Rispondere agli avvisi di Defender for Resource Manager

Usare questo articolo per analizzare e attenuare gli avvisi di sicurezza da Microsoft Defender per Resource Manager. Consente di convalidare le attività sospette e di eseguire passaggi immediati di contenimento per gli account, le sottoscrizioni e le macchine virtuali interessati.

Analizzare e rispondere agli avvisi

Esaminare e rispondere agli avvisi di Microsoft Defender per Resource Manager usando le indicazioni contenute in questo documento. Defender per Resource Manager protegge tutte le risorse connesse. Verificare la situazione intorno a ogni avviso, anche se si ha familiarità con l'applicazione o l'utente che lo ha attivato.

Rispondere a un avviso

Contattare il proprietario della risorsa per determinare se il comportamento è previsto o intenzionale. Ignorare l'avviso se l'attività è prevista. Se l'attività è imprevista, considerare come compromessi gli account utente, le sottoscrizioni e le macchine virtuali correlati. Analizzare e attenuare la minaccia usando la procedura di correzione seguente.

Analizzare gli avvisi da Microsoft Defender per Resource Manager

Gli avvisi di sicurezza di Defender per Resource Manager si basano sulle minacce rilevate tramite il monitoraggio delle operazioni di Azure Resource Manager. Defender per il cloud usa origini log interne e il log attività di Azure. Il log attività di Azure è un log della piattaforma Azure che offre informazioni sugli eventi a livello di sottoscrizione.

Defender per Resource Manager offre visibilità sulle attività dei provider di servizi non Microsoft che delegano l'accesso come parte degli avvisi di Resource Manager. Ad esempio: Azure Resource Manager operation from suspicious proxy IP address - delegated access.

Delegated access fa riferimento all'accesso concesso tramite Azure Lighthouse o privilegi di amministrazione delegata. Per informazioni dettagliate, vedi Azure Lighthouse e privilegi di amministrazione delegati.

Gli avvisi visualizzati Delegated access includono anche una descrizione personalizzata e i passaggi di correzione.

Il log attività di Azure fornisce eventi a livello di sottoscrizione per le attività di indagine. Per informazioni dettagliate, vedere la documentazione del log attività di Azure.

Per esaminare gli avvisi di sicurezza di Defender per Resource Manager:

1. Aprire il log attività di Azure.

   

2. Filtrare gli eventi in base a:

   • La sottoscrizione indicata nell'avviso
   • Intervallo di tempo dell'attività rilevata
   • L'account utente associato (se pertinente)

3. Cercare attività sospette.

Attenuare immediatamente

Per contenere la minaccia e prevenire ulteriori danni, eseguire immediatamente questi passaggi:

1. Correggere gli account utente compromessi:

   • Eliminare gli account non riconosciuti perché un attore di minacce potrebbe averli creati.
   • Per gli account riconosciuti, modificare le credenziali di autenticazione.
   • Esaminare tutte le attività utente nei log attività di Azure e identificare le azioni sospette.

2. Correggere le sottoscrizioni compromesse:

   • Rimuovere i runbook non familiari da qualsiasi account di automazione compromesso.
   • Esaminare le autorizzazioni IAM per la sottoscrizione e rimuovere le autorizzazioni per gli account utente non familiari.
   • Esaminare tutte le risorse Azure nella sottoscrizione ed eliminare tutte le risorse non note.
   • Esaminare e analizzare gli avvisi di sicurezza per la sottoscrizione in Microsoft Defender per il cloud.
   • Usa i log attività di Azure per rivedere tutte le attività nella sottoscrizione e identificare le azioni sospette.

3. Correggere le macchine virtuali compromesse:

   • Modificare le password per tutti gli utenti.
   • Eseguire un'analisi antimalware completa in ogni computer.
   • Esegui il reimaging delle macchine da una fonte verificata e priva di malware.

Passo successivo