Threat hunting mais rápido no Microsoft Sentinel: o que muda com os custom graphs e por que isso vira dinheiro no fim do mês

Toda hora que o time de segurança leva para entender o tamanho de um ataque é dinheiro saindo do caixa da empresa. Não é exagero. Quando um phishing entra ou uma credencial é comprometida, o que decide se aquilo vira um susto contornável ou um prejuízo registrado no balanço é o tempo de resposta. E esse tempo, na maioria das empresas brasileiras, ainda é medido em horas.

O contexto: por que o relógio sangra durante um incidente

Quando o alerta chega, o analista precisa responder uma pergunta simples e crítica: quem recebeu, quem clicou, quem baixou o anexo, quem executou e em qual máquina.

Para chegar nessa resposta, ele costuma escrever de cinco a sete consultas em sequência, em tabelas diferentes, com chaves diferentes, em telas diferentes do portal de segurança.

Na média, isso consome de 30 a 60 minutos por hipótese investigada.

Enquanto o quebra-cabeça é montado, o atacante continua se movendo dentro do ambiente, abrindo novas portas e acessando novos sistemas.

O custo é cumulativo e silencioso: parada de operação, exposição de dados, multa regulatória, retrabalho de equipe e perda de confiança do cliente.

O que mudou na prática

A Microsoft acaba de liberar em preview público um recurso que ataca exatamente esse intervalo.

Em vez de costurar várias consultas manuais, o analista descreve em linguagem natural o cenário que quer investigar, e o assistente de IA monta um mapa visual de relacionamentos entre as entidades do ambiente, usuários, e-mails, dispositivos, endereços de IP e aplicações.

Esse mapa é construído sobre o data lake do Sentinel e fica salvo no ambiente para uso recorrente do time.

A diferença prática é direta.

A consulta que antes exigia juntar manualmente cinco tabelas com chaves diferentes vira uma única travessia no grafo, executada em segundos.

A pergunta sobre o caminho completo de um ataque de phishing, do e-mail até a execução no endpoint, é respondida em uma frase de consulta em vez de uma maratona de queries.

Impacto prático no risco e no caixa

Do ponto de vista de quem responde pelo risco financeiro do negócio, o ganho aparece em três camadas.

• Primeiro, o tempo médio para entender o raio de impacto cai de minutos para segundos, o que reduz diretamente o tempo de exposição da operação.
• Segundo, a visualização em grafo facilita a comunicação interna durante a crise, o time de segurança consegue mostrar para a diretoria e para o jurídico o que aconteceu sem precisar traduzir código técnico.
• Terceiro, o uso fica registrado e auditável, o que ajuda em ciclos de conformidade e em exigências de seguro cibernético.

Do lado operacional, um time enxuto consegue investigar mais incidentes em paralelo sem precisar contratar mais analistas.

Para empresas médias que dependem de um SOC pequeno, próprio ou terceirizado, isso é o que torna a operação de segurança sustentável.

Cenários reais de aplicação

O recurso já chega com cinco modelos prontos que cobrem situações comuns no dia a dia das empresas brasileiras.

• O primeiro mapeia o caminho completo de um phishing, do e-mail recebido até o processo executado na máquina do usuário, útil para qualquer empresa que tenha colaboradores acessando e-mail corporativo, ou seja, praticamente todas.
• O segundo cruza alertas e indicadores de ameaça com técnicas conhecidas de atacantes, útil para times que precisam priorizar entre dezenas de alertas por dia.
• O terceiro acompanha movimentação de dados em ambientes de análise de dados, relevante para empresas que processam grandes volumes de informação sensível.
• O quarto detecta padrões de comunicação suspeita entre máquinas internas e servidores externos.
• E o quinto rastreia abusos de permissão em aplicações conectadas ao ambiente de identidade, um vetor que cresceu muito nos últimos anos.

Pontos de atenção antes de ligar

O recurso não é plug and play. Existem três pontos que precisam ser endereçados antes da decisão.

• O primeiro é o pré-requisito de ambiente: o data lake do Sentinel precisa estar habilitado, e nem toda empresa que tem Sentinel ativou essa camada.
• O segundo é a questão de permissões e governança de acesso, construir e publicar grafos exige perfis específicos e exige revisão do modelo de papéis do time de segurança.
• O terceiro, e mais importante para o financeiro, é o modelo de cobrança.

O consumo é medido por uso do grafo, o que significa que um cenário mal dimensionado pode gerar custo recorrente acima do esperado.

Sem planejamento, a conta no fim do mês surpreende.

Quando faz sentido considerar agora

A decisão de adotar esse recurso faz sentido em três situações claras.

• Quando a empresa já usa Microsoft Sentinel e tem histórico de incidentes que demoraram a ser contidos, esse é o caso mais óbvio.
• Quando o time de segurança é pequeno e precisa de alavanca para investigar mais rápido sem ampliar quadro, é o segundo cenário.
• E quando a empresa está em ciclo de auditoria, certificação ou negociação de apólice cibernética e precisa demonstrar capacidade de resposta mensurável, é o terceiro.

Se nenhum desses três contextos se aplica, vale acompanhar a evolução do recurso e esperar a maturação fora do preview antes de mover orçamento.

Como a Memory entrega esse cenário

A Memory atua há anos com o ecossistema de segurança da Microsoft, Sentinel, Defender e Entra, e estrutura esse tipo de projeto em três frentes.

• Na primeira, organizamos a base do ambiente, com a habilitação correta do data lake e a revisão das permissões de quem pode construir e publicar cenários de investigação.
• Na segunda, construímos os cenários de grafo sob medida para os riscos reais do cliente, priorizando phishing, contas privilegiadas e exfiltração de dados, que são os vetores com maior impacto financeiro nas empresas brasileiras.
• Na terceira, treinamos o time interno para operar e estender esses cenários, com atenção especial ao dimensionamento de consumo, para que o ganho de velocidade não venha junto com surpresa na fatura.

Conclusão

Segurança parou de ser uma discussão sobre ferramenta e virou uma discussão sobre tempo.

Tempo de detectar, tempo de entender, tempo de conter.

Cada minuto economizado nessa cadeia é um minuto a menos de exposição financeira para a empresa. Quem trata isso como prioridade estratégica chega na frente. Quem trata como pauta exclusiva do time técnico paga a conta no próximo incidente.

Aproveite para perguntar ao Claude sobre este post

Ao fim deste post, você tem a oportunidade de explorar melhor o tema, conceito e aprofundar o seu conhecimento. Faça perguntas e conte para nós o que está achando dessa experiência.

O procedimento técnico você pode seguir por aqui: https://techcommunity.microsoft.com/t5/microsoft-sentinel-blog/a-guide-to-innovating-threat-hunting-with-microsoft-sentinel/ba-p/4530287