Construindo SIEM na Nuvem com Sentinel

Quando Usar

• Ao estabelecer um centro de operações de segurança centralizado para ambientes multinuvem
• Ao migrar de plataformas SIEM legadas (Splunk, QRadar) para arquitetura nativa da nuvem
• Ao construir fluxos de trabalho automatizados de resposta a incidentes para ameaças específicas da nuvem
• Ao realizar caça a ameaças em larga escala em petabytes de telemetria de segurança
• Ao integrar feeds de inteligência de ameaças com análise de logs de segurança na nuvem

Não use para ambientes apenas AWS onde Security Hub e GuardDuty são suficientes, para detecção de endpoints que exigem recursos de EDR (use Defender for Endpoint), ou para monitoramento de postura de conformidade (veja building-cloud-security-posture-management).

Pré-requisitos

• Assinatura do Azure com Microsoft Sentinel habilitado em um workspace do Log Analytics
• Permissões de conector de dados para fontes de log de destino (AWS CloudTrail, Azure Activity, GCP)
• Logic Apps ou Azure Functions para playbooks de resposta automatizados
• Proficiência em KQL (Kusto Query Language) para escrever regras de detecção e consultas de hunting

Fluxo de Trabalho

Etapa 1: Provisionar Workspace Sentinel e Conectores de Dados

Crie um workspace do Log Analytics otimizado para dados de segurança e habilite conectores de dados para ingestão multinuvem.

# Create Log Analytics workspace
az monitor log-analytics workspace create \
  --resource-group security-rg \
  --workspace-name sentinel-workspace \
  --location eastus \
  --retention-time 365 \
  --sku PerGB2018

# Enable Microsoft Sentinel on the workspace
az sentinel onboarding-state create \
  --resource-group security-rg \
  --workspace-name sentinel-workspace

# Enable AWS CloudTrail connector
az sentinel data-connector create \
  --resource-group security-rg \
  --workspace-name sentinel-workspace \
  --data-connector-id aws-cloudtrail \
  --kind AmazonWebServicesCloudTrail \
  --aws-cloud-trail-data-connector '{
    "awsRoleArn": "arn:aws:iam::123456789012:role/SentinelCloudTrailRole",
    "dataTypes": {"logs": {"state": "Enabled"}}
  }'

# Enable Azure AD sign-in and audit logs
az sentinel data-connector create \
  --resource-group security-rg \
  --workspace-name sentinel-workspace \
  --data-connector-id azure-ad \
  --kind AzureActiveDirectory \
  --azure-active-directory '{
    "dataTypes": {
      "alerts": {"state": "Enabled"},
      "signinLogs": {"state": "Enabled"},
      "auditLogs": {"state": "Enabled"}
    }
  }'

Etapa 2: Escrever Regras de Detecção KQL

Crie regras de análise usando Kusto Query Language para detectar ameaças específicas da nuvem. Mapeie cada regra para técnicas do MITRE ATT&CK.

// Detect impossible travel - sign-ins from geographically distant locations
let timeframe = 1h;
let distance_threshold = 500; // km
SigninLogs
| where TimeGenerated > ago(timeframe)
| where ResultType == 0 // Successful sign-ins only
| project TimeGenerated, UserPrincipalName, IPAddress, Location,
          Latitude = toreal(LocationDetails.geoCoordinates.latitude),
          Longitude = toreal(LocationDetails.geoCoordinates.longitude)
| sort by UserPrincipalName asc, TimeGenerated asc
| extend PrevLatitude = prev(Latitude, 1), PrevLongitude = prev(Longitude, 1),
         PrevTime = prev(TimeGenerated, 1), PrevUser = prev(UserPrincipalName, 1)
| where UserPrincipalName == PrevUser
| extend TimeDiff = datetime_diff('minute', TimeGenerated, PrevTime)
| where TimeDiff < 60
| extend Distance = geo_distance_2points(Longitude, Latitude, PrevLongitude, PrevLatitude) / 1000
| where Distance > distance_threshold
| project TimeGenerated, UserPrincipalName, IPAddress, Location, Distance, TimeDiff

// Detect AWS IAM credential abuse from CloudTrail
AWSCloudTrail
| where TimeGenerated > ago(24h)
| where EventName in ("ConsoleLogin", "AssumeRole", "GetSessionToken")
| where ErrorCode == ""
| summarize LoginCount = count(), DistinctIPs = dcount(SourceIpAddress),
            IPList = make_set(SourceIpAddress, 10)
            by UserIdentityArn, bin(TimeGenerated, 1h)
| where DistinctIPs > 3
| project TimeGenerated, UserIdentityArn, LoginCount, DistinctIPs, IPList

// Detecta exclusão em massa de objetos S3 (potencial ransomware)
AWSCloudTrail
| where TimeGenerated > ago(1h)
| where EventName == "DeleteObject" or EventName == "DeleteObjects"
| summarize DeleteCount = count(), BucketsAffected = dcount(RequestParameters_bucketName)
            by UserIdentityArn, bin(TimeGenerated, 10m)
| where DeleteCount > 100

…