Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
La pagina dell'entità dispositivo nel portale di Microsoft Defender consente di esaminare le entità del dispositivo. La pagina contiene tutte le informazioni importanti su una determinata entità del dispositivo. Se un avviso o un evento imprevisto indica che un dispositivo si comporta in modo sospetto o potrebbe essere compromesso, esaminare i dettagli del dispositivo per identificare altri comportamenti o eventi che potrebbero essere correlati all'avviso o all'evento imprevisto e individuare il potenziale ambito della violazione. È anche possibile usare la pagina dell'entità dispositivo per eseguire alcune attività di sicurezza comuni, nonché alcune azioni di risposta per mitigare o correggere le minacce alla sicurezza.
Importante
Il set di contenuto visualizzato nella pagina dell'entità dispositivo può variare leggermente, a seconda della registrazione del dispositivo in Microsoft Defender per endpoint e Microsoft Defender per identità.
Se l'organizzazione ha caricato Microsoft Sentinel nel portale di Defender, verranno visualizzate informazioni aggiuntive.
In Microsoft Sentinel, le entità del dispositivo sono note anche come entità host. Altre informazioni.
Microsoft Sentinel è disponibile a livello generale nel portale di Microsoft Defender, con o senza Microsoft Defender XDR o una licenza E5. Per altre informazioni, vedere Microsoft Sentinel nel portale di Microsoft Defender.
Dopo il 31 marzo 2027, Microsoft Sentinel non sarà più supportato nel portale di Azure e sarà disponibile solo nel portale di Microsoft Defender.
Se attualmente si usa Microsoft Sentinel nel portale di Azure, è consigliabile iniziare a pianificare la transizione al portale di Defender per garantire una transizione senza problemi e sfruttare appieno l'esperienza di operazioni di sicurezza unificata offerta da Microsoft Defender. Per altre informazioni, vedere Eseguire la transizione dell'ambiente Microsoft Sentinel al portale di Defender e Pianificare il passaggio al portale di Microsoft Defender per tutti i clienti Microsoft Sentinel (blog).
Le entità del dispositivo sono disponibili nelle aree seguenti:
- Elenco dispositivi, in Asset
- Coda di avvisi
- Qualsiasi singolo avviso/evento imprevisto
- Qualsiasi pagina di entità utente singola
- Qualsiasi visualizzazione dei dettagli dei singoli file
- Qualsiasi indirizzo IP o visualizzazione dei dettagli del dominio
- Log attività
- Query di ricerca avanzate
- Centro operativo
È possibile selezionare i dispositivi ogni volta che vengono visualizzati nel portale per aprire la pagina dell'entità del dispositivo, che visualizza altri dettagli sul dispositivo. Ad esempio, è possibile visualizzare i dettagli dei dispositivi elencati negli avvisi di un incidente nel portale di Microsoft Defender in Investigazione e risposta > Incidenti e avvisi > Incidenti >incidente> Asset > Dispositivi.
La pagina dell'entità dispositivo presenta le informazioni in un formato a schede. Questo articolo illustra i tipi di informazioni disponibili in ogni scheda e le azioni che è possibile eseguire su un determinato dispositivo.
Nella pagina dell'entità dispositivo vengono visualizzate le schede seguenti:
- Panoramica
- Eventi imprevisti e avvisi
- Sequenza temporale
- Gestione della configurazione
- Consigli sulla sicurezza
- Inventari
- Vulnerabilità individuate
- KB mancanti
- Baseline di sicurezza
- Criteri di sicurezza
- eventi Sentinel
Intestazione della pagina dell'entità
La sezione più in alto della pagina dell'entità include i dettagli seguenti:
- Nome entità
- Indicatori di gravità, criticità e valore del dispositivo
- Tag in base ai quali il dispositivo può essere classificato. Può essere aggiunto da Defender for Endpoint, Defender for Identity o dagli utenti. I tag di Microsoft Defender per identità non sono modificabili.
- Le azioni di risposta si trovano anche qui. Per altre informazioni, vedere di seguito.
