Creare criteri di sessione in Microsoft Defender for Cloud Apps

I criteri di sessione di Microsoft Defender for Cloud Apps offrono una visibilità granulare sulle app cloud con monitoraggio in tempo reale a livello di sessione. Usare i criteri di sessione per eseguire varie azioni, a seconda dei criteri impostati per una sessione utente.

A differenza dei criteri di accesso, che consentono o bloccano completamente l'accesso, i criteri di sessione consentono l'accesso durante il monitoraggio della sessione. Aggiungi il controllo delle app di Accesso condizionale ai criteri di sessione per limitare le specifiche attività della sessione.

Ad esempio, è possibile consentire agli utenti di accedere a un'app da dispositivi non gestiti o da posizioni specifiche. Tuttavia, è possibile limitare il download di file sensibili durante tali sessioni o richiedere che documenti specifici siano protetti dal download, dal caricamento o dalla copia quando si esce dall'app.

I criteri creati per un'app host non sono connessi ad alcuna app di risorse correlata. Ad esempio, i criteri di accesso creati per Teams, Exchange o Gmail non sono connessi a SharePoint, OneDrive o Google Drive. Se è necessario un criterio per l'app di risorsa oltre che per l'app host, crea un criterio separato.

Non esiste alcun limite al numero di criteri che è possibile applicare.

Prerequisiti

Prima di iniziare, assicurarsi di avere i prerequisiti seguenti:

• Una licenza Defender for Cloud Apps, come licenza autonoma o come parte di un'altra licenza

• Una licenza per Microsoft Entra ID P1, come licenza autonoma o come parte di un'altra licenza.

• Se si usa un IdP non Microsoft, la licenza richiesta dalla soluzione IdP (Identity Provider).

• Le app interessate integrate nel controllo app di Accesso Condizionale. Le app di Microsoft Entra ID vengono registrate automaticamente, mentre le app IdP non Microsoft devono essere registrate manualmente.

  Se si usa un IdP non Microsoft, assicurarsi di aver configurato anche idp per l'uso con Microsoft Defender for Cloud Apps. Per altre informazioni, vedere:

  • Integrare app del catalogo di IdP non Microsoft per il controllo delle app di Accesso condizionale
  • Eseguire l'onboarding di app personalizzate non Microsoft IdP per il controllo delle app per l'accesso condizionale

Affinché i criteri di sessione funzionino, è necessario disporre anche di un criterio di accesso condizionale Microsoft Entra ID, che crea le autorizzazioni per controllare il traffico.

Esempio: Creare criteri di accesso condizionale Microsoft Entra ID da usare con Defender for Cloud Apps

Questa procedura fornisce un esempio generale di come creare criteri di accesso condizionale da usare con Defender for Cloud Apps.

1. Accedi al centro di amministrazione di Microsoft Entra come minimo come Amministratore di Accesso Condizionale.
2. Passare a Entra ID>Accesso condizionale>Criteri.
3. Selezionare Nuovo criterio.
4. Assegna un nome al criterio. È consigliabile che le organizzazioni creino uno standard significativo per i nomi dei criteri.
5. In Assegnazioni selezionare Utenti o identità del carico di lavoro.
   1. In Includi selezionare Tutti gli utenti
   2. In Escludi, seleziona Utenti e gruppi e scegli gli account di accesso di emergenza o gli account break-glass della tua organizzazione.
6. In Risorse di destinazione>(in precedenza app cloud) selezionare le opzioni seguenti:
   1. In Includi scegliere Seleziona risorse.
   2. Selezionare le app client da includere nei criteri.
7. In Condizioni, seleziona le condizioni che desideri includere nel criterio.
8. In Controlli di accesso>Sessione, seleziona Usa il controllo delle app per l'accesso condizionale, quindi seleziona Seleziona.
9. Conferma le impostazioni e imposta Abilita criterio su Solo segnalazione.
10. Seleziona Crea per abilitare il criterio.

Dopo aver confermato le impostazioni usando l'impatto sui criteri o la modalità solo report, spostare l'interruttore Abilita criteri da Solo report a Attivato.

