Creare criteri di rilevamento delle anomalie di Defender for Cloud Apps

I criteri di rilevamento anomalie Microsoft Defender for Cloud Apps forniscono analisi del comportamento dell'entità e dell'utente (UEBA) e Machine Learning (ML) predefiniti, in modo da essere pronti fin dall'inizio per eseguire il rilevamento avanzato delle minacce nell'ambiente cloud. Poiché vengono abilitati automaticamente, i nuovi criteri di rilevamento anomalie avviano immediatamente il processo di rilevamento e confronto dei risultati, indirizzando numerose anomalie comportamentali tra gli utenti e i computer e i dispositivi connessi alla rete. Inoltre, i criteri espongono più dati dal motore di rilevamento Defender for Cloud Apps, per velocizzare il processo di indagine e contenere minacce in corso.

I criteri di rilevamento anomalie vengono abilitati automaticamente, ma Defender for Cloud Apps ha un periodo di apprendimento iniziale di sette giorni durante il quale non vengono generati tutti gli avvisi di rilevamento anomalie. Dopo il periodo di apprendimento iniziale di sette giorni, poiché i dati vengono raccolti dai connettori API configurati, ogni sessione viene confrontata con l'attività, quando gli utenti erano attivi, gli indirizzi IP, i dispositivi e così via, rilevati nell'ultimo mese e il punteggio di rischio di queste attività. Tenere presente che potrebbero essere richieste diverse ore prima che i dati siano disponibili dai connettori API. I rilevamenti anomalie generati da questa analisi fanno parte del motore di rilevamento anomalie euristica che profila l'ambiente e attiva gli avvisi in relazione a una baseline appresa sull'attività dell'organizzazione. I rilevamenti anomalie usano anche algoritmi di Machine Learning progettati per profilare gli utenti e il modello di accesso per ridurre i falsi positivi.

Le anomalie vengono rilevate tramite l'analisi dell'attività utente. Il rischio viene valutato esaminando oltre 30 diversi indicatori di rischio, raggruppati in fattori di rischio, come indicato di seguito:

• Indirizzo IP a rischio
• Errori di accesso
• Attività dell'amministratore
• Account non attivi
• Posizione
• Spostamento fisico impossibile
• Dispositivo e agente utente
• Frequenza attività

In base ai risultati dei criteri, vengono attivati avvisi di sicurezza. Defender for Cloud Apps esamina ogni sessione utente nel cloud e avvisa quando si verifica un evento diverso dalla linea di base dell'organizzazione o dall'attività regolare dell'utente.

Criteri di rilevamento anomalie

È possibile visualizzare i criteri di rilevamento anomalie nel portale di Microsoft Defender passando ad App cloud ->Criteri ->Gestione dei criteri. Scegliere quindi Criteri di rilevamento anomalie per il tipo di criterio.

Sono disponibili i criteri di rilevamento anomalie seguenti:

Criteri di rilevamento anomalie di viaggio impossibili

Il rilevamento di viaggi impossibili identifica due attività utente (in una singola o più sessioni) provenienti da posizioni geograficamente distanti entro un periodo di tempo più breve del tempo che avrebbe portato l'utente a spostarsi dalla prima posizione alla seconda, a indicare che un utente diverso usa le stesse credenziali. Il rilevamento di viaggi impossibili usa un algoritmo di Machine Learning che ignora i "falsi positivi" evidenti che contribuiscono alla condizione di viaggio impossibile, ad esempio VPN e località usate regolarmente da altri utenti dell'organizzazione. Il rilevamento ha un periodo di apprendimento iniziale di sette giorni durante il quale apprende il modello di attività di un nuovo utente. Il rilevamento degli spostamenti impossibili identifica attività insolite e impossibili dell'utente tra due località. L'attività deve essere abbastanza insolita da essere considerata un indicatore di compromissione e degna di un avviso. Per rendere accurato il rilevamento di viaggi impossibili, la logica di rilevamento include diversi livelli di eliminazione per affrontare scenari che possono attivare falsi positivi, ad esempio attività VPN o attività da provider di servizi cloud che non indicano una posizione fisica. Il cursore di sensibilità consente di influire sull'algoritmo e di definire quanto rigorosa sia la logica di rilevamento. Più alto è il livello di sensibilità, meno attività saranno soppresse nell’ambito della logica di rilevamento. Regolando il cursore di sensibilità, è possibile regolare il rilevamento in base alle esigenze di copertura e agli obiettivi di SNR.