Scheda Panoramica
La scheda predefinita è Panoramica. Fornisce una rapida analisi dei fatti di sicurezza più importanti sul dispositivo. La scheda Panoramica contiene la barra laterale dei dettagli del dispositivo e un dashboard con alcune schede che visualizzano informazioni di alto livello.
Dettagli del dispositivo
La barra laterale elenca il nome completo e il livello di esposizione del dispositivo. Fornisce anche alcune importanti informazioni di base in piccole sottosezioni, che possono essere espanse o compresse, ad esempio:
| Sezione | Informazioni incluse |
|---|---|
| Dettagli della macchina virtuale | Nomi dei computer e dei domini e ID, stati di integrità e di onboarding, timestamp del primo e dell'ultimo rilevamento, indirizzi IP e altro ancora |
| Dettagli di sincronizzazione dei criteri DLP | Se pertinente |
| Stato della configurazione | Dettagli relativi alla configurazione Microsoft Defender per endpoint |
| Dettagli delle risorse cloud | Piattaforma cloud, ID risorsa, informazioni sulla sottoscrizione e altro ancora |
| Hardware e firmware | Informazioni su VM, processore e BIOS e altro ancora |
| Gestione dispositivi | Stato di registrazione e informazioni sulla gestione di Microsoft Defender per endpoint |
| Dati della directory | flag UAC, SPN e appartenenze ai gruppi. |
Pannello di controllo
La parte principale della scheda Panoramica mostra diverse schede di visualizzazione di tipo dashboard:
- Avvisi attivi e livello di rischio che coinvolgono il dispositivo negli ultimi sei mesi, raggruppati per gravità
- Valutazioni della sicurezza e livello di esposizione del dispositivo
- Utenti connessi nel dispositivo negli ultimi 30 giorni
- Stato di integrità del dispositivo e altre informazioni sulle analisi più recenti del dispositivo.
Consiglio
Il livello di esposizione è correlato alla conformità del dispositivo alle raccomandazioni sulla sicurezza, mentre il livello di rischio viene calcolato in base a diversi fattori, inclusi i tipi e la gravità degli avvisi attivi.
Scheda Eventi imprevisti e avvisi
La scheda Incidenti e avvisi contiene un elenco di incidenti che includono avvisi generati nel dispositivo, provenienti da una delle diverse origini di rilevamento di Microsoft Defender, incluso, se integrato, Microsoft Sentinel. Questo elenco è una versione filtrata della coda degli eventi imprevisti e mostra una breve descrizione dell'evento imprevisto o dell'avviso, la relativa gravità (alta, media, bassa, informativa), lo stato nella coda (nuovo, in corso, risolto), la classificazione (non impostata, avviso falso, avviso vero), lo stato di indagine, la categoria, l'utente assegnato per risolverlo e l'ultima attività osservata.
È possibile personalizzare le colonne visualizzate per ogni elemento. È anche possibile filtrare gli avvisi in base a gravità, stato o qualsiasi altra colonna nella visualizzazione.
La colonna delle entità interessate si riferisce a tutte le entità utente e dispositivo a cui si fa riferimento nell'evento imprevisto o nell'avviso.
Quando si seleziona un evento imprevisto o un avviso, viene visualizzato un riquadro a comparsa. Da questo pannello è possibile gestire l'evento imprevisto o l'avviso e visualizzare altri dettagli, ad esempio il numero di evento imprevisto/avviso e i dispositivi correlati. È possibile selezionare più avvisi alla volta.
Per visualizzare una visualizzazione a pagina intera di un evento imprevisto o di un avviso, selezionarne il titolo.
Scheda Cronologia
La scheda Sequenza temporale visualizza una visualizzazione cronologica di tutti gli eventi osservati nel dispositivo. Ciò consente di correlare eventi, file e indirizzi IP in relazione al dispositivo.
La scelta delle colonne visualizzate nell'elenco può essere personalizzata. Le colonne predefinite elencano l'ora dell'evento, l'utente attivo, il tipo di azione, le entità associate (processi, file, indirizzi IP) e informazioni aggiuntive sull'evento.
