Crea criteri di accesso per Microsoft Defender for Cloud Apps

I criteri di accesso di Microsoft Defender for Cloud Apps usano il controllo delle app per l'accesso condizionale per fornire monitoraggio e controllo in tempo reale dell'accesso alle app cloud. I criteri di accesso controllano l'accesso in base a utente, posizione, dispositivo e app e sono supportati per qualsiasi dispositivo. Prima di creare un criterio di accesso, assicurarsi di soddisfare i prerequisiti, incluse le licenze necessarie e la configurazione del controllo delle app per l'accesso condizionale.

I criteri creati per un'app host non sono connessi ad app di risorse correlate. Ad esempio, i criteri di accesso creati per Teams, Exchange o Gmail non sono connessi a SharePoint, OneDrive o Google Drive. Se è necessario un criterio per l'app di risorsa oltre che per l'app host, crea un criterio separato.

Prerequisiti

Prima di iniziare, assicurarsi di avere i prerequisiti seguenti:

• Una licenza Defender for Cloud Apps, come licenza autonoma o come parte di un'altra licenza

• Una licenza per Microsoft Entra ID P1, come licenza autonoma o come parte di un'altra licenza

• Se si usa un IdP non Microsoft, la licenza richiesta dalla soluzione IdP (Identity Provider)

• Un criterio di accesso condizionale di Microsoft Entra ID configurato per Microsoft Defender for Cloud Apps (controllo delle app per l'accesso condizionale). I criteri di accesso condizionale creano le autorizzazioni necessarie per controllare il traffico. Per ulteriori informazioni, vedere: Registrare automaticamente le app Microsoft Entra ID nel controllo delle app di accesso condizionale (anteprima)

• Le app interessate integrate nel controllo app di Accesso Condizionale. Le app di Microsoft Entra ID vengono registrate automaticamente, mentre le app IdP non Microsoft devono essere registrate manualmente.

  Se si usa un IdP non Microsoft, assicurarsi di aver configurato anche idp per l'uso con Microsoft Defender for Cloud Apps. Per altre informazioni, vedere:

  • Integrare app del catalogo di IdP non Microsoft per il controllo delle app di Accesso condizionale
  • Eseguire l'onboarding di app personalizzate non Microsoft IdP per il controllo delle app per l'accesso condizionale

Esempio: Creare criteri di accesso condizionale Microsoft Entra ID da usare con Defender for Cloud Apps

Questa procedura fornisce un esempio generale di come creare criteri di accesso condizionale da usare con Defender for Cloud Apps.

1. Accedi al centro di amministrazione di Microsoft Entra come minimo come Amministratore di Accesso Condizionale.
2. Passare a Entra ID>Accesso condizionale>Criteri.
3. Selezionare Nuovo criterio.
4. Assegna un nome al criterio. È consigliabile che le organizzazioni creino uno standard significativo per i nomi dei criteri.
5. In Assegnazioni selezionare Utenti o identità del carico di lavoro.
   1. In Includi selezionare Tutti gli utenti
   2. In Escludi, seleziona Utenti e gruppi e scegli gli account di accesso di emergenza o gli account break-glass della tua organizzazione.
6. In Risorse di destinazione>(in precedenza app cloud) selezionare le opzioni seguenti:
   1. In Includi scegliere Seleziona risorse.
   2. Selezionare le app client da includere nei criteri.
7. In Condizioni, seleziona le condizioni che desideri includere nel criterio.
8. In Controlli di accesso>Sessione, seleziona Usa il controllo delle app per l'accesso condizionale, quindi seleziona Seleziona.
9. Conferma le impostazioni e imposta Abilita criterio su Solo segnalazione.
10. Seleziona Crea per abilitare il criterio.

Dopo aver confermato le impostazioni usando l'impatto sui criteri o la modalità solo report, spostare l'interruttore Abilita criteri da Solo report a Attivato.

Per altre informazioni, vedere Criteri di accesso condizionale e Compilazione di criteri di accesso condizionale.

Creare un criterio di accesso di Defender for Cloud Apps

Questa procedura descrive come creare un nuovo criterio di accesso in Defender for Cloud Apps.

1. In Microsoft Defender, selezionare la scheda App cloud > Criteri > Gestione criteri > Accesso condizionale.

2. Selezionare Crea criterio>Criterio di accesso. Ad esempio:

   

3. Nella pagina Crea criteri di accesso immettere le informazioni di base seguenti:

   Nome	Descrizione
   Nome del criterio	Nome significativo per i criteri, ad esempio Blocca l'accesso da dispositivi non gestiti
   Livello di gravità del criterio	Seleziona il livello di gravità da applicare al criterio.
   Categoria	Mantieni il valore predefinito di Controllo di accesso
   Descrizione	Immettere una descrizione significativa facoltativa per i criteri per consentire al team di comprenderne lo scopo.

