Como montar uma linha do tempo de incidentes de segurança cibernética com o Defender e logs de auditoria

Neste guia, detalhamos os diferentes métodos para reconstruir uma linha do tempo de incidentes de segurança cibernética com dados do Microsoft Defender for Endpoint, dos logs de auditoria do Microsoft 365 e da telemetria de sistema. Incluímos consultas em PowerShell, auditoria de registro e GPO, além de técnicas de verificação via CMD para apoiar a análise e o relatório de incidentes.

Talvez pergunte por que isso importa. Em resumo: quando um incidente de segurança acontece, a prioridade não é só a limpeza (embora ela seja importante), mas também entender o que realmente aconteceu para evitar que se repita. Uma linha do tempo clara mostra:

• Causa raiz e janela de exposição: onde o incidente de segurança começou e por quanto tempo os agentes de ameaças tiveram acesso
• Evidências de conformidade: muitas regulamentações (como GDPR e HIPAA) exigem comprovação de quando e como a violação ocorreu.
• Apoio jurídico ou de seguro: uma documentação adequada fortalece sinistros e investigações.
• Validação operacional: ajuda a enxergar o que funcionou (ou não) nas suas defesas

💡 Observação: pense nisso como montar a investigação de uma cena de crime, só que com Defender for Endpoint, logs de auditoria do Microsoft 365 e telemetria de sistema como evidências.

📌 Estratégias de implantação recomendadas:

💡Observação: esses métodos não são formas separadas de fazer a mesma coisa. Cada um destaca uma fonte de dados ou técnica diferente — mas também não formam um passo a passo. Alguns MSPs usam só certas fontes, conforme o ambiente. Recomendamos aplicar apenas os métodos que fazem sentido para o seu.

Como criar uma linha do tempo detalhada de incidentes de segurança

Método 1: revisão de incidentes no Defender Security Center

O Defender Security Center é o ponto de partida de qualquer investigação. Ele agrupa alertas em incidentes que mostram como as ameaças se desenrolaram.

📌 Casos de uso: este é o ponto inicial de detecção e ajuda a identificar um incidente rapidamente.

📌 Pré-requisitos:

• O dispositivo precisa estar integrado ao Microsoft Defender for Endpoint.
• Permissões de segurança para visualizar incidentes no portal.

Passos:

1. Acesse o Microsoft 365 Security Center. Se usa um software de gerenciamento de endpoints, pode acessá-lo direto pela plataforma.
2. Selecione o incidente desejado.
3. Revise:
   • o registro de data e hora da detecção
   • o nome do dispositivo e o contexto do usuário
   • a classificação e a origem da ameaça
   • movimentação lateral ou sistemas afetados
4. Abra a guia Busca Avançada para explorar atividades correlacionadas.
5. Exporte as descobertas em CSV ou PDF para o relatório da linha do tempo.

Método 2: logs de auditoria do Microsoft 365 (Centro de Conformidade/PowerShell)

Os logs de auditoria dão visibilidade sobre o que usuários (ou invasores) fizeram nos recursos do Microsoft 365.

📌 Casos de uso: este método permite rastrear logins suspeitos, acesso a arquivos ou atividade em caixas de correio. Também serve para seguir escalonamentos de privilégio (mudanças de função, atividade administrativa).

📌 Pré-requisitos:

• Log de auditoria unificado ativado no Microsoft 365
• Permissões de função para acessar o Microsoft Purview Audit.

Passos:

1. Acesse o portal de pesquisa de log de auditoria. Normalmente dá para chegar nele pelo seu gerenciador de endpoints, caso use um.
2. Pesquise por:
   • e-mail do usuário ou ID do objeto
   • período do incidente
   • atividades: FileAccessed, MailboxLogin, RoleAssignmentChange etc.
3. Equivalente em PowerShell:

Connect-IPPSSession

Search-UnifiedAuditLog -StartDate "2025-07-01T00:00" -
EndDate "2025-07-01T23:59" -UserIds "[email protected]"

4. Exporte os resultados e ordene cronologicamente.

Método 3: consultas em PowerShell (API do Defender + logs locais)

Com o PowerShell dá para combinar a telemetria do Defender na nuvem com os logs locais dos endpoints e obter uma correlação mais profunda.

📌 Casos de uso: este método ajuda a extrair eventos de segurança da API do Defender para automação.