È possibile regolare il periodo di tempo per il quale vengono visualizzati gli eventi facendo scorrere i bordi del periodo di tempo lungo il grafico della sequenza temporale complessivo nella parte superiore della pagina. È anche possibile selezionare un periodo di tempo dall'elenco a discesa nella parte superiore dell'elenco (il valore predefinito è 30 giorni). Per controllare ulteriormente la visualizzazione, è possibile filtrare in base ai gruppi di eventi o personalizzare le colonne.
È possibile esportare fino a sette giorni di eventi in un file CSV per il download.
Approfondisci i dettagli dei singoli eventi selezionando un evento e visualizzandone i dettagli nel pannello a comparsa che si apre. Vedere Dettagli evento di seguito.
Sequenza temporale unificata (anteprima)
A partire da gennaio 2025, se è stato eseguito l'onboarding Microsoft Sentinel nel portale di Defender, le attività del dispositivo visualizzate nella sequenza temporale Sentinel nella scheda eventi Sentinelvengono visualizzate anche qui nella scheda Sequenza temporale principale, in modo che possano essere visualizzate insieme agli eventi registrati da altri Microsoft Defender servizi in un unico contesto. Questa sequenza temporale unificata consente di semplificare le indagini fornendo una visualizzazione unificata delle attività dei dispositivi, eliminando la necessità di passare da uno schermo all'altro e consentendo un processo decisionale più rapido.
È possibile scegliere di non visualizzare gli eventi da Microsoft Sentinel nella sequenza temporale principale e di continuare a visualizzarli come prima, solo nella scheda eventi Sentinel. A tale scopo, selezionare Impostazioni sequenza temporale e spostare gli eventi Stream da Microsoft Sentinel query su Disattivato. Selezionare Applica per salvare l'impostazione.
Per altre informazioni su questi eventi di attività, vedere Pagine di entità in Microsoft Sentinel.
Nota
Per visualizzare gli eventi del firewall, è necessario abilitare i criteri di controllo. Per le istruzioni, vedere connessione ad Audit Filtering Platform.
Il firewall illustra gli eventi seguenti:
Dettagli evento
Selezionare un evento per visualizzare i dettagli pertinenti su tale evento. Viene visualizzato un pannello a comparsa per mostrare molte più informazioni sull'evento. I tipi di informazioni visualizzate dipendono dal tipo di evento. Se applicabile e i dati sono disponibili, è possibile che venga visualizzato un grafico che mostra le entità correlate e le relative relazioni, ad esempio una catena di file o processi. Potresti anche visualizzare una descrizione riepilogativa delle tattiche e delle tecniche MITRE ATT&CK applicabili all'evento.
Per esaminare ulteriormente l'evento e gli eventi correlati, è possibile eseguire rapidamente una query di ricerca avanzata selezionando Cerca eventi correlati. La query restituisce l'evento selezionato e l'elenco di altri eventi che si sono verificati all'incirca nello stesso momento sullo stesso endpoint.
Gestione della configurazione
Criteri di sicurezza
La scheda Criteri di sicurezza mostra i criteri di sicurezza degli endpoint applicati nel dispositivo. Visualizzi un elenco di policy con tipo, stato e ora dell'ultimo check-in. Selezionando il nome di un criterio si accede alla pagina dei dettagli dei criteri in cui è possibile visualizzare lo stato delle impostazioni dei criteri, i dispositivi applicati e i gruppi assegnati.
Impostazioni valide
La scheda Impostazioni valide fornisce visibilità sul valore effettivo di ogni impostazione di sicurezza e identifica l'origine che l'ha configurata. Elenca i nomi delle impostazioni, i tipi di criteri, i valori effettivi, l'origine di ogni valore effettivo e l'ora dell'ultimo report.