Attività derivante dal criterio di rilevamento di paesi insoliti

L'attività del rilevamento di paesi non frequenti considera le località delle attività precedenti per determinare località nuove e non frequenti. Il motore di rilevamento anomalie archivia le informazioni sulle posizioni precedenti usate dall'utente. Un avviso viene attivato quando si verifica un'attività da una posizione che non è stata visitata di recente o non è mai stata visitata dall'utente. Per ridurre gli avvisi falsi positivi, il rilevamento elimina le connessioni caratterizzate da preferenze comuni per l'utente.

Criteri di rilevamento malware

I criteri di rilevamento malware identificano i file dannosi nell'archiviazione cloud, indipendentemente dal fatto che provenano dalle app di Microsoft o dalle app di terze parti. Microsoft Defender for Cloud Apps usa l'intelligence sulle minacce di Microsoft per riconoscere se alcuni file che corrispondono a euristiche dei rischi, ad esempio il tipo di file e il livello di condivisione, sono associati ad attacchi malware noti e sono potenzialmente dannosi. Questo criterio integrato è disabilitato per impostazione predefinita. Dopo aver rilevato file dannosi, è possibile visualizzare un elenco di file infetti. Selezionare il nome del file malware nel pannello dei file per aprire un report di malware che fornisce informazioni sul tipo di malware con cui il file è infetto.

Usare i criteri di rilevamento malware con i criteri di sessione per controllare i caricamenti e i download dei file in tempo reale.

File Sandboxing

Abilitando il sandboxing dei file, i file che in base ai metadati e basati sull'euristica proprietaria sono potenzialmente rischiosi, verranno analizzati anche in un ambiente sicuro. La scansione Sandbox può rilevare file non rilevati dalle fonti di threat intelligence.

Defender for Cloud Apps supporta il rilevamento di malware "File Sandboxing" per le seguenti app:

• Box
• Dropbox
• Google Workspace

Criterio relativo all'attività da indirizzi IP anonimi

Il rilevamento attività da indirizzi IP anonimi identifica che gli utenti sono stati attivi da un indirizzo IP identificato come indirizzo IP proxy anonimo. Questi proxy vengono usati da utenti che vogliono nascondere l'indirizzo IP del dispositivo e possono essere usati per finalità dannose. Il rilevamento dell’attività da indirizzi IP anonimi usa un algoritmo di apprendimento automatico che riduce i "falsi positivi", ad esempio gli indirizzi IP etichettati erroneamente e ampiamente utilizzati dagli utenti dell’organizzazione.

Criteri di rilevamento delle attività ransomware

Defender for Cloud Apps esteso le sue funzionalità di rilevamento ransomware con rilevamento anomalie per garantire una copertura più completa contro attacchi ransomware sofisticati. Utilizzando le nostre competenze di ricerca sulla sicurezza per identificare modelli comportamentali che riflettono l'attività ransomware, Defender for Cloud Apps garantisce una protezione olistica e solida. Se Defender for Cloud Apps identifica, ad esempio, una frequenza elevata di caricamenti di file o attività di eliminazione di file, può rappresentare un processo di crittografia negativo. Questi dati vengono raccolti nei log ricevuti dalle API connesse e vengono quindi combinati con modelli comportamentali appresi e intelligence sulle minacce, ad esempio estensioni ransomware note. Per altre informazioni su come Defender for Cloud Apps rileva il ransomware, vedere Protezione dell'organizzazione da ransomware.

