Anunciado em Preview no final do ano passado e agora em GA (disponibilidade geral), este recurso irá ajudar as corporações a criar relatórios no Power BI atualizáveis no Power BI Web.

Iniciando

O primeiro passo é usar o Power BI Desktop para conectar no conector ARG (Azure Resource Graph):

Uma vez feito isso, faça a autenticação e comece a importar suas queries diretamente do portal do Azure, como o exemplo abaixo:

Cole a consulta exatamente do mesmo jeito que testou no portal do Azure dentro da consulta no Power BI Desktop. No exemplo abaixo peguei outra tabela de assessments de segurança em formato simples:

Ao final de inserir todas as consultas, você poderá seguir os caminhos normais do Power BI renomeando colunas, acertando nomes, etc. Após isso clique no Aplicar:

Resultado, os dados são importados e agora é possivel criar dashboards com os dados do ARG:

Publicando no Power BI Service

Aqui é que está a grande mudança com este conector, anteriormente utilizando os CCO Dashboards só tinhamos atualização dentro do Power BI Desktop já que utilizamos um conector externo (arquivo "".mez").

Com este novo conector nativo, conseguimos criar e atualizar automaticamente os dados dentro da interface web, até mesmo editando e consumindo novas colunas ou tabelas importadas:

Dentro da suite de soluções de proteção de dados do Purview para clientes com o pacote M365 E5 (addon ou O365) é possivel usar a feature de DLP Endpoint onde as regras de DLP e label tambem se aplicam a arquivos gravados na maquina local ou trafegados em sites externos.

Habilitando e Configuração

Essas configurações estão localizadas em Settings e brangem diversos parametros onde queremos aplicar as politicas de proteção de informação:

Uma vez definido os tipos de bloqueios que queremos implementar, definimos que uam determinada politica seja aplicada tambem aos dispositvos:

Descobrindo a Aplicação das Politicas

Até ai muitos já utilizam o recurso. Mas e como saber se as politicas foram aplicadas a uma determinada maquina?

Para isso é possivel usar PowerShell, porem um aplicativo desenvolvido pelo time Microsoft permite visualizar de forma simples e está disponivel em Troubleshoot and Manage Microsoft Purview Data Loss Prevention for your Endpoint Devices - Microsoft Community Hub com o nome de DisplayDlpPolicy.exe.

Esse aplicativo é muito simples para ser utilizado e permitirá que você veja em uma estação qual politica foi aplicada em detalhes.

O primeiro exemplo abaixo mostra quais politicas DLP estão aplicadas ao dispositivo:

O segundo comando abaixo exemplifica os Settings do DLP Endpoint:

Esse resultado acima é especialmente importante para descobrir se determinada falha foi causada por um problema de detecção ou se a regra não está aplicada, pois aqui vemos detalhadamente quais as proteções foram configuradas.

Já comentei em posts passados sobre o MDTI (Microsoft Defender for Threat Intelligence) quando integrado com o Sentinel para detectar com KQL indicadores de ataque ou comprometimento (https://www.marcelosincic.com.br/post/Utilizando-os-IoCs-do-Microsoft-Defender-Threat-Intelligence.aspx).

Desta vez vamos introduzir uma nova ferramenta que é o EASM (Defender External Attack Surface Management) onde ao indicar um “seed” que podem ser nomes de domínios, IPs de hosts ou DNS ele faz a procura por indicadores de possível ataque.

Ele é abrangente por não apenas olhar os Threat Indicators na base do MDTI, mas incluir na analise os certificados vencidos, CVEs que estão expostos, técnicas OWASP, postura de segurança nas configurações e aderência ao GDPR.

O melhor de tudo: O EASM É GRATUITO NOS PRIMEIROS 30 DIAS!

Habilitando e Configuração Inicial

O processo é muito simples, segue um passo a passo:

1. Crie o recurso no Azure, onde informará subscrição, grupo de recursos e tags basicamente
2. Entre nas configurações em “Discovery” e crie a raiz de procura (ou seed) com o “Discovery Group”
3. Nas configurações da procura indique a periodicidade e o que quer procurar
   Aqui tem um ponto interessante, onde empresas e organizações conhecidas podem ser pré-carregadas na opção de “Import…” que são empresas já conhecidas por bases de internet comum
4. Lembre-se de colocar exclusões caso possua servidores honeypot para não gerar alertas desnecessários

Agora é só aguardar de 48 a 72 horas para que a descoberta gere os dados.

Analisando os dados gerados

No Overview já é possível detectar os diferentes itens que precisam ser observados na forma de listas em tabs. Nesta lista eu já detecto IPs suspeitos por ser utilizado em distribuição de malware na base do MDTI.

Olhando ali descobrimos um IP antigo que utilizei em um servidor que hoje é um indicador de ataque:

Aqui já pode ser visto um resumo e o indicativo de que um dos IPs é suspeito:

O próprio EASM já carrega as informações indicando qual tipo de ataque este IP está sujeito e está registrado no MDTI:

Abrindo as tabs de obervação do host podemos ver o que este host hospeda, certificados, reputação e todos os detalhes:

Também já tenho uma visão de todos os certificados usados no host para os diferentes domínios, o que me permite detectar certificados internos e externos que estejam vencidos ou próximos de vencer:

Neste exemplo descobri mais tarde investigando que um dos dominios hospedados no mesmo servidor estava com vulnerabilidades e sendo usado para distribuição de um site de videos.

Alterei o host e removi o registro DNS que apontava para este host, que na verdade era apenas um registro de verify antigo e não estava mais ativo.

Conclusão

Com o uso do EASM podemos monitorar nossos recursos que estão expostos na internet e assim proteger a nós mesmos e aos nossos clientes!