Le origini di configurazione possono includere strumenti come Microsoft Defender per endpoint, Criteri di gruppo, Intune o impostazioni predefinite. Possono anche essere percorsi specifici del Registro di sistema, ad esempio MDM o hive Criteri di gruppo. Se l'origine è un percorso del Registro di sistema, il campo Configurato da viene visualizzato come Sconosciuto insieme al percorso del Registro di sistema.
Selezionare un'impostazione per aprire un pannello laterale con altri dettagli. Viene visualizzato il valore corrente, tutti gli altri tentativi di configurazione che non sono stati applicati e, per impostazioni complesse come le regole asr o le esclusioni AV, una suddivisione di tutte le regole configurate, le relative origini ed eventuali esclusioni.
Nota
Le impostazioni presentate sono impostazioni di sicurezza AV, regole di riduzione della superficie di attacco ed esclusioni per le piattaforme Windows.
Scheda Raccomandazioni per la sicurezza
La scheda Consigli di sicurezza elenca le azioni che è possibile eseguire per proteggere il dispositivo. Selezionando un elemento in questo elenco viene aperto un riquadro a comparsa in cui è possibile ottenere istruzioni su come applicare la raccomandazione.
Come per le schede precedenti, è possibile personalizzare la scelta delle colonne visualizzate.
La visualizzazione predefinita include colonne che illustrano in dettaglio i punti deboli della sicurezza risolti, la minaccia associata, il componente correlato o il software interessato dalla minaccia e altro ancora. Gli elementi possono essere filtrati in base allo stato della raccomandazione.
Altre informazioni sulle raccomandazioni per la sicurezza.
Scheda Inventari
Questa scheda visualizza gli inventari di quattro tipi di componenti: software, componenti vulnerabili, estensioni del browser e certificati.
Inventario software
Questa scheda elenca il software installato nel dispositivo.
La visualizzazione predefinita visualizza il fornitore del software, il numero di versione installato, il numero di punti deboli del software noti, le informazioni dettagliate sulle minacce, il codice del prodotto e i tag. È possibile personalizzare il numero di elementi visualizzati e le colonne visualizzate.
Selezionando un elemento da questo elenco viene aperto un riquadro a comparsa contenente altri dettagli sul software selezionato e il percorso e il timestamp per l'ultima volta che il software è stato trovato.
Questo elenco può essere filtrato in base al codice del prodotto, ai punti deboli e alla presenza di minacce.
Componenti vulnerabili
Questa scheda elenca i componenti software che contengono vulnerabilità.
Le opzioni di visualizzazione e filtro predefinite sono le stesse del software.
Selezionare un elemento per visualizzare altre informazioni in un riquadro a comparsa.
Estensioni del browser
Questa scheda mostra le estensioni del browser installate nel dispositivo. I campi predefiniti visualizzati sono il nome dell'estensione, il browser per cui è installato, la versione, il rischio di autorizzazione (in base al tipo di accesso ai dispositivi o ai siti richiesti dall'estensione) e lo stato. Facoltativamente, è anche possibile visualizzare il fornitore.
Selezionare un elemento per visualizzare altre informazioni in un riquadro a comparsa.
Certificati
Questa scheda visualizza tutti i certificati installati nel dispositivo.
I campi visualizzati per impostazione predefinita sono il nome del certificato, la data di emissione, la data di scadenza, le dimensioni della chiave, l'autorità di certificazione, l'algoritmo di firma, l'utilizzo della chiave e il numero di istanze.
L'elenco può essere filtrato in base allo stato, autofirmato o meno, alle dimensioni della chiave, all'hash della firma e all'utilizzo della chiave.
Selezionare un certificato per visualizzare altre informazioni in un riquadro a comparsa.
Vulnerabilità individuate scheda
Questa scheda elenca eventuali vulnerabilità ed exploit comuni (CVE) che possono influire sul dispositivo.
La visualizzazione predefinita elenca la gravità della CVE, il punteggio di vulnerabilità comune (CVSS), il software correlato alla CVE, quando è stato pubblicato il CVE, quando la CVE è stata rilevata e aggiornata per la prima volta e le minacce associate alla CVE.
