Defesa Contra Ataques com IA: Resposta Automatizada para PMEs

✎ Duarte Spínola  |  2026-07-10

Os ataques cibernéticos em 2026 usam IA para automatizar reconnaissance, gerar phishing hyper-personalizado com LLMs, criar deepfakes para vishing e produzir malware polimórfico que evade assinaturas tradicionais. O tempo médio de execução de um ataque caiu de horas para minutos. A defesa tradicional manual já não acompanha — é necessário resposta automatizada. Este guia mostra como implementar SOAR com Microsoft Sentinel e Defender XDR Automated Investigation and Response (AIR), com base na documentação oficial Microsoft e na CISA AI Incident Response.

Conteúdos

• 1. Como a IA Está a Ser Usada nos Ataques
• 2. O Conceito de SOAR
• 3. Microsoft Sentinel: SIEM + SOAR
• 4. Defender XDR: Automated Investigation (AIR)
• 5. Configurar Playbooks no Sentinel
• 6. Activar AIR no Defender XDR
• 7. KQL: Detecção de Padrões de Ataque IA
• 8. Integração Sentinel + Defender + Entra ID
• 9. Threat Intelligence Feeds
• 10. Comparação de Ferramentas SOAR
• 11. Custos para PME
• 12. Formação de Utilizadores
• 13. Recomendações Práticas para PMEs

1. Como a IA Está a Ser Usada nos Ataques

Os atacantes adoptaram IA generativa de forma agressiva em 2025-2026. As principais formas de uso:

2. O Conceito de SOAR

SOAR (Security Orchestration, Automation and Response) é uma categoria de ferramentas que automatiza a detecção, triagem e resposta a incidentes de segurança. As três funções core:

• Orchestration — integra múltiplas ferramentas de security (SIEM, EDR, firewall, email gateway) num workflow único
• Automation — executa respostas pré-definidas sem intervenção humana (ex: isolar endpoint, bloquear IP)
• Response — acções de remediação automáticas (quarentena ficheiro, suspender conta, revogar tokens)

A diferença entre SIEM e SOAR: SIEM detecta (correlaciona logs e gera alertas), SOAR responde (executa acções automaticamente). Microsoft Sentinel combina ambos.

3. Microsoft Sentinel: SIEM + SOAR

O Microsoft Sentinel é a plataforma cloud-native de SIEM + SOAR da Microsoft. Para PMEs, oferece:

• Dados free tier — 10 GB/dia gratuitos (Pay-As-You-Go acima disso a ~$2/GB)
• Fusion correlation — correlação automática de alertas para detectar ataques multi-stage
• Playbooks (Logic Apps) — resposta automatizada via workflows visuais
• Analytics rules — regras de detecção em KQL (Kusto Query Language)
• Threat intelligence — integração com TAXII/STIX feeds

4. Defender XDR: Automated Investigation (AIR)

O Microsoft Defender XDR Automated Investigation and Response (AIR) é a capacidade de resposta automática integrada no Defender. Quando uma ameaça é detectada, o AIR pode automaticamente:

• Isolar endpoint — desconectar VM/PC da rede mantendo ligação ao Defender cloud
• Quarentena ficheiros — mover ficheiros maliciosos para quarentena
• Bloquear hashes/IPs — adregar indicadores de comprometimento (IOCs) aos block lists
• Suspender contas — bloquear conta de utilizador comprometida no Entra ID
• Revogar sessões — terminar sessões activas (tokens OAuth, RDP)
• Eliminar emails — remover emails de phishing de todas as caixas Exchange

5. Configurar Playbooks no Sentinel

Os playbooks do Sentinel são Logic Apps que executam acções quando um alerta é triggerado. Exemplo de playbook para resposta a phishing:

# Playbook: Phishing-Response
# Trigger: When Sentinel alert matches "Phishing" category

# 1. Trigger — Sentinel alert
{
  "type": "Sentinel",
  "alertId": "{{triggerBody()?['object Ald']}}",
  "category": "Phishing"
}

