Panoramica della modifica degli asset

Questo articolo illustra come modificare gli asset di inventario. È possibile modificare lo stato di un asset, assegnare un ID esterno o applicare etichette per fornire contesto e usare i dati di inventario. È anche possibile contrassegnare i CVE e altre osservazioni come non applicabili per rimuoverli dai conteggi riportati. È anche possibile rimuovere gli asset dall'inventario in blocco in base al metodo con cui vengono individuati. Ad esempio, gli utenti possono rimuovere un seed da un gruppo di rilevamento e scegliere di rimuovere tutti gli asset individuati tramite una connessione a questo seed. Questo articolo descrive tutte le opzioni di modifica disponibili in Defender EASM e illustra come aggiornare gli asset e tenere traccia di eventuali aggiornamenti con Gestione attività.

Etichettare gli asset

Le etichette consentono di organizzare la superficie di attacco e di applicare il contesto aziendale in modo personalizzabile. È possibile applicare qualsiasi etichetta di testo a un subset di asset per raggruppare gli asset e usare meglio l'inventario. I clienti classificano in genere gli asset che:

• Sono passate di recente sotto il controllo della tua organizzazione a seguito di una fusione o acquisizione.
• Richiedere il monitoraggio della conformità.
• Sono di proprietà di una business unit specifica nell'organizzazione.
• Sono interessati da una vulnerabilità specifica che richiede la mitigazione.
• Si riferiscono a un particolare marchio di proprietà dell'organizzazione.
• Sono stati aggiunti all'inventario entro un intervallo di tempo specifico.

Le etichette sono campi di testo a mano libera, quindi è possibile creare un'etichetta per qualsiasi caso d'uso applicabile all'organizzazione.

Modificare lo stato di un asset

Gli utenti possono anche modificare lo stato di un asset. Gli stati consentono di classificare l'inventario in base al loro ruolo nell'organizzazione. Gli utenti possono passare dagli stati seguenti:

• Inventario approvato: parte della superficie di attacco di proprietà; un elemento di cui sei direttamente responsabile.
• Dipendenza: infrastruttura di proprietà di terze parti, ma fa parte della superficie di attacco perché supporta direttamente il funzionamento degli asset di proprietà. Ad esempio, è possibile che si dipenda da un provider IT per ospitare il contenuto Web. Mentre il dominio, il nome host e le pagine farebbero parte dell'inventario approvato, è possibile considerare l'indirizzo IP che esegue l'host come dipendenza.
• Solo monitoraggio: asset rilevante per la superficie di attacco, ma non direttamente controllato dall'organizzazione, né da una dipendenza tecnica. Ad esempio, gli affiliati indipendenti o gli asset appartenenti a società correlate potrebbero essere etichettati come Monitor Only (Solo monitoraggio) anziché Approved Inventory (Inventario approvato ) per separare i gruppi a scopo di creazione di report.
• Risorsa candidata: una risorsa che ha una relazione con le risorse seed note della tua organizzazione, ma che non ha un legame sufficientemente forte da poter essere classificata immediatamente come Inventario approvato. Questi asset candidati devono essere esaminati manualmente per determinare la proprietà.
• Richiede indagine: stato simile agli stati candidati , ma questo valore viene applicato agli asset che richiedono un'indagine manuale per la convalida. Ciò viene determinato in base ai punteggi di attendibilità generati internamente che valutano la forza delle connessioni rilevate tra gli asset. Non indica la relazione esatta dell'infrastruttura con l'organizzazione tanto quanto indica che questo asset è stato contrassegnato come una richiesta di revisione aggiuntiva per determinare come deve essere categorizzata.

Applicare un ID esterno

Gli utenti possono anche applicare un ID esterno a un asset. Questa azione è utile in situazioni in cui si utilizzano più soluzioni per il rilevamento degli asset, le attività di correzione o il monitoraggio della proprietà; la visualizzazione di ID esterni all'interno di Defender EASM consente di allineare queste diverse informazioni sugli asset. ID esterno valori possono essere numerici o alfanumerici e devono essere immessi in formato testo. Gli ID esterni vengono visualizzati anche all’interno della sezione Dettagli dell’asset.