Come per le schede precedenti, è possibile personalizzare la scelta delle colonne da visualizzare. L'elenco può essere filtrato in base a gravità, stato delle minacce, esposizione del dispositivo e tag.
Se si seleziona un elemento da questo elenco, viene aperto un riquadro a comparsa che descrive la CVE.
Scheda KBS mancante
La scheda KBs mancante elenca tutti i Aggiornamenti Microsoft che devono ancora essere applicati al dispositivo. I "KB" in questione sono articoli della Knowledge Base, che descrivono questi aggiornamenti; ad esempio , KB4551762.
La visualizzazione predefinita elenca il bollettino contenente gli aggiornamenti, la versione del sistema operativo, il numero di ID KB, i prodotti interessati, gli indirizzi CVE e i tag.
La scelta delle colonne da visualizzare può essere personalizzata.
Selezionando un elemento viene aperto un riquadro a comparsa collegato all'aggiornamento.
scheda eventi Sentinel
Se l'organizzazione ha eseguito l'onboarding di Microsoft Sentinel nel portale Defender, questa scheda aggiuntiva è disponibile nella pagina dell'entità del dispositivo. Questa scheda importa la pagina Entità host da Microsoft Sentinel e visualizza le sezioni seguenti:
Sequenza temporale di Sentinel
Questa sequenza temporale mostra quattro tipi di messaggi associati all'entità del dispositivo, noti in Microsoft Sentinel come entità host, che possono essere trovati nella pagina dell'entità Microsoft Sentinel per il dispositivo. I quattro tipi di messaggio sono:
Avvisi creati da regole di analisi Microsoft Sentinel da servizi Azure e origini dati non Microsoft.
Questi avvisi vengono visualizzati anche nella scheda eventi imprevisti e avvisi principali, in modo che possano essere visualizzati insieme agli avvisi generati da altri servizi Microsoft Defender in un unico contesto.
Segnalibri di ricerche da altre indagini Microsoft Sentinel che fanno riferimento a questa entità del dispositivo.
Anomalie, ovvero comportamenti insoliti rilevati dalle regole di anomalie di Microsoft Sentinel.
Attività del dispositivo raccolte da servizi Azure e origini dati non Microsoft. Le attività sono aggregazioni di eventi rilevanti raccolti da query sviluppate dai team di ricerca sulla sicurezza Microsoft. È anche possibile aggiungere attività personalizzate.
A partire da gennaio 2025:
Le attività del dispositivo includono traffico di rete eliminato, bloccato o negato proveniente da un determinato dispositivo, in base ai dati raccolti dai log dei dispositivi di rete leader del settore. Questi log forniscono ai team di sicurezza informazioni critiche per identificare e risolvere rapidamente le potenziali minacce.
Le attività del dispositivo vengono ora visualizzate nella sequenza temporale del dispositivo unificata insieme agli eventi del dispositivo provenienti da altre origini del portale di Defender. Per altre informazioni, vedere Sequenza temporale unificata (anteprima).
Approfondimenti
Le informazioni dettagliate sulle entità sono query definite dai ricercatori di sicurezza Microsoft che consentono di analizzare in modo più efficiente ed efficace. Queste informazioni dettagliate pongono automaticamente le domande principali sull'entità del dispositivo, fornendo preziose informazioni di sicurezza sotto forma di dati tabulari e grafici. Le informazioni dettagliate includono dati relativi agli accessi, alle aggiunte di gruppo, alle esecuzioni dei processi, agli eventi anomali e altro ancora e includono algoritmi di Machine Learning avanzati per rilevare comportamenti anomali.
Di seguito sono riportate alcune delle informazioni dettagliate visualizzate:
- Schermata acquisita sull'host.
- Processi non firmati rilevati da Microsoft.
- Informazioni sull'esecuzione del processo di Windows.
- Attività di accesso a Windows.
- Azioni sugli account.
- Registri eventi cancellati sull'host.
- Addizioni di gruppo.
- Enumerazione di host, utenti, gruppi nell'host.
- Controllo delle applicazioni di Microsoft Defender
- Rarità del processo tramite calcolo dell'entropia.
