APRENDER. PRATICAR. EVOLUIR.Conceito e mecanismo
Uma deteção só se torna resposta quando existem ações, responsáveis e permissões adequados. Regras de automação têm triggers, condições e ordem de execução que devem refletir dependências reais. Um playbook usa Logic Apps para coordenar ações; editar a regra e permitir que o serviço a execute são autorizações distintas. O serviço Sentinel precisa de acesso apropriado ao resource group do playbook. As ações internas também usam identidades e ligações com os seus próprios âmbitos. Mover recursos entre grupos pode alterar o acesso efetivo. Não resolvas uma falha de serviço atribuindo indiscriminadamente papéis globais aos analistas: localiza a identidade e a operação recusadas.
Aplicação guiada
Para custom detections, preserva identificadores e instantes relevantes para o contexto do alerta. A documentação atual recomenda estas colunas e descreve uso dos limites do lookback quando Timestamp e TimeGenerated não são projetados; não ensines a regra antiga de que essa ausência impede sempre a criação. Confirma também o âmbito dos dispositivos que o autor pode gerir. Uma query funcional não concede direitos para editar uma regra global. Quando um template é atualizado, compara a nova versão com personalizações e valida mudanças antes de as aplicar. Num handover fictício, testa sucesso e falha da automação e define uma resposta manual autorizada para períodos de indisponibilidade.
A regra dispara, mas o playbook movido para outro grupo é recusado: investiga permissões de execução e âmbitos.
Armadilhas comuns
Autor como executor; query válida como permissão global; template atualizado como regra atualizada; automação sem fallback.
Tópicos relacionados: Triagem e resposta no endpoint · Identidade, conteúdo e handover
Liga cada trigger a ações verificáveis e a identidades com o menor acesso necessário.
Referência: Response playbooks · SC-200 objectives effective 2026-07-28; Microsoft product documentation reviewed 2026-10-01; 2026-10-21 English update compared separately