Per altre informazioni, vedere Criteri di accesso condizionale e Compilazione di criteri di accesso condizionale.

Creare un criterio di sessione di Defender for Cloud Apps

Questa procedura descrive come creare un nuovo criterio di sessione in Defender for Cloud Apps.

1. Nel portale Defender, selezionare la scheda App cloud > Criteri > Gestione dei criteri > Accesso condizionale.

2. Seleziona Crea criterio>Criterio di sessione. Ad esempio:

   

3. Nella pagina Crea criteri sessione iniziare selezionando un modello dall'elenco a discesa Modello di criteri oppure immettendo manualmente tutti i dettagli.

4. Inserisci le seguenti informazioni di base per il criterio. Se si usa un modello, gran parte del contenuto è già compilato automaticamente.

   Nome	Descrizione
   Nome del criterio	Un nome significativo per il criterio, ad esempio Blocca il download dei documenti sensibili in Box per gli utenti Marketing
   Livello di gravità del criterio	Seleziona il livello di gravità da applicare al criterio.
   Categoria	Selezionare la categoria da applicare.
   Descrizione	Immettere una descrizione significativa facoltativa per i criteri per consentire al team di comprenderne lo scopo.
   Tipo di controllo sessione	Selezionare una delle opzioni seguenti: - Solo monitoraggio. Monitora solo l'attività degli utenti e crea un criterio Solo monitoraggio per le app selezionate. - Bloccare le attività. Blocca attività specifiche definite dal filtro del tipo di attività . Tutte le attività delle app selezionate vengono monitorate e segnalate nel log attività. - Controllare il download dei file (con ispezione).Control file download (with inspection). Monitora i download di file e può essere combinato con altre azioni, ad esempio il blocco o la protezione dei download. - Controllare il caricamento dei file (con ispezione).Control file upload (with inspection). Monitora i caricamenti di file e può essere combinato con altre azioni, ad esempio il blocco o la protezione dei caricamenti. Per altre informazioni, vedere Attività supportate per i criteri di sessione.

5. Nell'area Attività corrispondenti a tutti gli elementi seguenti, selezionare filtri aggiuntivi per le attività da applicare al criterio. I filtri includono le opzioni seguenti:

   Nome	Descrizione
   Tipo di attività	Selezionare il tipo di attività da applicare, ad esempio: -Stampa - Operazioni degli appunti quali tagliare, copiare e incollare - Invio, condivisione, annullamento della condivisione o modifica di elementi nelle app supportate. Ad esempio, usare un'attività invia elementi nelle condizioni per intercettare un utente che tenta di inviare informazioni in una chat di Teams o in un canale Slack e bloccare il messaggio se contiene informazioni riservate come una password o altre credenziali.
   App	Filtri per un'app specifica da includere nei criteri. Selezionare le app selezionando prima di tutto se usano l'onboarding automatizzato Azure AD, per le app Microsoft Entra ID o l'onboarding manuale, per le app non Microsoft IdP. Selezionare quindi l'app da includere nel filtro dall'elenco. Se l'app IdP non Microsoft non è presente nell'elenco, assicurati di aver completato interamente la procedura di onboarding. Per altre informazioni, vedere: - Integrare le app del catalogo degli IdP non Microsoft per il controllo delle app di Accesso condizionale. - Eseguire l'onboarding di app personalizzate non Microsoft IdP per il controllo delle app per l'accesso condizionale Se si sceglie di non utilizzare il filtro App, il criterio si applica a tutte le applicazioni contrassegnate come Abilitate nella pagina Impostazioni > App cloud > App connesse > App di Controllo app per l'accesso condizionale. Nota: è possibile che si verifichi una sovrapposizione tra le app di cui viene eseguita l'onboarding e le app che richiedono l'onboarding manuale. In caso di conflitto nel filtro tra le app, le app con onboarding manuale avranno la precedenza.
   Dispositivo	Filtrare i tag del dispositivo, ad esempio per un metodo di gestione dei dispositivi specifico, o i tipi di dispositivo, ad esempio PC, dispositivi mobili o tablet.
   Indirizzo IP	Filtrare per indirizzo IP o usare tag di indirizzo IP assegnati in precedenza.
   Posizione	Filtrare in base alla posizione geografica. L'assenza di una posizione chiaramente definita può identificare le attività rischiose.
   ISP registrato	Filtrare le attività provenienti da un ISP specifico.
   Utente	Filtrare per un utente o un gruppo di utenti specifico.
   Stringa dell'agente utente	Filtrare per una stringa dell'agente utente specifica.
   Tag dell'agente utente	Filtrare i tag dell'agente utente, ad esempio per i browser o i sistemi operativi obsoleti.