- Numero anomalo elevato di un evento di sicurezza.
- Informazioni dettagliate sulla watchlist (Anteprima).
- Eventi di Windows Antivirus Defender.
Le informazioni dettagliate si basano sulle origini dati seguenti:
- Syslog (Linux)
- EventoDiSicurezza (Windows)
- AuditLogs (Microsoft Entra ID)
- SigninLogs (Microsoft Entra ID)
- OfficeActivity (Office 365)
- BehaviorAnalytics (Microsoft Sentinel UEBA)
- Heartbeat (agente di monitoraggio Azure)
- CommonSecurityLog (Microsoft Sentinel)
Per esplorare ulteriormente una delle informazioni dettagliate in questo pannello, selezionare il collegamento che accompagna le informazioni dettagliate. Il collegamento consente di passare alla pagina Ricerca avanzata , in cui viene visualizzata la query sottostante le informazioni dettagliate, insieme ai relativi risultati non elaborati. È possibile modificare la query o eseguire il drill-down dei risultati per espandere l'indagine o semplicemente soddisfare la curiosità.
Azioni di risposta
Le azioni di risposta offrono scorciatoie per analizzare, esaminare e difendersi dalle minacce.
Importante
- Le azioni di risposta sono disponibili solo se il dispositivo è registrato in Microsoft Defender per endpoint.
- I dispositivi registrati in Microsoft Defender per endpoint possono visualizzare numeri diversi di azioni di risposta, in base al sistema operativo e al numero di versione del dispositivo.
Le azioni di risposta vengono eseguite nella parte superiore di una pagina specifica del dispositivo e includono:
| Azione | Descrizione |
|---|---|
| Valore del dispositivo | |
| Imposta criticità | |
| Gestisci tag | Aggiornamenti tag personalizzati applicati al dispositivo. |
| Segnalare l'imprecisione del dispositivo | |
| Eseguire l'analisi antivirus | Aggiorna le definizioni antivirus di Microsoft Defender Antivirus ed esegue immediatamente una scansione antivirus. Scegliere tra Analisi rapida o Analisi completa. |
| Raccogli il pacchetto di diagnostica | Raccoglie informazioni sul dispositivo. Al termine dell'indagine, è possibile scaricarla. |
| Limitare l'esecuzione dell'app | Impedisce l'esecuzione di applicazioni non firmate da Microsoft. |
| Avviare un'indagine automatizzata | Analizza e corregge automaticamente le minacce. Anche se è possibile attivare manualmente le indagini automatizzate per l'esecuzione da questa pagina, alcuni criteri di avviso attivano automaticamente le indagini automatiche. |
| Avviare una sessione di risposta dinamica | Carica una shell remota nel dispositivo per indagini approfondite sulla sicurezza. |
| Isolamento i dispositivi | Isola il dispositivo dalla rete dell'organizzazione mantenendolo connesso a Microsoft Defender. È possibile scegliere di consentire l'esecuzione di Outlook, Teams e Skype for Business mentre il dispositivo è isolato, a scopo di comunicazione. |
| Chiedi a Defender Experts | |
| Centro operativo | Visualizza informazioni sulle azioni di risposta attualmente in esecuzione. Disponibile solo se è già stata selezionata un'altra azione. |
| Scarica lo script per il rilascio forzato dall'isolamento | |
| Escludi | |
| Iniziare la ricerca | |
| Attivare la modalità di risoluzione dei problemi | |
| Sincronizzazione dei criteri |
Argomenti correlati
- Panoramica di Microsoft Defender
- Attivare Microsoft Defender XDR
- Pagina dell'entità utente in Microsoft Defender
- Pagina dell'entità relativa all'indirizzo IP in Microsoft Defender
- integrazione Microsoft Defender XDR con Microsoft Sentinel
- Connettere Microsoft Sentinel a Microsoft Defender XDR
Consiglio
Vuoi saperne di più? Interagisci con la community Microsoft Security nella nostra Tech Community: Microsoft Defender XDR Tech Community.