Contrassegnare l'osservazione come non applicabile

Molti dashboard Defender EASM dispongono di dati CVE, portando l'attenzione alle potenziali vulnerabilità basate sull'infrastruttura dei componenti Web che alimenta la superficie di attacco. Ad esempio, i CVE sono elencati nella dashboard di riepilogo di Attack Surface, classificati in base alla loro gravità potenziale. Dopo aver esaminato questi CVE, è possibile determinare che alcuni non sono rilevanti per l'organizzazione. Ciò potrebbe essere dovuto al fatto che si sta eseguendo una versione non impatta del componente Web o che l'organizzazione disponga di soluzioni tecniche diverse per proteggersi da tale vulnerabilità specifica.

Dalla visualizzazione drill-down di qualsiasi grafico correlato a CVE, accanto al pulsante Scarica report CSV è ora possibile impostare un'osservazione come non applicabile. La selezione di questo valore consente di instradare l'utente a un elenco di inventario di tutti gli asset associati a tale osservazione ed è quindi possibile scegliere di contrassegnare tutte le osservazioni come non applicabili da questa pagina. La modifica effettiva viene eseguita dalla visualizzazione elenco Inventario o dalla pagina Dettagli asset per un asset specifico.

Come modificare gli asset

È possibile modificare gli asset sia dall'elenco inventario che dalle pagine dei dettagli degli asset. È possibile apportare modifiche a un singolo asset dalla pagina dei dettagli dell'asset. È possibile apportare modifiche a un singolo asset o a più asset dalla pagina dell'elenco inventario. Le sezioni pagina dell'elenco dell'inventario e pagina dei dettagli dell'asset descrivono come applicare le modifiche da ciascuna vista dell'inventario a seconda del caso d'uso.

Modificare gli asset dalla pagina dell'elenco di inventario

È consigliabile modificare gli asset dalla pagina elenco inventario se si desidera aggiornare numerosi asset contemporaneamente. È possibile perfezionare l'elenco di asset in base ai parametri di filtro. Questo processo consente di identificare gli asset che devono essere categorizzati con l'etichetta, l'ID esterno o la modifica dello stato desiderata. Per modificare gli asset da questa pagina:

1. Nel riquadro più a sinistra della risorsa Gestione della superficie di attacco esterna di Microsoft Defender (Defender EASM) selezionare Inventario.

2. Applicare filtri per produrre i risultati desiderati. In questo esempio vengono cercati i domini che scadono entro 30 giorni che richiedono il rinnovo. L'etichetta applicata consente di accedere più rapidamente a tutti i domini in scadenza per semplificare il processo di correzione. È possibile applicare tutti i filtri necessari per ottenere i risultati specifici necessari. Per altre informazioni sui filtri, vedere Panoramica dei filtri di inventario. Per le istanze in cui si vuole contrassegnare I CVE come non applicabili, il drill-down del grafico del dashboard pertinente fornisce un collegamento che indirizza direttamente l'utente a questa pagina Inventario con i filtri corretti applicati.

3. Dopo aver filtrato l'elenco dell'inventario, seleziona il menu a discesa dalla casella di controllo accanto all'intestazione della tabella Asset. Questo elenco a discesa consente di selezionare tutti i risultati che corrispondono alla query o ai risultati nella pagina specifica (fino a 25). L'opzione Nessuno cancella tutti gli asset. È anche possibile scegliere di selezionare solo risultati specifici nella pagina selezionando i singoli segni di spunta accanto a ogni asset.

4. Selezionare Modifica risorse.

5. Nel riquadro Modifica asset visualizzato sul lato destro dello schermo è possibile modificare rapidamente i vari campi per gli asset selezionati. Per questo esempio si crea una nuova etichetta. Selezionare Crea una nuova etichetta.

6. Determinare il nome dell'etichetta e i valori del testo visualizzato. Non è possibile modificare il nome dell'etichetta dopo aver creato inizialmente l'etichetta, ma il testo visualizzato può essere modificato in un secondo momento. Il nome dell'etichetta viene usato per eseguire query sull'etichetta nell'interfaccia del prodotto o tramite API, quindi le modifiche vengono disabilitate per garantire il corretto funzionamento di queste query. Per modificare un nome di etichetta, è necessario eliminare l'etichetta originale e crearne una nuova.

Selezionare un colore per la nuova etichetta e selezionare Aggiungi. Questa azione consente di tornare alla schermata Modifica asset .