   Ad esempio:

   

   Selezionare Modifica e anteprima dei risultati per ottenere un'anteprima dei tipi di attività che verranno restituiti con la selezione corrente.

6. Configurare le opzioni aggiuntive disponibili per qualsiasi tipo di controllo sessione specifico.

   Ad esempio, se è stata selezionata l'opzione Blocca attività, selezionare Usa ispezione del contenuto per esaminare il contenuto dell'attività e quindi configurare le impostazioni in base alle esigenze. In questo caso, è possibile controllare la presenza di testo che include espressioni specifiche, ad esempio un numero di previdenza sociale.

7. Se hai selezionato Controlla il download dei file (con ispezione) o Controlla il caricamento dei file (con ispezione), configura le impostazioni di File che corrispondono a tutti i seguenti criteri.

   1. Configurare uno dei filtri di file seguenti:

      Nome	Descrizione
      Etichetta di riservatezza	Filtrare in base alle etichette di riservatezza di Microsoft Purview Information Protection, se si usa anche Microsoft Purview e se i dati sono protetti dalle relative etichette.
      Nome del file	Filtrare per file specifici.
      Extension	Filtra per tipi di file specifici, ad esempio blocca il download per tutti i file .xls.
      Dimensione del file (MB)	Filtrare in base a dimensioni di file specifiche, ad esempio file di grandi dimensioni o di piccole dimensioni.

   2. Nell'area Applica a (anteprima):

      • Selezionare un metodo di ispezione da usare, ad esempio servizi di classificazione dei dati o malware. Per altre informazioni, vedere Integrazione di Microsoft Data Classification Services.
      • Configurare opzioni più dettagliate per i criteri, ad esempio scenari basati su elementi come impronte digitali o classificatori sottoponibili a training.

8. Nell'area Azioni selezionare una delle opzioni seguenti:

   Nome	Descrizione
   Audit	Monitora tutte le attività. Selezionare questa opzione per consentire in modo esplicito il download in base ai filtri dei criteri impostati.
   Blocca	Blocca il download dei file e monitora tutte le attività. Selezionare questa opzione per bloccare in modo esplicito i download in base ai filtri dei criteri impostati. I criteri di blocco consentono anche di selezionare per inviare notifiche agli utenti tramite posta elettronica e personalizzare il messaggio di blocco.
   Proteggere	Applica un'etichetta di riservatezza al download e monitora tutte le attività. Disponibile solo se è stato selezionato Scarica file di controllo (con ispezione).Available only if you'd selected Control file download (with inspection). Se si usa Microsoft Purview Information Protection, è anche possibile selezionare di applicare un'etichetta di riservatezza ai file corrispondenti, applicare autorizzazioni personalizzate all'utente che scarica i file o bloccare il download di file specifici. Se disponi di un criterio di Accesso condizionale di Microsoft Entra ID, puoi anche scegliere di richiedere l'autenticazione avanzata (Anteprima).

   Facoltativamente, selezionare l'opzione Applica sempre l'azione selezionata anche se i dati non possono essere analizzati in base alle esigenze del criterio.

9. Nell'area Avvisi configurare una delle azioni seguenti in base alle esigenze:

   • Creare un avviso per ogni evento corrispondente con il livello di gravità del criterio
   • Inviare un avviso come messaggio di posta elettronica
   • Limite di avvisi giornalieri per criterio
   • Inviare avvisi a Power Automate

10. Al termine, selezionare Crea.

Testa il criterio

Dopo aver creato i criteri di sessione, testarli di nuovo eseguendo l'autenticazione a ogni app configurata nei criteri e testando lo scenario configurato nei criteri.