Attività eseguita dai criteri utente terminati

L'attività eseguita dal rilevamento utenti terminato consente di identificare quando un dipendente terminato continua a eseguire azioni sulle app SaaS. Poiché i dati mostrano che il maggior rischio di minaccia insider deriva dai dipendenti che hanno lasciato in condizioni non appropriate, è importante tenere d'occhio l'attività sugli account dei dipendenti terminati. A volte, quando i dipendenti lasciano un'azienda, i loro account vengono disattivati nelle app aziendali, ma in molti casi mantengono comunque l'accesso a determinate risorse aziendali. Ciò è ancora più importante quando si considerano gli account con privilegi, in quanto il potenziale danno che un ex amministratore può fare è intrinsecamente maggiore. Questo rilevamento sfrutta la Defender for Cloud Apps possibilità di monitorare il comportamento degli utenti tra le app, consentendo l'identificazione dell'attività regolare dell'utente, il fatto che l'account è stato eliminato e l'attività effettiva in altre app. Ad esempio, un dipendente il cui account Microsoft Entra è stato eliminato, ma ha ancora accesso all'infrastruttura AWS aziendale, può causare danni su larga scala.

Il rilevamento cerca gli utenti i cui account sono stati eliminati in Microsoft Entra ID, ma esegue comunque attività in altre piattaforme, ad esempio AWS o Salesforce. Ciò è particolarmente rilevante per gli utenti che usano un altro account (non il proprio account Single Sign-On principale) per gestire le risorse, poiché questi account spesso non vengono eliminati quando un utente lascia l'azienda.

Criterio relativo all'attività proveniente da indirizzi IP sospetti

Questo rilevamento identifica che gli utenti erano attivi da un indirizzo IP identificato come rischioso da Microsoft Threat Intelligence. Questi indirizzi IP sono coinvolti in attività dannose, ad esempio l'esecuzione di spray password, Botnet C&C e possono indicare un account compromesso. Questo rilevamento usa un algoritmo di Machine Learning che riduce i "falsi positivi", ad esempio gli indirizzi IP con tag errati ampiamente usati dagli utenti dell'organizzazione.

Criteri di inoltro della posta in arrivo sospetti

Questo rilevamento cerca regole di inoltro di posta elettronica sospette, ad esempio se un utente ha creato una regola di posta in arrivo che inoltra una copia di tutti i messaggi di posta elettronica a un indirizzo esterno.

Criterio relativo alle regole sospette di manipolazione della posta in arrivo

Questo rilevamento profila l'ambiente e attiva gli avvisi quando vengono impostate regole sospette che eliminano o spostano messaggi o cartelle nella posta in arrivo di un utente. Ciò può indicare che l'account dell'utente è compromesso, che i messaggi vengono intenzionalmente nascosti e che la cassetta postale viene usata per distribuire posta indesiderata o malware nell'organizzazione.

Criteri di attività di eliminazione della posta elettronica sospetti (anteprima)

Questo criterio profila l'ambiente e attiva avvisi quando un utente esegue attività sospette di eliminazione della posta elettronica in una singola sessione. Questo criterio può indicare che le cassette postali di un utente possono essere compromesse da potenziali vettori di attacco, ad esempio la comunicazione di comando e controllo (C&C/C2) tramite posta elettronica.

Criteri per le attività sospette di download di file dell'app OAuth

Analizza le app OAuth connesse all'ambiente e attiva un avviso quando un'app scarica più file da Microsoft SharePoint o Microsoft OneDrive in modo insolito per l'utente. Ciò potrebbe indicare che l'account utente è compromesso.

ISP insolito per un criterio di app OAuth

Questo criterio profila l'ambiente e attiva avvisi quando un'app OAuth si connette alle applicazioni cloud da un ISP non comune. Questo criterio può indicare che un utente malintenzionato ha tentato di usare un'app compromessa legittima per eseguire attività dannose nelle applicazioni cloud.

Attività insolite in base ai criteri utente

Questi rilevamenti identificano gli utenti che eseguono:

• Attività insolite di download di più file
• Attività insolite di condivisione file
• Attività insolite di eliminazione di file
• Attività insolite di usurpazione d'identità
• Attività amministrative insolite
• Attività insolite di condivisione di report di Power BI (anteprima)
• Attività insolite di creazione di più macchine virtuali (anteprima)
• Attività insolite di eliminazione di più risorse di archiviazione (anteprima)
• Area geografica insolita per una risorsa cloud (anteprima)

Questi criteri rilevano attività all’interno di una singola sessione rispetto alla baseline appresa, che possono indicare un tentativo di violazione. Questi rilevamenti sfruttano un algoritmo di Machine Learning che profila il modello di accesso degli utenti e riduce i falsi positivi. Questi rilevamenti fanno parte del motore di rilevamento anomalie euristiche che profila l'ambiente e attiva avvisi rispetto a una baseline appresa sull'attività dell'organizzazione.