7. Applicare la nuova etichetta agli asset. Selezionare all'interno della casella di testo Aggiungi etichette per visualizzare un elenco completo delle etichette disponibili. In alternativa, è possibile digitare all'interno della casella per eseguire la ricerca per parola chiave. Dopo aver selezionato le etichette da applicare, selezionare Aggiorna.

8. Attendere alcuni istanti per l'applicazione delle etichette. Al termine del processo, viene visualizzata una notifica Completata. La pagina viene aggiornata automaticamente e visualizza l'elenco di asset con le etichette visibili. Un banner nella parte superiore dello schermo conferma che le etichette sono state applicate.

Modificare gli asset dalla pagina dei dettagli dell'asset

È anche possibile modificare un singolo asset dalla pagina dei dettagli dell'asset. Questa opzione è ideale per le situazioni in cui è necessario esaminare accuratamente gli asset prima di applicare un'etichetta o una modifica dello stato.

1. Nel riquadro più a sinistra della risorsa Defender EASM selezionare Inventario.

2. Selezionare l'asset specifico da modificare per aprire la pagina dei dettagli dell'asset.

3. In questa pagina selezionare Modifica asset.

4. Nel riquadro Modifica asset che si apre sul lato destro dello schermo apportare le modifiche desiderate. È possibile modificare lo stato dell'asset, applicare un ID esterno o aggiungere o rimuovere etichette. Se è necessario creare una nuova etichetta, selezionare Crea una nuova etichetta, immettere il nome dell'etichetta e il testo visualizzato, selezionare un colore e selezionare Aggiungi. Dopo aver configurato le modifiche, selezionare Aggiorna.

5. La pagina dei dettagli dell'asset viene aggiornata e viene visualizzata l'etichetta o la modifica dello stato appena applicata. Un banner indica che l'asset è stato aggiornato correttamente.

Modificare, rimuovere o eliminare etichette

È possibile rimuovere un'etichetta da un asset accedendo allo stesso riquadro Modifica asset dall'elenco inventario o dalla visualizzazione dei dettagli dell'asset. Dalla visualizzazione elenco inventario è possibile selezionare più asset contemporaneamente e quindi aggiungere o rimuovere l'etichetta desiderata in un'unica azione.

Per modificare l'etichetta stessa o eliminare un'etichetta dal sistema:

1. Nel riquadro più a sinistra della risorsa Defender EASM selezionare Etichette (anteprima).

In questa pagina vengono visualizzate tutte le etichette all'interno dell'inventario Defender EASM. Le etichette in questa pagina potrebbero esistere nel sistema, ma non essere applicate attivamente ad alcun asset. È anche possibile aggiungere nuove etichette da questa pagina.

2. Per modificare un'etichetta, selezionare l'icona a matita nella colonna Azioni dell'etichetta da modificare. Sul lato destro dello schermo viene aperto un riquadro in cui è possibile modificare il nome o il colore di un'etichetta. Selezionare Aggiorna.

3. Per rimuovere un'etichetta, selezionare l'icona del cestino dalla colonna Azioni dell'etichetta da eliminare. Selezionare Rimuovi etichetta.

La pagina Etichette viene aggiornata automaticamente. L'etichetta viene rimossa dall'elenco e rimossa anche da tutti gli asset a cui è stata applicata l'etichetta. Un banner conferma la rimozione.

Contrassegnare le osservazioni come non applicabili

Anche se le osservazioni possono essere contrassegnate come non applicabili dalle stesse schermate Modifica asset per altre modifiche manuali, è anche possibile apportare questi aggiornamenti dalla scheda Osservazioni in Dettagli asset. La scheda Osservazioni include due tabelle: Osservazioni e Osservazioni non applicabili. Tutte le osservazioni attive determinate come recenti all'interno della superficie di attacco si trovano nella tabella Osservazioni , mentre nella tabella Osservazioni non applicabili sono elencate tutte le osservazioni contrassegnate manualmente come non applicabili o determinate dal sistema per non essere più applicabili. Per contrassegnare le osservazioni come non applicabili e quindi escludere tale osservazione dai conteggi del dashboard, è sufficiente selezionare le osservazioni desiderate e selezionare Imposta come non applicabile. Queste osservazioni scompaiono immediatamente dalla tabella Osservazioni attiva e vengono invece visualizzate nella tabella Osservazioni non applicabili . È possibile ripristinare questa modifica in qualsiasi momento selezionando le osservazioni pertinenti da questa tabella e selezionando Imposta come applicabile.