Ti consigliamo di:

• Disconnettersi da tutte le sessioni esistenti prima di eseguire di nuovo l'autenticazione alle app.
• Accedi alle app mobili e desktop sia da dispositivi gestiti che non gestiti per garantire che le attività siano registrate completamente nel registro attività.

Assicurarsi di accedere con un utente conforme alla policy.

Per testare i criteri nell'app:

• Controllare se l'icona di blocco viene visualizzata nel browser o se si sta lavorando in un browser diverso da Microsoft Edge, verificare che l'URL dell'app contenga il .mcas suffisso. Per altre informazioni, vedere Protezione nel browser con Microsoft Edge for Business (anteprima).

• Visitare tutte le pagine all'interno dell'app che fanno parte del processo di lavoro di un utente e verificare che il rendering delle pagine sia corretto.

• Verificare che il comportamento e la funzionalità dell'app non siano influenzati negativamente dall'esecuzione di azioni comuni, ad esempio il download e il caricamento di file.

• Se si lavora con app IdP personalizzate e non Microsoft, controllare ognuno dei domini elencati in Aggiungere domini per l'app.

Se si verificano errori o problemi, usare la barra degli strumenti di amministrazione per raccogliere risorse come .har file e sessioni registrate per la presentazione di un ticket di supporto.

Per verificare la disponibilità di aggiornamenti in Microsoft Defender XDR:

1. Nel portale Microsoft Defender, in App cloud, passare a Criteri e quindi selezionare Gestione criteri.
2. Selezionare i criteri creati per visualizzare il report dei criteri. Una corrispondenza dei criteri di sessione dovrebbe essere visualizzata a breve.

Il report dei criteri mostra quali accessi sono stati reindirizzati a Microsoft Defender for Cloud Apps per il controllo delle sessioni, nonché eventuali altre azioni, ad esempio quali file sono stati scaricati o bloccati nelle sessioni monitorate.

Disattivare le impostazioni di notifica utente

Per impostazione predefinita, gli utenti ricevono una notifica quando le sessioni vengono monitorate. Se si preferisce che gli utenti non vengano avvisati o per personalizzare il messaggio di notifica, configurare le impostazioni di notifica.

In Microsoft Defender XDR, selezionare Impostazioni > App cloud > Controllo delle app per l'accesso condizionale > Monitoraggio utenti.

Nella pagina Monitoraggio utenti scegliere una delle impostazioni di notifica seguenti:

• Deselezionare l'opzione Notifica agli utenti che l'attività viene monitorata del tutto
• Mantenere la selezione e selezionare per usare il messaggio predefinito o per personalizzare il messaggio.

Selezionare il collegamento Anteprima per visualizzare un esempio del messaggio configurato in una nuova scheda del browser.

Esporta i log di Cloud Discovery

Il Controllo delle app per l'accesso condizionale registra i log del traffico di ogni sessione utente instradata tramite esso. I log del traffico includono l'ora, l'IP, l'agente utente, gli URL visitati e il numero di byte caricati e scaricati. Questi log vengono analizzati e un report continuo, Controllo app per l'accesso condizionale di Defender for Cloud Apps, viene aggiunto all'elenco dei report di individuazione cloud nel dashboard di individuazione cloud.

Per esportare i log di Cloud Discovery dal dashboard di Cloud Discovery:

1. Nel portale Microsoft Defender selezionare Impostazioni. Scegliere quindi App cloud. In App connesse selezionare Controllo app per l'accesso condizionale.

2. Sopra la tabella selezionare il pulsante esporta. Ad esempio:

   

3. Selezionare l'intervallo del report e selezionare Esporta. L'esportazione del report potrebbe richiedere del tempo.

4. Per scaricare il log esportato dopo che il report è pronto, nel portale di Microsoft Defender passare a Report ->App cloud e quindi Report esportati.