📌 Pré-requisitos:

• PowerShell 5.1+ e módulo Graph instalado
• Permissões para consultar a API do Defender (SecurityEvents.Real.All)
• Direitos de administrador local no endpoint
• Precisa relembrar o básico? Inscreva-se neste curso intensivo gratuito, PowerShell for IT Ninjas.

Passos:

1. Abra o PowerShell.
2. Execute estes comandos, conforme a necessidade:

• Busca no Defender via API do Graph:

Connect-MgGraph -Scopes "SecurityEvents.Read.All"

Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/security/alerts" |

ConvertFrom-Json | Select-Object id, createdDateTime, title, severity, status

• Logs locais do Defender:

Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |

Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-24) } |

Select TimeCreated, Message

💡 Dica: use isso para correlacionar a telemetria dos endpoints com ameaças detectadas na nuvem.

Método 4: logs de eventos do dispositivo via CMD/Visualizador de Eventos

Os logs de eventos locais ajudam a aprofundar a análise de logons, atividade do sistema e execução de scripts que podem não aparecer no Defender ou no M365.

📌 Casos de uso: este método permite ver panes, reinicializações ou desligamentos do sistema durante a janela do ataque. Também dá para revisar a execução de scripts do PowerShell como possível vetor de ataque.

📌 Pré-requisitos:

• Direitos de administrador local nas máquinas afetadas
• Registro de logs de segurança e do PowerShell ativado

Passos:

1. Abra o Prompt de Comando como administrador.
2. Execute estes comandos na ordem.

• Eventos de logon de conta (IDs de evento 4624 (logon de conta bem-sucedido), 4625 (falha de logon de conta), 4648 (tentativa de logon com credenciais explícitas)):

wevtutil qe Security "/q:*[System[(EventID=4624 or EventID=4625 or EventID=4648)]]" /c:10 /f:text

• Eventos de sistema (inicialização/desligamento/erros):

wevtutil qe System /c:10 /f:text

• Atividade do PowerShell:

wevtutil qe "Microsoft-Windows-PowerShell/Operational" /c:20 /f:text

Método 5: verificações de registro em busca de tentativas de persistência

Invasores costumam alterar chaves do Registro para que suas ferramentas rodem automaticamente após uma reinicialização.

📌 Casos de uso: este método detecta programas de inicialização não autorizados e identifica adulterações no Registro.

📌 Pré-requisitos:

• Auditoria do Registro ativada (via GPO ou política de segurança)
• Registro de eventos configurado para alterações no Registro.

Passos:

1. Pressione Win + R, digite regedit e pressione Enter.
2. Verifique os caminhos comuns de persistência:

1. 1. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Isso afeta todos os usuários do sistema. Um malware aqui será iniciado em toda conta que fizer logon.

1. 2. HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Isso afeta apenas o usuário atual. A persistência fica presa a um único perfil comprometido.

💡 Agentes de ameaças às vezes preferem o HKCU porque é mais discreto e não exige direitos de administrador. Por isso, a boa prática é verificar os dois caminhos.

3. Procure o ID de evento 4657 nos logs de segurança (modificação de valor do Registro).
4. Cruze as entradas suspeitas com a atividade dos logs de auditoria do Defender ou do M365.

Método 6: Política de Grupo para auditoria avançada

📌 Casos de uso: isso garante que os logs críticos existam para incidentes futuros. Também serve para reforçar a cobertura em servidores e estações de trabalho de alto valor (perfeito para relatórios de conformidade!).

📌 Pré-requisitos:

• Direitos de gerenciamento de GPO
• Ambiente de domínio (recomendado, mas a política local também funciona)

Passos:

1. Pressione Win + R, digite gpedit.msc e pressione Enter.
2. Acesse: Configuração do Computador > Configurações do Windows > Configurações de Segurança > Configuração de Diretiva de Auditoria Avançada > Diretivas de Auditoria
3. Ative:
   • Auditar eventos de logon
   • Auditar acesso a objetos
   • Auditar rastreamento de processos
   • Auditar alteração de diretivas
4. Aplique as políticas aos principais servidores e estações de trabalho.