Criterio per tentativi di accesso multipli non riusciti

Questo rilevamento identifica gli utenti che hanno eseguito più tentativi di accesso non riusciti in una singola sessione rispetto alla baseline appresa, che potrebbero indicare un tentativo di violazione.

Criterio per le attività di eliminazione di più macchine virtuali

Questo criterio profila l'ambiente e attiva avvisi quando gli utenti eliminano più macchine virtuali in una singola sessione, rispetto alla baseline nell'organizzazione. Questo potrebbe indicare un tentativo di violazione.

Abilitare la governance automatizzata

È possibile abilitare azioni di correzione automatizzate sugli avvisi generati dai criteri di rilevamento anomalie.

1. Selezionare il nome dei criteri di rilevamento nella pagina Criteri .
2. Nella finestra Modifica criteri di rilevamento anomalie visualizzata, in Azioni di governance impostare le azioni di correzione desiderate per ogni app connessa o per tutte le app.
3. Selezionare Aggiorna.

Ottimizzare i criteri di rilevamento anomalie

Per influire sul motore di rilevamento anomalie per eliminare o visualizzare gli avvisi in base alle proprie preferenze:

Nel criterio "Viaggio impossibile" è possibile impostare il cursore della sensibilità per determinare il livello di comportamento anomalo necessario per attivare un avviso. Ad esempio, se lo imposti su basso o medio, eliminerà gli avvisi di Viaggio impossibile dalle posizioni comuni di un utente e, se lo imposti su alto, genererà tali avvisi. È possibile scegliere tra i livelli di riservatezza seguenti:

• Basso: soppressioni di sistema, del tenant e degli utenti
• Medio: eliminazioni di sistema e utenti
• Alta: Solo soppressioni di sistema

Dove:

Ambito dei criteri di rilevamento anomalie

Ogni criterio di rilevamento anomalie può essere definito in modo indipendente in modo da essere applicato solo agli utenti e ai gruppi che si vuole includere ed escludere nel criterio. Ad esempio, è possibile impostare l'Attività dal rilevamento di un paese non frequente per ignorare un utente specifico che viaggia di frequente.

Per definire l'ambito di un criterio di rilevamento anomalie:

1. Nel portale di Microsoft Defender passare a App cloud ->Criteri ->Gestione dei criteri. Scegliere quindi Criteri di rilevamento anomalie per il tipo di criterio.

2. Selezionare il criterio di cui si desidera definire l'ambito.

3. In Ambito modificare l'elenco a discesa dall'impostazione predefinita Tutti gli utenti e i gruppi in Utenti e gruppi specifici.

4. Selezionare Includi per specificare gli utenti e i gruppi per i quali verranno applicati i criteri. Qualsiasi utente o gruppo non selezionato non verrà considerato una minaccia e non genererà un avviso.

5. Selezionare Escludi per specificare gli utenti per cui questo criterio non verrà applicato. Qualsiasi utente selezionato qui non verrà considerato una minaccia e non genererà un avviso, anche se è membro di gruppi selezionati in Includi.

   

Classificare e stabilire la priorità degli avvisi di rilevamento anomalie

È possibile valutare rapidamente i vari avvisi attivati dai nuovi criteri di rilevamento anomalie e decidere quali devono essere curati per primi. A tale scopo, è necessario il contesto per l'avviso, in modo da poter vedere il quadro generale e capire se qualcosa di dannoso sta effettivamente accadendo.

1. Nel registro attività è possibile aprire un'attività per visualizzare il riquadro Attività. Selezionare Utente per visualizzare la scheda Informazioni dettagliate utente. Questa scheda include informazioni come il numero di avvisi, attività e da dove si sono connessi, che è importante in un'indagine.

   

2. Per i file infetti da malware, dopo il rilevamento dei file, è possibile visualizzare un elenco di file infetti. Selezionare il nome del file malware nel pannello dei file per aprire un report di malware che fornisce informazioni su quel tipo di malware con cui il file è infetto.

Passaggi successivi

Se si verificano problemi, siamo qui per aiutarti. Per ottenere assistenza o supporto per il problema del prodotto, aprire un ticket di supporto