# 2. Acção — Isolar endpoint no Defender for Endpoint
POST https://api.security.microsoft.com/api/machines/{machineId}/isolate
Body: { "Comment": "Auto-isolated by Sentinel phishing playbook" }

# 3. Acção — Bloquear sender no Exchange
POST https://outlook.office.com/web/hooks/...
Set-MailboxJunkEmailRule -Identity $user -BlockedSender @{Add=$senderEmail}

# 4. Acção — Eliminar email de todas as caixas
Search-Mailbox -Identity "all" -SearchQuery "from:$senderEmail" -DeleteContent

# 5. Acção — Notificar admin via Teams webhook
POST https://outlook.office.com/webhook/...
Body: { "text": "🚨 Phishing detectado e respondido automaticamente: $senderEmail" }

# 6. Acção — Criar incident no Sentinel
POST https://management.azure.com/.../incidents
Body: { "title": "Phishing auto-responded", "severity": "Medium" }

Activar o playbook no Sentinel:

# Via Azure CLI
az sentinel automation-rule create \
  --resource-group "rg-sentinel" \
  --workspace-name "law-sentinel-pme" \
  --rule-name "AutoPhishingResponse" \
  --action-type "Playbook" \
  --playbook-id "/subscriptions/{sub}/resourceGroups/rg-sentinel/providers/Microsoft.Logic/workflows/Phishing-Response" \
  --condition "category == 'Phishing'" \
  --order 1

6. Activar AIR no Defender XDR

O AIR tem dois níveis de automatização:

# Activar AIR via Microsoft 365 Defender portal
# 1. security.microsoft.com > Settings > Microsoft 365 Defender > Advanced
# 2. Em "Automated investigation":
#    - Select "Full" or "Semi - require approval"
# 3. Em "Automation level for alerts":
#    - High severity alerts: Full automation
#    - Medium severity alerts: Semi-automation
#    - Low severity alerts: No automation

# Via PowerShell (Microsoft 365 Defender)
# Instalar módulo
Install-Module -Name Microsoft.Graph.Security -Force

# Verificar definições AIR
Get-MgSecurityConfiguration

7. KQL: Detecção de Padrões de Ataque IA

KQL (Kusto Query Language) é a linguagem de queries do Sentinel. Aqui estão exemplos práticos para detectar padrões de ataque IA:

// Detecção: Tentativas de login anómalas (credential stuffing adaptativo)
SigninLogs
| where TimeGenerated > ago(1h)
| where ResultType != 0  // logins falhados
| summarize FailureCount = count() by UserPrincipalName, IPAddress
| where FailureCount > 10
| join kind=inner (
    SigninLogs
    | where TimeGenerated > ago(1h)
    | where ResultType == 0  // logins bem-sucedidos
    | summarize SuccessCount = count() by UserPrincipalName, IPAddress
) on UserPrincipalName, IPAddress
| where SuccessCount > 0
| project UserPrincipalName, IPAddress, FailureCount, SuccessCount

// Detecção: Email de phishing com padrões LLM (text muito polido)
EmailEvents
| where TimeGenerated > ago(24h)
| where EmailDirection == "Inbound"
| where DeliveryAction == "Delivered"
| join kind=inner (
    EmailPostDeliveryEvents
    | where TimeGenerated > ago(24h)
    | where Action == "ZAP" or Action == "Quarantine"
) on NetworkMessageId
| project SenderFromAddress, Subject, PhishConfidenceLevel

// Detecção: Lateral movement rápido (indicador de IA-driven attack)
DeviceProcessEvents
| where TimeGenerated > ago(30m)
| where InitiatingProcessFileName in ("powershell.exe", "cmd.exe", "wmic.exe")
| where ProcessCommandLine has_any ("Invoke-Mimikatz", "dsync", "sekurlsa", "Invoke-Command")
| summarize CommandCount = count() by DeviceName, InitiatingProcessAccountName
| where CommandCount > 3