4. Nell'area Attività corrispondente a tutte le aree seguenti selezionare filtri attività aggiuntivi da applicare ai criteri. I filtri includono le opzioni seguenti:

   Nome	Descrizione
   App	Filtri per un'app specifica da includere nei criteri. Selezionare le app selezionando prima di tutto se usano l'onboarding automatizzato Azure AD, per le app Microsoft Entra ID o l'onboarding manuale, per le app non Microsoft IdP. Selezionare quindi l'app da includere nel filtro dall'elenco. Se l'app IdP non Microsoft non è presente nell'elenco, assicurati di aver completato interamente la procedura di onboarding. Per altre informazioni, vedere: - Eseguire l'onboarding di app del catalogo IDP non Microsoft per il controllo delle app per l'accesso condizionale - Eseguire l'onboarding di app personalizzate non Microsoft IdP per il controllo delle app per l'accesso condizionale Se si sceglie di non utilizzare il filtro App, il criterio si applica a tutte le applicazioni contrassegnate come Abilitate nella pagina Impostazioni > App cloud > App connesse > App di Controllo app per l'accesso condizionale. Nota: potresti notare una certa sovrapposizione tra le app per cui è già stato eseguito l'onboarding e le app che richiedono l'onboarding manuale. In caso di conflitto nel filtro tra le app, le app con onboarding manuale hanno la precedenza.
   App client	Filtrare per le app browser o per dispositivi mobili/desktop.
   Dispositivo	Filtrare i tag del dispositivo, ad esempio per un metodo di gestione dei dispositivi specifico, o i tipi di dispositivo, ad esempio PC, dispositivi mobili o tablet.
   Indirizzo IP	Filtrare per indirizzo IP o usare tag di indirizzo IP assegnati in precedenza.
   Posizione	Filtrare in base alla posizione geografica. L'assenza di una posizione chiaramente definita potrebbe identificare le attività rischiose.
   ISP registrato	Filtrare le attività provenienti da un ISP specifico.
   Utente	Filtrare per un utente o un gruppo di utenti specifico.
   Stringa dell'agente utente	Filtrare per una stringa dell'agente utente specifica.
   Tag dell'agente utente	Filtrare i tag dell'agente utente, ad esempio per i browser o i sistemi operativi obsoleti.

   Ad esempio:

   

   Selezionare Modifica e anteprima dei risultati per ottenere un'anteprima dei tipi di attività che verranno restituiti con la selezione corrente.

5. Nell'area Azioni selezionare una delle opzioni seguenti:

   • Controllo: impostare questa azione per consentire l'accesso in base ai filtri dei criteri impostati in modo esplicito.

   • Blocca: impostare questa azione per bloccare l'accesso in base ai filtri dei criteri impostati in modo esplicito.

6. Nell'area Avvisi configurare una delle azioni seguenti in base alle esigenze:

   • Creare un avviso per ogni evento corrispondente con il livello di gravità del criterio
   • Inviare un avviso come messaggio di posta elettronica
   • Limite di avvisi giornalieri per criterio
   • Inviare avvisi a Power Automate

7. Al termine, selezionare Crea.

Testa il criterio

Dopo aver creato i criteri di accesso, testarli di nuovo eseguendo l'autenticazione a ogni app configurata nei criteri. Verifica che l'esperienza dell'app sia quella prevista, quindi controlla i registri delle attività.

Ti consigliamo di:

• Creare un criterio per un utente creato appositamente per il test.
• Disconnettersi da tutte le sessioni esistenti prima di eseguire di nuovo l'autenticazione alle app.
• Accedi alle app mobili e desktop sia da dispositivi gestiti che non gestiti per garantire che le attività siano registrate completamente nel registro attività.

Assicurarsi di accedere con un utente conforme alla policy.

Per testare i criteri nell'app:

• Visitare tutte le pagine all'interno dell'app che fanno parte del processo di lavoro di un utente e verificare che il rendering delle pagine sia corretto.
• Verificare che il comportamento e la funzionalità dell'app non siano influenzati negativamente dall'esecuzione di azioni comuni, ad esempio il download e il caricamento di file.
• Se si lavora con app IdP personalizzate e non Microsoft, controllare ogni dominio aggiunto per l'app. Per altre informazioni, vedere Aggiungere domini per l'app.

Per controllare i log attività:

1. In Microsoft Defender XDR, selezionare App cloud > Log attività e verificare le attività di accesso registrate per ogni passaggio. È possibile filtrare selezionando Filtri avanzati e filtraggio per Origine uguale a Controllo di accesso.

   Le attività di accesso Single Sign-On sono eventi del controllo delle app di Accesso condizionale.

2. Selezionare un'attività da espandere per altri dettagli. Verificare che il tag Dell'agente utente rifletta correttamente se il dispositivo è un client predefinito, un'app per dispositivi mobili o desktop o se il dispositivo è un dispositivo gestito conforme e aggiunto a un dominio.

Se si verificano errori o problemi, usare la barra degli strumenti Amministrazione Visualizza per raccogliere risorse, ad .Har esempio file e sessioni registrate, e quindi inviare un ticket di supporto.

Crea criteri di accesso per i dispositivi gestiti tramite identità

Usa i certificati client per controllare l'accesso ai dispositivi che non sono aggiunti a Microsoft Entra in modalità ibrida e non sono gestiti da Microsoft Intune. Implementare nuovi certificati nei dispositivi gestiti o usare certificati esistenti, ad esempio certificati MDM di terze parti. Ad esempio, è possibile distribuire il certificato client nei dispositivi gestiti e quindi bloccare l'accesso dai dispositivi senza certificato.

Per altre informazioni, vedere Identificare i dispositivi gestiti con il controllo delle app per l'accesso condizionale.

Contenuto correlato

Per altre informazioni, vedere:

• Risoluzione dei problemi relativi all'accesso e ai controlli sessione
• Tutorial: Impedire il download di informazioni sensibili con il controllo delle app di accesso condizionale
• Blocco dei download nei dispositivi non gestiti tramite i controlli sessione

Se si verificano problemi, siamo qui per aiutarti. Per ottenere assistenza o supporto per il problema del prodotto, contattare Microsoft Defender XDR supporto tecnico