⚠️ Pontos de atenção

Outras considerações ao criar um log de auditoria do Office 365

• Retenção de logs: garanta a retenção por pelo menos 90 a 180 dias (conforme as exigências de conformidade).
• Integração com SIEM: considere centralizar todos os logs em um SIEM para correlação.
• Sincronização de horário: garanta que todos os sistemas estejam sincronizados via NTP (w32tm /query /status) para evitar inconsistências na linha do tempo.
• Documentação: mantenha um modelo padrão de linha do tempo para incidentes.

Solução de problemas comuns

1. Logs ausentes: o registro de logs não estava ativado ou os logs foram sobrescritos.
   • Como resolver: confira a auditoria na GPO, aumente o tamanho do log ou centralize os logs em um SIEM.
2. Sem dados do Defender: dispositivo não integrado ou excluído da proteção
   • Como resolver: verifique o onboarding no Security Center e revise as políticas de exclusão.
3. Erros no log de auditoria (M365): log de auditoria unificado desativado ou licença que limita a retenção
   • Como resolver: ative o log de auditoria no Purview e confira sua licença (E5 = retenção de 1 ano, não E5 = 180 dias).
4. Divergências de horário: sistemas fora de sincronia, gerando lacunas na linha do tempo
   • Como resolver: execute w32tm /query /status e configure a sincronização NTP em todos os sistemas.
5. Problemas de exportação/importação: as exportações em CSV não ordenam corretamente.
   • Como resolver: exporte de novo via PowerShell e ordene por TimeCreated ou CreationDate.
6. Ruído demais: o volume alto de eventos esconde os indicadores reais.
   • Como resolver: use filtros (IDs de evento, filtros de usuário, consultas KQL) para restringir os resultados.

Serviços NinjaOne

NinjaOne, a plataforma automatizada de gerenciamento de endpoints, ajuda a montar uma linha do tempo de incidentes de segurança cibernética mais detalhada. Veja como:

• Coleta centralizada de logs: NinjaOne permite coletar logs de Eventos do Windows, do Defender Operational e do PowerShell em escala e de forma agendada, para que as evidências não se percam.
• Orquestração de PowerShell de um para muitos: execute scripts parametrizados em dispositivos/tenants selecionados e capture resultados em JSON/CSV/texto. As saídas podem ser anexadas a tickets, arquivadas ou enviadas por webhooks para análise imediata.
• Pacotes de evidências automatizados: dispare playbooks que capturam IDs de evento importantes, detecções do Defender, autoruns no registro e o status de sincronização de horário em uma única passagem.
• Detecção e alertas de alto sinal: gere alertas para eventos 4625 repetidos, detecções do Defender, ocorrências de ScriptBlock ou alterações no registro coletadas por scripts.
• Automação de resposta segura: ações em script podem remover autoruns maliciosos, encerrar processos, isolar um host ou rotacionar credenciais locais com verificações prévias.
• Melhor registro de logs por política: aplique tamanhos de log maiores, registro de ScriptBlock/Transcription e categorias de auditoria avançada por meio de implantações em script.
• Escala entre tenants para MSPs: reaproveite as mesmas coletas, alertas e playbooks em todos os clientes com tags e grupos de dispositivos delimitados.
• Contexto de ativos e exposição: vá de um alerta até detalhes de inventário, como versão do sistema operacional, idade dos patches e softwares presentes.
• Marcação, relatórios e exportações de incidentes: marque dispositivos, tickets e artefatos com um ID de incidente e exporte pacotes de evidências (CSV/JSON/ZIP).
• Integrações e governança: use webhooks/APIs para enviar e receber dados de SIEMs, ITSM e ferramentas de chat; enriqueça as linhas do tempo com consultas ao Graph/Defender via script.

Proteja seu ambiente com um log de auditoria detalhado do Microsoft 365

Reconstruir uma linha do tempo de incidentes de segurança cibernética não é uma ação isolada. Exige combinar evidências de incidentes do Defender, atividade de auditoria do Microsoft 365 e telemetria dos endpoints.

Listamos seis métodos para testar, mas vale reforçar: essas estratégias não são totalmente independentes entre si. Use o método certo para a sua necessidade e consulte a tabela de estratégias de implantação recomendadas para mais informações.

Temas relacionados:

• O que é resposta a incidentes?
• O que é segurança cibernética?
• Entenda o Windows Defender Application Control (WDAC)
• 12 tipos mais comuns de ataques cibernéticos: como identificar e evitar