Gestione attività e notifiche

Dopo l'invio di un'attività, una notifica conferma che l'aggiornamento è in corso. Da qualsiasi pagina in Azure selezionare l'icona Notifica (campana) per visualizzare altre informazioni sulle attività recenti.

Tenere traccia delle attività di modifica in Gestione attività

Il sistema Defender EASM può richiedere secondi per aggiornare una manciata di asset o minuti per aggiornarne migliaia. È possibile usare Gestione attività per controllare lo stato di tutte le attività di modifica in corso. La procedura seguente illustra come accedere a Gestione attività ed esaminare lo stato di completamento degli aggiornamenti inviati.

1. Nel riquadro più a sinistra della risorsa Defender EASM selezionare Gestione attività.

2. In questa pagina vengono visualizzate tutte le attività recenti e il relativo stato. Le attività sono elencate come Completate, Non riuscite o In corso. Vengono visualizzati anche una percentuale di completamento e un indicatore di stato. Per visualizzare altri dettagli su un'attività specifica, selezionare il nome dell'attività. Sul lato destro dello schermo viene aperto un riquadro che fornisce altre informazioni.

3. Selezionare Aggiorna per visualizzare lo stato più recente di tutti gli elementi in Gestione attività.

Filtrare per le etichette

Dopo aver etichettato gli asset nell'inventario, è possibile usare i filtri di inventario per recuperare un elenco di tutti gli asset con un'etichetta specifica applicata.

1. Nel riquadro più a sinistra della risorsa Defender EASM selezionare Inventario.

2. Selezionare Aggiungi filtro.

3. Selezionare Etichette dall'elenco a discesa Filtro . Selezionare un operatore e scegliere un'etichetta dall'elenco a discesa delle opzioni. Nell'esempio seguente viene illustrato come cercare una singola etichetta. È possibile usare l'operatore In per cercare più etichette. Per altre informazioni sui filtri, vedere panoramica dei filtri di inventario.

4. Selezionare Applica. La pagina elenco inventario ricarica e visualizza tutti gli asset che corrispondono ai criteri.

Gestione basata su catena di asset

In alcuni casi, è possibile rimuovere più asset contemporaneamente in base ai mezzi con cui sono stati individuati. Ad esempio, potresti stabilire che un determinato seed all'interno di un gruppo di rilevamento ha incluso asset non pertinenti per la tua organizzazione, oppure potresti dover rimuovere asset relativi a una consociata che non rientra più nella tua responsabilità. Per questo motivo, Defender EASM offre la possibilità di rimuovere l'entità di origine e tutti gli asset "downstream" nella catena di individuazione. È possibile eliminare gli asset collegati con i tre metodi seguenti:

• Gestione basata su seed: È possibile eliminare un seed che in precedenza era incluso in un gruppo di rilevamento, rimuovendo tutti gli asset aggiunti all'inventario tramite una connessione osservata con il seed specificato. Questo metodo è utile quando si può stabilire che uno specifico seed immesso manualmente ha portato all'aggiunta di asset indesiderati all'inventario.
• Gestione della catena di individuazione: è possibile identificare un asset all'interno di una catena di individuazione ed eliminarlo, rimuovendo contemporaneamente gli asset individuati da tale entità. L'individuazione è un processo ricorsivo; analizza i semi per identificare i nuovi asset direttamente associati a questi semi designati, quindi continua a analizzare le entità appena individuate per svelare più connessioni. Questo approccio di eliminazione è utile quando il gruppo di individuazione è configurato correttamente, ma è necessario rimuovere un asset appena individuato e tutti gli asset inseriti nell'inventario per associazione a tale entità. Considera le impostazioni del gruppo di rilevamento e i seed designati come il "top" della catena di rilevamento; questo approccio di eliminazione consente di rimuovere gli asset dalla parte centrale.
• Gestione dei gruppi di individuazione: È possibile rimuovere interi gruppi di individuazione e tutti gli asset introdotti per l'inventario tramite questo gruppo di individuazione. Ciò è utile quando un intero gruppo di rilevamento non è più applicabile alla tua organizzazione. Ad esempio, è possibile avere un gruppo di individuazione che cerca in modo specifico gli asset correlati a una filiale. Se questa filiale non è più rilevante per l'organizzazione, è possibile sfruttare la gestione basata sulla catena di asset per eliminare tutti gli asset inseriti nell'inventario tramite tale gruppo di individuazione.

