query Explorer, o Azure Data Explorer e o portal do Microsoft Defender. Essas ferramentas fornecem ambientes para escrever e testar suas consultas.

Como posso melhorar minhas habilidades em KQL?

Para melhorar suas habilidades em KQL, pratique regularmente, participe de sessões de treinamento e de fóruns online. O engajamento com a comunidade pode trazer insights e dicas valiosas.

Usando advanced hunting e defender: advanced kql para auditorias de ASR

O que é "advanced KQL para auditorias de ASR" e como ele se encaixa no advanced hunting?

Advanced KQL para auditorias de ASR se refere a consultas em Kusto Query Language criadas para revelar informações detalhadas sobre as regras de Attack Surface Reduction (ASR) e seus eventos de auditoria. No advanced hunting do Defender e no advanced hunting do Microsoft 365 Defender, essas consultas ajudam as equipes de threat hunting e os operadores de segurança a identificar dispositivos com regras em modo de auditoria, listas de dispositivos afetados, implantações de políticas via Intune e possível atividade maliciosa sinalizada pelo Microsoft Defender for Endpoint.

Como verifico se as regras de ASR estão em modo de auditoria usando consultas de hunting?

Use as consultas de advanced hunting do Defender para obter relatórios de regras e eventos de auditoria que mostram as regras habilitadas e o modo (auditoria ou bloqueio). Um KQL típico que revela informações detalhadas une os relatórios de regras de ASR com as tabelas de dispositivos e eventos para confirmar as regras em auditoria, exibir os eventos das regras nos últimos 30 dias e oferecer diferentes formas de verificar os resultados da auditoria, incluindo a validação cruzada com as políticas do Intune e a telemetria do Microsoft Defender XDR.

Posso criar detecção personalizada para eventos de ASR com o Microsoft 365 Defender?

Sim, você pode criar detecções personalizadas e regras de detecção no Microsoft 365 Defender usando consultas de advanced hunting. KQL que revela informações detalhadas sobre vetores de ataque e atividades de malware permite implementar detecção personalizada para gerar alertas sobre eventos repetidos de regras, exclusões ou eventos de auditoria suspeitos que a Microsoft recomenda monitorar. Depois, você pode transformar essas detecções em relatórios de regras ou em playbooks de resposta automatizada.

Como reporto a atividade de ASR e gero relatórios de regras de ASR para conformidade?

Gere o relatório de regras de redução da superfície de ataque e os relatórios de regras de ASR consultando as regras de detecção e as tabelas do advanced hunting do Defender, exportando os eventos dos últimos 30 dias ou de intervalos de tempo personalizados. Use a API ou os recursos de relatórios de regras integrados no Microsoft 365 para criar painéis que mostrem regras habilitadas, regras em modo de auditoria, quantidade de dispositivos afetados e tendências úteis para otimizar o ASR e gerenciar a implantação das regras de ASR no Intune e em dispositivos locais.

Quais são as formas mais comuns de verificar a auditoria e otimizar as regras de ASR com base nos resultados das consultas?

Diferentes formas de verificar a auditoria incluem revisar eventos de auditoria, comparar regras de auditoria entre dispositivos, verificar políticas e o status de implantação no Intune e fazer caça a ameaças com consultas de caça avançada para garantir que o modo de auditoria não esteja deixando passar comportamentos maliciosos. Use as descobertas para decidir entre auditoria ou bloqueio, adicione exclusões quando necessário e otimize as regras ASR ajustando as regras de proteção padrão ou implementando regras de detecção adicionais.

Como posso fazer caça a ameaças com KQL avançado no Defender XDR e no Microsoft Sentinel?

Escreva consultas de caça avançada que alternem entre o Defender para Endpoint, os dados do Microsoft Defender XDR e os logs do Microsoft Sentinel. Correlacione eventos de auditoria ASR com telemetria de endpoint, detecções de malware e indicadores de rede para identificar padrões suspeitos. Essa abordagem permite fazer caça a ameaças e ajuda a determinar se os eventos de auditoria correspondem a software legítimo, se exigem exclusões ou se indicam tentativas reais de ataque que precisam de correção imediata.

O que devo incluir nas consultas para identificar os dispositivos afetados e os detalhes específicos de cada regra?

Inclua campos como DeviceId, DeviceName, Timestamp, ActionType, RuleId, RuleName e DetectionSource no seu KQL. Faça a junção dos relatórios de regras ASR ou dos eventos de regras com o inventário de dispositivos e as tabelas de registro do Intune para mostrar listas de dispositivos afetados, regras habilitadas por dispositivo e se uma regra está no modo de auditoria ou de bloqueio. Um KQL que apresenta informações detalhadas facilita a priorização da correção e a atualização dos relatórios de regras.

Com que frequência devo executar consultas de caça avançada e até que ponto no passado devo consultar (por exemplo, 30 dias)?

Execute as consultas de caça continuamente ou em uma agenda adequada ao seu modelo de ameaças. Uma referência comum é analisar os últimos 30 dias para identificar tendências e eventos recorrentes. Use consultas agendadas no Microsoft 365 Defender ou na API para automatizar os relatórios de regras e ajuste as janelas de tempo conforme as necessidades de resposta a incidentes ou ao testar regras em modo de auditoria, para garantir telemetria suficiente antes de mudar para o modo de bloqueio.

Como as exclusões e o modo de bloqueio afetam as auditorias ASR e o que as consultas precisam considerar?

Exclusões e o modo de bloqueio alteram o comportamento do ASR: as exclusões suprimem alertas de aplicativos legítimos conhecidos, enquanto o modo de bloqueio aplica a prevenção. As consultas de caça devem considerar as exclusões filtrando ou sinalizando os processos excluídos e incluir campos que indiquem a origem da política (Intune, política local). Isso ajuda a garantir que os eventos de auditoria sejam interpretados corretamente e que a passagem do modo de auditoria para o de bloqueio não interrompa inesperadamente aplicativos essenciais para o negócio.

Onde posso aprender mais sobre KQL e como criar consultas de caça avançada eficazes para ASR?

Comece pelos módulos do Microsoft Learn sobre caça avançada no Defender e caça avançada no Microsoft 365 Defender e, em seguida, pratique a criação de KQL que apresente informações detalhadas usando conjuntos de dados de exemplo e eventos reais de regras ASR. Combine recursos da documentação do Microsoft Defender para Endpoint, das orientações do Microsoft Defender sobre redução da superfície de ataque e consultas de caça da comunidade para ampliar suas habilidades em caça a ameaças, relatórios de regras e gerenciamento eficaz das regras ASR.

O que devo fazer se encontrar lacunas nos dados?

Se você identificar lacunas nos dados, faça verificações regulares nas suas fontes de dados. Configure alertas para os pontos de dados críticos, para responder rapidamente quando os dados ficarem indisponíveis.