5. Nella tabella, seleziona il report pertinente dall'elenco dei log del traffico di Controllo app per l'accesso condizionale e seleziona Scarica. Ad esempio:

   

Attività supportate per i criteri di sessione

Defender for Cloud Apps i criteri di sessione supportano attività che includono solo il monitoraggio, bloccano tutti i download, richiedono l'autenticazione dettagliata, bloccano attività specifiche, proteggono i file durante il download, proteggono i caricamenti di file sensibili, bloccano il malware durante il caricamento o il download e informano gli utenti a proteggere i file sensibili.

Solo monitoraggio

Il tipo di controllo della sessione Solo monitoraggio monitora solo l'attività di accesso.

Per monitorare altre attività, selezionare Blocca attività, Controllo download file (con ispezione) o Controllo caricamento file (con ispezione) come tipo di controllo della sessione e usare Controlloazione.

Per monitorare le attività diverse da download e caricamenti, è necessario avere almeno un blocco per ogni criterio di attività nei criteri di monitoraggio.

Blocca tutti i download

Quando Controlla il download dei file (con ispezione) è impostato come tipo di controllo della sessione e Blocca come azione, il controllo app per l'accesso condizionale impedisce agli utenti di scaricare un file in base ai filtri dei file dei criteri.

Quando un utente avvia un download, viene visualizzato un messaggio Scarica con restrizioni per l'utente e il file scaricato viene sostituito con un file di testo. Configurare il messaggio del file di testo all'utente in base alle esigenze dell'organizzazione.

Richiedere l'autenticazione dettagliata

L'azione Richiedi autenticazione dettagliata è disponibile quando il tipo di controllo sessione è impostato su Blocca attività, Scarica file di controllo (con ispezione) o Controlla il caricamento dei file (con ispezione).The Require step-up authenticationaction is available when the session control type is set to Block activities, Control file download (with inspection), or Control file upload (with inspection).

Quando questa azione è selezionata, Defender for Cloud Apps reindirizza la sessione a Microsoft Entra l'accesso condizionale per la rivalutazione dei criteri, ogni volta che si verifica l'attività selezionata.

Usare questa opzione per controllare attestazioni come l'autenticazione a più fattori e la conformità del dispositivo durante una sessione, in base al contesto di autenticazione configurato in Microsoft Entra ID.

Bloccare attività specifiche

Quando Blocca attività è impostato come tipo di controllo sessione, selezionare attività specifiche da bloccare in app specifiche.

• Tutte le attività provenienti dalle app configurate vengono monitorate e registrate nel Registro attività delle app > cloud.

• Per bloccare attività specifiche, selezionare ulteriormente l'azioneBlocca e selezionare le attività da bloccare.

• Per generare avvisi per attività specifiche, selezionare l'azioneAudit e configurare le impostazioni degli avvisi.

Ad esempio, è possibile bloccare le attività seguenti:

• Messaggio di Teams inviato. Impedire agli utenti di inviare messaggi da Microsoft Teams o bloccare i messaggi di Teams che contengono contenuto specifico.

• Stampa. Blocca tutte le azioni di stampa.

• Copiare. Blocca tutte le operazioni di copia negli appunti oppure blocca la copia solo per contenuti specifici.

Proteggere i file durante il download

Selezionare il tipo di controllo della sessioneBlocca attività per bloccare attività specifiche, definite usando il filtroTipo di attività.

Tutte le attività provenienti dalle app configurate vengono monitorate e registrate nel Registro attività di > App cloud.

• Selezionare l'azioneBlocca per bloccare attività specifiche oppure selezionare l'azioneControlla e definire le impostazioni di avviso per generare avvisi per attività specifiche.

• Selezionare l'azione Proteggi per proteggere i file con etichette di riservatezza e altre protezioni in base ai filtri dei file del criterio.

  Le etichette di riservatezza sono configurate in Microsoft Purview e devono essere configurate per applicare la crittografia affinché venga visualizzata come opzione nei criteri di sessione Defender for Cloud Apps.

  Dopo aver configurato i criteri di sessione con un'etichetta specifica e l'utente scarica un file che soddisfa i criteri del criterio, l'etichetta e le protezioni e le autorizzazioni corrispondenti vengono applicate al file.

  Il file originale rimane così come era nell'app cloud mentre il file scaricato è protetto. Gli utenti che tentano di accedere al file scaricato devono soddisfare i requisiti di autorizzazione determinati dalla protezione applicata.

