O domínio 3 é o de maior peso no SC-900 (35–40%) e pergunta, um a um, pelos serviços que formam o Microsoft Defender XDR. A questão descreve só uma situação, como "verificar um link no momento em que o usuário clica" ou "detectar movimento lateral em um controlador de domínio local", e depois coloca lado a lado quatro produtos que têm Defender no nome. Sem saber exatamente o que cada um protege, é fácil cair em uma resposta errada de nome parecido.
Este artigo segue os itens de Defender XDR do conteúdo do exame que passa a valer em 21 de outubro de 2026. Percorremos Defender for Office 365, Defender for Endpoint, Defender for Cloud Apps, Defender for Identity, Defender Vulnerability Management, Microsoft Threat Intelligence e o portal do Microsoft Defender, com o que cada um protege, seus recursos principais e as pistas que o denunciam nas questões.
---
Defender XDR: Transformar um Ataque em um Único Incidente
Pense na segurança de um grande shopping center. Se os seguranças da entrada, as câmeras do estacionamento e os registros de acesso das lojas funcionam separadamente, ninguém percebe que o mesmo invasor passou pelos três. Só quando os três registros chegam a uma mesma sala de controle e são costurados no trajeto de uma pessoa é que a rota da invasão fica visível.
Ataques reais se movem do mesmo jeito. Começam com um e-mail de phishing, infectam o PC de um funcionário, usam as credenciais roubadas nesse PC para entrar em outros servidores e, por fim, extraem dados de um aplicativo na nuvem. O Microsoft Defender XDR (Extended Detection and Response) é um pacote de defesa integrado que une os produtos que protegem e-mail, pontos de extremidade, identidades e aplicativos na nuvem para que compartilhem sinais e respondam juntos. Ele cobre tanto a prevenção antes da violação quanto a detecção, a investigação e a resposta depois dela.
| Recurso compartilhado | O que faz | |------|------| | Fila de incidentes combinada | Agrupa automaticamente em um incidente os alertas relacionados e os ativos afetados de vários produtos | | Resposta automática | Quando um produto encontra uma ameaça, avisa os demais (por exemplo, um arquivo malicioso achado em um dispositivo é removido de todas as caixas de correio) | | Autorrecuperação | Devolve a um estado seguro, com ações automáticas, os dispositivos, identidades e caixas de correio comprometidos | | Interrupção automática de ataques | Ao identificar com alta confiança um ataque em andamento, isola dispositivos ou desabilita contas na hora | | Busca entre produtos | Permite consultar os dados brutos de todos os produtos para procurar sinais de comprometimento |
!Vários produtos Defender barram um mesmo ataque e o agrupam em um único incidente
Dica de prova: se a questão fala em "correlacionar alertas de vários produtos para mostrar o ataque inteiro como um único incidente", a resposta é o Defender XDR. Já verificar a configuração de segurança de recursos do Azure, da AWS e do GCP é tarefa do Microsoft Defender for Cloud, de nome parecido; não misture os dois.
Artigo relacionado: Microsoft Sentinel e Defender XDR
---
Defender for Office 365: E-mail e Ferramentas de Colaboração
Funciona como a sala de correspondência de uma empresa que passa cada pacote pelo raio X. Não olha só o envelope: abre o conteúdo, barra o que é suspeito antes da entrega e até recolhe um pacote já entregue se depois ele se mostrar perigoso.
O Defender for Office 365 bloqueia phishing, links maliciosos e anexos maliciosos que chegam por e-mail e por ferramentas de colaboração como Teams, SharePoint e OneDrive. Ele acrescenta uma proteção mais forte sobre a filtragem de spam e malware que o Microsoft 365 já inclui (Exchange Online Protection).
| Etapa | Recurso principal | Descrição | |------|------|------| | Prevenir e detectar | Anexos Seguros (Safe Attachments) | Abre primeiro os anexos em um ambiente virtual (detonação) e os bloqueia se agirem de forma maliciosa | | Prevenir e detectar | Links Seguros (Safe Links) | Verifica de novo a URL no momento em que o usuário clica no link | | Prevenir e detectar | Antiphishing | Detecta mensagens que se passam por executivos ou parceiros de negócio | | Investigar | Explorador de Ameaças, campanhas | Rastreia quem recebeu uma mensagem maliciosa e até onde ela se espalhou, e agrupa ataques de phishing coordenados | | Responder | Limpeza automática zero hora (ZAP) | Remove das caixas de correio uma mensagem já entregue quando depois se descobre que ela é maliciosa | | Responder | Investigação e resposta automatizadas (AIR) | Executa automaticamente a investigação e a correção para ameaças conhecidas | | Treinar | Treinamento de simulação de ataque | Envia e-mails de phishing falsos para encontrar os usuários vulneráveis e treiná-los |
O Plano 1 oferece recursos de proteção como Anexos Seguros, Links Seguros e antiphishing. O Plano 2 acrescenta recursos de investigação e resposta como o Explorador de Ameaças, a investigação e resposta automatizadas e o treinamento de simulação de ataque.