8. Integração Sentinel + Defender + Entra ID

A resposta coordenada entre as três plataformas Microsoft é o que torna a defesa eficaz contra ataques IA:

• Sentinel detecta — correlaciona logs de Defender, Entra ID, firewall e gera incident
• Playbook executa — Logic App desencadeia acções em paralelo
• Defender XDR isola — endpoint comprometido é desconectado da rede
• Entra ID suspende — conta do utilizador é bloqueada, tokens revogados
• Conditional Access actualiza — bloqueia IP de origem do ataque
• Notificação Teams — admin é notificado em tempo real com detalhes do incident

9. Threat Intelligence Feeds

O Microsoft Defender Threat Intelligence integra feeds de ameaças em tempo real. O Sentinel pode consumir feeds externos via TAXII/STIX:

# Adicionar threat intelligence feed ao Sentinel
# Via portal: Sentinel > Threat Intelligence > Add feed
# Tipo: TAXII 2.0/2.1
# URL: https://tip.anomali.com/api/v2/taxii/taxii-data/
# Collection: threatstream

# Via PowerShell
Set-AzSentinelThreatIntelIndicator -ResourceGroupName "rg-sentinel" `
  -WorkspaceName "law-sentinel-pme" `
  -IndicatorType "malicious-ip" `
  -Value "203.0.113.45" `
  -Source "CISA Known Exploited" `
  -ExpirationDateTime (Get-Date).AddDays(30)

10. Comparação de Ferramentas SOAR

11. Custos para PME

Para uma PME com 50 utilizadores, o custo de implementar resposta automatizada:

12. Formação de Utilizadores

Mesmo com SOAR e AIR, a primeira linha de defesa continua a ser o utilizador. Em 2026, a formação precisa de cobrir novas ameaças IA:

• Phishing LLM — ensinar que emails “bem escritos” não são automaticamente legítimos. LLMs produzem texto impecável.
• Deepfake vishing — se o “CEO” ligar a pedir transferência urgente, sempre confirmar por canal secundário (Teams, email, presencial).
• MFA fatigue — atacantes usam IA para gerar múltiplas tentativas de MFA até o utilizador aprovar por cansaço. Entra ID oferece number matching para mitigar.
• Spear-phishing com dados reais — a IA usa LinkedIn, GitHub, redes sociais para personalizar ataques. Limitar exposure pública.
• Simulações regulares — usar Attack Simulator do Defender for Office 365 para treinar reconhecimento de phishing IA.

13. Recomendações Práticas para PMEs

• Começar pelo Defender XDR AIR — se tens M365 E5 ou Defender for Endpoint Plan 2, activa AIR em modo “Full” para high severity alerts. É gratuito (incluído) e imediato.
• Sentinel free tier — 10 GB/dia gratuitos cobrem a maioria das PMEs. Configura data connectors para Entra ID, Defender e Office 365.
• Automatizar top 5 alertas — identifica os 5 alertas mais frequentes e cria playbooks para cada um. Isto reduz 80% do trabalho manual do SOC.
• Number matching no MFA — activar no Entra ID para prevenir MFA fatigue (ataque IA comum).
• Conditional Access com risk-based policies — configurar Entra ID Identity Protection para bloquear logins de IPs/risk score alto automaticamente.
• Attack Simulator trimestral — usar o Attack Simulator do Defender for Office 365 para testar utilizadores com phishing IA-realista.
• Shuffle como alternativa gratuita — se o custo do Sentinel for problema, Shuffle (open-source) pode ser self-hosted e integrar com Defender via API.
• Não esquecer o básico — SOAR e AIR são camadas adicionais. Patch management, MFA, backup imutável e least privilege continuam a ser a base.

Artigos Relacionados

• Phishing Moderno: Detectar e Prevenir
• Microsoft Sentinel: SIEM para PME
• Microsoft Defender for Endpoint para PME
• PhaaS no Microsoft 365: Detectar e Bloquear ARToken
• CSPM para PMEs com Defender for Cloud

← Voltar ao Índice