Defender for Cloud Apps attualmente supporta l'applicazione di etichette di riservatezza da Microsoft Purview Information Protection per i tipi di file seguenti:

• Word: docm, docx, dotm, dotx
• Excel: xlam, xlsm, xlsx, xltx
• PowerPoint: potm, potx, ppsx, ppsm, pptm, pptx
• PDF

Proteggere i caricamenti di file sensibili

Selezionare il tipo di controllo di sessioneControl file upload (with inspection) per impedire a un utente di caricare un file in base ai filtri dei file dei criteri.

Se il file da caricare contiene dati sensibili e non ha l'etichetta corretta, il caricamento del file viene bloccato.

Ad esempio, creare un criterio che analizza il contenuto di un file per determinare se contiene una corrispondenza di contenuto sensibile, ad esempio un numero di previdenza sociale. Se contiene contenuto sensibile e non è etichettato con un'etichetta Microsoft Purview Information Protection Confidential, il caricamento del file viene bloccato.

Bloccare il malware durante il caricamento o il download

Selezionare Il caricamento del file di controllo (con ispezione) o il download del file di controllo (con ispezione) come tipo di controllo della sessione e Rilevamento malware come metodo di ispezione per impedire a un utente di caricare o scaricare un file con malware. I file vengono analizzati alla ricerca di malware utilizzando il motore Microsoft di threat intelligence.

Visualizza eventuali file contrassegnati come potenziale malware nel Registro attività di App cloud > filtrando per gli elementi Potenziale malware rilevato. Per altre informazioni, vedi Filtri e query delle attività.

Informare gli utenti a proteggere i file sensibili

È consigliabile informare gli utenti quando violano i criteri in modo che imparino a rispettare i requisiti dell'organizzazione.

Poiché ogni organizzazione ha esigenze e criteri univoci, Defender for Cloud Apps consente di personalizzare i filtri di un criterio e il messaggio visualizzato all'utente quando viene rilevata una violazione.

Fornire indicazioni specifiche agli utenti, ad esempio istruzioni su come etichettare in modo appropriato un file o su come registrare un dispositivo non gestito per garantire che i file vengano caricati correttamente.

Ad esempio, se un utente carica un file senza un'etichetta di riservatezza, configurare un messaggio da visualizzare, spiegando che il file contiene contenuto sensibile e richiede un'etichetta appropriata. Analogamente, se un utente tenta di caricare un documento da un dispositivo non gestito, configurare un messaggio da visualizzare con le istruzioni su come registrare il dispositivo o uno che fornisca un'ulteriore spiegazione del motivo per cui il dispositivo deve essere registrato.

Controlli di accesso nei criteri di sessione

Molte organizzazioni che scelgono di usare i controlli sessione per le app cloud per controllare le attività in sessione, applicano anche i controlli di accesso per bloccare lo stesso set di app client predefinite per dispositivi mobili e desktop, offrendo così una sicurezza completa per le app.

Bloccare l'accesso alle app client predefinite per dispositivi mobili e desktop con criteri di accesso impostando il filtro app client su Mobile e desktop. Alcune app client predefinite possono essere riconosciute singolarmente, mentre altre che fanno parte di una suite di app possono essere identificate solo come app di primo livello. Ad esempio, app come SharePoint Online possono essere riconosciute solo creando un criterio di accesso applicato alle app di Microsoft 365.

Conflitti tra i criteri

Quando si verifica un conflitto tra due criteri di sessione, vince il criterio più restrittivo.

Ad esempio:

• Se una sessione utente corrisponde sia a un criterio in cui i download sono bloccati
• E un criterio in cui i file vengono etichettati al momento del download o in cui vengono controllati i download,
• L'opzione di download del file è bloccata per rispettare i criteri più restrittivi.

Contenuto correlato

Per altre informazioni, vedere:

• Risoluzione dei problemi relativi all'accesso e ai controlli sessione
• Tutorial: Bloccare il download di informazioni sensibili con Conditional Access App Control
• Blocco dei download nei dispositivi non gestiti tramite i controlli sessione