Dica de prova: "verificar um link no momento do clique" é Links Seguros, "executar um anexo em um ambiente isolado para conferir" é Anexos Seguros e "remover retroativamente mensagens já entregues" é ZAP.
---
Defender for Endpoint: PCs, Servidores e Dispositivos Móveis
Assim como um prédio tem portas reforçadas (prevenção), sensores de movimento nos corredores (detecção) e a possibilidade de isolar um andar quando uma invasão é confirmada (resposta), o Defender for Endpoint cuida de prevenir, detectar, investigar e responder em cada dispositivo.
Ele protege dispositivos Windows, macOS, Linux, Android e iOS, além de servidores. O Windows 10 e versões posteriores trazem sensores comportamentais embutidos que coletam sinais do sistema operacional, e a análise de segurança na nuvem e a inteligência contra ameaças transformam esses sinais em detecções e respostas recomendadas.
| Recurso | O que faz | |------|------| | Redução da superfície de ataque (ASR) | Bloqueia comportamentos e configurações fáceis de explorar, reduzindo os pontos por onde um ataque pode entrar | | Proteção de última geração | Bloqueia ameaças novas com o Microsoft Defender Antivírus e a detecção em tempo real fornecida pela nuvem | | Detecção e resposta de ponto de extremidade (EDR) | Detecta quase em tempo real os ataques que já entraram e executa ações como isolar o dispositivo | | Investigação e correção automatizadas (AIR) | Investiga os alertas automaticamente e age na hora, reduzindo os alertas que os analistas precisam revisar | | Gerenciamento de vulnerabilidades principal | Encontra vulnerabilidades e configurações incorretas nos dispositivos, ordenadas por risco |
O Plano 1 se concentra na prevenção com a proteção de última geração e a redução da superfície de ataque. O Plano 2 inclui também recursos de detecção e resposta como EDR, investigação e correção automatizadas e o gerenciamento de vulnerabilidades principal.
Dica de prova: EDR é detecção e resposta depois da violação; a redução da superfície de ataque é prevenção antes dela. Se aparecer "isolar da rede o dispositivo infectado", a resposta é o Defender for Endpoint.
---
Defender for Cloud Apps: Aplicativos SaaS e Shadow IT
Imagine funcionários alugando escondido espaços de coworking fora do prédio da empresa. Você precisa saber quais espaços estão sendo usados e por quem, bloquear os arriscados e impedir que alguém entre neles com documentos confidenciais. Os aplicativos na nuvem são esses espaços de coworking.
O Defender for Cloud Apps é um CASB (agente de segurança de acesso à nuvem). Ele intermedeia o acesso entre os usuários e os aplicativos na nuvem que eles usam e cuida do seguinte.
| Área | O que faz | |------|------| | Descoberta de shadow IT | Usa o tráfego de rede e um amplo catálogo de aplicativos para encontrar os apps na nuvem que os funcionários de fato usam e os avalia com mais de 90 indicadores de risco | | Proteção de informações | Encontra dados confidenciais nos arquivos dos apps SaaS conectados, aplica rótulos de confidencialidade e bloqueia downloads para dispositivos não gerenciados | | Gerenciamento da postura de segurança de SaaS (SSPM) | Aponta configurações de segurança incorretas em cada app SaaS e recomenda correções | | Proteção contra ameaças | Detecta atividade incomum com a análise de comportamento de usuários e entidades (UEBA) | | Proteção entre aplicativos | Monitora apps OAuth que têm permissões sobre dados críticos |
Dica de prova: "descobrir aplicativos na nuvem que a TI não aprovou" aponta para o Defender for Cloud Apps. O Defender for Cloud, de nome parecido, protege recursos de infraestrutura no Azure e em outras nuvens, então o alvo é diferente.
---
Defender for Identity: Active Directory Local
Em vez de colocar um segurança na frente do cofre do banco, essa abordagem instala equipamentos de monitoramento na sala que administra as chaves do cofre. Os atacantes acabam indo atrás de contas de administrador (as chaves), então vigiar o lugar onde as contas são emitidas e verificadas revela cedo o avanço de um ataque.
O Defender for Identity é uma solução na nuvem de detecção e resposta a ameaças de identidade (ITDR). Ele coleta sinais do Active Directory local por meio de sensores instalados nos controladores de domínio e nos servidores AD FS e AD CS, e também analisa sinais do Microsoft Entra ID. Cria uma linha de base de comportamento para cada usuário e aponta a atividade que foge dela.
| Etapa do ataque | O que detecta | |------|------| | Reconhecimento | Tentativas de levantar informações sobre usuários e grupos | | Credenciais comprometidas | Ataques de força bruta, falhas de autenticação repetidas e mudanças na associação a grupos | | Movimento lateral | Tentativas de circular dentro da rede para obter contas com mais privilégios | | Domínio total (domain dominance) | Tentativas de assumir o controle do Active Directory, po