È comunque possibile visualizzare gli asset rimossi in Defender EASM. È sufficiente filtrare l'elenco di inventario per gli asset nello stato "Archiviato".

Eliminare gli asset per valore di inizializzazione

È possibile decidere che uno dei semi di individuazione inizialmente designati non debba più essere incluso in un gruppo di individuazione. Il seed potrebbe non essere più rilevante per la tua organizzazione, oppure potrebbe produrre più falsi positivi che risorse effettivamente di proprietà. In questo caso, è possibile rimuovere il seed dal Discovery Group per evitare che venga utilizzato nei futuri processi di discovery, rimuovendo allo stesso tempo tutte le risorse che in passato sono state aggiunte all'inventario tramite il seed designato.

Per eseguire una rimozione in blocco basata su un seed, vai alla pagina dei dettagli del Discovery Group appropriato e seleziona Modifica Discovery Group. Segui le istruzioni per raggiungere la pagina Seeds e rimuovere il seed problematico dall'elenco. Quando selezioni Rivedi + aggiorna, viene visualizzato un avviso che indica che tutti gli asset rilevati tramite il seed designato verranno anch'essi rimossi. Selezionare Aggiorna o Aggiorna & Esegui per completare l'eliminazione.

Eliminare gli asset in base alla catena di individuazione

Nell'esempio seguente, immagina di aver individuato un modulo di accesso non sicuro nella dashboard Riepilogo superficie di attacco. L'indagine indirizza l'utente a un host che non sembra essere di proprietà dell'organizzazione. Per ulteriori informazioni, consulta la pagina dei dettagli dell'asset; esaminando la catena di Discovery, scopri che l'host è stato inserito nell'inventario perché il dominio corrispondente è stato registrato tramite l'indirizzo email aziendale di un dipendente, che era stato usato anche per registrare entità aziendali approvate.

In questa situazione, il seed iniziale del rilevamento (il dominio aziendale) è ancora legittimo, quindi dobbiamo invece rimuovere una risorsa problematica dalla catena di rilevamento. Anche se è possibile eseguire l'eliminazione della catena dal messaggio di posta elettronica del contatto, si sceglierà invece di rimuovere tutti gli elementi associati al dominio personale registrato per questo dipendente in modo che Defender EASM in futuro ci avviserà di eventuali altri domini registrati a tale indirizzo di posta elettronica. Dal percorso di individuazione, seleziona questo dominio personale per visualizzare la pagina dei dettagli della risorsa. In questa vista, seleziona Rimuovi dalla catena di rilevamento per rimuovere l'asset dall'inventario, nonché tutti gli asset aggiunti all'inventario in seguito a una connessione osservata con il dominio personale. È necessario confermare la rimozione dell'asset e di tutti gli asset downstream e quindi viene visualizzato un elenco riepilogato degli altri asset rimossi con questa azione. Selezionare "Rimuovi catena di rilevamento" per confermare la rimozione in blocco.

Eliminare gli asset per gruppo di rilevamento

Potrebbe essere necessario eliminare un intero gruppo di individuazione e tutti gli asset individuati tramite tale gruppo. Ad esempio, la società potrebbe aver venduto una filiale che non deve più essere monitorata. Gli utenti possono eliminare i gruppi di rilevamento dalla pagina Gestione rilevamento. Per rimuovere un gruppo di individuazione e tutte le risorse correlate, selezionare l'icona trash bin accanto al gruppo desiderato nell'elenco. Verrà visualizzato un avviso che elenca un riepilogo degli asset che verranno rimossi con questa azione. Per confermare l'eliminazione del gruppo di individuazione; e tutti gli asset correlati, selezionare Rimuovi gruppo di individuazione.

Contenuto correlato

• Panoramica dei filtri di inventario
• Informazioni sulle risorse di inventario
• Comprendi i dettagli dell'asset